Arara Message : un service d'envoi d'e-mails laisse fuiter 81 millions d'adresses de jusqu'à 380 entreprises clientes

Comment c'est arrivé

Arara a d'abord indiqué qu'un tiers avait exploité une faille d'un serveur web. Son deuxième rapport ajoute que des problèmes dans l'environnement du système ont aussi joué : depuis les serveurs du service, l'attaquant s'est introduit dans de nombreux autres serveurs, dont ceux d'environnements clients, et a emporté le contenu de bases de données. Dans son troisième rapport, Arara indique qu'un autre environnement cloud a aussi été consulté avec des identifiants entre le 28 et le 31 octobre. L'entreprise précise que la date de début et le chemin de l'intrusion sont encore en cours d'analyse.[1][2] Vérifié le 9 nov. 2026

Ce qui a été volé

Des adresses e-mail, ainsi que des informations de membres qui varient selon l'entreprise cliente : nom, sexe, date de naissance, téléphone, numéro de membre et adresse. Arara indique ne pas détenir de numéros de carte de crédit. SEGA précise que ses données concernées sont des adresses e-mail de lettres d'information et des informations d'envoi, sans noms, dates de naissance, adresses, données de carte ni mots de passe.[1][2][4] Vérifié le 9 nov. 2026

Qui est touché

Les clients de jusqu'à 380 entreprises environ qui envoient leurs e-mails par Arara Message. Parmi les avis de clients publiés à ce jour : MOS Burger (7 517 087 adresses de membres web), SEGA avec SEGA FAVE (2 196 044 adresses issues de 11 lettres d'information) et, selon ITmedia, le groupe Bic Camera (jusqu'à environ 14,9 millions d'adresses). La ville d'Osaka indique que plus d'un million d'adresses e-mail liées à sa plateforme de démarches administratives en ligne, maintenue par le prestataire TKC Corporation, ont été exposées, selon The Record. Les destinataires des e-mails d'hameçonnage envoyés depuis le service ont aussi été visés.[1][4][5][8][9] Vérifié le 14 nov. 2026

Acteur

Non attribué

Chronologie

1. 28 oct. 2026L'attaquant se connecte et commence à emporter des données, et des e-mails d'hameçonnage se faisant passer pour des sociétés de cartes de crédit partent du service, depuis news@arara.com. Jusqu'à environ 7,13 millions sont envoyés jusqu'au 30 octobre. [1][2]
2. 29 oct. 2026Arara prévient la police et adresse un rapport préliminaire à la Commission japonaise de protection des informations personnelles. Interrogée par SEGA le même jour, elle répond qu'aucune fuite n'est confirmée. [2][4]
3. 31 oct. 2026Arara suspend le service Arara Message. [2][3]
4. 2 nov. 2026Deuxième rapport : environ 77 millions d'adresses e-mail emportées via le service, issues de jusqu'à 380 entreprises environ, en plus d'un environnement partagé utilisé par 61 entreprises. [2][7][8]
5. 4 nov. 2026MOS Burger informe ses membres web que 7 517 087 adresses e-mail et d'autres données ont fuité via Arara. [5]
6. 6 nov. 2026Troisième rapport : le total atteint 81 329 467 adresses e-mail uniques, dont 3 249 492 issues d'un autre environnement cloud consulté avec des identifiants. [1]
7. 9 nov. 2026SEGA révèle que 2 196 044 adresses e-mail de ses lettres d'information ont fuité via Arara et suspend ses envois par ce service. Arara indique que la date de reprise n'est toujours pas fixée. [3][4][6]
8. 13 nov. 2026La ville d'Osaka prévient que plus d'un million d'adresses e-mail ont fuité via Arara Message, par l'intermédiaire de TKC Corporation, le prestataire qui maintient sa plateforme de démarches administratives en ligne : toute personne ayant reçu un e-mail de ce système entre juillet 2026 et le 31 octobre est concernée, selon The Record. La ville appelle ses habitants à se méfier des e-mails qui se réclament d'elle. [9]