Eine gestohlene Mailingliste kann Betrügern einen nützlichen Vorteil verschaffen: Sie wissen, von welcher Marke ihre Opfer bereits Nachrichten erwarten.
SEGA gab am 9. November bekannt, dass bei einem Einbruch beim Newsletter-Anbieter ARARA 2.196.044 Datensätze mit E-Mail-Adressen offengelegt wurden, die für die Kommunikation von SEGA und SEGA Fave verwendet wurden. Passwörter und Kreditkarteninformationen waren nicht enthalten, doch das Unternehmen warnte, dass die Informationen für Identitätsbetrugsversuche genutzt werden könnten.
Für Sicherheitsteams wirft der Vorfall eine praktische Frage auf: Wie viele Kundendaten liegen bei Dienstleistern, deren alltägliche Arbeit kaum kontrolliert wird?
Was laut SEGA offengelegt wurde
Laut der Mitteilung von SEGA umfasst die Offenlegung:
- E-Mail-Adressen: 2.196.044 Datensätze.
- Zusätzliche newsletterbezogene Informationen: In 92.273 dieser Datensätze enthalten; der Inhalt wird noch untersucht.
- Nicht enthaltene Informationen: Namen, Geburtsdaten, Geschlecht, Adressen, Telefonnummern, Kreditkartendaten und Anmeldepasswörter.
- SEGA-Account-Adressen: Nicht Teil dieses Vorfalls, da dieser Dienst ein anderes Verteilungssystem nutzt.
Die betroffenen Newsletter wurden zwischen dem 2. Juli und dem 28. Oktober 2026 versendet. SEGA erklärte, es gebe keine Hinweise auf einen Missbrauch der offengelegten Informationen, und habe Newsletter über ARARA bis zur Überprüfung der Daten und der Sicherheit des Dienstes ausgesetzt.
Das Unternehmen erklärte außerdem, dass die Newsletter-Datenpanne unabhängig von dem Eindringen in die Server des Arcade-Netzwerks von SEGA Fave war.
Der weitreichendere Angriff auf ARARA umfasst den Missbrauch des E-Mail-Dienstes
In seinem Vorfallsbericht vom 6. November korrigierte ARARA die Gesamtsumme des umfassenderen Angriffs auf 81.329.467 E-Mail-Adressen, nachdem Duplikate aus den betroffenen Umgebungen entfernt worden waren. Die Zahl bezieht sich auf E-Mail-Adressen, nicht auf Personen.
Die revidierten Erkenntnisse umfassten eine weitere betroffene Cloud-Umgebung. ARARA stellte klar, dass ihre frühere Schätzung von bis zu etwa 380 betroffenen Unternehmen diese Umgebung bereits einschloss.
ARARA führte den Vorfall auf eine Schwachstelle im Webserver und Probleme in seiner Systemumgebung zurück und untersucht weiterhin, wie und auf welchem Weg der Eindringling den Zugriff erlangte.
In seinem Vorfallsbericht vom 2. November erklärte ARARA, Angreifer hätten Teile seines Dienstes genutzt, um zwischen dem 28. und 30. Oktober bis zu etwa 7,13 Millionen verdächtige E-Mails zu versenden, die sich als Kreditkartenunternehmen ausgaben. Die Adressen der Empfänger waren vom Angreifer von außerhalb eingebracht worden. Daraus lässt sich nicht schließen, dass die gestohlene SEGA-Liste verwendet wurde.
Ein Service-Update vom 10. November besagte, dass es weiterhin keinen bestätigten Termin für die Wiederaufnahme gebe. ARARA bekräftigte außerdem eine Korrektur zu früheren Kundenmitteilungen: Die Datenextraktion dauerte zwischen dem 28. Oktober und der Abschaltung am 31. Oktober an, wobei der genaue Zeitraum je nach Server variierte. ARARA erklärte, dass die Korrektur auch den Umfang der betroffenen Daten änderte, über den einige Kunden zuvor informiert worden waren.
Mit einer E-Mail-Adresse ist eine Beziehung verbunden
Michael Centrella, Leiter der Abteilung für Public Policy bei SecurityScorecard, erklärte, die Datenpanne zeige, warum die routinemäßige Funktion eines Dienstleisters den Umfang der von ihm gespeicherten Informationen verschleiern könne.
„Ein Dienst kann leicht zu ersetzen sein und dennoch genug Kundeninformationen speichern, um eine erhebliche Gefährdung zu verursachen“, sagte Centrella.
