CEVA Logistics-angreb afslørede leveringsdata og forstyrrede Pokémon Center-ordrer

Et cyberangreb mod CEVA Logistics, den logistikleverandør som Pokémon Center bruger til ordrer i Storbritannien og Tyskland, forstyrrede lagerdriften i Europa og kan have eksponeret kunders leverings- og ordreoplysninger. Angrebet begyndte ikke på Pokémon Centers hjemmeside eller i virksomhedens kundekontosystemer, og de tilgængelige oplysninger tyder ikke på, at betalingskortdata blev eksponeret gennem Pokémon Center-delen af hændelsen.

For kunderne er problemet derfor todelt: Nogle ordrer blev annulleret eller forsinket, og berørte kunder kan nu være mere udsatte for overbevisende svindelbeskeder, der henviser til rigtige produkter, adresser eller ordreproblemer.

Hvad skete der hos CEVA Logistics?

CEVA Logistics er den Frankrig-baserede kontraktlogistikvirksomhed under CMA CGM. Selskabet driver mere end 1.000 lagre verden over og håndterer lager, pakning og forsendelse for en lang række detailhandlere og teknologivirksomheder.

Angriberne havde adgang til CEVA-systemer fra cirka 29. juli til 1. august 2026. Indtrængningen forstyrrede dele af CEVA’s europæiske kontraktlogistik, og ifølge rapporteringen blev otte lagre ramt. På de berørte lokationer blev forsendelser standset eller kunne ikke sendes ud. Den 1. august underrettede CEVA berørte kunder om, at varer på de forstyrrede lagre ikke blev afsendt.

I de seneste rapporter var CEVA stadig i gang med undersøgelsen. Metoden, som angriberne brugte, det samlede antal berørte personer, præcis hvilke data der blev tilgået, og om oplysninger blev fjernet, er ikke offentligt fastslået. Ingen ransomwaregruppe eller anden angriber havde taget ansvaret i den tilgængelige rapportering.

Sådan blev Pokémon Center-kunder påvirket

Pokémon Center underrettede kunder i Storbritannien og Tyskland om, at et cyberangreb mod CEVA havde ramt oplysninger, der blev brugt til at opfylde ordrer fra PokémonCenter.com. CEVA havde disse oplysninger, fordi de var nødvendige for at kunne levere produkterne. Pokémon Center oplyste, at hændelsen ikke var et indbrud i virksomhedens egne kundekonti eller betalingsbehandling.

Kunderne oplevede især to driftsmæssige konsekvenser:

• Annullerede ordrer: Pokémon Center annullerede nogle ventende ordrer, herunder ifølge rapporter forudbestillinger på Pokémon-kortprodukter til 30-års-jubilæet.
• Forsinkede leveringer: Andre ordrer blev forsinket, fordi den berørte logistikdrift var forstyrret.

Ghost Chateau Cyndaquil-nøgleringen er blevet nævnt i kundeberetninger i forbindelse med hændelsen. Der er dog ikke tilstrækkelig dokumentation for, at Pokémon Center offentligt har bekræftet netop dette produkt som kompromitteret eller officielt annulleret. Det bør derfor ikke fremstilles som et bekræftet eksempel.

Hvorfor blev nogle ordrer annulleret i stedet for blot forsinket?

Pokémon Center har ikke offentligt forklaret, hvorfor bestemte ordrer blev annulleret. Mulige driftsmæssige forklaringer kan være upålidelige lager- eller opfyldelsesregistre, problemer med at finde eller reservere varer eller et ønske om at genopbygge ordrerne på en sikker måde. Det er dog mulige forklaringer – ikke bekræftede konklusioner.

En annullering beviser heller ikke, at de tilknyttede kundedata blev stjålet, og den beviser ikke, at dataene var sikre. Ordrestatus kan være resultatet af en beslutning om lagerhåndtering efter hændelsen og siger ikke nødvendigvis noget om udfaldet af den kriminaltekniske undersøgelse.

Hvilke oplysninger kan være eksponeret?

For berørte Pokémon Center-kunder omfatter de rapporterede eller potentielt eksponerede oplysninger:

• Fulde navn
• Leverings- eller faktureringsadresse
• E-mailadresse
• Telefonnummer
• Ordreoplysninger, herunder bestilte produkter og relevante leveringsdata

Det er ikke det samme som et password- eller betalingskortbrud. Pokémon Centers underretninger og den tilgængelige rapportering tyder på, at virksomhedens egen hjemmeside og kundekontosystemer ikke blev kompromitteret, og at betalingskortoplysninger ikke blev tilgået gennem denne hændelse.

