Cyberattaque contre CEVA Logistics : commandes Pokémon Center perturbées et données de livraison exposées

Une cyberattaque contre CEVA Logistics, le prestataire chargé de l’exécution et de l’expédition des commandes de Pokémon Center au Royaume-Uni et en Allemagne, a perturbé les opérations de plusieurs entrepôts européens et pourrait avoir exposé des données de livraison et de commande. L’attaque ne provenait pas du site de Pokémon Center ni de ses systèmes de comptes clients. Les informations disponibles indiquent également que les données de cartes bancaires n’ont pas été exposées dans le cadre de l’impact subi par Pokémon Center.

Pour les clients, les conséquences sont de deux ordres : des commandes ont été annulées ou retardées, et les personnes concernées pourraient recevoir des messages frauduleux particulièrement crédibles, mentionnant un véritable produit, une adresse exacte ou un problème réel de livraison.

Que s’est-il passé chez CEVA Logistics ?

CEVA Logistics est la branche de logistique contractuelle du groupe CMA CGM, dont le siège est en France. L’entreprise exploite plus de 1 000 entrepôts dans le monde et assure la préparation, l’exécution et l’expédition des commandes pour de nombreux distributeurs et entreprises technologiques.

Les attaquants ont eu accès à certains systèmes de CEVA entre le 29 juillet et le 1er août 2026. L’intrusion a perturbé une partie des activités logistiques contractuelles de l’entreprise en Europe. Huit entrepôts auraient été touchés, avec des expéditions suspendues ou impossibles à traiter. Le 1er août, CEVA a prévenu les clients concernés que les marchandises stockées dans les sites perturbés ne pouvaient pas être expédiées.

Dans les derniers comptes rendus disponibles, l’enquête de CEVA était toujours en cours. La méthode d’intrusion, le nombre total de personnes concernées, la nature exacte des données consultées et la question de savoir si des informations ont été copiées ou exfiltrées n’ont pas été établis publiquement. Aucun groupe de rançongiciel ni autre attaquant n’avait revendiqué l’opération.

Quel impact pour les clients de Pokémon Center ?

Pokémon Center a informé des clients au Royaume-Uni et en Allemagne qu’une cyberattaque contre CEVA avait affecté les informations utilisées pour traiter et expédier les commandes passées sur PokémonCenter.com. CEVA détenait ces données parce qu’elles étaient nécessaires à la livraison des produits. Pokémon Center a précisé que l’incident ne constituait pas une compromission de ses propres comptes clients ou de son système de paiement.

Les clients ont principalement signalé deux types de conséquences :

• Des commandes annulées : Pokémon Center a annulé certaines commandes en attente, dont des précommandes signalées de produits de cartes à collectionner du 30e anniversaire de Pokémon.
• Des retards d’expédition et de préparation : d’autres commandes ont été retardées par la désorganisation des opérations logistiques concernées.

Le porte-clés Ghost Chateau Cyndaquil a été mentionné dans des témoignages de clients au sujet de la perturbation. Toutefois, les éléments disponibles ne montrent pas que Pokémon Center ait officiellement indiqué que cette référence précise avait été compromise ou annulée. Il ne faut donc pas la présenter comme un exemple confirmé.

Pourquoi certaines commandes ont-elles été annulées plutôt que simplement retardées ?

Pokémon Center n’a pas expliqué publiquement la raison de l’annulation de chaque commande. Plusieurs explications opérationnelles sont possibles : des données de préparation devenues peu fiables, l’impossibilité de localiser ou d’attribuer correctement les stocks, ou encore la nécessité de recréer les commandes dans un environnement sécurisé. Il s’agit de scénarios plausibles, et non de conclusions établies.

Une annulation ne prouve donc pas que les données associées ont été volées. Elle ne prouve pas non plus qu’elles sont restées à l’abri. Le statut d’une commande peut simplement refléter une décision logistique prise après l’incident, avant la fin de l’analyse forensique.

Quelles données pourraient avoir été exposées ?

Pour les clients Pokémon Center concernés, les informations signalées comme potentiellement exposées comprennent :

• le nom complet ;
• l’adresse de livraison ou de facturation ;
• l’adresse e-mail ;
• le numéro de téléphone ;
• les informations relatives à la commande, notamment les produits achetés et les données nécessaires à leur expédition.

Il ne s’agit pas d’une fuite de mots de passe ou de données bancaires. Les notifications de Pokémon Center et les informations publiées indiquent que le site et les systèmes de comptes clients de l’enseigne n’ont pas été compromis et que les données de cartes bancaires n’ont pas été consultées dans le cadre de cet incident.

