Japon oyun şirketi SEGA, üçüncü taraf e-posta dağıtım sağlayıcısı ARARA’ yaşanan veri ihlali nedeniyle 2,2 milyon bülten abonesinin e-posta adresinin açığa çıktığını duyurdu. Olayın SEGA SEGA Fave ürünleriyle bağlantılı 11 farklı bülten hizmetini etkilediği, ayrıca 92 bin 300 kayıtta henüz kapsamı belirlenemeyen ek bilgiler bulunduğu açıklandı. Şirket, olayın müşteri hesaplarını veya ödeme bilgilerini etkilemediğini belirtirken ARARA incelemelerini sürdürüyor.
SEGA Bülten Abonelerinin E-Posta Adresleri SızdırıldıSEGA’nın yürüttüğü inceleme, veri ihlalinin doğrudan şirketin kendi sistemlerinden değil, bülten dağıtım hizmeti aldığı ARARA’dan kaynaklandığını ortaya koydu. Saldırganların eriştiği veriler arasında 2,2 milyon abonenin e-posta adresi bulunuyor. Ayrıca 92 bin 300 kayıtla ilişkili bazı ek bilgilerin hangi tür verileri içerdiği henüz kesinleşmedi.
SEGA, mevcut bulgulara göre müşteri adlarının, doğum tarihlerinin, cinsiyet bilgilerinin, posta adreslerinin, telefon numaralarının, kredi kartı bilgilerinin hesap parolalarının ihlalden etkilenmediğini açıkladı. Şirket, SEGA Account sistemine kayıtlı e-posta adreslerinin ayrı dağıtım altyapısı üzerinden yönetildiğini hesapların olayın dışında kaldığını doğruladı.
Şirket, ARARA birlikte bülten dağıtım sisteminde tutulan bilgilerin kapsamını araştırıyor. ana kadar açığa çıkan verilerin kötüye kullanıldığına ilişkin doğrulanmış bulguya ulaşmadığını bildirdi.
ARARA İhlali 77 Milyon E-Posta Adresini EtkilediARARA, 2 Kasım’ yaptığı açıklamada e-posta dağıtım hizmetinde büyük çaplı güvenlik ihlali yaşandığını duyurdu. Şirketin açıklamasına göre olay, yaklaşık 380 kurumsal müşteriye ait toplam 77 milyon e-posta adresini etkiledi.
ARARA, web sunucusundaki güvenlik açığının sistem ortamındaki sorunların ihlale katkıda bulunduğunu belirtti. Ancak saldırganların sisteme hangi yöntemle tam olarak ne zaman girdiği konusundaki inceleme devam ediyor.
Olayın ilk aşamasında ARARA, etkilenen veri miktarını daha düşük tahmin etmişti. Şirket, 29 Ekim’ SEGA’ya herhangi veri ihlali yaşanmadığı bilgisini verdi. Ancak 3 Kasım’ saldırının gerçek boyutunu ortaya çıkaran yeni bulgulara ulaşınca oyun şirketini veri sızıntısı konusunda bilgilendirdi. ARARA, ihlalin ayrıntılarını 5-8 Kasım tarihleri arasında SEGA tı.
Saldırganların ARARA altyapısına erişimlerini başka amaçla kullandığı belirlendi. Şirket, ekim ayının sonlarında kredi kartı kuruluşlarını taklit eden 7 milyondan fazla e-posta gönderildiğini açıkladı.
ARARA’daki veri ihlali yalnızca SEGA sınırlı kalmadı. Olaydan etkilenen kuruluşlar arasında Japon restoran zinciri MOS Burger, Shochiku Multiplex Theatres, TKC IIJmio bulunuyor.
Açıklanan verilere göre MOS Burger’ 7,5 milyon, Shochiku Multiplex Theatres’ta 3,3 milyon, TKC’ 2,3 milyon e-posta adresi açığa çıktı. Telekomünikasyon hizmetleri sunan IIJmio ise yaklaşık 1 milyon e-posta adresinin ihlalden etkilendiğini bildirdi.
Farklı sektörlerden çok sayıda kuruluşun aynı olayda etkilenmesi, üçüncü taraf e-posta dağıtım hizmetlerinin kurumsal veri güvenliğindeki rolünü yeniden gündeme getirdi. ARARA’nın altyapısını kullanan şirketler, kendi sistemlerinde doğrudan ihlal yaşanmasa bile tedarikçi kaynaklı veri riskleriyle karşı karşıya kalabiliyor.
SEGA’nın yaşadığı bülten veri ihlalinden bağımsız olarak SEGA Fave’in arcade oyun ağı hizmetleri ayrı siber güvenlik olayı nedeniyle çevrim dışı durumda. Şirketin oyuncak, elektronik cihaz oyun makineleri operasyonlarından sorumlu iştiraki SEGA Fave, 2 Kasım’ Net Aime oyun ağı hizmetlerini destekleyen sunucularına yetkisiz erişim sağlandığını açıklamıştı.
Şirket, olayın ardından çevrim içi oyun hizmetleri, SEGA Lucky Kuji Online yeni SEGA ID kayıtları dahil olmak üzere bağlantılı hizmetleri durdurdu. Sistemler bakım güvenlik kontrolleri tamamlanana kadar kapalı kalacak.
SEGA Fave’in ilk incelemesinde müşteri veya iş ortaklarına ait verilerin dışarı aktarıldığına ilişkin bulguya rastlanmadı. Ödeme bilgilerinin ayrı sistemlerde tutulması nedeniyle verilerin olaydan etkilenmediği belirtildi.
SEGA, ARARA kaynaklı bülten ihlali SEGA Fave’in oyun ağına yönelik yetkisiz erişimin birbiriyle bağlantılı olmadığını özellikle vurguladı.
