Sega : 2 196 044 adresses de newsletters ont fui chez Arara

Sega a annoncé le 9 novembre 2026 que 2 196 044 adresses électroniques utilisées pour des newsletters de Sega et de Sega Fave ont fuité après un accès non autorisé chez le prestataire Arara, dont 92 273 avec des informations liées à l’envoi.

Onze envois, de juillet à octobre

L’avis de Sega précise que les lettres concernées portent sur Chunithm Mate (2 juillet), Ongeki Re:Fresh Act.2 (23 juillet), deux messages du Tokyo Game Show (17 et 18 septembre), maimai Deluxe Magical (17 septembre) et six envois Sega Lucky Kuji, en ligne ou en magasin, entre le 6 juillet et le 28 octobre 2026.

Sega écrit que les données sorties ne comprennent pas, en l’état de ce qui est établi, le nom, la date de naissance, le sexe, l’adresse postale, le téléphone, la carte bancaire ni le mot de passe de connexion. Le contenu exact des « informations liées à l’envoi » qui accompagnent 92 273 adresses est encore en cours de vérification avec Arara. Aucun usage malveillant de ce lot n’est confirmé. Les adresses enregistrées dans un SEGA Account passent par un autre système d’envoi et ne sont pas dans le périmètre.

Arara avait d’abord dit qu’il n’y avait pas de fuite

Le calendrier publié par Sega montre un revirement du prestataire. Le 29 octobre, interrogé dans le cadre d’un contrôle de sécurité, Arara répond qu’aucune fuite n’est constatée. Le 1er novembre, après la publication par Arara d’un accès non autorisé, Sega redemande des précisions. Le 3 novembre, Arara informe par courriel que des adresses utilisées pour ces envois sont bien sorties. Les vérifications complémentaires ont lieu du 5 au 8 novembre, date à laquelle Sega reçoit le rapport formel.

L’origine indiquée est le service d’envoi « Arara Message ». Sega suspend l’usage de ce système pour ses newsletters jusqu’à ce que le détail des données et la sécurité soient confirmés. Le signalement à la commission japonaise de protection des informations personnelles doit être fait conjointement, sur proposition d’Arara. Les personnes concernées seront prévenues individuellement une fois le détail établi.

Un autre incident, déjà en cours, n’est pas celui-ci

Sega demande de ne pas ouvrir les liens ni les pièces jointes d’un message inattendu, et de ne pas répondre. Ni Sega ni Sega Fave ne demandent un mot de passe ou une carte bancaire par courriel. La même prudence vaut pour un message qui se présenterait comme venant d’Arara.

Le service Sega Lucky Kuji en ligne est, lui, en maintenance pour une autre raison : le contrôle de sécurité qui a suivi l’accès non autorisé aux serveurs du réseau d’arcade de Sega Fave. Sega présente les deux dossiers comme distincts. La reprise partielle des bornes Bandai Namco, et le maintien à l’arrêt des jeux Sega, sont déjà couverts à part.

Source

Avis de Sega Corporation, « 業務委託企業への不正アクセスによる個人情報流出に関するお詫びとお知らせ », 9 novembre 2026.