A Sega confirmou em 9 de novembro que 2,2 milhões de endereços de email de clientes foram parar nas mãos de invasores. O ataque foi contra a Arara, empresa japonesa que a Sega contratava para enviar newsletters e outras comunicações de marketing. Segundo a Sega, só o endereço de email vazou: nome, dados de cadastro e informações de pagamento não fizeram parte do material acessado.
Os afetados são pessoas que se inscreveram para receber mensagens da marca. Quem tem conta na Sega mas nunca assinou nenhum desses comunicados, em princípio, ficou de fora. A empresa não informou de quais países são os clientes atingidos.
A Sega foi uma entre centenas
O problema é maior que a Sega. A invasão aos servidores da Arara expôs mais de 77 milhões de endereços de email ligados a cerca de 380 clientes corporativos da empresa. A Sega é a mais conhecida da lista divulgada até agora, mas não a única.
A sequência dos fatos mostra quanto tempo a notícia levou para chegar a quem foi afetado. O acesso indevido aconteceu em 28 de outubro, e a Arara o tornou público no dia seguinte. Em 31 de outubro, a empresa tirou do ar o Arara Message, serviço de distribuição de emails que deve ter sido o principal alvo. Só em 2 de novembro a Paycloud Holdings, dona da Arara, divulgou o número de usuários envolvidos e avisou os clientes corporativos. A Sega publicou o próprio comunicado uma semana depois.
A explicação oficial fala em vulnerabilidades nos servidores web e no ambiente de sistemas da Arara. Ninguém detalhou qual falha foi explorada, e a autoria do ataque segue desconhecida.
Os invasores usaram o próprio serviço para dar golpe
O detalhe mais grave do caso não é a lista de emails. Os invasores usaram a infraestrutura da Arara para disparar mais de 7 milhões de mensagens falsas, que se passavam por avisos de operadoras de cartão de crédito. Como saíram de um serviço legítimo de envio, esses emails têm mais chance de passar pelos filtros de spam do que um golpe comum.
Uma lista de emails sem senha parece inofensiva, mas basta para montar phishing direcionado: o golpista sabe que aquele endereço é de um cliente da Sega e pode imitar uma comunicação da empresa. Por isso a própria Sega pede atenção com mensagens que chegarem em seu nome, principalmente as que trazem links. Se você assina novidades da Sega, a regra prática é não clicar em nada que peça login ou dados de pagamento e entrar no site digitando o endereço direto no navegador.
Sega Fave teve outro incidente
Em paralelo, a Sega Fave, divisão do grupo que cuida de brinquedos, eletrônicos e arcades, também detectou acesso não autorizado aos próprios servidores. A empresa trata o caso como separado do vazamento da Arara. A Sega Fave suspendeu temporariamente os serviços online e o cadastro ligados à Sega ID e afirma não ter encontrado indícios de roubo de dados. Até 10 de novembro, não havia previsão divulgada para a volta desses serviços.
