La filtración de correos de Sega y Arara dejó fuera 2.196.044 direcciones usadas en boletines de Sega y de su filial de máquinas recreativas Sega Fave. Sega lo confirmó este lunes 9 de noviembre en un aviso con disculpa pública.
Un tercero entró sin autorización en Arara Message, la plataforma de envío masivo de su contratista Arara, y se llevó las listas de varios envíos hechos entre el 2 de julio y el 28 de octubre de 2026.
De esas direcciones, 92.273 registros llevaban información ligada al propio envío del boletín, un paquete cuyo contenido exacto Sega y Arara todavía revisan en conjunto.
La empresa dejó claro qué no salió: nombres, fechas de nacimiento, género, direcciones postales, teléfonos, datos de tarjetas y contraseñas de acceso no formaban parte de las tablas tocadas.
Con otro sistema de envío, las cuentas de SEGA Account quedaron fuera.
En la lista entran los avisos de la lotería Sega Lucky Kuji, la exhibición de Sega en Tokyo Game Show 2026 y los lanzamientos de tres juegos rítmicos de salón: CHUNITHM, ONGEKI y maimai.
Eran listas de mercadeo, no la base de clientes con cuentas y pagos. Esa separación recortó el daño.
Una plataforma de boletines con casi 380 clientes
Arara no es un proveedor chico. La filial de Paycloud Holdings opera el envío de correo de cerca de 380 empresas contratantes en Japón, entre comercios, entretenimiento y finanzas.
Su tercer informe del caso, publicado el 6 de noviembre, elevó el total de la plataforma a 81.329.467 direcciones únicas expuestas o con riesgo de exposición.
Esa suma mezcla el entorno compartido entre clientes y 97 servidores dedicados de empresas individuales. La cifra de Sega no se suma a ese total: forma parte de él.
El recorrido del ataque, reconstruido en los informes de Arara, arranca el 28 de octubre. La vigilancia interna detectó actividad anómala en un servidor web y la empresa aisló el equipo ese mismo día.
Para entonces ya había reunido material de autenticación interna. Entre el 28 y el 31 de octubre se movió por la red, entró en el entorno compartido y se autenticó en los 97 servidores de clientes.
Arara frenó el movimiento el 31 de octubre, invalidó los tokens internos y apagó Arara Message sin fecha de regreso.
La parte menos visible pesa más que el robo de listas. Entre el 28 y el 30 de octubre, el atacante usó la infraestructura de salida del entorno compartido para enviar unos 7,13 millones de correos fraudulentos.
Esos mensajes imitaban a emisores japoneses de tarjetas de crédito y salían de servidores legítimos de Arara, con autorización SPF válida y firma DKIM alineada con arara.com.
Así pasaban los controles de Gmail y de los operadores japoneses. El análisis de The CyberSec Guru detalla ese abuso del canal de envío.
Sobre la puerta de entrada, Arara no ha publicado el nombre del paquete vulnerable ni los identificadores del fallo.
Los registros de mantenimiento de la plataforma y la telemetría del sector apuntan a PHP2Shell, el par de fallos de memoria de PHP divulgados el 21 de octubre con puntuación de 9,2 sobre 10.
Es un tema que este medio ya cubrió con su cobertura previa de PHP2Shell y su explotación activa. Arara no ha confirmado esa atribución: queda como señalamiento técnico de terceros, no como dato cerrado por la empresa afectada.
El riesgo real llega disfrazado de correo de Sega
Una lista de correos sin contraseñas parece poca cosa. No lo es del todo.
Con 2,19 millones de direcciones ligadas a productos concretos, un estafador sabe a quién escribir y con qué anzuelo: un premio de Sega Lucky Kuji, una entrada de Tokyo Game Show o un aviso de un juego de salón recreativo que la persona sí sigue.
El correo falso no necesita la contraseña de nadie si consigue que el lector pulse un enlace y la escriba en una página clonada.
La línea de tiempo de Sega muestra el otro costo de depender de un proveedor. El 29 de octubre, Sega pidió a Arara que verificara la seguridad de sus envíos.
Esa primera respuesta fue que no había filtración confirmada. El 3 de noviembre, tras divulgar el acceso el día 1, Arara avisó de que las direcciones sí habían salido.
Las comprobaciones conjuntas corrieron del 5 al 8 de noviembre y el aviso público llegó el 9, once días después de la primera pregunta.
Sega separó este caso de otro frente abierto en su casa. La intrusión en los servidores de la red recreativa ALL.Net de Sega Fave, que mantiene en mantenimiento el servicio Sega Lucky Kuji Online, es un incidente distinto del de Arara.
Tampoco hay, al 9 de noviembre, uso indebido confirmado de las direcciones filtradas.
La respuesta práctica ya está en marcha. Sega pausó los boletines enviados por Arara hasta completar la verificación y las revisiones de seguridad.
El contacto individual con las personas afectadas llegará cuando cierre el detalle de los 92.273 registros con información de envío.
También presentará, por medio de Arara, un informe conjunto ante la Comisión de Protección de Información Personal de Japón.
Para quien recibió esos boletines, la recomendación de la empresa es corta: desconfiar de mensajes que imiten a Sega o Sega Fave, no abrir enlaces ni adjuntos inesperados y recordar que la compañía no pide contraseñas ni datos de tarjeta por correo.
Fuente: CyberInsider
