Sega je potvrdila curenje 2,19 milijuna adrese e-pošte nakon kibernetičkog napada na japansku tvrtku Arara, čiji je sustav koristila za distribuciju dijela svojih newslettera. Za 92 tisuće zapisa kompromitirane su i dodatne informacije povezane s distribucijom poruka, čiji se sadržaj još istražuje. Sega navodi da korisnički računi, lozinke i podaci o plaćanju nisu pogođeni.
Prema dosadašnjoj istrazi, kompromitirane su adrese e-pošte primatelja 11 newslettera poslanih između 2. srpnja i 28. listopada 2026. Među njima su obavijesti povezane s igrama Chunithm Mate, Ongeki Re:Fresh Act.2 i maimai Deluxe Magical, Sega Lucky Kuji ponudama te dvije poruke povezane s nastupom tvrtke na Tokyo Game Showu 2026.
Sega naglašava da među kompromitiranim podacima prema trenutačnim rezultatima istrage nisu imena korisnika, datumi rođenja, spol, kućne adrese, telefonski brojevi, podaci kreditnih kartica niti lozinke za prijavu. Adrese korištene za Sega Account također nisu pogođene jer se za taj sustav koristi odvojena infrastruktura za slanje poruka.
Za 92.273 adrese uz samu adresu e-pošte postojale su i dodatne informacije povezane s distribucijom newslettera. Sega i Arara još utvrđuju o kojim se točno podacima radi. Tvrtka zasad nije pronašla dokaz da su procurjele informacije povezane sa Sega-om već zloupotrijebljene.
Naime, Arara je 6. studenoga objavila da je iz njezinih sustava ukupno izneseno ili potencijalno izneseno 81,33 milijuna različitih adresa e-pošte, a pogođeno bi moglo biti do približno 380 tvrtki koje koriste njezine usluge.
Arara je također otkrila da su napadači njezinu infrastrukturu iskoristili za slanje phishing poruka. Između 28. i 30. listopada s adrese news@arara.com poslano je do približno 7,13 milijuna sumnjivih poruka koje su se predstavljale kao obavijesti tvrtka za kreditne kartice. Arara je 31. listopada u potpunosti zaustavila uslugu Arara Message, a datum ponovnog pokretanja zasad nije određen.
Dok se ne utvrdi puni opseg incidenta i sigurnost sustava, Sega je zaustavila newslettere koji koriste Ararinu infrastrukturu. Nakon završetka provjere planira izravno obavijestiti korisnike za koje se utvrdi da su pogođeni te zajedno s Ararom prijaviti incident japanskoj Komisiji za zaštitu osobnih podataka.
Sega u svojoj objavi navodi i da je Sega Lucky Kuji Online trenutačno nedostupan zbog sigurnosne provjere povezane s drugim napadom na mrežne usluge arkadnog poslovanja Sega Favea. Tvrtka posebno naglašava da je riječ o zasebnom incidentu koji nije povezan s curenjem podataka preko Arare.
