Vazamento em parceira da Sega expõe milhões de emails

A renomada desenvolvedora de jogos eletrônicos Sega confirmou ter sido alvo de um vazamento de dados decorrente de uma invasão cibernética direcionada a uma empresa parceira terceirizada. O incidente de segurança atingiu cerca de 2,2 milhões de consumidores da marca japonesa.

Conforme a avaliação inicial da companhia, o acesso não autorizado resultou exclusivamente na obtenção de endereços de email dos usuários. A empresa assegurou que informações de caráter pessoal, cadastral ou financeiro permaneceram totalmente protegidas e não foram expostas.

O problema atingiu diretamente pessoas que mantinham cadastro em canais de comunicação da marca, a exemplo de newsletters. A invasão cibernética explorou falhas de segurança presentes nos servidores da Arara, uma organização japonesa focada em serviços de entrega de emails.

Além dos 2,2 milhões de contatos de consumidores finais, os criminosos também capturaram mais de 77 milhões de endereços eletrônicos vinculados a aproximadamente 380 clientes corporativos.

A linha do tempo do vazamento da Sega

De acordo com o comunicado oficial, o incidente aconteceu por “vulnerabilidades em servidores web” e no ambiente de sistemas. Porém, não foram revelados detalhes da invasão e nem a autoria do hack.

A cronologia do vazamento revela os seguintes passos: * A empresa Arara divulgou oficialmente em 29 de outubro que foi vítima de um acesso não autorizado nos servidores, realizado um dia antes; * No dia 31 de outubro, ela suspendeu o serviço de distribuição Arara Message, muito possivelmente o mais afetado na invasão; * Porém, foi apenas em 2 de novembro que a dona da Arara, a Paycloud Holdings, falou especificamente sobre a quantidade de usuários afetados e notificou também as próprias clientes; * A Sega, por sua vez, emitiu o comunicado oficial de que foi uma das companhias atingidas quase uma semana depois, em 9 de novembro.

Como desdobramento do ataque, a companhia revelou que os invasores usaram o serviço de envio de mail para disparar mais de 7 milhões de mensagens falsas, fingindo ser um comunicado de empresas de cartão de crédito. Por esse motivo, a recomendação é para que o consumidor mantenha atenção redobrada com futuras comunicações recebidas em nome da marca, especialmente aquelas que contenham links suspeitos.

Segundo incidente não relacionado

Em um incidente aparentemente não relacionado, a Sega Fave, divisão de brinquedos, eletrônicos e arcades da marca, também teve um acesso não autorizado aos próprios servidores. Ela suspendeu atividades online e de cadastro envolvendo a Sega ID por tempo limitado, garantindo que não há evidências de roubo de dados.