In questo articolo Indice dei contenuti 2 sezioni
SEGA ha confermato nelle scorse ore di essere stata vittima di un data breach che ha colpito i servizi dedicati alla gestione delle newsletter, esponendo i dati di circa 2,2 milioni di utenti. Il colosso giapponese si ritrova così nella stessa scomoda posizione vissuta poco tempo fa dalla rivale e connazionale Capcom, anche lei alle prese con una violazione. Due nomi storici del videogioco colpiti a breve distanza l’uno dall’altro, insomma.
Il quadro per ora è abbastanza definito nei suoi contorni. L’attacco hacker ha interessato 11 diverse newsletter collegate a due servizi della compagnia, tra cui SEGA Fave. E come succede piuttosto spesso in casi del genere, i sistemi interni dell’azienda non sono stati toccati direttamente. Il vero bersaglio è stato un fornitore esterno, la società ARARA, specializzata proprio nella gestione delle newsletter. Un dettaglio non da poco, perché sposta il punto debole fuori dal perimetro di SEGA ma non cambia granché per chi si è ritrovato coinvolto senza nemmeno saperlo.
Quali dati sono stati rubati e quali no
C’è almeno un aspetto relativamente rassicurante in tutta la vicenda. Stando a quanto comunicato dalla software house, gli autori dell’intrusione non sembrano essere riusciti a mettere le mani sulle informazioni più delicate. Nomi, indirizzi fisici, numeri di carte di credito, date di nascita, dati su genere o sesso e password degli account risultano infatti rimasti protetti. Si tratta di un elenco piuttosto lungo, che esclude proprio quel tipo di informazioni che di solito preoccupano di più quando si parla di furti di dati personali.
Il problema è che al momento non è ancora chiaro cosa sia stato effettivamente sottratto. Considerando la natura del servizio offerto da ARARA, è lecito pensare che tra le informazioni trafugate ci sia almeno l’indirizzo email degli iscritti. Si tratta però di una semplice supposizione, nulla di confermato in via ufficiale. D’altronde una piattaforma che si occupa di newsletter lavora soprattutto con le caselle di posta elettronica, ed è da qui che nasce l’ipotesi.
Le tappe dell’indagine tra SEGA e ARARA
SEGA ha avviato un’indagine insieme ad ARARA per ricostruire con precisione quali dati siano stati rubati e in che modo i criminali informatici siano riusciti a entrare. Alcuni punti fermi comunque ci sono già. ARARA ha individuato la violazione il 2 novembre e il giorno successivo ha informato SEGA. Tra il 5 e l’8 novembre è poi arrivato un rapporto più completo e dettagliato sull’accaduto, mentre la comunicazione pubblica dell’incidente è avvenuta il 9 novembre.
Passa quindi circa una settimana tra la scoperta della falla e l’annuncio ufficiale del data breach. Un intervallo durante il quale le due aziende hanno raccolto le prime informazioni, analizzato il report e messo insieme un quadro sufficientemente chiaro prima di rendere nota la questione agli utenti iscritti alle newsletter della casa giapponese.
Sul fronte delle possibili conseguenze, la società fa sapere di non aver individuato finora prove dell’esistenza di exploit o truffe basate sulle informazioni sottratte. Le verifiche però sono ancora in corso e la situazione potrebbe evolvere anche in modo radicale man mano che emergeranno nuovi elementi sull’attacco che ha colpito le newsletter di SEGA.
Fonte: TecnoAndroid