セガは、第三者が関与したインシデントの結果、顧客約220万件分のメールアドレスが流出したことを明らかにしました。
この大手ビデオゲーム企業は11月9日、発表しました。それによると、同社がメールマガジンの配信に利用している国内のメール配信事業者Arara Inc.に権限のない第三者が侵入し、メールアドレスが流出したということです。
セガは「お客様および関係者の皆様に多大なるご迷惑とご心配をおかけしたことを、深くお詫び申し上げます」としています。
さらに「現在、Araraが不正アクセスの原因の特定と被害拡大の防止に取り組んでおり、当社もArara社および関係各社と連携して、流出した情報の詳細を確認しています」と述べました。
Araraによると、流出が確認されたのは、各種メールマガジン向けのメールアドレス219万6000件と、配信に関連する情報9万2273件に限られます。
流出した情報に、顧客の氏名、生年月日、性別、住所、電話番号、クレジットカード情報、ログインパスワードは含まれていません。
流出したデータの悪用は、現時点では確認されていません。ただしセガは、セガまたはセガフェイブ（Sega Fave Corporation）を装うメールや、両社が運営する商品・サービスの名称を使った不審なメールに警戒するよう、顧客に呼びかけています。
セガフェイブは、玩具やアーケードマシンの制作を手がけるセガグループの子会社です。
セガは「身に覚えのないメールに記載されたURLや添付ファイルは、開いたり返信したりしないでください。URLにアクセスしたり添付ファイルを開いたりすると、個人情報を入力してしまったり、端末に影響が及んだりするおそれがあります。当社およびセガフェイブが、メールでパスワードやクレジットカード情報をお尋ねすることはありません。そのようなメールを受信した場合は、返信や記載のリンクへのアクセスをせず、削除してください」と注意を促しています。
セガの流出は大規模な委託先インシデントの一部
Araraは10月29日に出した声明で、自社が侵害されたことを明らかにしました。声明によると、ハッカーがWebサーバーの脆弱性を悪用し、前日の10月28日にメール配信サービスの一部サーバーシステムへ不正アクセスしました。
同社が最新情報を掲載しているインシデント専用ページによると、配信サービス「Arara Message」は10月31日に停止され、本稿執筆時点でも停止したままです。
The Japan Timesの報道によると、Araraの親会社であるPaycloud Holdingsは11月2日、ハッカーが子会社の運用するサーバーに不正アクセスしたことを確認しました。この結果、同サービスを利用する約380の法人顧客が保有していた情報が流出しています。その中には7700万件のメールアドレスが含まれていました。
Paycloudはまた、企業によっては、氏名、電話番号、住所も流出したと説明しています。一方で、クレジットカード情報は流出していないとしています。
Image credit: Bangla press / Shutterstock.com
翻訳元: https://www.infosecurity-magazine.com/news/email-sega-customers-vendor-breach/