Cette distinction réduit le risque direct de fraude à la carte ou de prise de contrôle d’un compte. Elle ne supprime pas le danger : un escroc qui connaît le nom, l’adresse, l’adresse e-mail et le contenu d’une commande peut rédiger un faux message de livraison ou de remboursement qui semble authentique.

Quelles autres entreprises ont été touchées ?

Le rôle de CEVA en tant que prestataire logistique partagé explique que l’incident dépasse largement Pokémon Center. Parmi les organisations citées comme affectées ou ayant averti leurs clients figurent :

• Valve, pour les acheteurs européens de matériel Steam ;
• les distributeurs néerlandais bol et De Bijenkorf ;
• ING ;
• Ace & Tate ;
• l’Ajax.

Les articles disponibles évoquent environ une douzaine d’organisations concernées, mais cette liste peut encore évoluer pendant la poursuite de l’enquête.

Valve a également prévenu des clients européens ayant acheté du matériel physique, notamment un Steam Deck, une Steam Machine ou un Steam Controller. Les informations potentiellement exposées étaient liées à la livraison. Valve a indiqué que les mots de passe Steam, les numéros de carte bancaire et les codes Steam Guard n’étaient pas concernés.

Il s’agit donc d’une compromission de la chaîne logistique chez un prestataire commun, et non d’un piratage direct de Steam ou de Pokémon Center.

Pourquoi le risque d’hameçonnage est particulièrement élevé

Les données exposées sont très utiles pour l’ingénierie sociale : elles permettent de fabriquer un message qui semble confirmer un événement que le destinataire attend déjà. Même s’il mentionne un produit réel, une commande exacte, une adresse correcte ou une annulation effectivement reçue, tout message inattendu doit être considéré avec prudence.

Les tentatives pourraient notamment prendre la forme de :

• une demande de paiement de « frais de nouvelle livraison » ou de frais de douane ;
• un message affirmant qu’un produit du 30e anniversaire annulé a été retrouvé ou remis en stock ;
• une fausse proposition de remboursement ou de remplacement ;
• une demande de confirmer une adresse, une carte bancaire, un mot de passe ou un code à usage unique ;
• un message imitant Pokémon Center, CEVA, Valve, un transporteur, une banque ou un service douanier.

CEVA a par ailleurs déjà averti que des escrocs utilisent son nom, son logo, son papier à en-tête, l’identité de ses employés et de faux sites web dans des communications frauduleuses.

Que faire si vous êtes concerné ?

1. Vérifiez vos commandes uniquement depuis les sites ou applications officiels. Ouvrez directement votre compte Pokémon Center ou Steam depuis un favori enregistré ou en saisissant vous-même l’adresse du site. N’utilisez pas les liens reçus par e-mail, SMS ou message sur les réseaux sociaux.
2. Ne payez pas pour « libérer » un colis. Contactez le vendeur, le transporteur ou votre banque via des coordonnées obtenues indépendamment du message reçu.
3. Ne communiquez jamais votre mot de passe ni un code à usage unique. Une demande de livraison, de remboursement ou de remplacement ne doit pas nécessiter de mot de passe, de code d’authentification multifacteur ou de code Steam Guard.
4. Sécurisez l’adresse e-mail utilisée pour la commande. Choisissez un mot de passe unique et activez l’authentification multifacteur. Modifiez également les mots de passe réutilisés sur d’autres comptes avec la même combinaison e-mail-mot de passe.
5. Surveillez vos paiements. Rien n’indique que les données bancaires de Pokémon Center aient été exposées, mais contactez l’émetteur de votre carte via son numéro officiel si une opération inhabituelle apparaît.
6. Conservez les preuves. Archivez les confirmations de commande, les e-mails d’annulation, les informations de remboursement et les données de suivi. Pour toute question sur une commande annulée ou sur un éventuel remboursement ou remplacement, utilisez le support officiel.
7. Soyez attentif aux usurpations dans le monde réel. Un appel, une visite ou un message inattendu mentionnant votre adresse ou un colis prétendument récupérable mérite une vigilance accrue.

La leçon principale est qu’une fuite chez un prestataire logistique peut toucher les clients alors que le site principal du commerçant reste sécurisé. Dans ce cas, l’exposition connue concerne surtout les informations de livraison et de commande. En revanche, la raison précise des annulations chez Pokémon Center et l’étendue complète de la compromission de CEVA restent encore à déterminer.