SEGA-Newsletter-Leck legt 2,2 Millionen E-Mails im großen ARARA-Hack in Japan offen

SEGA gab am 9. November bekannt, dass ein Sicherheitsvorfall bei seinem externen Newsletter-Dienstleister Arara 2.196.044 E-Mail-Adressen offengelegt hat, die mit elf Newslettern von SEGA und SEGA Fave aus Juli, September und Oktober 2026 verknüpft waren. Von diesen Adressen wurden bei 92.273 zusätzlich Zustellmetadaten offengelegt, die Rückschlüsse darauf zulassen, wie und wann die Nachrichten verschickt wurden.

Die Offenlegung ist die bislang größte und jüngste Einzelauswirkung eines weitaus größeren Sicherheitsvorfalls bei Arara, einem japanischen Anbieter für E-Mail-Verteilung, den Hunderte von Unternehmenskunden und Kommunalbehörden für den Versand von Newslettern und Mitteilungen nutzen. Arara hatte erstmals am 29. Oktober gemeldet, dass rund 3 Millionen Adressen aus einem kompromittierten System offengelegt worden seien. Bis zum 2. November korrigierte das Unternehmen diese Zahl auf etwa 77 Millionen E-Mail-Adressen aus fast 380 Kundenorganisationen nach oben, nachdem sich herausstellte, dass der Einbruch sich auf einen größeren Teil der Infrastruktur ausgedehnt hatte als ursprünglich angenommen. Zu den weiteren betroffenen Kunden zählen der Immobilienentwickler Mitsui Fudosan, der Telefonverzeichnisdienst NTT TownPage und die Stadt Sendai, die in den vergangenen Wochen jeweils ihren eigenen Teilbestand an offengelegten Adressen bekannt gegeben haben.

SEGA erklärte, keine Hinweise darauf gefunden zu haben, dass Namen, Geburtsdaten, Geschlecht, Postadressen, Telefonnummern, Kreditkartendaten oder Kontopasswörter offengelegt wurden. Diese Daten liegen im eigenen Kontosystem von SEGA, das von der durch Arara betriebenen Newsletter-Infrastruktur getrennt ist und von dem Vorfall nicht betroffen war. Das Unternehmen verwies zudem auf einen zweiten, davon unabhängigen Vorfall: SEGA Fave meldete am 2. November einen eigenen unbefugten Serverzugriff, der nach eigenen Angaben nichts mit dem Newsletter-Leck zu tun hat.

Arara erklärte, der unbefugte Zugriff habe um den 28. Oktober begonnen, als Angreifer Schwachstellen in den Webserver-Systemen des Unternehmens ausnutzten. Das Unternehmen stellte seinen gesamten E-Mail-Verteildienst am 31. Oktober vollständig ein und hat bislang nicht mitgeteilt, ob oder wann er wieder aufgenommen wird. Während des Zeitraums, in dem die Angreifer Zugriff hatten, nutzten sie die eigene Infrastruktur von Arara, um laut Arara's Vorfallsberichten mehr als 7 Millionen Phishing-E-Mails zu versenden, die sich als Kreditkartenunternehmen ausgaben. SEGA zufolge teilte Arara dem Unternehmen am 29. Oktober mit, dass kein Leck bestätigt sei; die offizielle Bestätigung der eigenen Betroffenheit erhielt SEGA erst am 3. November — rund eine Woche nach Beginn des Vorfalls.

Der Vorfall verdeutlicht eine wiederkehrende Schwachstelle in der Unternehmenssicherheit: an Dritte ausgelagerte Marketing- und Newsletter-Infrastruktur. Unternehmen, die den E-Mail-Versand an einen externen Anbieter delegieren, übernehmen dessen Sicherheitsniveau, ohne es notwendigerweise zu prüfen, tragen aber weiterhin die Last der Meldepflicht und den Reputationsschaden, wenn etwas schiefgeht. Da die Kompromittierung eines einzigen Anbieters gleichzeitig Hunderte voneinander unabhängige Kundenunternehmen betreffen kann, erzielen Angreifer mit einem einzigen erfolgreichen Einbruch eine ungewöhnlich hohe Wirkung — in diesem Fall ausreichend Reichweite, um Millionen Phishing-E-Mails unter dem Deckmantel scheinbar legitimen Newsletter-Verkehrs zu versenden.

Für die 2,2 Millionen Menschen auf den betroffenen Listen von SEGA besteht das unmittelbare Risiko in Phishing und nicht in einer Account-Übernahme — es gibt keine Hinweise darauf, dass Zugangsdaten kompromittiert wurden, doch Empfänger sollten bei unerwünschten E-Mails vorsichtig sein, die sich auf SEGA, SEGA Fave oder angeblich auf Kreditkartenanbieter beziehen, besonders wenn sie im Sommer oder Frühherbst einen Newsletter von SEGA oder SEGA Fave erhalten haben. Zuerst berichteten darüber Infosecurity Magazine und TEISS.