SEGA, Arara ihlalinde 2,2 milyon bülten abonesinin e-posta adresinin açığa çıktığını doğruladı
Japon oyun şirketi SEGA, e-posta dağıtım hizmeti sağlayıcısı Arara'daki ihlalin 11 bülteni ve 2,2 milyon e-posta adresini etkilediğini açıkladı. SEGA Account adresleri ayrı sistemde tutulduğu için etkilenmedi; kötüye kullanım tespit edilmedi.
Japon oyun şirketi SEGA, bülten gönderimlerinde kullandığı üçüncü taraf hizmet sağlayıcı Arara'daki ihlalden kendi abonelerinin de etkilendiğini duyurdu. BleepingComputer'ın aktardığına göre açığa çıkan veriler, SEGA ve SEGA Fave ürün ve hizmetlerine bağlı 11 bültenin yaklaşık 2,2 milyon abonesinin e-posta adreslerinden oluşuyor. Bunun yanında içeriği henüz belirlenemeyen ek bilgiler taşıyan 92.300 kayıt da etkilenenler arasında.
Arara, 2 Kasım'da e-posta dağıtım hizmetinde yaklaşık 380 kurumsal müşteriye ait 77 milyon e-posta adresini etkileyen bir ihlal yaşadığını açıklamıştı (ayrıntılar önceki haberimizde). SEGA'nın açıklaması, bu olaydaki büyük müşterilerden birinin etkiyi ilk kez rakamla doğrulaması anlamına geliyor.
Neler etkilendi, neler etkilenmedi?
SEGA'ya göre incelemede müşteri adı, doğum tarihi, cinsiyet, adres, telefon numarası, kredi kartı bilgisi ve hesap parolasının sızan veriler arasında olmadığı görüldü. SEGA Account'a kayıtlı e-posta adresleri ayrı bir dağıtım sistemiyle yönetildiği için bu olaydan etkilenmedi. Şirket, verinin kötüye kullanıldığına dair doğrulanmış bir bulgu olmadığını, ek kayıtların içeriğini Arara ile birlikte incelediğini belirtiyor.
Habere göre Arara, 29 Ekim'de SEGA'ya veri ihlali olmadığını bildirmiş; olayın kapsamını ortaya çıkardıktan sonra 3 Kasım'da verinin açığa çıktığını iletmiş ve tüm ayrıntıları 5–8 Kasım arasında paylaşmıştı. Arara, saldırganların erişimini ekim sonunda kredi kartı şirketlerini taklit eden 7 milyondan fazla e-posta göndermek için kullandığını da açıklamıştı. Aynı olaydan etkilenen diğer şirketler arasında MOS Burger (7,5 milyon adres), Shochiku Multiplex Theatres (3,3 milyon kayıt), TKC (2,3 milyon) ve IIJmio (yaklaşık 1 milyon) sayılıyor.
Arcade ağı ayrı bir olay
SEGA Fave'in ALL.Net ve Aime arcade ağı hizmetleri, geçen hafta yaşanan ve sunuculara yetkisiz erişimle sonuçlanan ayrı bir siber olay nedeniyle hâlâ kapalı. SEGA iki olayın birbiriyle ilgisi olmadığını, arcade olayında müşteri veya iş ortağı verisinin dışarı çıkarıldığına dair bulgu bulunmadığını söylüyor.
Ne yapılmalı?
- SEGA bültenlerine abone olanlar, SEGA veya kredi kartı şirketi adına gelen ve bağlantıya tıklamayı ya da bilgi girmeyi isteyen e-postalara karşı dikkatli olmalı; doğrulamayı yalnızca resmi uygulama veya siteden yapmalı.
- Kurumlar, pazarlama ve bülten gibi "düşük riskli" görülen işler için kullandıkları e-posta dağıtım sağlayıcılarını tedarikçi risk envanterine eklemeli.
- Sağlayıcıdan gelen "veri etkilenmedi" bildirimi nihai kabul edilmemeli; olay kapsamı netleşene kadar müşteri iletişimi ve phishing uyarısı hazırlığı sürdürülmeli.
- Pazarlama listeleri ile hesap sistemlerinin e-posta verisini ayrı tutmak, SEGA örneğinde olduğu gibi etkiyi sınırlıyor; bu ayrım mimari kararlarda korunmalı.
