Ce qu’il faut retenir
Le piratage d'Arara, prestataire d'envoi de mails, a exposé 2 196 044 adresses de clients de SEGA et de SEGA Fave, abonnés aux lettres de CHUNITHM, maimai, Ongeki, de la SEGA Lucky Kuji et du Tokyo Game Show 2026. Aucun mot de passe ni numéro de carte n'a fuité et le SEGA Account n'est pas touché. Le risque principal vient des faux mails aux couleurs de SEGA, alors que les services d'arcade ALL.Net et Aime sont coupés depuis le 1er novembre après une autre attaque.
Le 9 novembre 2026, SEGA a publié un avis d’excuses : 2 196 044 adresses mail de ses clients japonais sont sorties de chez Arara, la société qui envoyait ses lettres d’information et qui s’est fait pirater. C’est la deuxième alerte de sécurité en huit jours pour le groupe, après l’attaque des serveurs d’arcade de sa filiale SEGA Fave, et les personnes visées sont celles qui fréquentent les salles japonaises sur CHUNITHM, maimai ou Ongeki.
Des adresses, pas de mots de passe
D’après SEGA, la fuite touche les adresses mail et, pour une partie d’entre elles, « les informations liées à l’envoi », une catégorie que l’éditeur examine encore avec Arara. Les noms, dates de naissance, adresses postales, numéros de téléphone, données de carte bancaire et mots de passe ne font pas partie du lot. Le SEGA Account, qui passe par un autre système d’envoi, n’est pas concerné, et SEGA dit n’avoir constaté aucun usage frauduleux des données à ce stade.
La liste des envois visés montre qui doit se méfier. Onze lettres, parties entre le 2 juillet et le 28 octobre 2026 : le lancement de CHUNITHM Mate le 2 juillet, celui d’Ongeki Re:Fresh Act.2 le 23 juillet, celui de maimai DX MAGiCAL le 17 septembre, deux annonces du stand SEGA au Tokyo Game Show 2026 et six lettres de la SEGA Lucky Kuji, la loterie de produits dérivés de l’éditeur. Des joueurs d’arcade et des collectionneurs, donc, surtout au Japon.
Le danger, ce sont les faux mails. SEGA prévient que des messages pourraient se faire passer pour lui, pour SEGA Fave ou pour leurs jeux, et rappelle qu’aucune des deux sociétés ne demande de mot de passe ni de numéro de carte par mail.
Arara, 81 millions d’adresses envolées
SEGA n’est qu’un client parmi d’autres. Arara a détecté l’intrusion le 28 octobre, par une faille d’un de ses serveurs web, a coupé tout son service Arara Message le 31 octobre et chiffre, dans son rapport du 6 novembre, la fuite à 81 329 467 adresses mail une fois les doublons retirés, chez plusieurs centaines d’entreprises clientes. Entre le 28 et le 30 octobre, jusqu’à 7,13 millions de faux mails sont partis de son adresse d’envoi en se faisant passer pour des sociétés de cartes de crédit.
La chronologie donnée par SEGA montre un éditeur qui court après l’information. Le 29 octobre, il demande à Arara si ses envois sont sûrs et reçoit une réponse rassurante. Le 1er novembre, après l’annonce publique de l’attaque, il relance. Le 3 novembre, Arara lui écrit que ses adresses ont bien fuité, et le rapport officiel n’arrive qu’entre le 5 et le 8 novembre. SEGA suspend jusqu’à nouvel ordre ses lettres envoyées par Arara, prévoit un signalement commun à la Commission japonaise de protection des données personnelles et promet de prévenir un par un les clients touchés.
L’arcade de SEGA déjà à l’arrêt
L’affaire tombe mal. Le 2 novembre, SEGA Fave, la filiale qui gère l’arcade, a signalé un accès non autorisé à des serveurs liés à ALL.Net et à Aime, le réseau en ligne et la carte de joueur de ses bornes. Depuis le 1er novembre à 15 h (heure japonaise), le jeu en ligne des titres ALL.Net, les parties avec une carte Aime, PrizeON, la SEGA Lucky Kuji en ligne et les nouvelles inscriptions au SEGA ID sont coupés. SEGA Fave disait alors n’avoir constaté aucune fuite et précisait que les données de paiement sont stockées à part.
Les deux affaires sont distinctes, insiste SEGA, mais elles se croisent : la Lucky Kuji en ligne, dont les abonnés figurent dans le fichier volé chez Arara, est toujours en maintenance le 9 novembre à cause de l’attaque contre SEGA Fave. Ses clients cumulent une boutique fermée et une adresse mail dans la nature.
Le détail qui pique se cache dans les dates. Le 29 octobre, jour où Arara publiait son premier rapport sur l’attaque, le prestataire assurait encore à SEGA qu’aucune de ses données n’avait fuité.
Votre avis sur cet article ?
Une réaction, en un clic.
Chargement des réactions…
Retrouvez SpiritGamer sur les réseaux
Les actus, les vidéos et les coulisses continuent sur nos réseaux.