У постачальника розсилок SEGA стався витік 2,2 млн адрес

Японська SEGA розкрила витік, який стався не в неї, а в компанії, що розсилає її листи. Через злам постачальника розсилок ARARA адреси пошти 2,2 млн передплатників стали відомі стороннім.

Масштаб зламу в ARARA

SEGA — лише один із багатьох клієнтів ARARA. Сама ARARA оголосила 2 листопада про масовий злам сервісу розсилки пошти. За її даними, під ударом опинилися 77 млн адрес майже від 380 корпоративних клієнтів.

Причини, за словами компанії, дві: вразливість вебсервера та хиби в системному середовищі. Як і коли саме зловмисники проникли всередину, досі з'ясовують.

Серед відомих постраждалих — MOS Burger (7,5 млн адрес), Shochiku Multiplex Theatres (3,3 млн записів), TKC (2,3 млн адрес) та IIJmio (майже 1 млн адрес).

ARARA також повідомила, що зловмисники скористалися доступом до сервісу. Наприкінці жовтня вони розіслали понад 7 млн листів від імені кредитних компаній.

Що торкнулося SEGA

Витік зачепив 11 розсилок, пов'язаних із SEGA та продуктами й сервісами SEGA Fave. Окрім 2,2 млн адрес, є ще 92 300 записів із додатковою інформацією. Що саме в них, поки не встановили.

Імен, дат народження, статі, адрес проживання, телефонів, даних банківських карток і паролів до облікових записів у вкраденому немає. Адреси з «SEGA Account» обробляє окрема система розсилки, тож їх інцидент не зачепив.

SEGA разом з ARARA вивчає, які дані потрапили до зловмисників. Підтверджених випадків зловживання вона поки не має.

ARARA спершу оцінювала наслідки як менші. 29 жовтня вона запевнила SEGA, що компрометації даних не було. 3 листопада, коли масштаб проявився, повідомила про витік. Повні подробиці SEGA отримала між 5 і 8 листопада.

Аркади SEGA Fave: окрема історія

Окремий інцидент стався минулого тижня. 2 листопада SEGA Fave, дочірня компанія SEGA, яка відповідає за іграшки, електронні гаджети й ігрові автомати, повідомила про несанкціонований доступ до серверів. Вони обслуговують мережеві сервіси ALL.Net і Aime.

Компанія призупинила пов'язані сервіси: онлайн-ігри, SEGA Lucky Kuji Online і реєстрацію нових SEGA ID. Тривають технічне обслуговування та перевірки безпеки, тож вони досі не працюють.

Перша перевірка не виявила ознак витоку даних клієнтів чи партнерів. Платіжна інформація зберігалася окремо. SEGA каже, що два випадки між собою не пов'язані.

Джерело: BleepingComputer