Une liste de diffusion dérobée peut donner aux escrocs un avantage précieux : savoir de quelle marque leurs cibles s’attendent déjà à recevoir des messages.
SEGA a révélé le 9 novembre qu’une faille chez le fournisseur de newsletters ARARA avait exposé 2 196 044 adresses e-mail utilisées pour les communications de SEGA et de SEGA Fave. Les mots de passe et les informations de carte bancaire n’étaient pas concernés, mais l’entreprise a averti que ces informations pourraient être utilisées dans des tentatives d’usurpation d’identité.
Pour les équipes de sécurité, l’incident soulève une question très concrète : quelle quantité de données clients se trouve chez des fournisseurs dont l’activité quotidienne fait rarement l’objet d’un examen attentif ?
Ce que SEGA indique avoir exposé
Selon la divulgation de SEGA, l’exposition concerne :
- Adresses e-mail : 2 196 044 entrées.
- Informations supplémentaires liées aux newsletters : Concernaient 92 273 de ces entrées ; leur contenu fait toujours l’objet d’une enquête.
- Informations exclues : Noms, dates de naissance, sexe, adresses, numéros de téléphone, coordonnées de cartes bancaires et mots de passe de connexion.
- Adresses des comptes SEGA : Hors du périmètre de cet incident, car ce service utilise un autre système de distribution.
Les newsletters concernées ont été envoyées entre le 2 juillet et le 28 octobre 2026. SEGA a indiqué n’avoir constaté aucune utilisation abusive des informations exposées et avoir suspendu les newsletters utilisant ARARA, dans l’attente de vérifier les données et la sécurité du service.
L’entreprise a également précisé que la faille de la newsletter était distincte de l’intrusion ayant touché les serveurs du réseau d’arcades de SEGA Fave.
La faille plus vaste d’ARARA comprend un détournement de son service d’e-mail
Dans son rapport d’incident du 6 novembre, ARARA a révisé le bilan de la faille plus vaste à 81 329 467 adresses e-mail, après avoir supprimé les doublons entre les environnements concernés. Ce décompte correspond à des adresses e-mail, et non à des personnes.
Les conclusions révisées font état d’un autre environnement cloud touché. ARARA a précisé que son estimation précédente d’environ 380 entreprises potentiellement concernées incluait cet environnement.
ARARA a attribué l’incident à une vulnérabilité de serveur web et à des problèmes dans son environnement système, tout en poursuivant son enquête sur le début et le cheminement de l’intrusion.
Dans son rapport d’incident du 2 novembre, ARARA a indiqué que des attaquants avaient utilisé certaines parties de son service pour envoyer environ 7,13 millions d’e-mails suspects usurpant l’identité de sociétés émettrices de cartes bancaires entre le 28 et le 30 octobre. Les adresses des destinataires avaient été importées de l’extérieur par l’attaquant. Cette activité ne permet pas d’établir que la liste SEGA dérobée a été utilisée.
Une mise à jour du service du 10 novembre indiquait qu’aucune date de redémarrage n’était encore confirmée. ARARA a également réitéré une correction apportée à ses précédentes notifications clients : l’extraction des données s’est poursuivie entre le 28 octobre et l’arrêt du 31 octobre, avec un calendrier variant selon les serveurs. ARARA a indiqué que cette correction modifiait également le périmètre des données concernées précédemment communiqué à certains clients.
Une adresse e-mail s’accompagne d’une relation
Michael Centrella, responsable des politiques publiques chez SecurityScorecard, a déclaré que cette faille illustre comment la fonction courante d’un fournisseur peut masquer le volume d’informations qu’il détient.
« Un service peut être facile à remplacer tout en détenant suffisamment d’informations clients pour créer une exposition majeure », a déclaré Centrella.
Cette préoccupation dépasse le marketing. De récentes divulgations de failles de MS&AD faisaient état d’informations clients exposées par l’intermédiaire d’un prestataire d’assistance routière, montrant comment des services auxiliaires peuvent accumuler des ensembles de données considérables.
Pour les abonnés de SEGA, la préoccupation immédiate est celle d’un message de suivi crédible. Une fausse promotion, une annonce de jeu ou une notification de sécurité pourrait exploiter l’intérêt déjà porté à l’entreprise.
« Les informations exposées donnent également à un attaquant quelque chose de plus utile qu’une liste d’adresses aléatoire, a déclaré Centrella. Elles relient ces adresses à des personnes qui s’attendent à recevoir des communications de SEGA. »
Il s’agit d’un scénario d’attaque potentiel. Rien ne prouve qu’une telle campagne ait atteint les abonnés concernés.
Il existe un précédent pertinent : la faille de Brevo ayant permis l’envoi d’e-mails d’hameçonnage à 347 000 abonnés de Trezor a montré comment un service de newsletters compromis pouvait devenir un canal de diffusion de fausses alertes de sécurité.
L’usurpation d’adresse e-mail constitue une autre voie d’usurpation d’identité, au moyen d’informations d’expéditeur falsifiées. L’accès à une liste d’abonnés et le contrôle d’une plateforme d’envoi légitime sont deux capacités distinctes ; les équipes chargées de la réponse à incident doivent déterminer laquelle s’est produite avant de décrire la menace.
Examinez la liste de diffusion, ses autorisations et sa durée de conservation
Les responsables de la sécurité devraient associer les équipes marketing et chargées des communications clients aux évaluations des fournisseurs. Commencez par recenser chaque service qui reçoit des listes de newsletters, des inscriptions à des événements, des participations à des promotions ou des exports de campagnes, puis déterminez qui est responsable de chaque jeu de données.
Pour chaque fournisseur, demandez :
- Que stocke-t-il ? Examinez les champs réels et le nombre d’entrées, y compris les anciennes campagnes et les imports de test.
- Que peuvent faire les utilisateurs et les intégrations ? Vérifiez qui peut exporter des listes entières, modifier des modèles ou envoyer des messages, et supprimez les accès inutiles.
- Qu’aurait-il fallu supprimer ? Définissez des durées de conservation pour les données de campagne et vérifiez que la suppression couvre aussi bien les fichiers importés et les exports que les listes actives.
- Qu’est-ce qui révélerait une utilisation abusive ? Vérifiez si les exports en masse, les modifications par les administrateurs et les activités d’envoi inhabituelles génèrent des journaux et des alertes.
- Comment les communications se poursuivraient-elles en cas d’arrêt ? Maintenez un canal distinct et vérifié pour les notifications d’incident et l’assistance client.
Centrella recommande d’évaluer les fournisseurs en fonction des informations qu’ils accumulent, notamment les outils utilisés pour les promotions et les événements. Un audit limité aux systèmes essentiels de l’entreprise peut laisser ces jeux de données clients hors de vue.
Pour les abonnés, vérifiez les offres ou notifications de faille inattendues en ouvrant directement le site officiel de l’entreprise. Évitez de fournir vos identifiants ou vos coordonnées de paiement via un lien contenu dans un e-mail, et signalez les messages suspects par un canal d’assistance connu.
Pour les organisations utilisant ARARA, demandez la période d’exposition corrigée ainsi qu’un relevé détaillé, champ par champ, des entrées concernées avant de finaliser les notifications. Le calendrier révisé du fournisseur montre pourquoi la première estimation de l’incident doit rester soumise à une réconciliation avec les conclusions ultérieures.
À lire : la faille de Frontline Education offre un autre exemple de la nécessité, pour les organisations, de vérifier les entrées concernées, les responsabilités en matière de notification et les accès du fournisseur après un incident chez un prestataire.