Mauvaise nouvelle pour les utilisateurs des services SEGA. L’éditeur japonais a confirmé qu’une fuite de données avait touché certaines de ses listes de diffusion, à la suite d’une cyberattaque visant Arara, le prestataire chargé de l’envoi de plusieurs newsletters du groupe. Au total, 2 196 044 adresses e-mail auraient été exposées. SEGA précise toutefois que les informations personnelles les plus sensibles ne font pas partie des données compromises.

L’incident concerne également SEGA Fave, une autre société du groupe. Selon les premières conclusions communiquées au 9 novembre 2026, les données récupérées comprennent les adresses e-mail utilisées pour recevoir les newsletters, ainsi que certaines informations associées à leur distribution. Parmi les adresses concernées, 92 273 étaient accompagnées de ces informations supplémentaires, dont la nature exacte fait encore l’objet d’une enquête.

SEGA tient à rassurer ses utilisateurs sur un point important : les noms, dates de naissance, sexes, adresses postales, numéros de téléphone, coordonnées bancaires et mots de passe de connexion n’ont pas été exposés. Les adresses e-mail enregistrées sur SEGA Account sont également épargnées, car ce service utilise un système d’envoi distinct. À ce stade, aucune utilisation frauduleuse des données dérobées n’a été constatée.

Les newsletters concernées ont été envoyées entre le 2 juillet et le 28 octobre 2026. Elles portaient notamment sur les actualités de CHUNITHM Mate, Ongeki Re Act.2 et maimai Deluxe MAGiCAL, les ventes de loteries SEGA Lucky Kuji, ainsi que la présence de l’éditeur au Tokyo Game Show 2026. Les personnes inscrites à ces communications peuvent donc être concernées, même si elles n’utilisent pas directement les jeux ou services mentionnés.

L’origine de la fuite remonte à une intrusion informatique dans le service Arara Message. SEGA indique avoir demandé une vérification de la sécurité de son prestataire dès le 29 octobre. Le 1er novembre, après l’annonce publique d’une cyberattaque visant Arara, l’éditeur a renouvelé ses demandes d’informations. Deux jours plus tard, le prestataire lui a confirmé que des adresses e-mail utilisées pour ses campagnes avaient été divulguées. Des vérifications complémentaires ont ensuite été menées entre le 5 et le 8 novembre, avant la réception d’un rapport officiel.

En attendant d’en savoir davantage, SEGA appelle les utilisateurs à la vigilance. Des messages frauduleux pourraient tenter d’usurper l’identité de l’éditeur ou de SEGA Fave, en utilisant les noms de leurs jeux et services pour piéger les destinataires. Il est donc recommandé de ne pas ouvrir les liens ni les pièces jointes provenant de courriels suspects, et de ne jamais communiquer ses informations personnelles en réponse à ce type de sollicitation. SEGA rappelle qu’aucune de ses sociétés ne demande par e-mail un mot de passe ou des informations de carte bancaire. Les messages prétendant provenir d’Arara doivent également être traités avec prudence.

Pour limiter les risques, SEGA a suspendu l’envoi de ses newsletters via le système d’Arara jusqu’à ce que l’enquête soit terminée et que la sécurité du service soit confirmée. L’entreprise travaille avec son prestataire pour déterminer précisément l’étendue de la fuite et prévoit de contacter individuellement les personnes concernées une fois les vérifications achevées. Un signalement auprès de la Commission japonaise de protection des informations personnelles est également prévu, conjointement avec Arara.

Enfin, SEGA précise que cette affaire est distincte d’un autre incident de sécurité ayant touché les serveurs du réseau de jeux d’arcade de SEGA Fave. Ce second événement a notamment entraîné la maintenance de SEGA Lucky Kuji Online, dont la connexion et les achats sont temporairement indisponibles. Deux incidents différents, donc, mais qui viennent sérieusement compliquer l’actualité du groupe.