Síntesis
Un ataque contra Arara, empresa japonesa que envía correos masivos para otras compañías, expuso datos de clientes de Sega y de otras firmas de ese país. Los atacantes copiaron bases de datos durante varios días y además usaron la plataforma para enviar millones de correos fraudulentos.
- Sega informó que se filtraron 2.196.044 direcciones de suscriptores de Sega en 11 boletines.
- Arara estima que se sustrajeron cerca de 77 millones de correos de unas 380 empresas clientes.
- MOS Burger, la cadena de cines SMT, TKC e IIJ también confirmaron filtraciones.
- El caso se suma a una ola de ciberataques contra empresas japonesas.
Noticia
El 9 de noviembre, la empresa japonesa de videojuegos Sega informó que se filtraron 2.196.044 direcciones de correo de suscriptores de sus boletines. Las direcciones corresponden a 11 envíos hechos entre el 2 de julio y el 28 de octubre de 2026, sobre títulos como CHUNITHM y maimai y sobre el Tokyo Game Show 2026.
Según Sega, en 92.273 casos se filtró además información vinculada al envío, cuyo contenido todavía se investiga. La empresa aseguró que no se expusieron nombres, fechas de nacimiento, direcciones, teléfonos, tarjetas de crédito ni contraseñas, y que hasta ahora no ha detectado un mal uso de los datos.
La filtración se originó en Arara, filial de la empresa tecnológica Paycloud Holdings, con sede en Tokio, que ofrece a otras compañías el servicio de envío masivo de correos “Arara Message”. De acuerdo con su segundo informe, la intrusión alcanzó 97 servidores y hasta unas 380 empresas clientes, con cerca de 77 millones de correos sustraídos o posiblemente sustraídos. En algunos clientes también se tomaron nombres, fechas de nacimiento, teléfonos y direcciones.
Arara explicó que el atacante entró por un servidor del servicio, se desplazó a servidores de clientes y copió sus bases de datos entre el 28 y el 31 de octubre. La empresa atribuye el ataque a una vulnerabilidad en un servidor web y a un problema en su entorno de sistemas.
Los atacantes también usaron la plataforma para enviar hasta unos 7,13 millones de correos que suplantaban a compañías de tarjetas de crédito. Arara detuvo todo el servicio el pasado 31 de octubre, y aún no tiene fecha de reanudación. La empresa denunció el incidente ante la policía y la Comisión de Protección de Información Personal de Japón.
Las comunicaciones de Arara a sus clientes cambiaron con los días. El 29 de octubre le dijo a Sega que no había fuga confirmada, y el 3 de noviembre le informó que sus direcciones sí se habían filtrado. “Actualmente, Arara está trabajando para identificar las causas del acceso no autorizado”, señaló Sega.
Otras empresas japonesas también confirmaron filtraciones. La cadena de hamburguesas MOS Burger reportó 7.517.087 correos de miembros. La cadena de cines Shochiku Multiplex Theatres (SMT) informó 3.320.305 registros con correo, nombre, fecha de nacimiento y dirección parcial, y precisó que “no se incluyen números de teléfono, contraseñas ni información de tarjetas de crédito”.
A ellas se suma TKC, empresa de sistemas para contadores y gobiernos locales, que reportó hasta 2.230.812 direcciones. Según la compañía, “lo que se filtró fueron solo direcciones de correo electrónico”. La proveedora de internet IIJ, por su parte, informó 983.458 correos de clientes de su servicio móvil IIJmio.
Sega suspendió sus boletines enviados por Arara y notificará a cada afectado cuando se confirmen los detalles. Por separado, su filial Sega Fave sufrió un acceso no autorizado a su red de juegos de arcade, aunque la empresa afirma que no está relacionado con lo de Arara.
El caso se suma a una ola de ciberataques contra empresas japonesas. El 2 de noviembre, el mismo día en que Paycloud confirmó la cifra, Suntory informó la filtración de datos de unas 100 mil personas. Ese día también lo hicieron la cadena de electrónica Nojima, con cerca de 7 millones de registros, y la empresa de cosmética Istyle, con unos 3 millones de usuarios de su sitio @cosme.
