نقض امنیتی خبرنامه سگا ۲.۲ میلیون ایمیل را در هک گسترده آرارا در ژاپن افشا کرد

سگا در نهم نوامبر اعلام کرد که نقض امنیتی در سامانه ارائه‌دهنده شخص ثالث خبرنامه‌اش، آرارا، باعث افشای ۲٬۱۹۶٬۰۴۴ آدرس ایمیل مرتبط با یازده خبرنامه ارسال‌شده توسط سگا و سگا فیو در ماه‌های ژوئیه، سپتامبر و اکتبر ۲۰۲۶ شده است. از این تعداد، ۹۲٬۲۷۳ آدرس همراه با اطلاعات مربوط به نحوه و زمان ارسال پیام‌ها نیز افشا شده‌اند.

این افشاگری، بزرگ‌ترین و تازه‌ترین پیامد یک نقض امنیتی گسترده‌تر در شرکت آرارا است؛ شرکتی ژاپنی که خدمات توزیع ایمیل را برای صدها مشتری شرکتی و نهادهای دولتی محلی فراهم می‌کند. آرارا نخستین بار در ۲۹ اکتبر اعلام کرد که حدود سه میلیون آدرس از یک سیستم آسیب‌دیده افشا شده است. تا دوم نوامبر، این شرکت رقم را به حدود ۷۷ میلیون آدرس ایمیل متعلق به نزدیک به ۳۸۰ سازمان مشتری افزایش داد، پس از آن‌که متوجه شد نفوذ به بخش‌های بیشتری از زیرساخت آن گسترش یافته است. از دیگر مشتریان آسیب‌دیده می‌توان به شرکت املاک میتسویی فودوسان، سرویس دایرکتوری مخابراتی اِن‌تی‌تی تاون‌پیج و شهرداری سندای اشاره کرد که هر یک در هفته‌های گذشته بخش مربوط به خود را افشا کرده‌اند.

سگا اعلام کرده است که هیچ مدرکی مبنی بر افشای نام، تاریخ تولد، جنسیت، آدرس پستی، شماره تلفن، اطلاعات کارت اعتباری یا رمز عبور مشتریان پیدا نکرده است. این اطلاعات در سامانه حساب کاربری سگا نگهداری می‌شوند که از زیرساخت خبرنامه‌ای آرارا جدا است و تحت تأثیر این حادثه قرار نگرفته است. این شرکت همچنین به یک حادثه دوم و بی‌ارتباط اشاره کرد: سگا فیو در دوم نوامبر دسترسی غیرمجاز جداگانه‌ای به سرور خود را گزارش داد که به گفته این شرکت، ارتباطی با افشای خبرنامه ندارد.

آرارا اعلام کرده که دسترسی غیرمجاز حدود ۲۸ اکتبر آغاز شده، زمانی که مهاجمان از آسیب‌پذیری‌های سیستم‌های وب‌سرور این شرکت سوءاستفاده کردند. این شرکت در ۳۱ اکتبر کل سرویس توزیع ایمیل خود را متوقف کرد و هنوز اعلام نکرده که آیا و چه زمانی آن را از سر خواهد گرفت. در بازه زمانی که مهاجمان به سیستم دسترسی داشتند، از زیرساخت خود آرارا برای ارسال بیش از هفت میلیون ایمیل فیشینگ با جعل هویت شرکت‌های کارت اعتباری استفاده کردند. بر اساس گفته سگا، آرارا در ۲۹ اکتبر به این شرکت اعلام کرده بود که هیچ نشتی تأیید نشده است، و سگا تأیید رسمی افشای اطلاعات خود را تا سوم نوامبر دریافت نکرد؛ یعنی حدود یک هفته پس از آغاز حمله.

این حادثه یک نقطه ضعف تکرارشونده در امنیت شرکتی را نشان می‌دهد: زیرساخت بازاریابی و خبرنامه‌ای که به شرکت‌های ثالث سپرده می‌شود. شرکت‌هایی که ارسال ایمیل را به یک تأمین‌کننده خارجی محول می‌کنند، سطح امنیتی آن تأمین‌کننده را بدون آن‌که لزوماً آن را ارزیابی کرده باشند به ارث می‌برند، اما در صورت بروز مشکل، همچنان مسئولیت اطلاع‌رسانی نقض و آسیب به اعتبار خود را بر عهده دارند. از آن‌جا که یک نقض در سطح تأمین‌کننده می‌تواند به‌طور همزمان صدها شرکت مشتری بی‌ارتباط را تحت تأثیر قرار دهد، مهاجمان از یک نفوذ موفق بازده غیرمعمول بالایی کسب می‌کنند؛ در این مورد، دسترسی کافی برای ارسال میلیون‌ها ایمیل فیشینگ در پوشش ترافیک خبرنامه‌ای به‌ظاهر معتبر.

برای ۲٫۲ میلیون نفری که در فهرست‌های آسیب‌دیده سگا قرار دارند، خطر فوری فیشینگ است، نه تصاحب حساب کاربری؛ هیچ نشانه‌ای از افشای اطلاعات ورود وجود ندارد، اما دریافت‌کنندگان باید نسبت به ایمیل‌های ناخواسته‌ای که به سگا، سگا فیو یا شرکت‌های کارت اعتباری ارجاع می‌دهند هوشیار باشند، به‌ویژه اگر در تابستان یا اوایل پاییز خبرنامه‌ای از سگا یا سگا فیو دریافت کرده باشند. این خبر نخستین بار توسط اینفوسکیوریتی مگزین و تیس گزارش شد.