SEGA vừa công bố (09/11/2026): 2.196.044 địa chỉ email dùng cho newsletter của SEGA và SEGA Fave đã bị lộ qua nhà thầu gửi mail Arara (dịch vụ Arara Message). Đây là một vụ lộ dữ liệu qua bên thứ ba — và là một phần của vụ breach lớn hơn nhiều ở chính Arara.

Chuyện gì đã xảy ra

  • 28/10: Arara bị xâm nhập; dữ liệu được trích xuất từ 01:36 ngày 29/10 tới 02:22 ngày 30/10 (giờ Nhật).
  • 29/10: Arara còn báo SEGA là "chưa xác nhận rò rỉ" — tới 03/11 mới báo đã lộ.
  • 31/10: Arara dừng toàn bộ dịch vụ Arara Message, tới nay (10/11) vẫn chưa có ngày mở lại.
  • 06/11: báo cáo thứ ba của Arara nâng tổng toàn nền tảng lên 81.329.467 email đã khử trùng, khoảng 380 công ty khách hàng. Con số này vẫn đang được rà soát và sẽ còn báo cáo tiếp.
  • 09/11: SEGA công bố con số của riêng mình.

Dữ liệu SEGA bị lộ cụ thể là gì

  • 2.196.044 email dùng cho 11 đợt gửi newsletter từ 02/07 đến 28/10/2026 (gồm thông báo Lucky Kuji, Tokyo Game Show...).
  • Trong đó, 92.273 bản ghi còn kèm thêm "thông tin liên quan đến phân phối" — nội dung cụ thể vẫn đang được SEGA xác minh cùng Arara, chưa công bố.
  • KHÔNG lộ: tên, ngày sinh, giới tính, địa chỉ, số điện thoại, thông tin thẻ, mật khẩu đăng nhập.
  • Email đăng ký SEGA Account dùng hệ thống khác nên không bị ảnh hưởng.
  • Con số đếm theo bản ghi email, không phải số người — một người có thể có nhiều địa chỉ.
  • Tới 09/11, SEGA cho biết chưa xác nhận có lạm dụng dữ liệu bị lộ.

Hai con số đừng gộp nhầm

  • 2.196.044 là của riêng SEGA (một khách hàng của Arara).
  • 81.329.467 là tổng toàn nền tảng Arara (khoảng 380 công ty). Hai con số này không cộng dồn với nhau.

Chi tiết đáng chú ý: theo báo cáo ngày 02/11 của Arara, kẻ tấn công còn dùng một phần dịch vụ của Arara để gửi khoảng 7,13 triệu email đáng ngờ giả danh công ty thẻ tín dụng trong 28–30/10 — tức vụ này không chỉ lấy dữ liệu mà còn biến hạ tầng của Arara thành công cụ phát tán lừa đảo.

SEGA đã dừng newsletter qua Arara, sẽ báo cáo chung lên PPC Nhật (Ủy ban Bảo vệ Thông tin Cá nhân) và liên hệ từng người bị ảnh hưởng khi xác minh xong. Vụ này tách biệt với vụ xâm nhập máy chủ mạng arcade của SEGA Fave gần đây.

Nguồn: