Arara expone 2,2 millones de correos de Sega y aviva las estafas

Sega publicó el 9 de noviembre de 2026 un comunicado breve para explicar algo que ya sabía desde hacía seis días: 2.196.044 direcciones de correo de sus boletines salieron de los servidores de Arara, la empresa japonesa que los envía en su nombre. De todas ellas, 92.273 llevaban además información que acompañaba al envío, todavía en revisión. Son direcciones, no personas, y esa diferencia se perderá en los titulares que resuman el caso como una filtración de clientes.

Arara Message envía boletines masivos para empresas que no quieren montar ese sistema por su cuenta. El tercer informe de Arara llegó el 6 de noviembre con 81.329.467 direcciones únicas y hasta 380 clientes corporativos; los correos fraudulentos lanzados desde su infraestructura entre el 28 y el 30 de octubre llegaron a 7,13 millones.

El interés del caso no está en el volumen, sino en el desfase. El 29 de octubre Arara dijo a Sega que no había fuga; el 3 de noviembre le confirmó que sus direcciones sí habían salido. Sega usaba ese sistema para anunciar juegos de arcade, sorteos y campañas de sus productos, y el servicio lleva detenido desde el 31 de octubre. Para quien está suscrito a un boletín, el saldo es una dirección verificada en manos ajenas: sin contraseñas, pero con el contexto justo para que un correo falso resulte creíble.

La escalada de un aviso que cambió tres veces

El primer aviso público de Arara, fechado el 29 de octubre, situaba el acceso no autorizado el día anterior y hablaba de 3,01 millones de direcciones de correo comprometidas en un solo sistema. La causa que señalaba entonces era una vulnerabilidad del servidor web explotada por un tercero, con problemas añadidos en su entorno, y el servicio de envío lleva parado desde el 31 de octubre.

El orden importa más que las fechas. La primera fila muestra a un cliente preguntando por la seguridad de un proveedor y recibiendo una respuesta que el propio proveedor ya había matizado por escrito ese mismo día, cuando publicó que 3,01 millones de direcciones habían salido de uno de sus sistemas.

La distancia entre 3,01 y 81,3 millones de direcciones no es un redondeo. Son dos métodos de contar y dos momentos de una investigación que, en once días, pasó de un servidor a tres entornos distintos.

Lo que salió, lo que no y por qué la distinción importa

Sega desglosa su parte con precisión: 11 boletines enviados entre el 2 de julio y el 28 de octubre de 2026, de CHUNITHM Mate a las campañas de Sega Lucky Kuji, con paradas en ONGEKI Re:Fresh Act.2, maimai de luxe y dos envíos sobre Tokyo Game Show 2026. El comunicado excluye de la filtración los nombres, las fechas de nacimiento, el sexo, las direcciones postales y los teléfonos, y añade que tampoco salieron datos de tarjeta ni contraseñas de acceso.

Las direcciones registradas en SEGA Account quedaron fuera porque ese sistema de envío es otro. El servicio Sega Lucky Kuji Online, en cambio, sigue en mantenimiento por un incidente distinto: el acceso no autorizado a los servidores de la red de recreativas ALL.Net y Aime de Sega Fave, reconocido el 2 de noviembre. Sega sostiene que los dos casos no tienen relación, y la cobertura de la brecha de Capcom con 11,7 millones de registros describe el mismo riesgo de suplantación.

Conviene separar los dos incidentes antes de seguir. Uno afectó al sistema de marketing; el otro, a la red que autentica partidas y registros de máquinas recreativas, todavía caída y sin fecha de vuelta.

Cerca de siete millones de correos con remitente conocido

El dato que convierte una filtración de correos en un problema de fraude lo puso Arara en su tercer informe: entre el 28 y el 30 de octubre, desde la dirección [email protected] salieron hasta 7,13 millones de mensajes que suplantaban a compañías de tarjeta, con asuntos como la solicitud de confirmación de los datos de uso. Los atacantes no necesitaban contraseñas; les bastaba la infraestructura de envío para hablar con la voz del proveedor.

