Sega, 2,2 milioni di email esposte: data breach anche a York University e Fireworks AI

🛡️ Executive Summary

• Sega conferma l’esposizione di 2.196.044 indirizzi email attraverso il fornitore Arara. Il sistema compromesso gestiva newsletter e comunicazioni commerciali, mentre le credenziali SEGA Account risultano escluse dalla violazione.
• York University denuncia il furto di informazioni personali da moduli online. La documentazione coinvolge anche dati sanitari, finanziari e altre categorie sensibili, conservati in alcuni casi attraverso moduli utilizzati dal 2007.
• Fireworks AI conferma una compromissione di credenziali interne. L’incidente di ottobre ha esposto variabili d’ambiente, API key e token appartenenti a un numero limitato di account clienti, senza evidenze di accesso ai modelli o al traffico di inferenza.

Sega, York University e Fireworks AI hanno comunicato tre incidenti informatici distinti che coinvolgono dati personali, credenziali e servizi utilizzati da organizzazioni esterne. Il caso numericamente più rilevante riguarda Sega, che il 9 novembre 2026 conferma la sottrazione di 2.196.044 indirizzi email attraverso una compromissione della piattaforma di newsletter Arara Message. In Canada, York University denuncia invece l’accesso abusivo ai moduli online utilizzati dai dipartimenti universitari, con furto di informazioni che comprendono, per alcune categorie di interessati, dati sanitari e finanziari. Fireworks AI ha infine documentato un incidente individuato il 6 ottobre, quando un soggetto non autorizzato ha utilizzato credenziali interne per accedere a segreti presenti negli ambienti di valutazione di alcuni clienti. Non emergono elementi che colleghino le tre operazioni agli stessi responsabili. I casi mostrano però quanto la sicurezza delle informazioni dipenda anche da fornitori, applicazioni secondarie e autorizzazioni concesse ai servizi esterni.

Sega conferma 2.196.044 indirizzi email rubati attraverso Arara

Nel comunicato ufficiale del 9 novembre, Sega Corporation identifica l’origine dell’incidente in un accesso non autorizzato ai sistemi di Arara, società giapponese incaricata di distribuire alcune newsletter relative ai prodotti e ai servizi di Sega e della controllata Sega Fave. Il sistema coinvolto, denominato Arara Message, conservava gli indirizzi utilizzati per inviare comunicazioni commerciali e aggiornamenti destinati agli utenti. L’indagine conferma l’esposizione di 2.196.044 indirizzi email, fra i quali 92.273 record comprendono anche informazioni associate alla distribuzione dei messaggi. La società non ha ancora definito pubblicamente il contenuto completo di questi dati supplementari, sui quali proseguono gli accertamenti con il fornitore.

Sega precisa che nomi, date di nascita, indirizzi, numeri telefonici, dati delle carte di credito e password di accesso non risultano compresi nella fuga di informazioni. Anche gli indirizzi registrati attraverso SEGA Account vengono esclusi dall’incidente, perché gestiti mediante un sistema di distribuzione differente. La distinzione è importante: il numero comunicato riguarda gli indirizzi email presenti negli elenchi compromessi e non dimostra automaticamente l’esistenza di altrettanti account di gioco violati. Il precedente delle compromissioni Mailchimp che avevano esposto account aziendali e chiavi API mostra quanto una piattaforma dedicata al marketing possa diventare un bersaglio appetibile anche senza custodire direttamente password o informazioni di pagamento.

Sega ricostruisce le date dell’incidente e sospende le newsletter

La cronologia pubblicata da Sega evidenzia una progressiva revisione delle informazioni ricevute dal fornitore. Il 29 ottobre, durante alcune verifiche di sicurezza, la società aveva chiesto ad Arara chiarimenti sull’integrità del servizio e aveva ricevuto una risposta che non segnalava fughe di dati. Il 1° novembre, dopo la comunicazione pubblica dell’accesso abusivo ai sistemi Arara, Sega ha avviato nuove richieste di verifica. Il 3 novembre è arrivata la conferma dell’esposizione degli indirizzi email, seguita da ulteriori accertamenti tra il 5 e l’8 novembre. Il 9 novembre l’azienda ha pubblicato il numero degli indirizzi coinvolti e annunciato la sospensione delle newsletter gestite tramite Arara fino al completamento delle verifiche di sicurezza.

