Sega'da 2,2 milyon e-posta sızdı: saldırı kendi sunucusundan değil

Sega'da tam olarak ne oldu?

Sega, Kasım 2026 başında üçüncü taraf pazarlama platformu Arara Message'ın ele geçirildiğini ve bültenlerde kullanılan e-posta adreslerinin açığa çıktığını açıkladı.

Sega'nın sitesinde yayımlanan kısa bildirime göre, e-posta bülteni dağıtımını yürüten Arara'ya yapılan siber saldırı sonucu 2 milyon 196 bin 44 e-posta adresi ele geçirildi. E-posta dağıtımıyla ilgili 92 bin 273 kayıt da bundan etkilendi.

Şirket, isim, doğum tarihi, cinsiyet, adres, telefon numarası, kredi kartı bilgisi ve giriş şifrelerinin sızmadığını belirtiyor. SEGA Account ile kayıtlı e-posta adresleri farklı bir sistemde tutulduğu için bu ihlalden etkilenmedi.

Sega müşterilerini olası kimlik avı e-postalarına karşı uyardı ve şu ana kadar sızan verilerin kötüye kullanıldığına dair bir kanıt bulunmadığını söyledi. Olayın kapsamı hâlâ araştırılıyor.

Asıl mesele Arara: 380 şirketi vuran tedarik zinciri saldırısı

Sega, Japon dijital pazarlama firması Arara'da yaşanan ve yüzlerce şirketi etkileyen büyük ihlalin yalnızca bir parçası.

Arara, Kasım başında saldırganların bir web sunucusu açığını ve diğer sistem zaaflarını kullanarak 380 kurumsal müşterinin verilerini barındıran 97 sunucuya eriştiğini bildirdi. 81 milyondan fazla e-posta adresinin yanı sıra bazı kişilerin isim, doğum tarihi, telefon, posta adresi ve üyelik numaraları da açığa çıktı.

Saldırganlar ayrıca 3 milyon 380 bin e-posta adresi ve 400 binden fazla kişisel bilgi içeren ayrı bir ortamı da ele geçirdi. Ardından kredi kartı şirketlerini taklit eden 7 milyondan fazla kimlik avı e-postası gönderdiler; Arara 31 Ekim 2026'da hizmetini geçici olarak durdurmak zorunda kaldı.

Diğer mağdurlar arasında seyahat rezervasyon sitesi Asoview (15,82 milyon kayıt), elektronik perakendecisi Bic Camera (15,2 milyon), fast-food zinciri MOS Burger (7,5 milyon e-posta adresi) ve sinema işletmecisi Shochiku Multiplex Theaters (3,3 milyon) var. Sega ve iştiraki Sega Fave'in etkilenen adres sayısı ise yaklaşık 2,2 milyon.

Sega'nın bu ayki ikinci güvenlik olayı

Arara ihlali, Sega Fave'in arcade ağ hizmetlerini devre dışı bırakan ayrı bir olaydan bağımsız.

2 Kasım'da Sega Fave, kimliği belirsiz bir tehdit aktörünün ALL.Net ve Aime arcade oyun ağı hizmetlerini destekleyen sunuculara eriştiğini açıkladı. Çevrimiçi oyun, Sega Lucky Kuji Online ve yeni Sega ID kayıtları inceleme için kapatıldı. BleepingComputer'a göre Sega bakım ve güvenlik kontrollerini sürdürürken bu hizmetler hâlâ kullanılamıyor.

Sega iki olayın birbiriyle ilgisi olmadığını vurguladı. Her iki ihlal için de sorumluluk üstlenen bir grup henüz çıkmadı.

Türkiye'de durum ne?

Sega'nın Türkiye'deki bülten abonelerinin bu ihlalden etkilenip etkilenmediği açıklanmadı. Şirketin duyurusu küresel bir listeye dayanıyor; Türkiye'ye özel bir sayı paylaşılmadı. Yine de Sega bültenlerine kayıtlıysanız e-posta adresinizin sızan 2,2 milyon adres arasında olma ihtimali var.

Sega şifre ve kart bilgisi sızmadığını söylüyor, dolayısıyla SEGA Account şifrenizi değiştirmeniz gerekmiyor. Ancak Arara saldırganlarının milyonlarca sahte e-posta gönderdiğini unutmayın: Sega veya Arara'dan gelmiş gibi görünen iletilerdeki bağlantılara tıklamayın. Türkiye'deki kullanıcılar için ayrıca bir tazminat veya kimlik izleme hizmeti duyurulmadı. Benzer bir tedarikçi kaynaklı sızıntı geçenlerde Iris Ohyama'da 7,7 milyon kişinin verisini de vurmuştu; Türkiye'de de aynı senaryo, veriyi işleyen üçüncü taraflar üzerinden işliyor.

Sega'nın e-posta sızıntısı ders kitabına girecek türden bir tedarik zinciri ihlali: devin kendi sistemleri değil, müşterilerinin gelen kutuları saldırganların eline geçti. Arara'nın hizmeti hâlâ toparlanırken ve kimlik avı e-postaları dolaşırken önümüzdeki haftalar, Sega'nın ve müşterilerinin bu hasarı ne kadar iyi yönettiğini gösterecek.