Attacco a CEVA Logistics: ordini Pokémon Center cancellati e dati di consegna esposti

Nelle ultime comunicazioni disponibili, l’indagine era ancora in corso. Non sono stati chiariti pubblicamente il metodo d’intrusione, il numero complessivo di persone coinvolte, l’esatto insieme di dati consultati né l’eventuale esfiltrazione delle informazioni. Nessun gruppo ransomware o altro aggressore ha rivendicato pubblicamente la responsabilità dell’attacco.

Come sono stati colpiti i clienti Pokémon Center?

Pokémon Center ha avvisato i clienti nel Regno Unito e in Germania che un attacco informatico contro CEVA aveva coinvolto le informazioni utilizzate per evadere gli ordini effettuati su PokémonCenter.com. CEVA disponeva di questi dati perché necessari alla consegna dei prodotti; Pokémon Center ha precisato che l’incidente non ha riguardato i propri account cliente né i sistemi di elaborazione dei pagamenti.

I principali effetti segnalati dai clienti sono stati due:

• Ordini cancellati: Pokémon Center ha annullato alcuni ordini ancora in sospeso, compresi, secondo diverse segnalazioni, preordini di prodotti del Gioco di Carte Collezionabili Pokémon dedicati al 30° anniversario.
• Ritardi nelle spedizioni e nell’evasione: altri ordini hanno subito ritardi a causa dell’interruzione delle attività logistiche coinvolte.

Il portachiavi Ghost Chateau Cyndaquil è stato citato in alcune segnalazioni dei clienti in relazione al disservizio. Tuttavia, le informazioni disponibili non dimostrano che Pokémon Center abbia indicato pubblicamente proprio quel prodotto come compromesso o ufficialmente cancellato. Non va quindi presentato come un esempio confermato.

Perché alcuni ordini sono stati cancellati invece di essere semplicemente ritardati?

Pokémon Center non ha spiegato pubblicamente la decisione relativa ai singoli ordini. Tra le possibili ragioni operative ci sono registri di evasione non più affidabili, difficoltà nel localizzare o assegnare le scorte oppure la necessità di ricostruire gli ordini in modo sicuro. Si tratta però di ipotesi plausibili, non di conclusioni confermate.

La cancellazione di un ordine non dimostra che i dati associati siano stati rubati, ma non dimostra nemmeno che siano rimasti al sicuro. Lo stato dell’ordine potrebbe riflettere una scelta operativa successiva all’incidente, non l’esito definitivo dell’analisi forense.

Quali informazioni potrebbero essere state esposte?

Per i clienti Pokémon Center interessati, i dati segnalati o potenzialmente esposti comprendono:

• nome e cognome;
• indirizzo di consegna o di fatturazione;
• indirizzo email;
• numero di telefono;
• informazioni sull’ordine, inclusi i prodotti acquistati e i relativi dettagli di evasione.

Non si tratta della stessa cosa di una violazione delle password o delle carte di pagamento. Le notifiche di Pokémon Center e le ricostruzioni disponibili indicano che i sistemi del sito e degli account cliente non sono stati compromessi e che i dati delle carte non sono stati consultati attraverso questo incidente.

Questa distinzione riduce il rischio diretto di furti sulle carte o di accessi agli account legati alla violazione di CEVA. Non elimina però il pericolo: un truffatore in possesso di nome, indirizzo, email e dettagli su un prodotto può confezionare un falso messaggio di consegna o rimborso molto convincente.

Quali altre aziende sono state coinvolte?

Il ruolo di CEVA come fornitore logistico condiviso ha fatto sì che l’incidente andasse oltre Pokémon Center. Tra le organizzazioni indicate come colpite o che hanno informato i clienti figurano:

• Valve, per gli acquirenti europei di hardware Steam;
• i rivenditori olandesi bol e De Bijenkorf;
• ING;
• Ace & Tate;
• Ajax.

Le ricostruzioni parlano di circa una dozzina di organizzazioni coinvolte, ma l’elenco potrebbe non essere completo mentre l’indagine prosegue.

Valve ha avvisato separatamente i clienti europei che avevano acquistato hardware fisico Steam, tra cui Steam Deck, Steam Machine e Steam Controller. Le informazioni potenzialmente esposte riguardavano i dati necessari alla consegna; Valve ha dichiarato che non erano coinvolte password Steam, numeri delle carte di pagamento o codici Steam Guard.

Si tratta quindi di una compromissione della catena di fornitura presso un operatore logistico, non di una violazione diretta di Steam o dei sistemi di Pokémon Center.

Perché il rischio di phishing è particolarmente elevato

I dati esposti sono preziosi per l’ingegneria sociale perché consentono di creare messaggi che sembrano confermare qualcosa che il destinatario sta già aspettando. Anche quando citano un prodotto autentico, un indirizzo reale, un ordine effettivamente effettuato o una cancellazione già ricevuta, i messaggi inattesi vanno trattati con cautela.

Le esche più probabili includono:

• una richiesta di pagamento per una presunta “nuova consegna” o per spese doganali;
• l’annuncio falso che un prodotto del 30° anniversario cancellato sia stato recuperato o rimesso in vendita;
• un’offerta fasulla di rimborso o sostituzione;
• la richiesta di confermare indirizzo, carta, password o codice monouso;
• messaggi che imitano Pokémon Center, CEVA, Valve, un corriere, una banca o un’autorità doganale.

CEVA ha inoltre segnalato separatamente truffe che utilizzano il proprio nome, logo, carta intestata, identità dei dipendenti e siti web falsi.

Che cosa devono fare ora i clienti interessati

1. Controllare gli ordini solo tramite siti o app ufficiali. Aprire direttamente il portale dell’account Pokémon Center o Steam usando un segnalibro salvato oppure digitando manualmente l’indirizzo. Non utilizzare i link contenuti in email, SMS o risposte sui social inattesi.
2. Non pagare per “sbloccare” un pacco. Contattare il rivenditore, il corriere o la banca attraverso recapiti ottenuti autonomamente, non tramite il messaggio ricevuto.
3. Non condividere mai password o codici monouso. Una richiesta di consegna, rimborso o sostituzione non dovrebbe richiedere password dell’account, codici MFA o codici Steam Guard.
4. Mettere in sicurezza l’email usata per l’ordine. Utilizzare una password unica e attivare l’autenticazione a più fattori. Cambiare le password degli altri account in cui sia stata riutilizzata la stessa combinazione di email e password.
5. Monitorare i movimenti di pagamento. L’incidente non indica che i dati delle carte usate con Pokémon Center siano stati esposti, ma in caso di operazioni sconosciute occorre contattare l’emittente usando il numero ufficiale riportato sulla carta o sul suo sito.
6. Conservare la documentazione. Salvare conferme d’ordine, email di cancellazione, informazioni sui rimborsi e dati di tracciamento. Per chiarimenti su un ordine cancellato o su eventuali opzioni di rimborso o nuovo ordine, utilizzare esclusivamente l’assistenza ufficiale.
7. Prestare attenzione anche alle impersonificazioni nel mondo reale. Telefonate, visite o messaggi inattesi che citano l’indirizzo di casa o un pacco che sarebbe stato “recuperato” meritano particolare prudenza.

La lezione centrale è che una violazione presso un operatore logistico può colpire i clienti anche quando il sito principale del rivenditore resta sicuro. In questo caso, l’esposizione nota riguarda soprattutto dati di consegna e informazioni sugli ordini; restano invece da chiarire sia il motivo delle singole cancellazioni Pokémon Center sia l’estensione completa della compromissione di CEVA.