Serangan Siber CEVA Logistics: Apa yang Perlu Diketahui Pelanggan Pokémon Center dan Steam

Dalam laporan terbaru, CEVA masih melakukan penyelidikan. Metode intrusi, jumlah orang yang terdampak, jenis data yang benar-benar diakses, serta apakah data sempat diambil dari sistem belum dipastikan secara publik. Belum ada kelompok ransomware atau pelaku lain yang mengaku bertanggung jawab.

Bagaimana pelanggan Pokémon Center terdampak?

Pokémon Center memberi tahu pelanggan di Inggris dan Jerman bahwa serangan terhadap CEVA memengaruhi informasi yang digunakan untuk memenuhi pesanan dari PokémonCenter.com. Data tersebut berada di pihak penyedia logistik agar produk dapat dikirim. Pokémon Center menyatakan bahwa insiden ini bukan kompromi terhadap akun pelanggan atau sistem pemrosesan pembayaran miliknya.

Pelanggan melaporkan dua dampak operasional utama:

• Pesanan dibatalkan: Pokémon Center membatalkan sejumlah pesanan yang masih tertunda, termasuk beberapa pesanan pra-pemesanan produk kartu peringatan 30 tahun Pokémon.
• Pengiriman dan pemenuhan pesanan terlambat: Pesanan lain mengalami keterlambatan karena operasional logistik yang terdampak.

Gantungan kunci Ghost Chateau Cyndaquil sempat disebut dalam laporan pelanggan terkait gangguan ini. Namun, bukti yang tersedia tidak menunjukkan bahwa Pokémon Center secara publik mengidentifikasi SKU tersebut sebagai produk yang terekspos atau secara resmi dibatalkan. Karena itu, produk tersebut belum dapat disebut sebagai contoh yang terkonfirmasi.

Mengapa sebagian pesanan dibatalkan, bukan hanya ditunda?

Pokémon Center belum menjelaskan alasan pembatalan untuk setiap pesanan. Kemungkinan operasionalnya antara lain catatan pemenuhan pesanan yang tidak lagi dapat dipercaya, kesulitan menemukan atau mengalokasikan stok, atau kebutuhan untuk membuat ulang pesanan dengan aman. Semua itu masih berupa kemungkinan, bukan temuan yang telah dikonfirmasi.

Pembatalan pesanan juga tidak membuktikan bahwa data pelanggan yang terkait pasti dicuri, tetapi juga tidak membuktikan bahwa data tersebut aman. Status pesanan bisa saja merupakan keputusan operasional setelah insiden, bukan hasil akhir penyelidikan forensik.

Data apa yang mungkin terekspos?

Untuk pelanggan Pokémon Center yang terdampak, informasi yang dilaporkan atau berpotensi terekspos mencakup:

• Nama lengkap
• Alamat pengiriman atau penagihan
• Alamat email
• Nomor telepon
• Informasi pesanan, termasuk produk yang dibeli dan detail pemenuhannya

Ini berbeda dari kebocoran kata sandi atau kartu pembayaran. Pemberitahuan Pokémon Center dan laporan yang tersedia menunjukkan bahwa situs serta sistem akun pelanggan milik Pokémon Center tidak diretas, dan informasi kartu pembayaran tidak diakses melalui insiden ini.

Perbedaan tersebut mengurangi risiko langsung pencurian kartu atau pengambilalihan akun. Namun, risikonya tidak hilang. Penipu yang memiliki nama, alamat, email, dan detail produk nyata dapat membuat pesan palsu yang terlihat sangat meyakinkan.

Perusahaan lain yang ikut terdampak

Karena CEVA merupakan penyedia logistik bersama, insiden ini tidak hanya berdampak pada Pokémon Center. Organisasi yang dilaporkan terdampak atau telah memberi tahu pelanggan meliputi:

• Valve, untuk pembeli perangkat keras Steam di Eropa
• Peritel Belanda bol dan De Bijenkorf
• ING
• Ace & Tate
• Ajax

Laporan menyebut sekitar selusin organisasi terdampak, tetapi daftar tersebut mungkin belum lengkap karena penyelidikan masih berlangsung.

