Sega informó de que una brecha de seguridad en Arara, proveedor externo de servicios de marketing y distribución de correo electrónico, expuso cerca de 2,2 millones de direcciones de correo asociadas a sus boletines y a los de su filial Sega Fave. También se comprometieron 92.273 registros adicionales relacionados con la distribución de esos mensajes.
La compañía indicó que, hasta el 9 de noviembre de 2026, había confirmado la exposición de 2.196.044 direcciones. Sega sigue investigando para determinar con mayor precisión qué información pudo verse afectada.
## Qué ocurrió
Arara ofrece servicios digitales a empresas, incluida una plataforma de distribución de correo electrónico utilizada para enviar boletines y otras comunicaciones. Para prestar este servicio, gestiona datos de contacto de las organizaciones clientes.
A comienzos de noviembre de 2026, Arara comunicó que agentes no identificados habían accedido a parte de su infraestructura. Según la empresa, una vulnerabilidad en un servidor web, junto con otras debilidades del sistema, permitió el acceso a 97 servidores que almacenaban información de hasta 380 clientes corporativos.
En el incidente se habrían visto afectadas más de 81 millones de direcciones de correo electrónico, además de otros datos personales de algunos usuarios, como nombres, fechas de nacimiento, teléfonos, direcciones postales y números de afiliación. La información expuesta varía según cada cliente y registro.
Arara también informó de un acceso no autorizado a un entorno separado que contenía otros 3,38 millones de direcciones de correo y más de 400.000 registros con información personal. La compañía señaló que se enviaron más de siete millones de correos de phishing que suplantaban a distintas empresas de tarjetas de crédito y que el servicio fue suspendido temporalmente el 31 de octubre de 2026.
Entre las organizaciones que comunicaron exposiciones de datos figuran Asoview, Bic Camera, MOS Burger y Shochiku Multiplex Theaters. Sega y Sega Fave confirmaron que sus direcciones de correo utilizadas para determinados boletines también estaban incluidas.
## Qué información de Sega se vio afectada
Sega afirmó que, por el momento, no hay indicios de que se hayan filtrado nombres, fechas de nacimiento, género, direcciones postales, números de teléfono, datos de tarjetas de crédito ni contraseñas de acceso. La empresa añadió que las direcciones asociadas a las cuentas de SEGA utilizan otro sistema de distribución y no forman parte de la información expuesta en este incidente.
«Por el momento, no se ha confirmado ningún uso indebido de la información filtrada relacionado con este caso», indicó la compañía. La ausencia de incidentes confirmados no elimina el riesgo de que los datos se utilicen posteriormente para campañas de phishing dirigidas.
## Recomendaciones para los usuarios
Sega y Arara aconsejaron mantenerse alerta ante mensajes sospechosos que aparenten proceder de las compañías. Se recomienda no abrir enlaces ni descargar archivos adjuntos de correos inesperados, incluso si parecen legítimos. También conviene comprobar cuidadosamente la dirección del remitente y acceder a los servicios escribiendo su dirección oficial en el navegador, en lugar de hacerlo mediante enlaces incluidos en un mensaje.
El incidente se produce en un mes complicado para Sega. La compañía había informado anteriormente de otro acceso no autorizado, esta vez a servidores de Sega Fave que daban soporte a los servicios de juegos arcade ALL.Net y Aime. Sega señaló que ambos incidentes no están relacionados. Algunos servicios quedaron fuera de línea mientras se realizaban tareas de investigación y revisión de seguridad.
from Latest from TechRadar https://ift.tt/lLBKUnx
via IFTTT IA
