Data penghantaran Pokémon Center dan Steam mungkin terdedah selepas serangan ke atas CEVA Logistics

Serangan siber terhadap CEVA Logistics, penyedia perkhidmatan logistik yang digunakan Pokémon Center di United Kingdom dan Jerman, telah mengganggu operasi gudang di Eropah dan mungkin mendedahkan data penghantaran serta pesanan pelanggan. Insiden ini bukan bermula daripada laman web Pokémon Center atau sistem akaun pelanggannya, dan laporan yang tersedia menunjukkan maklumat kad pembayaran tidak terdedah melalui kesan terhadap Pokémon Center.

Masalah yang dihadapi pelanggan kini terbahagi kepada dua: sesetengah pesanan dibatalkan atau lewat dihantar, manakala pelanggan yang terjejas mungkin menjadi sasaran mesej penipuan yang kelihatan sangat meyakinkan kerana menggunakan produk, alamat atau butiran pesanan sebenar.

Apa yang berlaku kepada CEVA Logistics?

CEVA Logistics ialah cabang logistik kontrak milik CMA CGM yang beribu pejabat di Perancis. Syarikat ini mengendalikan lebih 1,000 gudang di seluruh dunia dan menyediakan perkhidmatan pemenuhan pesanan serta penghantaran untuk pelbagai peruncit dan syarikat teknologi.

Penyerang dipercayai mendapat akses kepada sistem CEVA kira-kira dari 29 Julai hingga 1 Ogos 2026. Pencerobohan itu mengganggu sebahagian operasi logistik kontrak CEVA di Eropah. Laporan mengenal pasti lapan gudang yang terjejas, menyebabkan penghantaran dihentikan atau barangan tidak dapat dihantar. Pada 1 Ogos, CEVA memaklumkan pelanggan yang terjejas bahawa barangan yang disimpan di kemudahan berkenaan tidak dapat dihantar.

Dalam laporan terkini, CEVA masih menjalankan siasatan. Kaedah pencerobohan, jumlah sebenar individu yang terjejas, jenis data yang diakses dan sama ada maklumat telah disalin atau dikeluarkan belum disahkan secara terbuka. Tiada kumpulan ransomware atau penyerang lain yang mengaku bertanggungjawab berdasarkan laporan yang tersedia.

Bagaimana pelanggan Pokémon Center terjejas?

Pokémon Center memaklumkan pelanggan di United Kingdom dan Jerman bahawa serangan siber terhadap CEVA menjejaskan maklumat yang digunakan untuk memenuhi pesanan di PokémonCenter.com. Maklumat itu disimpan oleh penyedia logistik bagi tujuan penghantaran produk. Pokémon Center berkata insiden tersebut bukan pencerobohan terhadap akaun pelanggan atau sistem pemprosesan pembayarannya sendiri.

Pelanggan melaporkan dua kesan operasi utama:

• Pesanan dibatalkan: Pokémon Center membatalkan sebahagian pesanan yang masih dalam proses, termasuk beberapa pra-tempahan barangan kad ulang tahun ke-30 Pokémon yang dilaporkan.
• Penghantaran dan pemenuhan pesanan tertangguh: Pesanan lain mengalami kelewatan apabila operasi logistik yang terjejas terganggu.

Rantai kunci Ghost Chateau Cyndaquil turut disebut dalam laporan pelanggan berkaitan gangguan ini. Namun, bukti yang tersedia tidak menunjukkan bahawa Pokémon Center secara terbuka mengenal pasti SKU tersebut sebagai terjejas atau mengesahkan pembatalannya. Oleh itu, ia tidak wajar dianggap sebagai contoh yang telah disahkan.

Mengapa sesetengah pesanan dibatalkan, bukan sekadar ditangguhkan?

Pokémon Center belum menjelaskan secara terbuka sebab setiap pesanan tertentu dibatalkan. Dari sudut operasi, kemungkinan yang munasabah termasuk rekod pemenuhan yang tidak lagi boleh dipercayai, kesukaran mencari atau memperuntukkan stok, atau keperluan membina semula pesanan dengan selamat. Namun, semua itu hanyalah kemungkinan dan bukan penemuan yang telah disahkan.

Pembatalan pesanan juga tidak membuktikan bahawa data pelanggan berkaitan telah dicuri, dan tidak membuktikan bahawa data tersebut selamat. Status pesanan mungkin mencerminkan keputusan operasi selepas insiden, bukannya hasil akhir siasatan forensik.

Maklumat apa yang mungkin terdedah?

Bagi pelanggan Pokémon Center yang terjejas, maklumat yang dilaporkan atau berpotensi terdedah termasuk:

• Nama penuh
• Alamat penghantaran atau alamat bil
• Alamat e-mel
• Nombor telefon
• Maklumat pesanan, termasuk produk yang dibeli dan butiran berkaitan pemenuhan pesanan

Ini bukan perkara yang sama dengan kebocoran kata laluan atau kad pembayaran. Notifikasi Pokémon Center dan laporan media menunjukkan bahawa laman web serta sistem akaun pelanggannya sendiri tidak terjejas, manakala maklumat kad pembayaran tidak diakses melalui insiden ini.

