Qué deben saber los clientes de Pokémon Center y Steam sobre el ataque a CEVA Logistics

Un ciberataque contra CEVA Logistics, el proveedor de logística que gestiona los envíos de Pokémon Center en Reino Unido y Alemania, interrumpió operaciones de almacenes europeos y pudo dejar expuestos datos de entrega y de pedidos. El incidente no se originó en la web ni en los sistemas de cuentas de Pokémon Center, y los informes disponibles indican que la información de tarjetas no quedó expuesta a través de este impacto.

El problema para los clientes tiene dos vertientes: algunos pedidos fueron cancelados o se retrasaron, y los compradores afectados podrían recibir ahora mensajes fraudulentos especialmente convincentes, con referencias a productos reales, direcciones auténticas o problemas concretos de sus pedidos.

Qué ocurrió en CEVA Logistics

CEVA Logistics es la división de logística contractual, con sede en Francia, del grupo CMA CGM. Opera más de 1.000 almacenes en todo el mundo y gestiona el almacenamiento, la preparación y el envío de productos para numerosos comercios y empresas tecnológicas.

Los atacantes tuvieron acceso a sistemas de CEVA aproximadamente entre el 29 de julio y el 1 de agosto de 2026. La intrusión interrumpió parte de las operaciones logísticas de la compañía en Europa; según los informes, ocho almacenes resultaron afectados y algunos envíos quedaron detenidos o no pudieron despacharse. El 1 de agosto, CEVA notificó a sus clientes afectados que las mercancías almacenadas en esas instalaciones no se estaban enviando.

En los últimos informes disponibles, CEVA seguía investigando el incidente. Todavía no se han establecido públicamente el método de intrusión, el número total de personas afectadas, qué datos se consultaron con precisión ni si se extrajo información. Ningún grupo de ransomware u otro atacante había asumido la responsabilidad.

Cómo afectó a los clientes de Pokémon Center

Pokémon Center avisó a clientes de Reino Unido y Alemania de que CEVA había sufrido un ciberataque que afectaba a la información utilizada para preparar y entregar pedidos de PokémonCenter.com. El proveedor logístico recibía esos datos para poder realizar los envíos; Pokémon Center afirmó que el incidente no comprometió sus propias cuentas de clientes ni su procesamiento de pagos.

Los efectos operativos comunicados por los clientes se dividen principalmente en dos grupos:

• Pedidos cancelados: Pokémon Center canceló algunos pedidos pendientes, incluidas reservas de productos de cartas del 30.º aniversario de Pokémon, según varios informes.
• Retrasos en envíos y preparación: otros pedidos quedaron demorados debido a la interrupción de las operaciones logísticas afectadas.

El llavero de Cyndaquil de Ghost Chateau aparece mencionado en algunos comentarios de clientes relacionados con la incidencia. Sin embargo, las pruebas disponibles no muestran que Pokémon Center haya identificado públicamente ese producto concreto como comprometido o cancelado oficialmente. Por tanto, no debe presentarse como un caso confirmado.

Por qué se cancelaron algunos pedidos en vez de retrasarse

Pokémon Center no ha explicado públicamente por qué determinados pedidos fueron cancelados en lugar de quedar retenidos hasta que se reanudaran los envíos. Entre las posibles explicaciones operativas están que los registros de preparación ya no fueran fiables, que resultara difícil localizar o asignar el inventario, o que la empresa decidiera reconstruir los pedidos de forma segura. Son posibilidades razonables, no conclusiones confirmadas.

La cancelación tampoco demuestra que los datos asociados al pedido fueran robados, ni demuestra que estuvieran a salvo. El estado del pedido puede reflejar una decisión operativa tomada después del incidente, no el resultado definitivo del análisis forense.

Qué información pudo quedar expuesta

En el caso de los clientes afectados de Pokémon Center, la información reportada o potencialmente expuesta incluye:

• Nombre y apellidos.
• Dirección de entrega o facturación.
• Dirección de correo electrónico.
• Número de teléfono.
• Información del pedido, como los productos comprados y datos relacionados con su preparación y envío.

Esto no equivale a una filtración de contraseñas o tarjetas bancarias. Las notificaciones de Pokémon Center y los informes disponibles indican que sus sistemas de cuentas y su propia web no fueron comprometidos, y que la información de tarjetas no fue consultada a través de este incidente.