Sega avverte che le informazioni sottratte potrebbero essere utilizzate per costruire campagne di phishing che imitano comunicazioni ufficiali, promozioni o messaggi relativi ai prodotti dell’azienda. Non risultano, al momento del comunicato, utilizzi malevoli confermati dei dati esposti. La società segnala separatamente un altro incidente relativo ai servizi di rete arcade di Sega Fave, sottolineando che si tratta di una vicenda distinta dalla compromissione del fornitore delle newsletter. La necessità di distinguere gli incidenti è fondamentale per evitare attribuzioni improprie e comprendere esattamente quali sistemi siano stati interessati.

York University, sottratti dati personali dai moduli dei dipartimenti

In Canada, York University ha confermato un incidente che interessa alcuni moduli online utilizzati dai dipartimenti universitari per attività amministrative, registrazioni a eventi, richieste di alloggio e questionari. La comunicazione istituzionale dell’ateneo spiega che un soggetto non autorizzato è riuscito ad accedere alle informazioni inserite dagli utenti e a sottrarle. La violazione è stata individuata il 25 ottobre 2026, quando l’università ha avviato le attività di contenimento e un’indagine assistita da specialisti esterni. Gli accertamenti non hanno individuato evidenze di propagazione verso altre componenti dell’infrastruttura informatica universitaria.

Il problema riguarda anche l’estensione temporale dei dati conservati. Alcuni moduli interessati risalgono al 2007, mentre altri sono stati utilizzati a partire dal 2013, 2015, 2019 o 2022. Questo non significa che l’intrusione fosse attiva da quelle date, ma che le informazioni sottratte possono comprendere registrazioni raccolte durante molti anni di attività amministrativa. Il caso richiama altri incidenti nel settore accademico, fra cui quelli di Oxford e delle piattaforme educative compromesse, nei quali servizi diversi dai sistemi didattici principali hanno esposto informazioni appartenenti a studenti, personale e soggetti esterni.

York University conferma anche dati sanitari e informazioni sensibili

L’elenco delle categorie potenzialmente coinvolte comprende indirizzi email, numeri identificativi universitari, recapiti, percorsi accademici, date di nascita e informazioni professionali, ma anche dati molto più delicati. In base al dipartimento e al modulo utilizzato, potrebbero essere presenti informazioni sanitarie, condizioni di disabilità, orientamento sessuale, appartenenza etnica, religione, situazione finanziaria e precedenti di natura legale o disciplinare. York University chiarisce che non tutte queste categorie riguardano ogni persona coinvolta e che la maggioranza delle informazioni sottratte consiste in dati identificativi e di contatto. Il comunicato non fornisce un numero complessivo delle persone interessate.

L’università ha segnalato l’incidente all’Information and Privacy Commissioner of Ontario e alle forze dell’ordine. Un gruppo limitato di persone i cui documenti identificativi governativi o dati relativi ai conti finanziari risultano esposti riceverà una comunicazione individuale e due anni di monitoraggio del credito e protezione contro il furto d’identità attraverso TransUnion. Per gli altri interessati, l’ateneo invita a consultare l’elenco dei dipartimenti e dei periodi coinvolti. Il problema della conservazione prolungata dei dati assume particolare rilevanza perché informazioni raccolte per attività amministrative temporanee possono mantenere una sensibilità elevata anche molti anni dopo. La questione era già emersa nell’analisi dei data breach che hanno coinvolto Dartmouth e Harvard.

