Neben den E-Mail-Adressen sind nach Angaben von SEGA auch 92.300 Datensätze mit weiteren Angaben betroffen. Welche Informationen diese enthalten, steht noch nicht fest. Namen, Geburtsdaten, Geschlecht, Anschriften, Telefonnummern, Kreditkartendaten und Kontopasswörter waren der Untersuchung zufolge nicht betroffen. E-Mail-Adressen, die für einen „SEGA Account“ registriert sind, laufen über ein eigenes Versandsystem und sind ebenfalls nicht betroffen. Hinweise auf einen Missbrauch der Daten gibt es laut SEGA bislang nicht. „Wir untersuchen derzeit gemeinsam mit ARARA die Informationen, die mit dem Newsletter-Versand zusammenhängen“, erklärte das Unternehmen.
ARARA hatte den Einbruch in seinen E-Mail-Versanddienst am 2. November öffentlich gemacht. Als Ursachen nennt der Dienstleister eine Schwachstelle in einem Webserver und Probleme in seiner Systemumgebung. Wie und wann die Angreifer genau eingedrungen sind, wird noch untersucht. Ende Oktober nutzten sie ihren Zugang zu dem Dienst außerdem, um mehr als sieben Millionen E-Mails zu verschicken, in denen sie sich als Kreditkartenunternehmen ausgaben.
ARARA hatte das Ausmaß zunächst unterschätzt und SEGA am 29. Oktober noch versichert, dass keine Daten kompromittiert worden seien. Erst am 3. November informierte der Dienstleister den Spielekonzern über die Offenlegung, nachdem das volle Ausmaß feststand. Die vollständigen Einzelheiten übermittelte ARARA zwischen dem 5. und 8. November.
Zu den weiteren Betroffenen desselben Vorfalls zählen:
- MOS Burger mit 7,5 Millionen E-Mail-Adressen
- Shochiku Multiplex Theatres mit 3,3 Millionen Datensätzen
- TKC mit 2,3 Millionen E-Mail-Adressen
- IIJmio mit knapp einer Million E-Mail-Adressen
Unabhängig davon sind die Arcade-Netzwerkdienste von SEGA Fave nach einem separaten Sicherheitsvorfall in der vergangenen Woche weiterhin offline; dort laufen Wartungsarbeiten und Sicherheitsprüfungen. Die SEGA-Tochter, die für Spielzeug, elektronische Geräte und den Betrieb von Spielautomaten zuständig ist, hatte am 2. November einen unbefugten Zugriff auf Server ihrer Dienste ALL.Net und Aime gemeldet. Daraufhin setzte sie alle zugehörigen Dienste aus, darunter Online-Spiele, SEGA Lucky Kuji Online und die Neuregistrierung von SEGA IDs. Erste Untersuchungen ergaben keine Hinweise auf einen Abfluss von Daten von Kunden oder Geschäftspartnern. Zahlungsdaten waren nicht betroffen, da sie getrennt gespeichert werden. SEGA zufolge hängen die beiden Vorfälle nicht zusammen.