SEGA bültenlerinde sızıntı: 2.196.044 e-posta adresi

SEGA, bazı e-posta bültenlerini göndermek için kullandığı Arara hizmetindeki yetkisiz erişim sonucunda 2.196.044 e-posta adresinin dışarı sızdığını açıkladı. 9 Kasım 2026 tarihli duyuru, SEGA ve SEGA Fave ürün ve hizmetlerine ait belirli bültenlerin alıcılarını kapsıyor.

Bu adreslerin 92.273'ünde gönderimle bağlantılı ek bilgiler de bulunuyor. Ek bilgilerin tam olarak neler olduğu ise Arara ile birlikte araştırılıyor.

SEGA'nın açıklamasına göre sızan veriler arasında ad, doğum tarihi, cinsiyet, adres, telefon numarası, kredi kartı bilgileri ve giriş parolaları yok. SEGA Account'a kayıtlı e-posta adresleri de farklı bir gönderim sistemi kullanıldığı için bu olayın dışında kalıyor. Dolayısıyla açıklanan sayı, ele geçirilmiş SEGA Account hesabı sayısı anlamına gelmiyor.

Hangi bültenlerin alıcıları etkileniyor?

Şirketin yayımladığı liste, 2 Temmuz ile 28 Ekim 2026 arasında gönderilen 11 bülteni içeriyor:

• 2 Temmuz: CHUNITHM Mate'in hizmete giriş duyurusu.
• 6 ve 13 Temmuz, 7 Eylül, 21 ve 28 Ekim: SEGA Lucky Kuji Online ürün duyuruları.
• 23 Temmuz: Ongeki Re:Fresh Act.2 duyurusu.
• 4 Eylül: SEGA Lucky Kuji ürün duyurusu.
• 17 ve 18 Eylül: Tokyo Game Show 2026 katılım bilgileri.
• 17 Eylül: maimai Deluxe MAGiCAL duyurusu.

SEGA, etkilenen alıcılar için ülke bazında sayı paylaşmadı. Türkiye'deki kullanıcıların etkilenip etkilenmediği bu duyurudan belirlenemiyor.

Şüpheli e-postalara karşı uyarı

9 Kasım itibarıyla sızan bilgilerin kötüye kullanıldığı tespit edilmiş değil. Yine de SEGA, kendisini, SEGA Fave'i veya Arara'yı taklit eden mesajlara karşı uyardı. Beklenmedik e-postalardaki bağlantı ve eklerin açılmamasını, mesajlara yanıt verilmemesini istiyor. SEGA ve SEGA Fave'in e-posta üzerinden parola ya da kredi kartı bilgisi istemeyeceğini de vurguluyor.

SEGA, 29 Ekim'de Arara'dan bülten gönderiminin güvenliğini sorduğunda sızıntı tespit edilmediği yanıtını aldı. Arara'nın 1 Kasım'daki yetkisiz erişim açıklamasının ardından yeniden bilgi istedi; kendi kullandığı adreslerin sızdığı bildirimi 3 Kasım'da geldi. 5-8 Kasım arasında ek kontroller yapıldı ve resmi rapor alındı.

Arara üzerinden bülten gönderimi, sızan bilgiler ve hizmetin güvenliği doğrulanana kadar durduruldu. Ayrıntılar netleşince etkilenen alıcılara tek tek bildirim yapılması planlanıyor. Japonya Kişisel Bilgileri Koruma Komisyonu'na da Arara üzerinden ortak bildirim yapılacak.

Bu sızıntı, SEGA Fave'in arcade oyun ağı sunucularına yönelik ayrı yetkisiz erişim olayıyla aynı değil. SEGA Lucky Kuji Online'ın bakımda olması, o ayrı olay sonrasındaki güvenlik kontrollerine bağlı; e-posta sızıntısının sonucu olarak açıklanmıyor.