Det mindsker den direkte risiko for kortmisbrug eller kontoovertagelse som følge af CEVA-eksponeringen. Risikoen for svindel forsvinder dog ikke. En svindler, der kender et rigtigt navn, en adresse, en e-mailadresse og et konkret produkt, kan få en falsk leverings- eller refunderingstekst til at virke troværdig.

Hvilke andre virksomheder blev ramt?

Fordi CEVA er fælles logistikleverandør for flere virksomheder, rakte hændelsen længere end Pokémon Center. Organisationer, der er blevet omtalt som berørte eller har underrettet kunder, omfatter:

• Valve i forbindelse med europæiske Steam-hardwarekøbere
• De nederlandske detailhandlere bol og De Bijenkorf
• ING
• Ace & Tate
• Ajax

Rapporteringen har beskrevet omkring et dusin berørte organisationer, men listen er muligvis ikke komplet, mens undersøgelsen fortsætter.

Valve advarede særskilt europæiske kunder, der havde købt fysisk Steam-hardware som Steam Deck, Steam Machine eller Steam Controller. De potentielt eksponerede oplysninger var leveringsrelaterede, mens Valve oplyste, at Steam-passwords, betalingskortnumre og Steam Guard-koder ikke var involveret.

Der er altså tale om et leverandørangreb mod en fælles logistikpartner – ikke et direkte indbrud i Steam eller Pokémon Center.

Derfor er phishingrisikoen usædvanligt høj

De eksponerede oplysninger er særligt nyttige til social engineering, fordi de kan hjælpe en angriber med at skrive en besked, der ligner en bekræftelse på noget, modtageren allerede forventer. Vær derfor skeptisk over for uopfordrede beskeder, også når de nævner et ægte produkt, en rigtig ordre, din adresse eller en faktisk annullering.

Mulige svindelforsøg kan være:

• En anmodning om betaling af et såkaldt genleveringsgebyr eller toldgebyr
• En påstand om, at et annulleret 30-års-jubilæumsprodukt er fundet eller kommet på lager igen
• Et falsk tilbud om refundering eller erstatningsvare
• En anmodning om at bekræfte adresse, kortoplysninger, password eller engangskode
• En besked, der udgiver sig for at komme fra Pokémon Center, CEVA, Valve, et fragtfirma, en bank eller toldmyndighederne

CEVA har også separat advaret om svindel, hvor selskabets navn, logo, brevpapir, medarbejderidentiteter og falske hjemmesider bruges i bedrageriske henvendelser.

Det bør berørte kunder gøre nu

1. Tjek kun ordrer via officielle hjemmesider eller apps. Åbn Pokémon Center- eller Steam-portalen direkte via et gemt bogmærke eller ved selv at indtaste adressen. Brug ikke links i uventede e-mails, sms’er eller svar på sociale medier.
2. Betal ikke for at få en pakke frigivet. Kontakt forhandleren, fragtfirmaet eller banken via kontaktoplysninger, du selv har fundet – ikke via beskeden, du har modtaget.
3. Del aldrig passwords eller engangskoder. En leverings-, refundering- eller erstatningssag bør ikke kræve dit kontopassword, en multifaktorkode eller en Steam Guard-kode.
4. Sikr den e-mailkonto, du brugte til ordren. Brug et unikt password og slå multifaktorgodkendelse til. Skift også password på andre konti, hvor du har genbrugt den samme kombination af e-mailadresse og password.
5. Hold øje med betalinger. Hændelsen tyder ikke på, at Pokémon Centers betalingskortdata blev eksponeret, men kontakt kortudstederen via det officielle telefonnummer, hvis du ser en ukendt transaktion.
6. Gem dokumentation. Opbevar ordrebekræftelser, annulleringsmails, oplysninger om refundering og trackingdata. Brug officiel kundeservice til at spørge om en annulleret ordre eller mulighederne for refundering eller genbestilling.
7. Vær opmærksom på fysisk identitetssvindel. Uventede opkald, besøg eller beskeder, der henviser til din hjemmeadresse eller en påstået genfundet pakke, bør undersøges ekstra grundigt.

Den vigtigste læring er, at et brud hos en logistikleverandør kan ramme kunder, selv om forhandlerens egen hjemmeside stadig er sikker. I denne sag drejer den kendte eksponering sig primært om leverings- og ordreoplysninger, mens årsagen til de enkelte Pokémon Center-annulleringer og det fulde omfang af CEVA-kompromitteringen fortsat er uafklaret.