Kaum hat Sega den Hackerangriff auf seine japanischen Arcade-Netzwerke verdaut, folgt der nächste Sicherheitsvorfall. Diesmal sind mehr als 2,19 Millionen E-Mail-Adressen betroffen.
Für Sega entwickelt sich der November zu einem unangenehmen Monat, wenn man es harmlos formuliert. Erst vor wenigen Tagen musste der japanische Spielekonzern wichtige Netzwerkdienste seiner Spielhallen abschalten, nachdem Unbekannte auf mehrere Server zugegriffen hatten.
Während die Techniker dort noch mit den Folgen kämpfen, trifft Sega schon der nächste Cyberangriff. Bei einem separaten Vorfall sind mehr als 2,19 Millionen E-Mail-Adressen abgeflossen.
Sega machte den neuen Sicherheitsvorfall am 9. November 2026 öffentlich.
Angreifer erbeuten über zwei Millionen E-Mail-Adressen
Anders als beim Angriff auf die Arcade-Infrastruktur wurden diesmal keine Server von Sega selbst kompromittiert. Betroffen ist der externe Dienstleister Arara, dessen E-Mail-System „Arara Message“ für den Versand verschiedener Newsletter verwendet wird.
Über diesen Dienst verschickten Sega und seine Tochtergesellschaft Sega Fave Informationen zu Produkten, Veranstaltungen und Spielen. Nach einem unbefugten Zugriff konnten Angreifer Daten der Empfänger herunterladen.
Laut der offiziellen Untersuchung sind 2.196.044 E-Mail-Adressen betroffen. Bei 92.273 Datensätzen wurden auch Informationen erbeutet, die mit dem Newsletter-Versand zusammenhängen. Welche Angaben genau darunter fallen, untersucht Sega noch gemeinsam mit Arara.
Bei sensibleren persönlichen Daten sieht es nach aktuellem Ermittlungsstand besser aus. Namen, Geburtsdaten, Geschlecht, Wohnanschriften, Telefonnummern, Kreditkartendaten und Login-Passwörter sollen nicht abgeflossen sein.
Auch die E-Mail-Adressen des regulären SEGA Accounts sind nicht betroffen, da für diesen Dienst ein anderes Versandsystem verwendet wird.
Die kompromittierten Adressen stammen aus insgesamt elf Newsletter-Aussendungen zwischen Juli und Oktober 2026. Darunter befinden sich Mitteilungen zur Tokyo Game Show, zu Arcade-Spielen wie CHUNITHM Mate und maimai sowie zu Segas Online-Lotterie.
Sega erfuhr erst Tage später vom tatsächlichen Datenabfluss
Verrückt ist auch, wann Sega von dem Datenleck erfuhr. Schon am 29. Oktober fragte der Konzern bei Arara nach, ob das verwendete E-Mail-System betroffen sei. Die Antwort fiel damals beruhigend aus: Ein Datenverlust sei nicht festgestellt worden.
Anfang November machte Arara dann selbst einen unbefugten Zugriff öffentlich. Sega hakte erneut nach und verlangte eine weitere Prüfung.
Am 3. November kam die Kehrtwende. Arara bestätigte, dass auch die für Sega genutzten Newsletter-Adressen abgeflossen waren. Beide Unternehmen untersuchten unmittelbar das Ausmaß des Schadens, bevor Sega am 9. November die Zahlen öffentlich machte.
Betroffene Nutzer sollen persönlich informiert werden, sobald die Untersuchung abgeschlossen ist. Bis dahin hat Sega den Newsletter-Versand über Arara gestoppt.
Hinweise darauf, dass die gestohlenen Daten schon missbraucht wurden, hat Sega bislang nicht. Trotzdem könnten die mehr als zwei Millionen E-Mail-Adressen für Phishing-Versuche genutzt werden. Denkbar wären etwa gefälschte Nachrichten, die sich als E-Mails von Sega, Sega Fave oder Arara ausgeben.
Sega rät deshalb dazu, verdächtige Links und Dateianhänge nicht zu öffnen und auf unerwartete Nachrichten nicht zu antworten. Passwörter oder Kreditkartendaten fragt das Unternehmen nach eigenen Angaben niemals per E-Mail ab.
Zugleich kämpfen japanische Spielhallen mit einem anderen Hackerangriff
Als wären 2,19 Millionen abgeflossene E-Mail-Adressen nicht genug, hat Sega noch einen zweiten Cyberangriff am Hals. Seit dem 1. November liegen große Teile seiner japanischen Arcade-Infrastruktur lahm.
Dort drangen Unbekannte auf Server der Tochtergesellschaft Sega Fave ein. Getroffen wurden die Netzwerkdienste ALL.Net und Aime, über die zahlreiche Arcade-Automaten Spielerprofile, Fortschritte und Onlinefunktionen verwalten.
Der Ausfall erwischte nicht einmal nur Sega. Auch Automaten anderer Hersteller waren zeitweise betroffen, darunter Bandai Namcos Taiko no Tatsujin.
Am 8. November durften einige Geräte probeweise wieder ans Netz. Bei anderen Sega-Systemen liefen die Arbeiten zu diesem Zeitpunkt noch.
Bislang gibt es keinen bestätigten Zusammenhang zwischen den beiden Angriffen. Sega behandelt den Vorfall bei Arara als eigenes Datenleck.
Die Folgen unterscheiden sich ohnehin stark. Der Angriff auf die Arcade-Systeme legte vor allem Teile des Spielbetriebs lahm. Die gestohlenen Newsletter-Adressen könnten dagegen für Phishing und andere Betrugsversuche missbraucht werden. Was die Angreifer damit vorhaben, weiß bislang niemand.
Sega will nach den beiden Vorfällen auch seine externen Dienstleister stärker kontrollieren. Neue Erkenntnisse aus der Untersuchung sollen veröffentlicht werden.
Wer nach diesem Artikel noch Lebenspunkte übrig hat, findet auf meinem YouTube-Kanal Quest Knight weitere Videos, Shorts und persönliche Eindrücke. Neue Artikel bekommt ihr mit meinem Newsletter direkt ins Postfach. Und vergesst nicht: Immer schön weiterquesten.
Quellen: Sega | Denfaminicogamer | Game*Spark | AUTOMATON WEST
