Sega informó que se filtraron 2,196,044 direcciones de correo utilizadas para enviar algunos de sus boletines y los de su filial Sega Fave. El acceso no autorizado ocurrió en Arara, la empresa contratada para distribuir esos mensajes. Sega sostiene que los correos registrados para SEGA Account usan otro sistema y no forman parte de esta filtración.
La compañía japonesa indicó el 9 de noviembre que 92,273 de las direcciones afectadas estaban acompañadas de información relacionada con la distribución. Esa cifra forma parte de los 2,196,044 registros, no se suma a ellos. Sega todavía trabaja con Arara para determinar qué contiene la información adicional.
Según la empresa, los datos filtrados de sus boletines no incluyen nombres, fechas de nacimiento, género, direcciones postales, teléfonos, información de tarjetas de crédito ni contraseñas de inicio de sesión. La investigación sobre los datos asociados al envío continúa abierta.
Qué boletines están afectados
Sega identificó 11 envíos realizados entre el 2 de julio y el 28 de octubre de 2026. Entre ellos hay anuncios de los juegos CHUNITHM Mate, ONGEKI Re:Fresh Act.2 y maimai DX MAGiCAL, avisos sobre la participación de la compañía en Tokyo Game Show 2026 e información de Sega Lucky Kuji.
Las fechas corresponden a los boletines, no al periodo en que ocurrió el acceso no autorizado. Quien conserve alguno de esos mensajes puede contrastar su contenido y fecha con la lista publicada en el aviso de Sega. La empresa prevé contactar individualmente a las personas afectadas cuando confirme los detalles de la información filtrada.
Sega explicó que las direcciones registradas para SEGA Account se gestionan mediante otro sistema de distribución y quedan fuera de este incidente. Tener una cuenta, por sí solo, no demuestra que el correo figure en la lista expuesta. Tampoco se descarta que una persona haya usado la misma dirección para una cuenta y para uno de los boletines afectados.
La empresa suspendió los envíos que utilizan el sistema de Arara hasta completar la revisión de los datos y confirmar que es seguro reanudarlos. El 29 de octubre, según su cronología, el proveedor le había dicho que no se había confirmado una filtración. El 3 de noviembre le notificó que las direcciones usadas para los boletines sí habían salido al exterior.
El incidente de Arara alcanza a otras empresas
El problema afecta a más clientes del proveedor. En una actualización del 6 de noviembre, Arara y su matriz Paycloud Holdings informaron de 81,329,467 direcciones extraídas o posiblemente extraídas en el conjunto del incidente, tras excluir duplicados entre los entornos identificados. La cifra cuenta direcciones, no personas, y la compañía estimó que hasta unas 380 empresas contratantes podrían estar afectadas.
El proveedor señaló que, dependiendo del cliente, los datos también podían incluir nombres, teléfonos y direcciones postales. Esa descripción corresponde al incidente general de Arara: Sega afirmó que esos datos no estaban entre los filtrados de sus boletines.
Arara comunicó que entre el 28 y el 30 de octubre se enviaron desde su servicio hasta unos 7.13 millones de mensajes sospechosos que suplantaban a compañías de tarjetas de crédito. Se trata de una cifra de mensajes, distinta del recuento de direcciones extraídas. Sega dijo que, hasta su aviso del 9 de noviembre, no había confirmado un uso indebido de la información filtrada de sus boletines.
El servicio Arara Message permanece suspendido desde el 31 de octubre. En su actualización, el proveedor no fijó una fecha de reanudación y señaló que antes debe completar medidas de seguridad y una revisión externa.
Cómo tratar un aviso sospechoso
Sega advirtió que podrían llegar mensajes que suplanten a la compañía, a Sega Fave o a sus productos. La empresa asegura que no solicita contraseñas ni datos de tarjetas por correo y recomienda no abrir enlaces o archivos adjuntos de mensajes desconocidos, no responder y eliminar los que pidan esa información.
Para comprobar un aviso, la Comisión Federal de Comercio de Estados Unidos (FTC) recomienda contactar a la empresa mediante un sitio o teléfono que el usuario ya sepa que es auténtico, en lugar de usar los datos del mensaje inesperado. La precaución también sirve si el correo menciona esta filtración: su apariencia por sí sola no confirma quién lo envió.
La filtración de los boletines es distinta de otro acceso no autorizado a servidores de Sega Fave relacionados con su red de juegos de arcade. Sega mantiene separadas ambas investigaciones y aún debe precisar qué información de distribución acompañaba a las 92,273 direcciones de este caso.
