מתקפת הסייבר על חברת השילוח חשפה נתוני משלוחים ושיבשה הזמנות של Pokémon Center

בדיווחים האחרונים CEVA עדיין חקרה את האירוע. שיטת החדירה, מספר האנשים שנפגעו, המידע המדויק שאליו ניגשו התוקפים והאם מידע הוצא מהמערכות — כל אלה טרם נקבעו בפומבי. אף קבוצת כופרה או תוקף אחר לא קיבלו אחריות לאירוע בדיווחים הזמינים.

כיצד נפגעו לקוחות Pokémon Center?

Pokémon Center הודיעה ללקוחות בבריטניה ובגרמניה כי CEVA נפגעה במתקפת סייבר, וכי האירוע השפיע על מידע ששימש למימוש הזמנות מ-PokémonCenter.com. CEVA החזיקה במידע הזה כדי לספק את המוצרים, אך Pokémon Center מסרה שהאירוע לא כלל פריצה לחשבונות הלקוחות שלה או למערכות עיבוד התשלומים.

לקוחות דיווחו בעיקר על שתי תוצאות תפעוליות:

• ביטול הזמנות: Pokémon Center ביטלה חלק מההזמנות שהיו בטיפול, ובהן, לפי דיווחים, הזמנות מוקדמות של מוצרי קלפים לציון 30 שנה ל-Pokémon.
• עיכובים במשלוח ובמימוש: הזמנות אחרות התעכבו בשל השיבוש בפעילות הלוגיסטית.

מחזיק המפתחות Ghost Chateau Cyndaquil הוזכר בדיווחי לקוחות בהקשר של השיבוש. עם זאת, הראיות הזמינות אינן מצביעות על כך ש-Pokémon Center זיהתה בפומבי את המוצר המסוים הזה כמוצר שנפגע או הודיעה רשמית על ביטולו. לכן אין להציג אותו כדוגמה מאומתת.

למה חלק מההזמנות בוטלו במקום להתעכב?

Pokémon Center לא הסבירה בפומבי מדוע הזמנות מסוימות בוטלו ולא הוקפאו עד לחידוש הפעילות. הסברים תפעוליים אפשריים כוללים רשומות מימוש שאי אפשר לסמוך עליהן, קושי לאתר או להקצות מלאי, או החלטה לבנות מחדש הזמנות בצורה בטוחה. אלה אפשרויות סבירות — לא ממצאים מאושרים.

גם ביטול הזמנה אינו מוכיח שהמידע הקשור אליה נגנב, ואינו מוכיח שהמידע נשאר בטוח. סטטוס ההזמנה עשוי לשקף החלטה תפעולית שהתקבלה לאחר האירוע, ולא את תוצאת החקירה הפורנזית המלאה.

איזה מידע עלול היה להיחשף?

אצל לקוחות Pokémon Center שנפגעו, המידע שדווח עליו או שעלול היה להיחשף כולל:

• שם מלא
• כתובת למשלוח או לחיוב
• כתובת דוא״ל
• מספר טלפון
• פרטי הזמנה, כולל המוצרים שנרכשו ופרטי המימוש הקשורים אליהם

אין מדובר באותו דבר כמו דליפת סיסמאות או פריצה למאגר כרטיסי אשראי. ההודעות של Pokémon Center והדיווחים מצביעים על כך שמערכות האתר והחשבונות של החברה לא נפרצו, ושפרטי כרטיסי האשראי לא נגישו דרך האירוע הזה.

ההבחנה הזו מפחיתה את הסיכון הישיר לגניבת כרטיס או להשתלטות על חשבון בעקבות החשיפה ב-CEVA. עם זאת, היא לא מבטלת את הסיכון: נוכל שמחזיק בשם אמיתי, כתובת, כתובת דוא״ל ופרטי מוצר יכול לנסח הודעת משלוח, החזר כספי או ביטול שנראית אמינה מאוד.

אילו חברות ולקוחות נוספים נפגעו?

מכיוון ש-CEVA היא ספקית לוגיסטיקה משותפת, האירוע חרג מעבר ל-Pokémon Center. בין הגופים שדווח כי נפגעו או הודיעו ללקוחותיהם נמצאים:

• Valve, בכל הנוגע לרוכשי חומרה של Steam באירופה
• הקמעונאיות ההולנדיות bol ו-De Bijenkorf
• ING
• Ace & Tate
• Ajax

הדיווחים מדברים על בערך תריסר ארגונים שנפגעו, אך הרשימה עשויה שלא להיות מלאה כל עוד החקירה נמשכת.

