日本のゲーム大手SEGAは、外部のニュースレター配信事業者ARARAで発生したデータ侵害により、ニュースレター購読者220万件のメールアドレスが流出したと公表しました。
同社によると、流出したデータには、追加情報を含む9万2,300件のレコードも含まれており、その詳細は現在も確認中です。影響を受けたのは、SEGAおよびSEGA Faveの製品・サービスに関連する11種類のニュースレターです。
調査の結果、侵害されたデータに、顧客の氏名、生年月日、性別、住所、電話番号、クレジットカード情報、アカウントのパスワードは含まれていなかったことが分かりました。
また、「SEGA アカウント」に登録されたメールアドレスは別の配信システムで管理されており、今回の事案による影響はありませんでした。
同社はARARAと協力して流出したデータの特定を進めています。不正利用の確かな証拠は確認されていないとしています。
SEGAは「現在、ARARAと連携して、ニュースレターの配信に関連する情報を調査しています」と説明しています。
ARARAのサービスが侵害される
ARARAは11月2日、同社のメール配信サービスが大規模な侵害を受け、約380社の法人顧客にまたがる7,700万件のメールアドレスが流出したと公表しました。
同社によると、Webサーバーの脆弱性とシステム環境の不備が事案の一因となりましたが、具体的な侵入手口と時期については調査中です。
ARARAは当初、被害をより小規模と見積もっており、10月29日にはSEGAに対してデータの侵害は発生していないと伝えていました。
しかし11月3日、事案の全容が判明したことを受け、ARARAはSEGAにデータが流出したことを通知しました。詳細な情報は11月5日から8日にかけて共有されています。
ARARAはまた、攻撃者が同社サービスへのアクセス権を悪用し、10月下旬にクレジットカード会社をかたるメールを700万通以上送信したことも明らかにしました。
同じ事案による主な被害企業としては、750万件のメールアドレスが流出したモスバーガー、330万件のレコードが流出した松竹マルチプレックスシアターズ、230万件のメールアドレスが流出したTKC、約100万件のメールアドレスが流出したIIJmioなどがあります。
SEGAのアーケードサービスは停止が続く
先週、別のサイバーセキュリティインシデントに見舞われたSEGA Faveのアーケードゲーム向けネットワークサービスは、メンテナンスと安全性の確認のため、現在もオフラインの状態が続いています。
11月2日、玩具、電子機器、アーケード機器の運営を担うSEGAの子会社SEGA FAVEは、アーケードゲームのネットワークサービスであるALL.NetとAimeを支えるサーバーへの不正アクセスがあったと公表しました。
同社はこれを受け、オンライン対戦、セガラッキーくじオンライン、新規のSEGA ID登録など、関連するすべてのサービスを停止しました。
初期調査では、顧客や取引先のデータが外部に持ち出された形跡は確認されていません。決済情報は別に保管されていたため、影響を受けなかったとしています。
SEGAは、2つのインシデントに関連性はないとしています。
