SEGA confirma la filtración de 2,2 millones de correos: la brecha de su proveedor ARARA ya suma 81 millones de direcciones

SEGA no fue hackeada directamente: la entraron por la puerta de su proveedor de correo. La compañía japonesa ha confirmado este lunes, en un aviso oficial con disculpa pública, que el acceso no autorizado a ARARA —la empresa que distribuía sus boletines— filtró 2.196.044 direcciones de correo electrónico de suscriptores de SEGA y de su filial SEGA Fave.

La exposición es concreta y acotada. Los correos corresponden a 11 boletines enviados entre el 2 de julio y el 28 de octubre de 2026 —de juegos arcade, del Tokyo Game Show 2026 y de SEGA Lucky Kuji—, y en 92.273 registros se filtró además «información asociada a la distribución» que ambas compañías aún están determinando. Lo que no se filtró importa tanto: ni nombres, ni fechas de nacimiento, ni direcciones, ni teléfonos, ni datos de tarjetas, ni contraseñas. Los correos de SEGA Account van por otro sistema y quedan fuera; no hay abuso confirmado por ahora.

SEGA es solo una pieza de una brecha mucho mayor. ARARA Message atiende a unas 380 empresas: ARARA cifró primero en 77 millones las direcciones comprometidas y su tercer informe, del 6 de noviembre, elevó el total deduplicado a 81,3 millones, con otros afectados como MOS Burger (7,5 millones) o TKC (2,3 millones). Y el acceso no se usó solo para robar: a finales de octubre, los atacantes enviaron más de 7 millones de correos falsos suplantando a emisores de tarjetas desde el propio servicio, suspendido el 31 de octubre.

La cronología deja una pregunta incómoda. El 29 de octubre, cuando SEGA preguntó por la seguridad de sus envíos, ARARA respondió que no había filtración confirmada; la confirmación llegó el 3 de noviembre, la verificación conjunta corrió del 5 al 8 y la disculpa pública ha salido hoy. SEGA presentará un informe conjunto ante el regulador japonés, contactará con cada afectado y mantendrá suspendidos sus boletines vía ARARA. Su aviso es práctico: SEGA nunca pide contraseñas ni datos de tarjeta por email; desconfíe de quien lo haga en su nombre.

Es, además, el segundo incidente que golpea a la casa en una semana. La red arcade ALL.Net de SEGA Fave sigue en mantenimiento desde el 1 de noviembre por una intrusión separada, que SEGA declara no relacionada. La lección de fondo es la de siempre: la lista de correo que una empresa guarda en casa de un proveedor también es su superficie de ataque.