Kyberútok na logistickou firmu narušil objednávky Pokémon Center a ohrozil doručovací data

Vyšetřování v posledních dostupných zprávách stále pokračovalo. Veřejně nebyl potvrzen způsob průniku, přesný počet dotčených osob, konkrétní rozsah zpřístupněných dat ani to, zda útočníci informace odnesli. K útoku se také nepřihlásila žádná známá ransomwarová skupina ani jiný útočník.

Jak incident zasáhl zákazníky Pokémon Center?

Pokémon Center informoval zákazníky ve Spojeném království a Německu, že kyberútok na společnost CEVA ovlivnil informace používané k vyřízení objednávek z webu PokémonCenter.com. CEVA tato data potřebovala k doručení zboží; Pokémon Center zároveň uvedl, že incident neznamenal napadení jeho vlastních zákaznických účtů ani platebního systému.

Zákazníci hlásili především dva typy problémů:

• Zrušené objednávky: Pokémon Center zrušil některé nevyřízené objednávky, včetně hlášených předobjednávek karetních produktů k 30. výročí Pokémonů.
• Zpoždění expedice a vyřízení: Další objednávky se zpozdily kvůli narušení logistických operací.

V uživatelských hlášeních se v souvislosti s incidentem objevuje také přívěsek Ghost Chateau Cyndaquil. Dostupné podklady však neukazují, že by Pokémon Center tento konkrétní produkt veřejně označil za kompromitovaný nebo oficiálně zrušený. Nelze jej proto uvádět jako potvrzený příklad.

Proč byly některé objednávky zrušeny místo odložení?

Pokémon Center veřejně nevysvětlil, proč u konkrétních objednávek zvolil zrušení. Mezi možné provozní důvody patří nespolehlivé záznamy o vyřízení, potíže s dohledáním či přidělením skladových zásob nebo potřeba bezpečně vytvořit objednávky znovu. Jde však pouze o rozumné možnosti, nikoli o potvrzené závěry vyšetřování.

Zrušení objednávky samo o sobě nedokazuje, že související osobní údaje byly odcizeny. Stejně tak ale není důkazem, že data zůstala v bezpečí. Stav objednávky může být výsledkem logistického rozhodnutí přijatého po incidentu, nikoli výsledkem dokončené forenzní analýzy.

Jaká data mohla být zpřístupněna?

U dotčených zákazníků Pokémon Center se mezi potenciálně ohroženými údaji uvádějí:

• celé jméno,
• doručovací nebo fakturační adresa,
• e-mailová adresa,
• telefonní číslo,
• informace o objednávce včetně objednaných produktů a údajů souvisejících s vyřízením zásilky.

Nejde o totéž jako o únik hesel nebo platebních údajů. Oznámení Pokémon Center a dostupné zprávy uvádějí, že jeho vlastní web a zákaznické účty nebyly kompromitovány a že prostřednictvím tohoto incidentu nebyly zpřístupněny údaje platebních karet.

Toto rozlišení snižuje přímé riziko krádeže platební karty nebo převzetí účtu. Riziko ale zcela nemizí: podvodník, který zná skutečné jméno, adresu, e-mail a konkrétní produkt, může vytvořit falešnou zprávu o doručení či vrácení peněz, která bude působit velmi věrohodně.

Které další firmy byly zasaženy?

Protože CEVA funguje jako společný logistický dodavatel pro více klientů, dopad se neomezil na Pokémon Center. Mezi organizace, u nichž byl dopad hlášen nebo které zákazníky informovaly, patří:

• Valve, které v Evropě doručuje fyzický hardware pro Steam,
• nizozemští prodejci bol a De Bijenkorf,
• banka ING,
• optická značka Ace & Tate,
• fotbalový klub Ajax.

Zpravodajství hovořilo přibližně o desítce zasažených organizací, ale seznam nemusí být úplný, dokud vyšetřování neskončí.

Valve samostatně varovalo evropské zákazníky, kteří si objednali fyzický hardware, například Steam Deck, Steam Machine nebo Steam Controller. Mohly být zpřístupněny údaje potřebné k doručení; Valve uvedlo, že se incident netýkal hesel ke Steamu, čísel platebních karet ani kódů Steam Guard.

Nešlo tedy o přímé prolomení Steamu nebo Pokémon Center, ale o kompromitaci společného logistického dodavatele v rámci dodavatelského řetězce.

Proč je riziko phishingu mimořádně vysoké?

Kombinace jména, adresy, kontaktu a detailu objednávky je pro sociální inženýrství velmi cenná. Útočník může vytvořit zprávu, která předstírá potvrzení něčeho, co příjemce skutečně očekává.

Za podezřelé považujte i zprávy, které zmiňují skutečný produkt, adresu, číslo objednávky nebo reálné zrušení zásilky. Mezi možné návnady patří:

• požadavek na úhradu „poplatku za opětovné doručení“ nebo cla,
• tvrzení, že zrušený produkt k 30. výročí byl znovu nalezen či naskladněn,
• falešná nabídka vrácení peněz nebo náhradního kusu,
• žádost o potvrzení adresy, platební karty, hesla nebo jednorázového kódu,
• zpráva vydávající se za Pokémon Center, CEVA, Valve, kurýra, banku nebo celní úřad.

CEVA navíc samostatně varovala před podvody, které zneužívají její název, logo, hlavičkový papír, identity zaměstnanců a falešné weby.

Co by měli dotčení zákazníci udělat?

1. Stav objednávky kontrolujte pouze přes oficiální web nebo aplikaci. Do účtu Pokémon Center či Steamu přejděte přímo přes uloženou záložku nebo ručně zadanou adresu. Neotevírejte odkazy z nečekaných e-mailů, SMS ani odpovědí na sociálních sítích.
2. Neplaťte za „uvolnění“ zásilky. Prodejce, dopravce nebo banku kontaktujte pomocí údajů získaných z jejich oficiálních webů, nikoli přes kontakty uvedené v podezřelé zprávě.
3. Nikdy nesdělujte hesla ani jednorázové kódy. Doručení, refundace ani náhradní zásilka by neměly vyžadovat heslo k účtu, kód vícefaktorového ověření nebo kód Steam Guard.
4. Zabezpečte e-mail používaný při nákupu. Nastavte jedinečné heslo a zapněte vícefaktorové ověřování. Pokud stejné heslo používáte i jinde, změňte jej také v těchto službách.
5. Sledujte pohyby na účtu a kartě. Incident nenaznačuje, že by údaje platebních karet Pokémon Center unikly, ale při neznámé transakci kontaktujte vydavatele karty prostřednictvím oficiálního telefonního čísla.
6. Uchovávejte dokumentaci. Nechte si potvrzení objednávek, e-maily o zrušení, informace o refundaci i údaje o sledování zásilky. Ohledně zrušené objednávky nebo případného vrácení peněz kontaktujte oficiální podporu.
7. Buďte opatrní i vůči fyzickému vydávání se za někoho jiného. Nečekané telefonáty, návštěvy nebo zprávy odkazující na vaši domácí adresu či „znovu nalezený“ balík si nejprve nezávisle ověřte.

Hlavní poučení je jednoduché: únik u logistického dodavatele může zasáhnout zákazníky, i když hlavní web obchodníka zůstane zabezpečený. V tomto případě se potvrzené riziko soustředí na doručovací a objednávková data, zatímco důvod zrušení konkrétních objednávek Pokémon Center i celkový rozsah kompromitace CEVA zůstávají nejasné.