SEGA confirme l'exposition de 2,2 millions d'adresses e-mail clients lors d'une fuite chez son prestataire Arara (2026)

Le 9 novembre 2026, SEGA — le développeur et éditeur japonais de jeux vidéo basé à Tokyo, à l'origine de Sonic the Hedgehog et d'une longue liste de franchises de console et d'arcade — a confirmé qu'environ 2,2 millions d'adresses e-mail clients avaient été exposées, non pas via ses propres systèmes mais via Arara Inc., le prestataire tiers que SEGA utilise pour distribuer ses newsletters. SEGA a précisé que 2 196 044 adresses e-mail étaient concernées, ainsi que 92 273 enregistrements supplémentaires liés à la distribution des newsletters.

Ce qui s'est passé

L'incident trouve son origine chez Arara, et non chez SEGA. Selon les communications publiées, un attaquant a obtenu un accès non autorisé à certains serveurs d'Arara vers le 28 octobre 2026, semble-t-il en exploitant des vulnérabilités de ses serveurs web. Arara a confirmé la compromission le lendemain et a suspendu sa plateforme de distribution « Arara Message » le 31 octobre. Le 2 novembre, la maison mère d'Arara, Paycloud Holdings, a indiqué que l'intrusion avait atteint environ 380 clients professionnels et près de 77 millions d'adresses e-mail au total — faisant de SEGA l'une des nombreuses victimes en aval d'une seule fuite chez un prestataire.

Ce qui a été exposé

Pour les clients de SEGA, les données divulguées se limitaient aux adresses e-mail utilisées pour ses newsletters marketing. SEGA a déclaré que les noms, dates de naissance, sexes, adresses, numéros de téléphone, informations de carte bancaire et mots de passe de connexion n'étaient pas concernés, car ces éléments sont conservés dans des systèmes distincts. Les identifiants des comptes SEGA Account utilisent un autre système de distribution et ne faisaient pas partie des données exposées. L'entreprise a indiqué n'avoir constaté aucune utilisation abusive confirmée des adresses divulguées.

Pourquoi c'est important

Cette fuite est un cas d'école d'exposition par la chaîne d'approvisionnement : les défenses propres de SEGA n'ont pas été percées, et pourtant les coordonnées de millions de ses clients ont tout de même été divulguées parce qu'un prestataire marketing partagé a été compromis. Avec un vaste ensemble d'adresses e-mail valides et associées à la marque désormais en circulation, le risque le plus immédiat est l'hameçonnage ciblé. SEGA a présenté ses excuses aux clients concernés et les a invités à se méfier des e-mails suspects se faisant passer pour SEGA ou SEGA Fave, en soulignant qu'aucune des deux entités ne demanderait jamais de mots de passe ou de coordonnées bancaires par e-mail.