Vous recevez les lettres d’information de SEGA ? Votre adresse fait peut-être partie des 2 196 044 que l’éditeur japonais a déclarées exposées ce lundi 9 novembre 2026. Cette fuite de données SEGA épargne toutefois les informations les plus sensibles. Ni les noms, ni les dates de naissance, ni les adresses postales, ni les numéros de téléphone, ni les cartes bancaires, ni les mots de passe ne sont concernés.
Abonnés aux newsletters oui, comptes SEGA non
La frontière est nette. Sont touchées les adresses inscrites aux lettres d’information de SEGA et de sa filiale SEGA Fave, dont 92 273 accompagnées de données liées à l’envoi. Onze lettres d’information sont en cause, toutes envoyées entre le 2 juillet et le 28 octobre 2026. Parmi elles figurent des envois consacrés aux jeux d’arcade et au Tokyo Game Show.
Votre SEGA Account, en revanche, n’est pas en cause. Les adresses utilisées pour ces comptes passent par un autre système d’envoi, et SEGA n’a relevé à ce jour aucune utilisation malveillante des données dérobées.
Reste à comprendre comment des adresses ont pu fuiter sans que SEGA ait été piraté.
Arara, le maillon faible derrière la fuite de données SEGA
Tout part d’Arara, un prestataire japonais qui envoie des e-mails pour le compte de centaines d’entreprises via son service Arara Message. Sa maison mère, Paycloud Holdings, a annoncé le 2 novembre qu’environ 77 millions d’adresses avaient fuité après un accès non autorisé fin octobre, touchant jusqu’à 380 entreprises clientes. Ce chiffre compte des adresses et non des personnes, puisqu’un même utilisateur peut en posséder plusieurs. Le détail du communiqué relayé par l’agence Jiji Press donne la mesure de l’attaque.
SEGA a mis du temps à être fixé. Le 29 octobre, Arara lui assurait qu’aucune fuite n’était confirmée. Le 3 novembre, le prestataire est revenu sur sa réponse, et SEGA a suspendu ses envois par ce service jusqu’à nouvel ordre. Les autres victimes vont de la chaîne MOS Burger, avec 7,5 millions d’adresses, à l’exploitant de cinémas Shochiku Multiplex, avec 3,3 millions. Même le Cabinet du gouvernement japonais a annoncé ce mercredi la fuite de 62 863 adresses.
L’affaire s’ajoute à un automne difficile pour l’industrie. Capcom a révélé le 22 octobre un accès non autorisé à 11 774 247 enregistrements CAPCOM ID, cinq jours avant la cyberattaque qui a frappé Warhorse Studios, le studio de Kingdom Come: Deliverance.
Pour les abonnés, le risque concret ne se trouve plus dans les serveurs d’Arara.
Le vrai danger arrive par e-mail
Une adresse volée sert surtout à l’hameçonnage, ces faux messages qui imitent une marque connue pour vous soutirer des identifiants. Les pirates d’Arara l’ont déjà prouvé. Entre le 28 et le 30 octobre, ils ont utilisé le service compromis pour envoyer jusqu’à 7,13 millions d’e-mails suspects se faisant passer pour des sociétés de cartes de crédit. L’enquête de eSecurity Planet sur le piratage d’Arara Message détaille cette campagne.
Méfiez-vous donc de tout message au nom de SEGA ou d’un éditeur qui réclame une vérification de compte, un paiement ou vous promet un cadeau en jeu. Vérifiez le domaine de l’expéditeur et passez par le site ou l’application officielle plutôt que par un lien. Activez aussi la double authentification sur vos comptes de jeu, qui bloque l’accès même si un mot de passe est dérobé.
Cette fuite de données SEGA ne met en danger ni vos comptes ni votre argent, mais elle place votre adresse dans les fichiers de fraudeurs déjà actifs. L’enquête d’Arara se poursuit et le nombre exact d’adresses touchées reste en cours de vérification. SEGA promet de nouvelles informations à mesure qu’elles seront confirmées.
Avez-vous reçu ces dernières semaines un e-mail suspect se réclamant de SEGA, de Capcom ou d’un autre éditeur de jeux ?
Points clés à retenir
- 2 196 044 adresses e-mail d’abonnés aux lettres d’information de SEGA et SEGA Fave ont fuité.
- Les SEGA Account, les mots de passe et les données bancaires ne sont pas concernés.
- La brèche vient d’Arara, un prestataire japonais dont l’attaque a exposé environ 77 millions d’adresses chez près de 380 entreprises.
- Les pirates ont déjà envoyé jusqu’à 7,13 millions d’e-mails frauduleux fin octobre.
- Méfiez-vous des messages au nom de SEGA ou d’un éditeur et activez la double authentification.
Crédit image à la une : Bloomberg/ Google Gemini
