Recevoir des nouvelles de Sonic et des jeux d’arcade, oui. Retrouver son adresse e-mail dans une fuite de données, beaucoup moins. Sega a annoncé qu’un accès non autorisé au service d’envoi de newsletters d’ARARA avait entraîné la divulgation d’informations concernant les destinataires de plusieurs de ses communications.
Gare aux faux messages
Dans son communiqué faisant le point il y a quelques jours, l’entreprise donne un chiffre précis : 2.196.044 adresses e-mail sont concernées. Parmi elles, 92.273 entrées comprennent également des informations associées à la distribution des messages. Leur nature exacte reste à déterminer, avec l’aide du prestataire.
La fuite concerne onze envois effectués entre le 2 juillet et le 28 octobre 2026, pour des produits et services de Sega et de sa filiale Sega Fave. On y trouve notamment des annonces consacrées à CHUNITHM, Ongeki et maimai, des informations sur le Tokyo Game Show, ainsi que plusieurs messages autour des loteries Sega Lucky Kuji.
L’éditeur précise que les noms, dates de naissance, adresses postales, numéros de téléphone, mots de passe et informations de carte bancaire ne font pas partie des données divulguées. Autre précision bienvenue : les adresses enregistrées dans le cadre d’un « Sega Account » passent par un autre système de distribution et sont exclues du périmètre de cette fuite. L’entreprise indique également n’avoir constaté, à ce stade, aucune utilisation malveillante des informations concernées.
La chronologie a toutefois de quoi faire grincer des dents. Le 29 octobre, Sega avait interrogé ARARA sur la sécurité de ses newsletters. Le prestataire lui avait alors répondu qu’aucune fuite n’avait été constatée. Le 3 novembre, changement de discours : ARARA confirmait par e-mail que des adresses avaient bien été divulguées. Des vérifications supplémentaires ont suivi entre le 5 et le 8 novembre.
Sega suspend les newsletters envoyées par ARARA jusqu’à la fin des vérifications sur les données et la sécurité du service. Les personnes concernées doivent être contactées individuellement lorsque les informations divulguées auront été précisément identifiées. En attendant, mieux vaut regarder de près les messages prétendument envoyés par Sega, Sega Fave ou ARARA. L’éditeur rappelle qu’il ne demande jamais de mot de passe ni de coordonnées bancaires par e-mail. Face à un message suspect, sa consigne est simple : ne pas répondre, ouvrir les pièces jointes ou suivre les liens.
Cette fuite est par ailleurs distincte de l’incident touchant les serveurs des services d’arcade de Sega Fave. Le communiqué précise que Sega Lucky Kuji Online reste en maintenance dans le cadre des contrôles liés à cet autre accès non autorisé. Deux affaires séparées, donc, mais des complications qui s’accumulent pour Sega.