Valve הזהירה בנפרד לקוחות באירופה שרכשו חומרה פיזית, ובהם Steam Deck, Steam Machine או Steam Controller. המידע שעלול היה להיחשף כלל פרטי משלוח, בעוד Valve מסרה שסיסמאות Steam, מספרי כרטיסי אשראי וקודי Steam Guard לא היו מעורבים.

לכן מדובר בפגיעה בשרשרת אספקה — פריצה לספק לוגיסטי משותף — ולא בפריצה ישירה ל-Steam או ל-Pokémon Center.

למה הסיכון להונאות דיוג גבוה במיוחד?

המידע שנחשף שימושי במיוחד להנדסה חברתית, משום שהוא מאפשר לתוקף לנסח הודעה שנראית כמו אישור לאירוע שהנמען כבר מצפה לו. יש להתייחס בחשדנות להודעות לא יזומות גם אם הן מזכירות מוצר אמיתי, הזמנה קיימת, כתובת נכונה או ביטול שכבר התרחש.

הפתיונות האפשריים כוללים:

• בקשה לשלם “דמי משלוח מחדש” או עמלת מכס
• טענה שמוצר לציון 30 שנה שבוטל נמצא מחדש או חזר למלאי
• הצעת החזר כספי או החלפה מזויפת
• בקשה לאשר כתובת, כרטיס, סיסמה או קוד חד-פעמי
• הודעה המתחזה ל-Pokémon Center, ל-CEVA, ל-Valve, לחברת שליחויות, לבנק או לרשות מכס

CEVA הזהירה בנפרד מפני נוכלים המשתמשים בשמה, בלוגו שלה, בנייר המכתבים שלה, בזהויות של עובדיה ובאתרים מזויפים במסגרת התכתבויות fraudulent.

מה לקוחות שנפגעו צריכים לעשות עכשיו?

1. בדקו הזמנות רק באתרים או באפליקציות הרשמיים. פתחו ישירות את פורטל החשבון של Pokémon Center או Steam באמצעות סימנייה שמורה או כתובת שהקלדתם בעצמכם. אל תשתמשו בקישורים שנשלחו בדוא״ל, בהודעות טקסט או בתגובות ברשתות חברתיות.
2. אל תשלמו כדי “לשחרר” חבילה. צרו קשר עם הקמעונאי, חברת המשלוחים או הבנק באמצעות פרטי קשר שמצאתם באופן עצמאי — לא דרך ההודעה שקיבלתם.
3. לעולם אל תמסרו סיסמאות או קודים חד-פעמיים. בקשת משלוח, החזר או החלפה לא אמורה לדרוש סיסמת חשבון, קוד אימות רב-שלבי או קוד Steam Guard.
4. אבטחו את כתובת הדוא״ל ששימשה להזמנה. השתמשו בסיסמה ייחודית והפעילו אימות רב-שלבי. החליפו סיסמה בכל חשבון שבו נעשה שימוש חוזר באותו שילוב של כתובת דוא״ל וסיסמה.
5. עקבו אחר פעילות התשלומים. האירוע אינו מצביע על חשיפת פרטי כרטיסי האשראי של Pokémon Center, אך אם מופיעה עסקה לא מוכרת, פנו למנפיק הכרטיס במספר הרשמי שלו.
6. שמרו תיעוד. שמרו אישורי הזמנה, הודעות ביטול, פרטי החזר ומספרי מעקב. השתמשו בתמיכה הרשמית כדי לברר לגבי הזמנה שבוטלה או לגבי אפשרות להחזר או להזמנה מחדש.
7. היזהרו גם מהתחזות בעולם הפיזי. שיחות, ביקורים או הודעות בלתי צפויים שמזכירים את כתובת הבית או חבילה שאפשר כביכול “להחזיר” דורשים בדיקה נוספת.

השיעור המרכזי הוא שפריצה לספק לוגיסטי עלולה להשפיע על לקוחות גם כשהאתר הראשי של הקמעונאי נשאר מאובטח. במקרה הזה, החשיפה הידועה מתמקדת בנתוני משלוח והזמנה, בעוד שהסיבה לביטולים של הזמנות Pokémon Center והיקף הפגיעה המלא ב-CEVA עדיין אינם ברורים.