La fuite de la newsletter SEGA expose 2,2 millions d'e-mails dans le vaste piratage d'ARARA au Japon

SEGA a révélé le 9 novembre qu'une faille chez son prestataire externe de newsletters, Arara, avait exposé 2 196 044 adresses e-mail liées à onze newsletters envoyées par SEGA et SEGA Fave en juillet, septembre et octobre 2026. Parmi ces adresses, 92 273 ont également vu des métadonnées de distribution exposées, relatives à la façon et au moment où les messages ont été envoyés.

Cette révélation constitue la conséquence la plus importante et la plus récente, pour une seule entreprise, d'une faille bien plus vaste touchant Arara, un prestataire japonais de distribution d'e-mails utilisé par des centaines de clients d'entreprise et de collectivités locales pour envoyer newsletters et avis. Arara avait d'abord signalé, le 29 octobre, qu'environ 3 millions d'adresses avaient été exposées depuis un système compromis. Au 2 novembre, l'entreprise avait révisé ce chiffre à la hausse, à environ 77 millions d'adresses e-mail provenant de près de 380 organisations clientes, après avoir découvert que l'intrusion s'était étendue à davantage de son infrastructure qu'initialement compris. Parmi les autres clients touchés figurent le promoteur immobilier Mitsui Fudosan, le service d'annuaire téléphonique NTT TownPage et la ville de Sendai, chacun ayant révélé son propre sous-ensemble d'adresses divulguées au cours des dernières semaines.

SEGA affirme n'avoir trouvé aucune preuve que les noms, dates de naissance, genre, adresses postales, numéros de téléphone, informations de carte bancaire ou mots de passe de comptes de ses clients aient été exposés. Ces données résident dans le système de comptes propre à SEGA, distinct de l'infrastructure de newsletters exploitée par Arara, qui n'a pas été affectée. L'entreprise a également signalé un second incident, sans lien avec le premier : SEGA Fave a rapporté le 2 novembre un accès non autorisé à son propre serveur, qu'elle dit sans rapport avec la fuite des newsletters.

Arara a indiqué que l'accès non autorisé avait débuté vers le 28 octobre, lorsque des attaquants ont exploité des vulnérabilités dans les systèmes de ses serveurs web. L'entreprise a entièrement suspendu son service de distribution d'e-mails le 31 octobre et n'a pas précisé si, ni quand, elle le relancera. Pendant la période où les attaquants avaient accès au système, ils ont utilisé l'infrastructure même d'Arara pour envoyer plus de 7 millions d'e-mails de phishing se faisant passer pour des sociétés de cartes de crédit, selon les rapports d'incident d'Arara. SEGA affirme qu'Arara lui avait indiqué le 29 octobre qu'aucune fuite n'était confirmée, et que SEGA n'a reçu de confirmation officielle de sa propre exposition que le 3 novembre, soit environ une semaine après le début de la faille.

Cet incident illustre une faiblesse récurrente de la sécurité des entreprises : l'infrastructure marketing et de newsletters confiée à des prestataires tiers. Les entreprises qui délèguent l'envoi de leurs e-mails à un fournisseur externe héritent de la posture de sécurité de celui-ci sans nécessairement l'auditer, mais continuent de porter la charge de la notification de faille et des dégâts réputationnels lorsque quelque chose tourne mal. Puisque la compromission d'un seul prestataire peut se propager simultanément à des centaines d'entreprises clientes sans lien entre elles, les attaquants obtiennent un rendement inhabituellement élevé pour une seule intrusion réussie ; dans ce cas, une portée suffisante pour envoyer des millions d'e-mails de phishing sous le couvert d'un trafic de newsletters apparemment légitime.

Pour les 2,2 millions de personnes figurant sur les listes touchées de SEGA, le risque immédiat est le phishing plutôt que la prise de contrôle de comptes — rien n'indique que des identifiants de connexion aient été compromis, mais les destinataires devraient se méfier des e-mails non sollicités mentionnant SEGA, SEGA Fave, ou se présentant comme provenant d'un émetteur de carte de crédit, surtout s'ils ont reçu une newsletter SEGA ou SEGA Fave durant l'été ou le début de l'automne. L'affaire a été rapportée en premier par Infosecurity Magazine et TEISS.