Ahí está el mecanismo. Un suscriptor de Sega recibe un mensaje de un remitente que ya le escribía antes, sobre un producto que sigue, y no tiene forma de distinguirlo de un boletín legítimo salvo mirando el enlace. El comunicado de Sega del 9 de noviembre pide no abrir enlaces ni adjuntos y recuerda que la compañía no solicita contraseñas ni datos de tarjeta por correo; la misma advertencia figura en el aviso del proveedor.

Arara aclara que el servicio no almacena números de tarjeta, así que los mensajes que los pedían no tenían con qué contrastar. Esa es la parte tranquila. La otra: una dirección viva y un historial de compras bastan para armar un anzuelo a medida.

El proveedor como punto único de fallo

Un servicio de marketing concentra el correo de cientos de marcas, y casi nunca recibe el escrutinio que se dedica a los sistemas de pago. Cuando falla, el daño se reparte entre clientes que no compartían nada más que la herramienta de envío. La brecha de Iris Ohyama en un servicio de nube de terceros repite el patrón en Japón con 7,7 millones de afectados y un proveedor en el centro de la cadena.

El cliente puede exigir plazos de notificación en el contrato, pero no audita lo que no ve. Lo que sí está en su mano es reducir el volumen de datos que entrega a un tercero: separar los correos de marketing de las cuentas de usuario, como hizo Sega con SEGA Account, y no enviar más campos de los que el boletín necesita para personalizar el saludo.

La guía de ciberseguridad para pymes sin equipo técnico pone la verificación de dominio y el filtrado del correo entrante entre las capas básicas. En una cadena de suministro esos controles los configura el proveedor, y el cliente rara vez los audita.

Los otros damnificados de la misma brecha

Sega es la marca más conocida, no la más castigada. El cuadro completo de la brecha reparte el daño entre Asoview, con 15,82 millones de registros, y Bic Camera, la cadena de electrónica que suma 15,2 millones de direcciones, además de los 97 servidores alcanzados. MOS Burger suma 7,5 millones de correos, Shochiku Multiplex Theaters 3,3 millones de registros y TKC 2,3 millones de direcciones.

Un recuento más detallado añade dos datos: el proveedor ya había hablado de 77 millones de direcciones en su segundo informe, y el servicio se usó para enviar más de siete millones de correos a nombre de entidades financieras en tres días.

El tercer informe de Arara explica de dónde sale cada tramo: 78.102.937 direcciones del acceso no autorizado al servicio, 2.842.400 del entorno compartido que aparecía en el primer aviso y 3.249.492 de otro entorno en la nube detectado después, ya sin duplicados entre los tres. El documento insiste en que la cifra cuenta direcciones, no personas, y rebaja la estimación de clientes afectados a «hasta 380» mientras la revisa.

Lo que conviene mirar cuando llegue el próximo correo

El expediente sigue abierto por varios lados que no dependen del marketing. Arara mantiene el servicio detenido sin fecha de reanudación, Sega suspende todos los envíos por ese sistema hasta verificar los datos y ambos preparan un informe conjunto a la Comisión de Protección de Información Personal de Japón, propuesto por el proveedor. La investigación del método de intrusión, la más lenta, sigue en manos de peritos externos.

Para el suscriptor, la cifra útil no es 2,2 millones. Es cuántas de esas direcciones seguirán en uso dentro de un año y cuántas recibirán un mensaje bien escrito que cite el juego correcto, el sorteo correcto y la fecha correcta. El correo filtrado no roba cuentas por sí solo; sirve para que la siguiente estafa empiece con el nombre de la casa. Cuando llegue, el remitente no será el problema: será la prueba de que el proveedor ya lo conocía a usted.

Sega promete avisar a los afectados cuando termine de revisar los datos y reforzar el control de los trabajos externalizados. Es lo que suele prometerse tras una semana así. Lo verificable es más modesto y cabe en una frase: once boletines, 2.196.044 direcciones y un proveedor que primero dijo que no había fuga.