La diferencia reduce el riesgo directo de robo de tarjetas o toma de control de cuentas. Pero no elimina el peligro: alguien que conozca el nombre, la dirección, el correo y el producto comprado puede hacer que un falso aviso de entrega, reembolso o cancelación parezca auténtico.

Qué otras empresas y clientes resultaron afectados

Al tratarse de un proveedor logístico compartido, el incidente no se limitó a Pokémon Center. Entre las organizaciones afectadas o que notificaron a sus clientes aparecen:

• Valve, en el caso de compradores europeos de hardware de Steam.
• Los comercios neerlandeses bol y De Bijenkorf.
• ING.
• Ace & Tate.
• Ajax.

Los informes hablan de aproximadamente una docena de organizaciones afectadas, aunque la lista podría no ser definitiva mientras continúa la investigación.

Por separado, Valve advirtió a clientes europeos que habían comprado hardware físico de Steam, incluidos Steam Deck, Steam Machine y Steam Controller. La información potencialmente expuesta estaba relacionada con la entrega. Valve afirmó que no estaban implicados las contraseñas de Steam, los números de tarjeta ni los códigos de Steam Guard.

En otras palabras, se trata de un compromiso de la cadena de suministro en un proveedor logístico, no de una intrusión directa en Steam o Pokémon Center.

Por qué el riesgo de phishing es especialmente alto

Los datos expuestos son muy útiles para la ingeniería social porque permiten crear mensajes que parecen confirmar algo que la víctima ya espera. Conviene desconfiar de cualquier comunicación no solicitada, incluso si menciona un producto real, una dirección correcta, un pedido concreto o una cancelación que efectivamente ocurrió.

Entre los posibles engaños están:

• Una petición para pagar una supuesta tasa de reentrega o aduanas.
• Un mensaje que afirma que un producto del 30.º aniversario cancelado ha reaparecido o está disponible de nuevo.
• Un falso reembolso, reemplazo o enlace de reposición prioritaria.
• Una solicitud para confirmar la dirección, los datos de la tarjeta, la contraseña o un código de un solo uso.
• Un mensaje que suplanta a Pokémon Center, CEVA, Valve, una empresa de mensajería, un banco o una agencia de aduanas.

CEVA también ha advertido de estafas que utilizan su nombre, logotipo, membretes, identidades de empleados y sitios web falsos para enviar comunicaciones fraudulentas.

Qué deben hacer ahora los clientes afectados

1. Comprobar los pedidos solo desde webs o aplicaciones oficiales. Accede directamente al portal de Pokémon Center o Steam mediante un marcador guardado o escribiendo la dirección manualmente. No uses enlaces de correos, SMS o respuestas inesperadas en redes sociales.
2. No pagues para “liberar” un paquete. Contacta con la tienda, la empresa de transporte o el banco mediante datos obtenidos por separado, nunca a través del mensaje recibido.
3. No compartas contraseñas ni códigos de un solo uso. Un trámite de entrega, reembolso o sustitución no debería exigir la contraseña de una cuenta, un código de autenticación multifactor ni un código de Steam Guard.
4. Protege la cuenta de correo utilizada para el pedido. Usa una contraseña única y activa la autenticación multifactor. Cambia las contraseñas de otros servicios si reutilizaste la misma combinación de correo y contraseña.
5. Vigila los movimientos bancarios. El incidente no indica que los datos de tarjetas de Pokémon Center fueran expuestos, pero contacta con tu entidad emisora mediante su número oficial si detectas una operación desconocida.
6. Guarda toda la documentación. Conserva confirmaciones de pedido, correos de cancelación, información sobre reembolsos y datos de seguimiento. Para consultar una cancelación o las opciones de reembolso y recompra, utiliza el soporte oficial.
7. Presta atención a posibles suplantaciones en el mundo físico. Una llamada, visita o comunicación inesperada que mencione tu domicilio o un paquete supuestamente recuperable merece un escrutinio adicional.

La principal lección es que una brecha en una empresa de logística puede afectar a los clientes aunque la web de la tienda siga funcionando con normalidad. En este caso, la exposición conocida se concentra en datos de entrega y pedidos, mientras que el motivo de las cancelaciones individuales de Pokémon Center y el alcance completo del compromiso de CEVA siguen sin resolverse.