盗まれたメーリングリストは詐欺師に有利な材料を与える。標的がすでに連絡を受けると予想しているブランドを把握できるからだ。
SEGAは11月9日、ニュースレター配信事業者のARARAで発生した情報流出により、SEGAおよびSEGA Faveのコミュニケーションに使われていた2,196,044件のメールアドレス情報が漏えいしたと公表した。パスワードとクレジットカード情報は含まれていなかったが、同社はこの情報がなりすましに使われる可能性があると警告している。
セキュリティチームにとって、このインシデントは実務的な問いを投げかける。日常業務がほとんど精査されないサプライヤーに、どれほどの顧客データが保管されているのか、という問いだ。
SEGAが公開した情報
によると、 SEGAの発表公開された情報には以下が含まれる：
- メールアドレス： 2,196,044件。
- ニュースレター関連の追加情報： これらのうち92,273件に含まれており、内容は引き続き調査中。
- 含まれていなかった情報：氏名、生年月日、性別、住所、電話番号、クレジットカード情報、ログインパスワード。
- SEGA Accountのアドレス：このサービスは異なる配信システムを使用しているため、今回のインシデントの対象外。
影響を受けたニュースレターは、2026年7月2日から10月28日までの間に送信された。SEGAは、漏えいした情報が悪用された事実は確認されていないとし、データとサービスの安全性を確認するまで、ARARAを使ったニュースレターの配信を停止した。
同社はまた、このニュースレターの情報流出は、SEGA Faveのアーケードネットワークサーバーに影響を与えた侵入とは別のものだと説明した。
ARARAの広範な情報流出にはメールサービスの悪用も含まれる
その 11月6日のインシデント報告で、ARARAは重複分を影響を受けた環境間で除外した結果、広範な情報流出の被害総数を81,329,467件のメールアドレスに改訂したと説明した。この数は人数ではなく、メールアドレスの件数を表している。
改訂後の調査結果には、別の影響を受けたクラウド環境も含まれていた。ARARAは、影響を受けた企業が最大で約380社という以前の推定には、この環境も含まれていたと明らかにした。
ARARAは、今回のインシデントの原因としてウェブサーバーの脆弱性とシステム環境の問題を挙げた一方、侵入の開始地点と経路については調査を続けている。
その 11月2日のインシデント報告で、ARARAは、攻撃者が同社のサービスの一部を使い、10月28日から30日にかけて、クレジットカード会社を装った不審なメールを最大で約713万通送信したと説明した。受信者のアドレスは、攻撃者が外部から持ち込んだものだった。この活動から、SEGAの盗まれたリストが使われたと断定することはできない。
11月10日の サービス更新では、再開日が確定していないと説明した。ARARAはまた、以前の顧客通知の訂正も改めて示した。データの抽出は10月31日の停止まで、10月28日以降も続いており、その時期はサーバーによって異なっていたという。ARARAは、この訂正により、一部の顧客に以前伝えた影響データの範囲も変更されたと説明した。
メールアドレスには関係性が伴う
SecurityScorecardで公共政策部門の責任者を務めるMichael Centrella氏は、サプライヤーの日常的な機能によって、保有する情報量の大きさが見えにくくなることを今回の情報流出は示していると述べた。
「サービスは簡単に置き換えられるものであっても、大規模な情報流出を引き起こすほどの顧客情報を保有している可能性があります」とCentrella氏は述べた。
この懸念はマーケティングにとどまらない。最近の MS&ADの情報流出公表でも、ロードサービス事業者を通じて顧客情報が漏えいしており、補助的なサービスが相当量のデータを蓄積し得ることを示している。
SEGAの購読者にとって、当面の懸念は信じてしまいそうな追跡メッセージだ。偽のプロモーション、ゲームの発表、セキュリティ通知などによって、同社への既存の関心を悪用される可能性がある。
「漏えいした情報は、攻撃者に単なる無作為なアドレス一覧よりも有用なものを与えます」とCentrella氏は述べた。「そのアドレスが、SEGAからの連絡を期待している人々のものだと結び付けられるからです」
これは攻撃シナリオの可能性を示すものであり、そうしたキャンペーンが影響を受けた購読者に届いた証拠ではない。
関連する前例として、 34万7,000人のTrezor購読者へのフィッシングメールを可能にしたBrevoの情報流出がある。侵害されたニュースレターサービスが、偽のセキュリティ警告を届ける経路になり得ることを示した事例だ。
メールスプーフィングも、偽造した送信者情報を使ってなりすます別の経路となる。購読者リストへのアクセスと、正規の送信プラットフォームの制御は別々の能力だ。インシデント対応担当者は、脅威を説明する前にどちらが発生したのかを明らかにすべきである。
メーリングリスト、その権限、保持期間を見直す
セキュリティ責任者は、サプライヤーのレビューにマーケティング部門と顧客コミュニケーション部門を参加させるべきだ。まず、ニュースレターのリスト、イベント登録情報、プロモーションへの応募情報、キャンペーンのエクスポートデータを受け取るすべてのサービスを特定し、それぞれのデータセットの所有者を明確にする。
各プロバイダーについて、次の点を確認する。
- 何が保存されているか？実際のフィールドとレコード件数を調べ、過去のキャンペーンやテストインポートも含める。
- ユーザーや連携機能は何ができるか？リスト全体をエクスポートしたり、テンプレートを変更したり、メッセージを送信したりできる人を確認し、不要なアクセス権を削除する。
- 何を削除すべきだったか？キャンペーンデータの保持期間を設定し、削除の対象がアクティブなリストだけでなく、アップロード済みファイルやエクスポートデータにも及ぶことを確認する。
- 悪用があればどう検知できるか？一括エクスポート、管理者による変更、通常とは異なる送信活動が、ログやアラートの生成につながるかを確認する。
- サービス停止中もどうやってコミュニケーションを継続するか？インシデント通知と顧客サポート用に、別途、検証済みの経路を維持する。
Centrella氏は、プロモーションやイベントに使うツールを含め、蓄積する情報量に基づいてサプライヤーを評価するよう勧めている。中核的な業務システムだけを対象にしたレビューでは、こうした顧客データセットが見落とされる可能性がある。
購読者は、予期しないオファーや情報流出通知について、会社の公式ウェブサイトを自分で開いて確認すること。メール内のリンクから認証情報や支払い情報を入力するのは避け、不審なメッセージは既知のサポート窓口を通じて報告する。
ARARAを利用している組織は、通知を確定する前に、訂正後の情報流出期間と、影響を受けたレコードの項目レベルの内訳を請求すべきだ。プロバイダーがタイムラインを改訂したことは、最初のインシデント推定を、その後の調査結果との照合が済むまで暫定的なものとして扱うべき理由を示している。
続きを読む： Frontline Educationの情報流出は、サプライヤーのインシデント後に、影響を受けたレコード、通知の責任、ベンダーのアクセス権を確認すべき理由を示す別の事例だ。