Sega : cyberattaque, plus de deux millions d’adresses e-mail dérobées

Sega l’a confirmé dans un communiqué : une cyberattaque visant Arara, le prestataire japonais d’envoi d’e-mails que l’éditeur de Sonic et Like A Dragon utilise pour distribuer ses newsletters, a entraîné la fuite de 2 196 044 adresses e-mail. Les comptes Sega ne sont pas touchés et aucun mot de passe n’aurait été compromis, mais l’éditeur appelle les abonnés concernés à la vigilance face à d’éventuelles tentatives de phishing.

Que s’est-il passé chez Arara, le prestataire de Sega ?

C’est Arara, une société japonaise spécialisée dans la distribution d’e-mails, qui a été la cible directe de l’attaque. Sega sous-traite à ce prestataire l’envoi de ses lettres d’information : annonces de jeux, événements, services en ligne. En compromettant les systèmes d’Arara, les attaquants ont mis la main sur une base de 2 196 044 adresses e-mail, dont 92 273 directement liées à la diffusion des newsletters de l’éditeur.

Sega et Arara mènent actuellement l’enquête pour déterminer comment l’intrusion a eu lieu et ce qu’elle a exactement exposé. Dans l’attente de ses conclusions, l’éditeur a suspendu toute distribution de newsletters via Arara. Il prévoit également de contacter individuellement chaque personne affectée une fois que l’ensemble des détails de la fuite aura été confirmé : si vous êtes concerné, vous devriez donc recevoir une notification directe.

Quelles données ont fuité, et votre compte Sega est-il en danger ?

À ce stade de l’enquête, Sega indique que seules des adresses e-mail sont concernées. L’éditeur confirme qu’aucun nom, aucune date de naissance, aucun genre, aucune adresse postale, aucun numéro de téléphone, aucune information de carte bancaire et aucun mot de passe n’aurait été dérobé. Autre point rassurant : aucun cas d’utilisation malveillante des informations compromises n’avait été signalé au moment de l’annonce.

Les comptes Sega échappent eux aussi à l’incident. Pour rappel, ce compte gratuit permet notamment de recevoir des récompenses dans les jeux de l’éditeur et d’accéder à un calendrier qui vous rappelle, entre autres, la date d’anniversaire de Kazuma Kiryu, le héros emblématique de la série Like A Dragon. Vos identifiants et vos bonus en jeu ne sont donc pas menacés par cette fuite.

Quelles newsletters Sega sont concernées ?

Sega a listé précisément les envois touchés par la fuite. Si vous vous étiez inscrit à l’une de ces newsletters et que vous l’avez reçue, votre adresse fait potentiellement partie des 92 273 exposées :

• deux annonces d’exposition pour le Tokyo Game Show de cette année, le grand rendez-vous annuel du jeu vidéo japonais ;
• l’annonce du lancement de Chunithm Mate, jeu de rythme sur borne d’arcade ;
• six newsletters consacrées à Sega Lucky Kuji Online, un service de loterie en ligne permettant de remporter des objets à l’effigie de personnages ;
• le lancement d’Ongeki Re:Fresh Act.2, mise à jour du jeu de rythme arcade du même nom ;
• le lancement de Maimai DX MAGiCAL, autre mise à jour d’un jeu de rythme sur borne.

On notera au passage la place prépondérante des jeux de rythme arcade dans cette liste : Chunithm, Ongeki et Maimai DX comptent parmi les titres qui animent encore les salles d’arcade japonaises, même s’ils restent largement confidentiels en Europe. Autant d’envois qui relèvent de la communication japonaise de l’éditeur, mais rien n’empêche un joueur occidental inscrit à l’une de ces newsletters d’être concerné.

Phishing : quel est le risque concret et comment vous protéger ?

Une adresse e-mail seule peut sembler anodine : c’est pourtant la porte d’entrée idéale pour une campagne d’hameçonnage ciblée. Sega met explicitement en garde contre de possibles e-mails frauduleux envoyés par des personnes se faisant passer pour Sega ou pour Arara. L’objectif classique de ces messages : vous pousser à cliquer sur un lien piégé, à télécharger une pièce jointe infectée ou à renseigner vos identifiants sur une fausse page copiant un site officiel.

Si vous avez reçu l’une des newsletters concernées, quelques réflexes simples suffisent à vous prémunir :

• vérifiez toujours l’adresse exacte de l’expéditeur, pas seulement le nom affiché ;
• ne cliquez sur aucun lien et n’ouvrez aucune pièce jointe provenant d’un message suspect ;
• ne communiquez jamais votre mot de passe ou vos informations bancaires en réponse à un e-mail ;
• en cas de doute, rendez-vous directement sur le site officiel de Sega en saisissant vous-même l’adresse dans votre navigateur ;
• activez la double authentification partout où elle est proposée, à commencer par votre messagerie.

Faut-il pour autant changer vos mots de passe ? Rien ne l’impose ici : ni les mots de passe ni les comptes Sega ne sont touchés par cette fuite. Si vous utilisiez malgré tout le même mot de passe sur plusieurs services, l’occasion reste bonne de corriger cette mauvaise habitude.

Capcom, Warhorse : les cyberattaques s’enchaînent dans le jeu vidéo

Cet incident n’a malheureusement rien d’un cas isolé. Rien que le mois dernier, Capcom, l’éditeur de Street Fighter, et Warhorse Studios, le développeur de Kingdom Come: Deliverance 2, ont chacun été victimes d’un incident de ce type. Éditeurs, studios et prestataires sont devenus des cibles récurrentes, et s’en prendre à un sous-traitant moins protégé est souvent plus simple pour les attaquants que de viser directement une grande entreprise.

Pour les joueurs, l’affaire illustre une réalité inconfortable : même une simple inscription à une newsletter suffit à confier une donnée personnelle à toute une chaîne d’entreprises, dont vous ignorez parfois l’existence. La vigilance reste donc de mise, y compris quand l’expéditeur d’un message affiche un nom familier.

Que se passe-t-il maintenant ?

L’enquête menée conjointement par Sega et Arara se poursuit. La distribution de newsletters via le prestataire restera suspendue jusqu’à ses conclusions, et l’éditeur contactera chaque personne affectée dès que le périmètre exact de la fuite sera confirmé. Si vous faisiez partie des abonnés concernés, surveillez donc votre boîte de réception dans les prochains jours, et traitez avec la plus grande prudence tout message prétendant venir de Sega ou d’Arara entre-temps.