Japon oyun şirketi SEGA, üçüncü taraf e-posta dağıtım sağlayıcısı ARARA’da yaşanan veri ihlali nedeniyle 2,2 milyon bülten abonesinin e-posta adresinin açığa çıktığını duyurdu. Olayın SEGA ve SEGA Fave ürünleriyle bağlantılı 11 farklı bülten hizmetini etkilediği, ayrıca 92 bin 300 kayıtta henüz kapsamı belirlenemeyen ek bilgiler bulunduğu açıklandı. Şirket, olayın müşteri hesaplarını veya ödeme bilgilerini etkilemediğini belirtirken ARARA ile incelemelerini sürdürüyor.
SEGA Bülten Abonelerinin E-Posta Adresleri Sızdırıldı
SEGA’nın yürüttüğü inceleme, veri ihlalinin doğrudan şirketin kendi sistemlerinden değil, bülten dağıtım hizmeti aldığı ARARA’dan kaynaklandığını ortaya koydu. Saldırganların eriştiği veriler arasında 2,2 milyon abonenin e-posta adresi bulunuyor. Ayrıca 92 bin 300 kayıtla ilişkili bazı ek bilgilerin hangi tür verileri içerdiği henüz kesinleşmedi.
SEGA, mevcut bulgulara göre müşteri adlarının, doğum tarihlerinin, cinsiyet bilgilerinin, posta adreslerinin, telefon numaralarının, kredi kartı bilgilerinin ve hesap parolalarının ihlalden etkilenmediğini açıkladı. Şirket, SEGA Account sistemine kayıtlı e-posta adreslerinin ayrı bir dağıtım altyapısı üzerinden yönetildiğini ve bu hesapların olayın dışında kaldığını da doğruladı.
Şirket, ARARA ile birlikte bülten dağıtım sisteminde tutulan bilgilerin kapsamını araştırıyor. SEGA, şu ana kadar açığa çıkan verilerin kötüye kullanıldığına ilişkin doğrulanmış bir bulguya ulaşmadığını bildirdi.
ARARA İhlali 77 Milyon E-Posta Adresini Etkiledi
ARARA, 2 Kasım’da yaptığı açıklamada e-posta dağıtım hizmetinde büyük çaplı bir güvenlik ihlali yaşandığını duyurdu. Şirketin açıklamasına göre olay, yaklaşık 380 kurumsal müşteriye ait toplam 77 milyon e-posta adresini etkiledi.
ARARA, web sunucusundaki bir güvenlik açığının ve sistem ortamındaki sorunların ihlale katkıda bulunduğunu belirtti. Ancak saldırganların sisteme hangi yöntemle ve tam olarak ne zaman girdiği konusundaki inceleme devam ediyor.
Olayın ilk aşamasında ARARA, etkilenen veri miktarını daha düşük tahmin etmişti. Şirket, 29 Ekim’de SEGA’ya herhangi bir veri ihlali yaşanmadığı bilgisini verdi. Ancak 3 Kasım’da saldırının gerçek boyutunu ortaya çıkaran yeni bulgulara ulaşınca oyun şirketini veri sızıntısı konusunda bilgilendirdi. ARARA, ihlalin ayrıntılarını 5-8 Kasım tarihleri arasında SEGA ile paylaştı.
Saldırganların ARARA altyapısına erişimlerini başka bir amaçla da kullandığı belirlendi. Şirket, ekim ayının sonlarında kredi kartı kuruluşlarını taklit eden 7 milyondan fazla e-posta gönderildiğini açıkladı.
ARARA’daki veri ihlali yalnızca SEGA ile sınırlı kalmadı. Olaydan etkilenen diğer kuruluşlar arasında Japon restoran zinciri MOS Burger, Shochiku Multiplex Theatres, TKC ve IIJmio bulunuyor.
Açıklanan verilere göre MOS Burger’de 7,5 milyon, Shochiku Multiplex Theatres’ta 3,3 milyon, TKC’de 2,3 milyon e-posta adresi açığa çıktı. Telekomünikasyon hizmetleri sunan IIJmio ise yaklaşık 1 milyon e-posta adresinin ihlalden etkilendiğini bildirdi.
Farklı sektörlerden çok sayıda kuruluşun aynı olayda etkilenmesi, üçüncü taraf e-posta dağıtım hizmetlerinin kurumsal veri güvenliğindeki rolünü yeniden gündeme getirdi. ARARA’nın altyapısını kullanan şirketler, kendi sistemlerinde doğrudan bir ihlal yaşanmasa bile tedarikçi kaynaklı veri riskleriyle karşı karşıya kalabiliyor.
SEGA’nın yaşadığı bülten veri ihlalinden bağımsız olarak SEGA Fave’in arcade oyun ağı hizmetleri de ayrı bir siber güvenlik olayı nedeniyle çevrim dışı durumda. Şirketin oyuncak, elektronik cihaz ve oyun makineleri operasyonlarından sorumlu iştiraki SEGA Fave, 2 Kasım’da ALL.Net ve Aime oyun ağı hizmetlerini destekleyen sunucularına yetkisiz erişim sağlandığını açıklamıştı.
Şirket, olayın ardından çevrim içi oyun hizmetleri, SEGA Lucky Kuji Online ve yeni SEGA ID kayıtları dahil olmak üzere bağlantılı hizmetleri durdurdu. Sistemler bakım ve güvenlik kontrolleri tamamlanana kadar kapalı kalacak.
SEGA Fave’in ilk incelemesinde müşteri veya iş ortaklarına ait verilerin dışarı aktarıldığına ilişkin bir bulguya rastlanmadı. Ödeme bilgilerinin ayrı sistemlerde tutulması nedeniyle bu verilerin de olaydan etkilenmediği belirtildi.
SEGA, ARARA kaynaklı bülten ihlali ile SEGA Fave’in oyun ağına yönelik yetkisiz erişimin birbiriyle bağlantılı olmadığını özellikle vurguladı.
