Telset.id – Raksasa game asal Jepang, Sega, mengungkap insiden keamanan siber pihak ketiga yang menyebabkan hampir 2,2 juta alamat email pelanggan bocor ke publik. Kebocoran data Sega ini berasal dari penyedia layanan pemasaran digital Arara, yang mengelola distribusi newsletter untuk Sega Corporation dan anak perusahaannya, Sega Fave Corporation. Perusahaan kini tengah melakukan investigasi lebih dalam untuk memastikan rincian informasi yang terekspos.
Insiden ini menjadi pukulan kedua bagi Sega dalam kurun waktu berdekatan, setelah sebelumnya jaringan layanan arcade mereka juga mengalami gangguan. Kebocoran data Sega kali ini menyoroti risiko berbagi data pelanggan dengan vendor pihak ketiga, di mana informasi kontak jutaan pengguna tersimpan di infrastruktur eksternal yang rentan.
Kronologi Kebocoran Data Sega
Sega merupakan salah satu dari banyak perusahaan Jepang yang menggunakan layanan Arara, firma teknologi penyedia layanan pemasaran digital dan keterlibatan pelanggan. Salah satu layanannya, Arara Message, adalah platform distribusi email yang digunakan bisnis untuk mengirim newsletter dan komunikasi lain ke jutaan orang. Arara mengelola informasi kontak atas nama organisasi tersebut, termasuk alamat email, nama, dan seringkali nomor telepon serta detail keanggotaan.
Pada awal November 2026, Arara melaporkan infrastruktur distribusi email mereka mengalami kompromi. Kombinasi kerentanan server web dan “kelemahan sistem lainnya” memungkinkan aktor ancaman yang tidak teridentifikasi mengakses 97 server yang menyimpan data hingga 380 pelanggan korporat. Para penyerang mengakses lebih dari 81 juta alamat email, bersama dengan nama, tanggal lahir, nomor telepon, alamat pos, dan nomor keanggotaan. Tidak setiap pelanggan mengalami seluruh data tersebut terekspos, karena bervariasi antar individu.
Dalam laporan lanjutan, Arara menambahkan bahwa penyerang juga mengompromikan lingkungan terpisah yang berisi tambahan 3,38 juta alamat email dan lebih dari 400.000 catatan pelanggan berisi data pribadi. Penyerang kemudian mengirim lebih dari tujuh juta email phishing yang memalsukan berbagai perusahaan kartu kredit, memaksa Arara menutup layanan sementara pada 31 Oktober 2026.
Banyak organisasi besar mengalami kebocoran kontak newsletter mereka. Asoview melaporkan sekitar 15,82 juta catatan, sementara peritel elektronik Bic Camera melaporkan 15,2 juta. Jaringan makanan cepat saji MOS Burger mengungkap tereksposnya sekitar 7,5 juta alamat email, sementara operator bioskop Shochiku Multiplex Theaters 3,3 juta.
Baca Juga:
Data yang Bocor dan Klarifikasi Sega
Di antara korban terdapat raksasa video game Sega dan anak perusahaannya, Sega Fave, yang mengungkap sekitar 2,2 juta alamat email terdampak. “Sega Corporation menggunakan sistem distribusi Arara Corporation untuk mendistribusikan newsletter email tertentu terkait produk dan layanan perusahaan kami dan perusahaan grupnya, Sega Fave Corporation. Baru-baru ini ditemukan bahwa Arara Inc. mengalami akses tidak sah oleh pihak ketiga, dan alamat email pelanggan yang digunakan untuk mendistribusikan newsletter email bocor ke eksternal,” kata Sega dalam pengumuman singkatnya.
Perusahaan menyatakan bahwa per 9 November, mereka dapat mengonfirmasi 2.196.044 email sebagai terkompromi, bersama dengan 92.273 item lain “terkait distribusi”. Informasi yang tidak bocor saat ini mencakup nama pelanggan, tanggal lahir, jenis kelamin, alamat, nomor telepon, informasi kartu kredit, dan kata sandi login.
“Saat ini, belum ada penyalahgunaan informasi yang bocor terkait kasus ini yang terkonfirmasi,” kata Sega. “Alamat email yang terdaftar dengan ‘SEGA Account’ menggunakan sistem distribusi berbeda dan karenanya dikecualikan dari informasi yang bocor.”
Ini merupakan insiden keamanan siber besar kedua bagi Sega bulan ini setelah jaringan layanan game arcade Sega Fave baru-baru ini diambil offline dan, menurut BleepingComputer, masih tidak tersedia saat perusahaan mengerjakan pemeliharaan dan pemeriksaan keamanan. Pada 2 November, Sega Fave menyatakan aktor ancaman tidak teridentifikasi mengakses server mereka yang mendukung layanan jaringan game arcade ALL.Net dan Aime, namun kemudian menegaskan kedua insiden ini tidak terkait. Gameplay online, Sega Lucky Kuji Online, dan registrasi Sega ID baru, semuanya diambil offline untuk investigasi. Sejauh ini, belum ada aktor ancaman yang mengklaim tanggung jawab atas kebocoran tersebut.
Baik Sega maupun Arara memperingatkan pengguna mereka tentang kemungkinan email phishing dan mendesak agar tidak mengklik tautan atau mengunduh lampiran dari email yang mengaku berasal dari perusahaan. Peringatan ini penting mengingat skala kebocoran yang melibatkan jutaan alamat email yang kini berpotensi menjadi target serangan phishing lanjutan.
Insiden kebocoran data Sega ini menambah daftar panjang serangan siber yang menimpa perusahaan Jepang, mulai dari Capcom hingga Iris Ohyama. Bagi pengguna, langkah paling bijak adalah waspada terhadap email mencurigakan yang mengatasnamakan Sega atau Arara, serta tidak mengklik tautan atau lampiran apa pun dari sumber yang tidak terverifikasi. Sega sendiri masih terus melakukan investigasi untuk memastikan cakupan penuh dari informasi yang terekspos, sementara belum ada laporan resmi mengenai penyalahgunaan data yang bocor.
Komentar
Belum ada komentar.