Sega mengungkap bahwa sekitar 2,2 juta alamat email pelanggan buletinnya terekspos setelah terjadi akses tanpa izin pada layanan distribusi email milik ARARA. Insiden ini mencakup 11 buletin yang berkaitan dengan produk dan layanan Sega serta Sega Fave. Perusahaan juga sedang memeriksa sekitar 92.300 catatan yang memuat informasi tambahan untuk menentukan jenis data yang ikut terekspos.
Alamat email SEGA Account dikelola secara terpisah
Sega mengatakan data yang terdampak tidak mencakup nama pelanggan, tanggal lahir, jenis kelamin, alamat tempat tinggal, nomor telepon, informasi kartu kredit, atau kata sandi akun. Alamat email yang terdaftar melalui SEGA Account menggunakan sistem distribusi terpisah dan tidak terdampak. Hingga pengumuman 9 November 2026, Sega belum mengonfirmasi adanya penyalahgunaan data dan masih menyelidiki cakupan paparan bersama ARARA.
Insiden ARARA mencakup sekitar 380 perusahaan
ARARA awalnya memberi tahu Sega pada 29 Oktober bahwa pihaknya belum menemukan data yang terekspos. Setelah penyelidikan berlanjut, ARARA mengonfirmasi paparan data kepada Sega pada 3 November dan menyampaikan rincian lebih lanjut antara 5 dan 8 November.
Dalam pengungkapan pada 2 November, ARARA menyebut insiden pada layanan distribusi emailnya mencakup sekitar 77 juta alamat email milik pelanggan dari hampir 380 perusahaan. ARARA mengatakan celah pada server web dan masalah pada lingkungan sistemnya berkontribusi terhadap insiden. Perusahaan masih menyelidiki kapan dan bagaimana penyusupan terjadi.
Menurut ARARA, pelaku juga menyalahgunakan layanan pengiriman emailnya untuk mengirim lebih dari tujuh juta pesan yang menyamar sebagai perusahaan kartu kredit pada akhir Oktober. Perusahaan lain yang melaporkan dampak dari insiden ARARA antara lain MOS Burger, Shochiku Multiplex Theatres, TKC, dan IIJmio.
Sega Fave juga menangani insiden terpisah pada jaringan arkade
Pada 2 November, Sega Fave melaporkan akses tanpa izin ke server yang mendukung ALL.Net dan Aime. Perusahaan menangguhkan layanan terkait, termasuk permainan daring dan pendaftaran SEGA ID baru. Penyelidikan awal belum menemukan bukti pencurian data pelanggan atau mitra bisnis. Informasi pembayaran disimpan secara terpisah dan menurut perusahaan tidak terdampak. Sega menyatakan bahwa gangguan jaringan arkade ini tidak berkaitan dengan kebocoran buletin di ARARA.
Sumber: Sega – Pemberitahuan kebocoran informasi pribadi akibat akses tanpa izin pada penyedia layanan
