Violazione nei server della newsletter SEGA espone 2,2 milioni di indirizzi email

SEGA ha comunicato una violazione dei dati che ha esposto gli indirizzi email di 2,2 milioni di iscritti alla newsletter. L'attacco non ha colpito direttamente i sistemi della società giapponese ma quelli di ARARA, il fornitore terzo che gestisce il servizio di newsletter, secondo la divulgazione riportata [107]. La società ha reso nota la vicenda senza indicare quando sia avvenuta la sottrazione.

Il caso rientra in una categoria ricorrente: l'incidente nasce nella catena dei fornitori, non nel perimetro dell'azienda che appare nei titoli. I dati coinvolti, secondo quanto reso noto, sono gli indirizzi email degli abbonati. La divulgazione non menziona password, dati di pagamento o altre informazioni personali, e non chiarisce se gli attaccanti abbiano avuto accesso ad altro materiale [107].

Per gli iscritti, un indirizzo email esposto è un dato apparentemente minore ma utile per campagne di phishing mirate, soprattutto se abbinato al fatto che la persona segue un determinato marchio. SEGA non ha indicato di aver chiesto il cambio delle credenziali né ha parlato di accessi agli account dei clienti. Il comunicato si limita a circoscrivere l'accaduto al fornitore e alla lista degli abbonati [107].

Il caso si inserisce in una serie di incidenti che nelle ultime ore hanno riguardato soggetti diversi, dalle università ai grandi gruppi, e che condividono un tratto: la violazione arriva da un servizio esterno. Per chi gestisce newsletter e comunicazioni di massa, il controllo dei fornitori e delle credenziali condivise resta un punto debole ricorrente [107].

Cosa resta aperto: quante persone siano state effettivamente raggiunte da comunicazioni ingannevoli, e se ARARA abbia adottato misure aggiuntive. SEGA non ha reso noti i tempi della notifica né i dettagli tecnici dell'accesso. La società non ha indicato se la lista sia stata usata per altri scopi oltre l'esfiltrazione [107].