Diese Sorge geht über Marketing hinaus. Jüngste Meldungen zur MS&AD-Datenpanne enthielten Kundendaten, die über einen Pannenhilfedienst offengelegt worden waren, und zeigen, wie unterstützende Dienste umfangreiche Datensätze ansammeln können.
Für SEGA-Abonnenten besteht die unmittelbare Gefahr in einer glaubwürdigen Folgenachricht. Eine gefälschte Werbeaktion, eine Spielankündigung oder ein Sicherheitshinweis könnte ein bestehendes Interesse an dem Unternehmen ausnutzen.
„Die offengelegten Informationen bieten einem Angreifer auch etwas Nützlicheres als eine zufällige Liste von Adressen“, sagte Centrella. „Sie verknüpfen diese Adressen mit Personen, die Nachrichten von SEGA erwarten.“
Das ist ein mögliches Angriffsszenario. Es gibt keine Belege dafür, dass eine solche Kampagne betroffene Abonnenten erreicht hat.
Es gibt einen passenden Präzedenzfall: Die Brevo-Datenpanne, durch die Phishing-E-Mails an 347.000 Trezor-Abonnenten versendet werden konnten zeigte, wie ein kompromittierter Newsletter-Dienst zum Zustellkanal für gefälschte Sicherheitswarnungen werden kann.
E-Mail-Spoofing ist ein weiterer Weg für Identitätsbetrug, bei dem Absenderinformationen gefälscht werden. Der Zugriff auf eine Abonnentenliste und die Kontrolle über eine legitime Versandplattform sind unterschiedliche Fähigkeiten; Incident-Response-Teams sollten klären, welcher Fall vorlag, bevor sie die Bedrohung beschreiben.
Überprüfen Sie die Mailingliste, ihre Berechtigungen und ihre Aufbewahrungsdauer
Sicherheitsverantwortliche sollten Marketing- und Kundenkommunikationsteams in die Überprüfung von Dienstleistern einbeziehen. Ermitteln Sie zunächst jeden Dienst, der Newsletter-Listen, Veranstaltungsanmeldungen, Werbeeinträge oder Kampagnenexporte erhält, und legen Sie anschließend fest, wem die jeweiligen Datensätze gehören.
Fragen Sie bei jedem Anbieter:
- Was wird gespeichert? Prüfen Sie die tatsächlichen Felder und Datensatzanzahlen, einschließlich alter Kampagnen und Testimporte.
- Was können Benutzer und Integrationen tun? Überprüfen Sie, wer vollständige Listen exportieren, Vorlagen ändern oder Nachrichten versenden kann, und entfernen Sie unnötige Zugriffsrechte.
- Was hätte gelöscht werden müssen? Legen Sie Aufbewahrungsfristen für Kampagnendaten fest und überprüfen Sie, ob die Löschung neben aktiven Listen auch hochgeladene Dateien und Exporte umfasst.
- Woran ließe sich Missbrauch erkennen? Prüfen Sie, ob Massenexporte, Änderungen durch Administratoren und ungewöhnliche Versandaktivitäten protokolliert werden und Warnmeldungen auslösen.
- Wie würde die Kommunikation während einer Abschaltung fortgesetzt? Halten Sie einen separaten, verifizierten Weg für Vorfallmeldungen und den Kundensupport bereit.
Centrella empfiehlt, Dienstleister anhand der von ihnen angesammelten Informationen zu bewerten, einschließlich der für Werbeaktionen und Veranstaltungen eingesetzten Tools. Eine Überprüfung, die nur die zentralen Geschäftssysteme abdeckt, kann dazu führen, dass diese Kundendatensätze unberücksichtigt bleiben.
Abonnenten sollten unerwartete Angebote oder Hinweise auf Datenpannen überprüfen, indem sie die offizielle Website des Unternehmens unabhängig öffnen. Geben Sie keine Zugangsdaten oder Zahlungsinformationen über einen E-Mail-Link ein und melden Sie verdächtige Nachrichten über einen bekannten Supportkanal.
Organisationen, die ARARA nutzen, sollten vor dem Abschluss ihrer Benachrichtigungen den korrigierten Zeitraum der Offenlegung und eine Aufstellung der betroffenen Datensätze auf Feldebene anfordern. Der revidierte Zeitplan des Anbieters zeigt, warum die erste Einschätzung des Vorfalls mit späteren Erkenntnissen abgeglichen werden sollte.
Weiterlesen: Das Beispiel der Datenpanne bei Frontline Education ist ein weiteres Beispiel dafür, warum Organisationen nach einem Vorfall bei einem Dienstleister betroffene Datensätze, Benachrichtigungspflichten und den Zugriff des Anbieters überprüfen sollten.