CEVA Logisticsin kyberhyökkäys paljasti toimitustietoja ja sotki Pokémon Center -tilauksia

CEVA Logisticsiin kohdistunut kyberhyökkäys häiritsi Pokémon Centerin tilausten käsittelyä Iso-Britanniassa ja Saksassa ja saattoi paljastaa asiakkaiden toimitus- ja tilaustietoja. Hyökkäys ei lähtenyt Pokémon Centerin verkkosivustolta tai sen omista asiakastileistä, eikä saatavilla olevien tietojen mukaan maksukorttitietoja paljastunut tämän vaikutuksen yhteydessä.

Asiakkaiden kannalta ongelma näkyy kahdella tavalla: osa tilauksista peruttiin tai viivästyi, ja vuotaneita tietoja voidaan käyttää poikkeuksellisen uskottavissa huijausviesteissä.

Mitä CEVA Logisticsille tapahtui?

CEVA Logistics on Ranskassa pääkonttoriaan pitävä CMA CGM -konsernin sopimuslogistiikkayhtiö. Se ylläpitää maailmanlaajuisesti yli tuhatta varastoa ja hoitaa useiden jälleenmyyjien sekä teknologiayritysten tilausten keräilyä, pakkaamista ja toimituksia.

Hyökkääjillä oli pääsy CEVA:n järjestelmiin arviolta 29. heinäkuuta–1. elokuuta 2026. Hyökkäys häiritsi osaa yhtiön Euroopan sopimuslogistiikan toiminnoista. Raporttien mukaan kahdeksan varastoa joutui vaikutusten piiriin, minkä vuoksi lähetyksiä pysäytettiin tai niitä ei voitu toimittaa eteenpäin. CEVA ilmoitti vaikutusten kohteeksi joutuneille asiakkaille 1. elokuuta, etteivät häiriintyneissä toimipisteissä olevat tavarat lähteneet toimitukseen.

CEVA tutki tapausta vielä viimeisimpien raporttien aikaan. Hyökkäyksen tarkkaa toteutustapaa, kaikkien vaikutusten kohteeksi joutuneiden henkilöiden määrää, käsiksi päätyneitä tietoja ja mahdollista tietojen kopiointia tai poistamista ei ole vahvistettu julkisesti. Myöskään mikään kiristyshaittaohjelmaryhmä tai muu hyökkääjä ei ollut tiettävästi ilmoittautunut vastuulliseksi.

Miten Pokémon Centerin asiakkaat kärsivät?

Pokémon Center ilmoitti Iso-Britannian ja Saksan asiakkailleen, että sen tilausten toimituksissa käyttämä CEVA oli joutunut kyberhyökkäyksen kohteeksi. CEVA:lla oli toimitusten järjestämistä varten tietoja PokémonCenter.com-sivustolta tehdyistä tilauksista, mutta Pokémon Centerin mukaan tapaus ei ollut sen omien asiakastilien tai maksunkäsittelyn tietomurto.

Asiakkaat ovat raportoineet erityisesti kahdesta vaikutuksesta:

• Tilauksia peruttiin: Pokémon Center perui osan keskeneräisistä tilauksista. Raportoituihin tapauksiin kuului Pokémonin 30-vuotisjuhlaan liittyviä korttituotteiden ennakkotilauksia.
• Toimitukset viivästyivät: Osa tilauksista jäi odottamaan käsittelyä, koska häiriintyneet logistiikkatoiminnot eivät pystyneet käsittelemään lähetyksiä normaalisti.

Asiakasraporteissa Ghost Chateau Cyndaquil -avaimenperä on yhdistetty häiriöön. Saatavilla olevat tiedot eivät kuitenkaan osoita, että Pokémon Center olisi vahvistanut juuri tämän tuotteen vaarantuneeksi tai virallisesti perutuksi. Sitä ei siksi pidä esittää varmana esimerkkinä.

Miksi tilauksia peruttiin eikä vain viivästetty?

Pokémon Center ei ole julkisesti selittänyt yksittäisten tilausten peruutuspäätöksiä. Mahdollisia toiminnallisia syitä voivat olla esimerkiksi epäluotettavat varastotiedot, vaikeus paikantaa tai kohdentaa tuotteita tai tarve rakentaa tilaukset turvallisesti uudelleen. Nämä ovat kuitenkin vain mahdollisia selityksiä, eivät vahvistettuja tutkinnan tuloksia.

Tilauksen peruuttaminen ei siis todista, että siihen liittyvät asiakastiedot olisi varastettu. Se ei myöskään todista tietojen säilyneen turvassa. Tilausstatus voi kuvastaa hyökkäyksen jälkeistä toimituspäätöstä, ei rikosteknisen tutkinnan lopputulosta.

Mitä tietoja saattoi paljastua?

Pokémon Centerin asiakkaiden osalta mahdollisesti käsiksi päätyneisiin tietoihin kuuluvat raporttien mukaan:

• koko nimi
• toimitus- tai laskutusosoite
• sähköpostiosoite
• puhelinnumero
• tilaustiedot, kuten tilatut tuotteet ja toimitukseen liittyvät tiedot

Kyse ei ole samasta asiasta kuin salasanojen tai maksukorttien vuotaminen. Pokémon Centerin ilmoitusten ja raporttien mukaan sen omia verkkosivusto- ja asiakastilijärjestelmiä ei murrettu, eikä maksukorttitietoja käytetty tämän CEVA-tapauksen kautta.