Perbezaan ini mengurangkan risiko langsung kecurian kad atau pengambilalihan akaun akibat pendedahan di CEVA. Namun, risikonya tidak hilang sepenuhnya. Penipu yang memiliki nama, alamat, e-mel dan butiran produk sebenar boleh menghasilkan mesej palsu berkaitan penghantaran atau bayaran balik yang kelihatan tulen.

Syarikat lain yang turut terjejas

Peranan CEVA sebagai penyedia logistik bersama menyebabkan kesannya melangkaui Pokémon Center. Organisasi yang dilaporkan terjejas atau telah memaklumkan pelanggan termasuk:

• Valve, bagi pembeli perkakasan Steam di Eropah
• Peruncit Belanda bol dan De Bijenkorf
• ING
• Ace & Tate
• Ajax

Laporan menyebut kira-kira sedozen organisasi terjejas, tetapi senarai itu mungkin belum lengkap selagi siasatan berterusan.

Valve turut memberi amaran kepada pelanggan Eropah yang membeli perkakasan fizikal Steam, termasuk Steam Deck, Steam Machine atau Steam Controller. Maklumat yang berpotensi terdedah ialah butiran berkaitan penghantaran. Valve berkata kata laluan Steam, nombor kad pembayaran dan kod Steam Guard tidak terlibat.

Dengan itu, insiden ini lebih tepat digambarkan sebagai kompromi rantaian bekalan di penyedia logistik, bukannya kebocoran terus pada Steam atau Pokémon Center.

Mengapa risiko phishing kini lebih tinggi?

Maklumat yang terdedah amat berguna untuk manipulasi sosial kerana ia membolehkan penyerang menghasilkan mesej yang seolah-olah mengesahkan sesuatu yang memang sedang ditunggu oleh penerima. Anggap semua mesej tidak diminta sebagai mencurigakan, walaupun mesej itu menyebut produk, pesanan, alamat atau pembatalan yang sebenar.

Antara umpan penipuan yang mungkin digunakan ialah:

• Permintaan membayar “caj penghantaran semula” atau bayaran kastam
• Dakwaan bahawa barangan ulang tahun ke-30 yang dibatalkan telah ditemui atau kembali tersedia
• Tawaran bayaran balik atau penggantian palsu
• Permintaan mengesahkan alamat, kad, kata laluan atau kod sekali guna
• Mesej yang menyamar sebagai Pokémon Center, CEVA, Valve, syarikat kurier, bank atau agensi kastam

CEVA juga pernah memberi amaran bahawa penipu menggunakan nama, logo, kepala surat, identiti pekerja dan laman web palsu yang menyamar sebagai CEVA dalam surat-menyurat penipuan.

Apa yang patut dilakukan pelanggan terjejas?

1. Semak pesanan hanya melalui laman web atau aplikasi rasmi. Buka portal akaun Pokémon Center atau Steam secara terus menggunakan penanda buku yang disimpan, atau taip alamatnya sendiri. Jangan gunakan pautan dalam e-mel, mesej teks atau balasan media sosial yang tidak dijangka.
2. Jangan bayar untuk “melepaskan” bungkusan. Hubungi peruncit, syarikat penghantaran atau bank menggunakan maklumat hubungan yang diperoleh secara bebas—bukan melalui mesej yang diterima.
3. Jangan sesekali berkongsi kata laluan atau kod sekali guna. Permintaan berkaitan penghantaran, bayaran balik atau penggantian tidak sepatutnya memerlukan kata laluan akaun, kod MFA atau kod Steam Guard.
4. Lindungi akaun e-mel yang digunakan untuk membuat pesanan. Gunakan kata laluan unik dan aktifkan pengesahan berbilang faktor. Tukar kata laluan akaun lain jika gabungan e-mel dan kata laluan yang sama pernah digunakan semula.
5. Pantau aktiviti pembayaran. Insiden ini tidak menunjukkan bahawa data kad pembayaran Pokémon Center terdedah, tetapi hubungi pengeluar kad melalui nombor rasmi jika terdapat transaksi yang tidak dikenali.
6. Simpan rekod. Simpan pengesahan pesanan, e-mel pembatalan, maklumat bayaran balik dan butiran penjejakan. Gunakan sokongan rasmi untuk bertanya tentang pesanan yang dibatalkan atau pilihan bayaran balik dan pesanan semula, jika ada.
7. Berwaspada terhadap penyamaran di dunia sebenar. Panggilan, kunjungan atau mesej yang tidak dijangka dan merujuk alamat rumah atau bungkusan yang kononnya boleh dipulihkan perlu diperiksa dengan lebih teliti.

Pengajaran utama daripada insiden ini ialah kebocoran di penyedia logistik boleh menjejaskan pelanggan walaupun laman web utama peruncit kekal selamat. Dalam kes ini, pendedahan yang diketahui tertumpu pada maklumat penghantaran dan pesanan, manakala sebab pesanan Pokémon Center tertentu dibatalkan serta skop penuh kompromi CEVA masih belum diselesaikan.