La filtración de datos de SEGA ya tiene cifras oficiales: una intrusión en los sistemas de Arara Co., Ltd., la empresa que gestiona el envío de sus boletines, dejó al descubierto 2,2 millones de direcciones de correo. La compañía japonesa publicó un aviso en su web para detallar el alcance del incidente, ocurrido en la infraestructura de un proveedor externo y no en sus propios servidores.
El dato exacto que maneja la empresa es de 2.196.044 direcciones, a las que se suman 92.273 registros «relacionados con la distribución» cuyo contenido sigue bajo revisión. Los boletines afectados son once y cubren productos y servicios de SEGA Corporation y de su filial SEGA Fave.
Qué datos salieron y cuáles no
El aviso de la filtración de datos de SEGA descarta las categorías más delicadas: no se han filtrado contraseñas, números de tarjeta de crédito, nombres, fechas de nacimiento, géneros, direcciones postales ni teléfonos. Lo comprometido son las direcciones de correo y la información asociada al envío de los boletines, un punto que la compañía sigue confirmando junto a Arara.
Hay un grupo que queda al margen. Quienes se suscribieron a los boletines con una SEGA Account no aparecen entre los registros expuestos: esas direcciones se gestionan con un sistema de distribución distinto.
Filtración de datos de SEGA: el origen está en Arara
Arara es una empresa japonesa de marketing digital especializada en la comunicación con clientes. Su plataforma de distribución masiva de correo le permite enviar boletines en nombre de terceros, y por eso albergaba los contactos de SEGA. El acceso no autorizado afectó a 97 servidores con datos de hasta 380 clientes corporativos, aunque el número exacto de compañías implicadas varía entre las informaciones publicadas.
La cronología que se ha difundido resulta llamativa. El 29 de octubre Arara comunicó a SEGA que no había indicios de compromiso de datos; el 3 de noviembre le notificó lo contrario y entre el 5 y el 8 de ese mes compartió los detalles completos. Antes, el 2 de noviembre, la propia Arara ya había informado de una brecha masiva en su servicio de distribución de correo.
Entre las causas se apuntan una vulnerabilidad en un servidor web y problemas en el entorno del sistema, si bien el método y el momento exactos del acceso siguen bajo investigación. Los atacantes aprovecharon además ese acceso para enviar más de siete millones de correos que suplantaban a compañías de tarjetas de crédito, lo que llevó a suspender el servicio de forma temporal el 31 de octubre.
Una brecha que no es exclusiva de SEGA
El incidente de Arara ha salpicado a otras compañías japonesas. MOS Burger (7,5 millones de correos), Shochiku Multiplex Theatres (3,3 millones), TKC (2,3 millones) e IIJmio (casi un millón) figuran entre los afectados, junto con Asoview (unos 15,82 millones de registros) y Bic Camera (15,2 millones).
Sobre el volumen total de la brecha las cifras no coinciden: una parte de las informaciones habla de 77 millones de direcciones vinculadas a cerca de 380 clientes corporativos, mientras otras elevan la cuenta por encima de los 81 millones repartidos en 97 servidores. Son estimaciones que la investigación todavía debe cerrar.
El caso paralelo de SEGA Fave
SEGA Fave atraviesa por su parte otro incidente de ciberseguridad, sin relación con este según la compañía. El acceso no autorizado a servidores que dan soporte a las redes de arcade ALL.Net y Aime mantiene suspendidos servicios como el juego online, SEGA Lucky Kuji Online y el registro de nuevos SEGA ID. La investigación inicial no encontró indicios de exfiltración de datos de clientes o socios.
Qué conviene vigilar ahora
No hay constancia de que la información filtrada se haya utilizado de forma indebida, pero SEGA y su proveedor han advertido del riesgo de phishing. Los mensajes que suplantan a la compañía y piden datos personales o credenciales son la vía más probable de abuso, así que cualquier correo que llegue a una de las direcciones afectadas merece desconfianza por defecto.
SEGA ha pedido disculpas a los clientes y a las partes implicadas, y se ha comprometido a actualizar el aviso de su web si aparecen nuevos hechos mientras Arara continúa con la investigación de la causa. El contenido exacto de esos 92.273 registros adicionales es la pieza que falta por encajar en el relato de la filtración de datos de SEGA.
Lee también
- Reddit Reviews llega para convertir hilos en reseñas de productos
- Take-Two prevé ingresar hasta 3.500 millones con GTA 6
- El Departamento de Justicia demanda a Lyft por discriminación
Fuente: My Nintendo News