Valve juga memperingatkan pelanggan di Eropa yang membeli perangkat keras fisik Steam, termasuk Steam Deck, Steam Machine, atau Steam Controller. Informasi yang mungkin terekspos berkaitan dengan pengiriman. Valve menyatakan bahwa kata sandi Steam, nomor kartu pembayaran, dan kode Steam Guard tidak terlibat.

Dengan demikian, insiden ini merupakan kompromi pada rantai pasok di penyedia logistik, bukan peretasan langsung terhadap Steam atau Pokémon Center.

Mengapa risiko phishing kali ini cukup tinggi?

Data yang terekspos sangat berguna untuk rekayasa sosial. Informasi tersebut dapat membantu penyerang membuat pesan yang seolah-olah mengonfirmasi sesuatu yang memang sedang ditunggu penerima. Pesan yang menyebut produk, alamat, pesanan, atau pembatalan yang benar tetap harus dianggap mencurigakan jika datang tanpa diduga.

Modus yang mungkin digunakan antara lain:

• Permintaan membayar biaya “pengiriman ulang” atau bea cukai
• Klaim bahwa produk kartu peringatan 30 tahun yang dibatalkan telah ditemukan atau tersedia kembali
• Tawaran pengembalian dana atau penggantian barang palsu
• Permintaan untuk mengonfirmasi alamat, kartu, kata sandi, atau kode sekali pakai
• Pesan yang menyamar sebagai Pokémon Center, CEVA, Valve, perusahaan kurir, bank, atau instansi bea cukai

CEVA juga sebelumnya memperingatkan bahwa nama, logo, kop surat, identitas karyawan, dan situs web palsu yang mengatasnamakan perusahaan dapat digunakan dalam korespondensi penipuan.

Yang perlu dilakukan pelanggan terdampak

1. Periksa pesanan hanya melalui situs atau aplikasi resmi. Buka portal akun Pokémon Center atau Steam secara langsung menggunakan bookmark tersimpan atau mengetikkan alamat situs secara manual. Jangan memakai tautan dari email, SMS, atau balasan media sosial yang tidak terduga.
2. Jangan membayar untuk “melepaskan” paket. Hubungi peritel, perusahaan kurir, atau bank melalui detail kontak yang Anda dapatkan secara mandiri—bukan melalui pesan yang diterima.
3. Jangan pernah membagikan kata sandi atau kode sekali pakai. Proses pengiriman, pengembalian dana, atau penggantian barang seharusnya tidak meminta kata sandi akun, kode MFA, atau kode Steam Guard.
4. Amankan akun email yang digunakan untuk memesan. Gunakan kata sandi unik dan aktifkan autentikasi multifaktor. Ganti kata sandi di akun lain jika Anda pernah memakai kombinasi email dan kata sandi yang sama.
5. Pantau aktivitas pembayaran. Insiden ini tidak menunjukkan bahwa data kartu Pokémon Center terekspos, tetapi hubungi penerbit kartu melalui nomor resmi jika menemukan transaksi yang tidak dikenal.
6. Simpan semua bukti. Arsipkan konfirmasi pesanan, email pembatalan, informasi pengembalian dana, dan detail pelacakan. Gunakan dukungan resmi untuk menanyakan pesanan yang dibatalkan atau opsi pengembalian dana maupun pemesanan ulang.
7. Waspadai penyamaran di dunia nyata. Penelepon, tamu, atau pesan tak terduga yang menyebut alamat rumah atau paket yang “berhasil ditemukan kembali” perlu diperiksa dengan sangat hati-hati.

Pelajaran utama dari insiden ini adalah bahwa kebocoran pada perusahaan logistik dapat berdampak langsung pada pelanggan meski situs utama peritel tetap aman. Dalam kasus ini, informasi yang diketahui terekspos berpusat pada data pengiriman dan pesanan. Sementara itu, alasan setiap pembatalan pesanan Pokémon Center serta cakupan lengkap kompromi CEVA masih belum terselesaikan.