Tämä pienentää suoraa korttivarkauden ja tilikaappauksen riskiä, mutta ei poista sitä kokonaan. Kun huijarilla on oikea nimi, osoite, sähköpostiosoite ja tieto tilatusta tuotteesta, tekaistu toimitus-, hyvitys- tai peruutusviesti voi näyttää hyvin uskottavalta.

Mitä muita yrityksiä ja asiakkaita tapaus kosketti?

CEVA:n asema useiden yritysten yhteisenä logistiikkakumppanina laajensi vaikutuksia Pokémon Centerin ulkopuolelle. Tapaukseen yhdistettyjä tai asiakkailleen ilmoittaneita organisaatioita olivat muun muassa:

• Valve ja fyysisiä Steam-laitteita ostaneet eurooppalaiset asiakkaat
• hollantilaiset verkkokaupat bol ja De Bijenkorf
• ING
• Ace & Tate
• Ajax

Raporteissa puhuttiin noin tusinasta vaikutusten kohteeksi joutuneesta organisaatiosta, mutta lista voi täydentyä tutkinnan edetessä.

Valve varoitti erikseen eurooppalaisia asiakkaita, jotka olivat ostaneet fyysisiä Steam-laitteita, kuten Steam Deckin, Steam Machinen tai Steam Controllerin. Mahdollisesti paljastuneet tiedot liittyivät toimituksiin. Valven mukaan Steam-salasanat, maksukorttien numerot ja Steam Guard -koodit eivät olleet mukana.

Kyse oli siten toimitusketjuun kohdistuneesta tietoturvapoikkeamasta, jossa murrettiin yhteinen logistiikkapalveluntarjoaja, ei suorasta Steam- tai Pokémon Center -murrosta.

Miksi tietojenkalastelun riski on tavallista suurempi?

Toimitus- ja tilaustiedot ovat hyödyllisiä manipulointiin, koska niiden avulla hyökkääjä voi kirjoittaa viestin, joka vaikuttaa vahvistavan vastaanottajan jo odottamaa tapahtumaa. Epäile viestiä, vaikka siinä mainittaisiin oikea tuote, osoite, tilaus tai peruutus.

Mahdollisia huijausyrityksiä ovat esimerkiksi:

• pyyntö maksaa tekaistu uudelleentoimitus- tai tullimaksu
• ilmoitus, että peruttu 30-vuotisjuhlatuote on löytynyt tai tullut uudelleen myyntiin
• valheellinen hyvitys- tai korvaavan tuotteen tarjous
• pyyntö vahvistaa osoite, maksukortti, salasana tai kertakäyttöinen turvakoodi
• Pokémon Centeriksi, CEVA:ksi, Valveksi, kuljetusyhtiöksi, pankiksi tai tulliviranomaiseksi tekeytyvä viesti

CEVA on myös erikseen varoittanut huijauksista, joissa käytetään sen nimeä, logoa, lomakepohjia, työntekijöiden henkilöllisyyksiä ja väärennettyjä verkkosivustoja.

Näin asiakkaiden kannattaa toimia

1. Tarkista tilaukset vain virallisista palveluista. Avaa Pokémon Centerin tai Steamin tili suoraan tallennetun kirjanmerkin tai itse kirjoitetun osoitteen kautta. Älä käytä yllättävien sähköpostien, tekstiviestien tai sosiaalisen median vastausten linkkejä.
2. Älä maksa paketin “vapauttamisesta”. Jos lähetyksessä on ongelma, ota yhteyttä myyjään, kuljetusyhtiöön tai pankkiin itsenäisesti hankittujen yhteystietojen kautta.
3. Älä koskaan luovuta salasanaa tai kertakäyttökoodia. Toimituksen, hyvityksen tai korvaavan tuotteen järjestämisen ei pitäisi vaatia salasanaa, monivaiheisen tunnistautumisen koodia tai Steam Guard -koodia.
4. Suojaa tilaukseen liitetty sähköpostitili. Käytä yksilöllistä salasanaa ja ota monivaiheinen tunnistautuminen käyttöön. Vaihda salasana myös muista palveluista, joissa sama sähköpostiosoite ja salasana on ollut käytössä.
5. Seuraa maksuliikennettä. Tämän tapauksen ei ole ilmoitettu koskevan Pokémon Centerin maksukorttitietoja, mutta ota epäselvästä veloituksesta yhteyttä kortinmyöntäjään sen virallisen numeron kautta.
6. Säilytä dokumentit. Pidä tallessa tilausvahvistukset, peruutusviestit, hyvitystiedot ja seurantatiedot. Kysy perutusta tilauksesta tai mahdollisesta uudesta tilauksesta vain viralliselta asiakastuelta.
7. Suhtaudu varauksella myös fyysiseen yhteydenottoon. Odottamaton puhelu, vierailu tai viesti, jossa mainitaan koti-osoitteesi tai “löytynyt” paketti, vaatii erityistä tarkkaavaisuutta.

Tapauksen tärkein opetus on, että logistiikkakumppanin tietomurto voi vaikuttaa asiakkaisiin, vaikka jälleenmyyjän pääsivusto pysyisi suojattuna. Tässä tapauksessa tunnettu riski keskittyy toimitus- ja tilaustietoihin. Yksittäisten Pokémon Center -peruutusten syy ja CEVA:n tietomurron täysi laajuus ovat kuitenkin edelleen selvittämättä.