Fireworks AI, credenziali interne utilizzate per accedere ai segreti dei clienti

Il terzo episodio riguarda Fireworks AI, piattaforma specializzata nell’esecuzione e nella gestione di modelli di intelligenza artificiale. Nel bollettino di sicurezza aggiornato il 10 ottobre 2026, la società comunica di avere individuato il 6 ottobre un utilizzo non autorizzato di credenziali interne. L’attaccante è riuscito ad accedere alle variabili d’ambiente utilizzate nei job di valutazione di un numero limitato di account clienti, ottenendo potenzialmente chiavi API e token conservati come segreti. La società ritiene che alcune credenziali siano state effettivamente acquisite, ma non quantifica pubblicamente il numero dei clienti interessati e dichiara di avere notificato direttamente quelli identificati.

Fireworks AI precisa di non avere rilevato evidenze di accesso non autorizzato ai modelli dei clienti, ai dataset, ai dati di addestramento, alle informazioni personali o al traffico di inferenza, compresi prompt e risposte, nel proprio perimetro di controllo. L’azienda ricorda inoltre che la piattaforma utilizza un modello Zero Data Retention e non conserva automaticamente prompt e output. Queste dichiarazioni delimitano la compromissione finora accertata, ma non eliminano il problema delle chiavi di terze parti: un token sottratto può consentire operazioni su servizi esterni, a seconda dei privilegi associati. Il rischio era già emerso nell’analisi delle chiavi AWS esposte e delle compromissioni attraverso servizi di terze parti.

Fireworks revoca le API key e rafforza la gestione delle credenziali

La risposta all’incidente è iniziata il 6 ottobre, con le prime notifiche ai clienti il giorno successivo. Il 9 ottobre Fireworks AI ha sostituito le chiavi API dei dipendenti e completato le notifiche agli account identificati; il 10 ottobre ha revocato ulteriori credenziali utente e modificato i token degli account di servizio individuati durante le verifiche. La società ha inoltre introdotto restrizioni di accesso e avviato una revisione del modo in cui i segreti vengono resi disponibili ai processi di valutazione dei modelli. Le indagini proseguono con il supporto di una società specializzata in cybersecurity.

Ai clienti interessati viene richiesto di sostituire le chiavi Fireworks revocate, ruotare le credenziali di terze parti e controllare i log dei servizi collegati. Eliminare un segreto dall’interfaccia Fireworks non revoca automaticamente la credenziale originale presso il servizio che l’ha emessa. La distinzione ricorda quanto documentato nell’incidente LiteLLM causato da una master key esposta e non revocata: una credenziale continua a rappresentare un rischio finché rimane valida, indipendentemente dalla rimozione del file o del campo nel quale era stata precedentemente memorizzata.

Tre incidenti differenti, un problema comune nella gestione delle informazioni

Sega, York University e Fireworks AI non hanno subito lo stesso attacco e non risultano vittime di un’unica campagna coordinata. I tre comunicati descrivono perimetri differenti: una piattaforma esterna di email marketing, moduli amministrativi universitari e credenziali utilizzate da un servizio cloud per l’intelligenza artificiale. La caratteristica condivisa è la presenza di informazioni o autorizzazioni che continuano a produrre rischi anche al di fuori della funzione principale per la quale erano state raccolte. Un indirizzo inserito in una newsletter può alimentare phishing, un modulo universitario conservato per anni può esporre informazioni sensibili e una chiave API utilizzata per un processo di valutazione può aprire l’accesso a risorse esterne.

Per gli interessati diventano quindi importanti tre verifiche distinte: prestare attenzione alle comunicazioni che imitano Sega, consultare le informazioni pubblicate da York University e intervenire sulle credenziali identificate nelle notifiche Fireworks AI. Sul piano organizzativo, gli incidenti evidenziano la necessità di controllare i dati affidati ai fornitori, limitare i tempi di conservazione e revocare le autorizzazioni non più indispensabili. La sicurezza non si esaurisce nella protezione dell’applicazione principale: comprende ogni servizio secondario che conserva informazioni o dispone delle credenziali necessarie per accedervi.