CEVA Logisticsの攻撃で配送情報が流出か　ポケモンセンターの注文キャンセルとSteam購入者への影響

最新の報道時点でも、CEVAは調査を続けています。侵入経路、影響を受けた人数、実際にアクセスされたデータの範囲、データが持ち出されたかどうかは、まだ公表情報だけでは確定していません。また、犯行声明を出したランサムウェア集団なども確認されていません。

ポケモンセンターの注文はどうなったのか

ポケモンセンターは、英国とドイツの顧客に対し、PokémonCenter.comの注文を発送するためCEVAに共有していた情報が、今回のサイバー攻撃の影響を受けた可能性があると通知しました。ポケモンセンターは、自社の顧客アカウントや決済処理が侵害されたわけではないと説明しています。

確認されている主な影響は次の2つです。

• 注文のキャンセル：一部の保留中の注文がキャンセルされました。ポケモン30周年記念カード関連商品の予約注文も含まれていたと報じられています。
• 発送・出荷の遅延：物流拠点の業務停止により、別の注文では発送や商品の履行が遅れました。

「Ghost Chateau Cyndaquil」のキーホルダーについては、今回の混乱との関連を指摘する購入者の報告があります。ただし、ポケモンセンターがこの商品を、侵害された、または公式にキャンセルされた特定商品として公表したことを示す十分な情報はありません。現時点で確定した事例として扱うべきではありません。

なぜ一部の注文は遅延ではなくキャンセルされたのか

ポケモンセンターは、個別の注文をキャンセルした理由を公表していません。考えられる運用上の理由としては、出荷記録の信頼性を確認できない、在庫の所在や割り当てを確定できない、影響を受けた注文を安全に再構築する必要がある、といったものがあります。ただし、これらは合理的な可能性であって、調査で確認された事実ではありません。

注文がキャンセルされたからといって、その注文に紐づく個人情報が盗まれたことの証明になるわけではありません。逆に、キャンセルされなかったからといって、情報が安全だったと断定することもできません。注文キャンセルは、フォレンジック調査の結果ではなく、攻撃後の物流上の判断を反映している可能性があります。

流出した可能性がある情報と、保護された情報

ポケモンセンターの影響を受けた顧客について、報じられている、または流出した可能性がある情報は次のとおりです。

• 氏名
• 配送先または請求先住所
• メールアドレス
• 電話番号
• 注文した商品や発送処理に関する情報などの注文情報

一方、今回のCEVA経由の影響は、パスワードや決済カード情報の侵害とは同じではありません。ポケモンセンターからの通知や報道によれば、同社のウェブサイトや顧客アカウントシステムは侵害されておらず、今回の影響を通じて決済カード情報がアクセスされた形跡もないとされています。

この違いにより、今回の情報流出だけを原因とするカード不正利用やアカウント乗っ取りの直接的なリスクは抑えられます。ただし、氏名、住所、メールアドレス、購入商品の情報がそろうと、偽の配送通知や返金案内を本物らしく見せることが可能になります。

ほかに影響を受けた企業は

複数の企業が同じ物流事業者を利用していたため、影響はポケモンセンターにとどまりません。影響を受けた、または顧客への通知を行った組織として、次の企業・団体が報じられています。

• Valve（欧州のSteamハードウェア購入者）
• オランダの小売企業 bol、De Bijenkorf
• ING
• Ace & Tate
• Ajax

報道では、およそ12組織が影響を受けたとされていますが、調査が続いているため、公開された一覧が最終的なものとは限りません。

Valveも、欧州でSteamの実物ハードウェアを購入した顧客に注意喚起しました。対象にはSteam Deck、Steam Machine、Steam Controllerなどが含まれ、配送に必要な情報が影響を受けた可能性があります。Valveは、Steamのパスワード、決済カード番号、Steam Guardコードは今回の対象ではないと説明しています。

つまり、今回の問題はSteamやポケモンセンターそのものへの直接攻撃ではなく、共通の物流委託先を狙ったサプライチェーン上の侵害です。

フィッシング詐欺に特に注意すべき理由

今回のように、攻撃者が実在する商品名や配送先を把握している可能性がある場合、詐欺メッセージの説得力は大きく上がります。実際に注文した商品、住所、注文キャンセル、配送遅延に触れていても、予期しないメールやSMSは疑ってください。

想定される誘い文句には、次のようなものがあります。

• 「再配達料」や関税の支払いを求める通知
• キャンセルされた30周年記念商品が見つかった、または再入荷したという案内
• 返金や代替品の受け取りを装ったリンク
• 住所、カード情報、パスワード、ワンタイムコードの確認依頼
• ポケモンセンター、CEVA、Valve、配送会社、銀行、税関当局を装った連絡

CEVA自身も、社名やロゴ、レターヘッド、従業員名、偽サイトなどを使った詐欺が発生していると注意喚起しています。

影響を受けた可能性がある人が今すべきこと

1. 注文状況は公式サイトや公式アプリだけで確認する：メールやSMSのリンクは使わず、保存したブックマークや自分で入力した正規のアドレスからポケモンセンター、Steam、銀行などにアクセスしてください。
2. 荷物の解放費用を支払わない：再配達料、通関費用、保管料などを求められた場合は、メッセージ内の連絡先ではなく、公式サイトで確認した小売店や配送会社、銀行の窓口に問い合わせてください。
3. パスワードやワンタイムコードを教えない：配送、返金、代替品の手続きで、アカウントのパスワード、MFAコード、Steam Guardコードを求められることは通常ありません。
4. 注文に使ったメールアカウントを保護する：他で使い回していない固有のパスワードを設定し、多要素認証を有効にしてください。同じメールアドレスとパスワードを使っている別のサービスがあれば、そちらも変更します。
5. カードや口座の利用履歴を確認する：今回、ポケモンセンターの決済カード情報が流出したことを示す情報はありませんが、不審な取引があれば、カード裏面などに記載された公式番号から発行会社へ連絡してください。
6. 注文記録を保存する：注文確認メール、キャンセル通知、返金情報、追跡番号を保存しましょう。キャンセルされた注文や返金、再注文の選択肢については、公式サポートに問い合わせてください。
7. 住所を使ったなりすましにも警戒する：自宅住所や「復活した注文」に言及する予期しない電話、訪問、メッセージは、通常以上に慎重に確認してください。

今回のケースが示すのは、店舗のウェブサイトが安全でも、注文情報を預ける物流会社の侵害によって顧客が影響を受け得るということです。現時点で明らかなリスクの中心は、配送先や注文に関する情報です。一方、個別の注文がキャンセルされた理由と、CEVAへの侵入による被害の全容は、まだ解明されていません。