CEVA-angrepet rammet leveranser og kan ha eksponert kundeopplysninger

Et cyberangrep mot CEVA Logistics, logistikkleverandøren som brukes av Pokémon Center i Storbritannia og Tyskland, forstyrret europeisk lagerdrift og kan ha eksponert kunde- og ordreopplysninger. Angrepet startet ikke på Pokémon Centers nettsted eller i selskapets kundekontosystemer. Tilgjengelige rapporter tyder heller ikke på at betalingskortopplysninger ble eksponert gjennom Pokémon Center-hendelsen.

For kundene er konsekvensene likevel merkbare: Noen ordre ble kansellert, andre ble forsinket, og opplysninger om ekte produkter, adresser eller ordreproblemer kan gjøre fremtidige svindelforsøk svært overbevisende.

Hva skjedde hos CEVA Logistics?

CEVA Logistics er det Frankrike-baserte kontraktslogistikk-selskapet i CMA CGM-konsernet. Selskapet driver mer enn 1 000 lagre verden over og håndterer lager, pakking og levering for en rekke butikker og teknologiselskaper.

Angriperne hadde tilgang til CEVA-systemer fra omtrent 29. juli til 1. august 2026. Inntrengingen forstyrret deler av selskapets europeiske kontraktslogistikk. Åtte lagre ble omtalt som berørt, og sendinger fra de aktuelle anleggene ble stanset eller kunne ikke sendes ut. 1. august varslet CEVA berørte kunder om at varer som var lagret ved anleggene, ikke kunne leveres.

I de siste rapportene var etterforskningen fortsatt pågående. Angrepsmetoden, det totale antallet berørte personer, nøyaktig hvilke data som ble åpnet og om informasjon ble fjernet, er ikke offentlig fastslått. Ingen løsepengegruppe eller annen angriper hadde tatt på seg ansvaret i tilgjengelig rapportering.

Hvordan ble Pokémon Center-kunder rammet?

Pokémon Center varslet kunder i Storbritannia og Tyskland om at CEVA var utsatt for et cyberangrep som berørte informasjon brukt til å behandle og sende ordre fra PokémonCenter.com. CEVA hadde opplysningene fordi selskapet skulle levere varene. Pokémon Center opplyste at hendelsen ikke innebar et innbrudd i egne kundekontoer eller betalingsløsninger.

Kundene har i hovedsak opplevd to typer problemer:

• Kansellerte ordre: Pokémon Center kansellerte enkelte pågående ordre. Det er blant annet rapportert om forhåndsbestillinger av Pokémon-produkter knyttet til 30-årsjubileet.
• Forsinkede leveranser: Andre ordre ble forsinket fordi lager- og leveringsarbeidet var forstyrret.

Ghost Chateau Cyndaquil-nøkkelringen er omtalt i kundeinnlegg i forbindelse med hendelsen. Det finnes imidlertid ikke tilstrekkelig dokumentasjon på at Pokémon Center offentlig har bekreftet akkurat dette produktet som kompromittert eller offisielt kansellert. Det bør derfor ikke presenteres som et bekreftet eksempel.

Hvorfor ble noen ordre kansellert i stedet for bare forsinket?

Pokémon Center har ikke forklart hvorfor enkelte ordre ble kansellert. Mulige driftsmessige forklaringer kan være at lager- eller plukkdata ikke lenger kunne stoles på, at varer ikke kunne lokaliseres eller fordeles riktig, eller at ordre måtte bygges opp på nytt på en trygg måte. Dette er mulige forklaringer – ikke bekreftede funn.

En kansellering beviser derfor ikke at tilhørende kundeopplysninger ble stjålet. Den beviser heller ikke at opplysningene var trygge. Ordrestatusen kan være resultatet av en beslutning om vareflyt etter angrepet, og sier ikke nødvendigvis noe om utfallet av den tekniske etterforskningen.

Hvilke opplysninger kan ha blitt eksponert?

For berørte Pokémon Center-kunder kan følgende opplysninger ha vært tilgjengelige:

• Fullt navn
• Leverings- eller fakturaadresse
• E-postadresse
• Telefonnummer
• Ordreopplysninger, inkludert bestilte produkter og informasjon knyttet til levering

Dette er ikke det samme som et passord- eller betalingskortinnbrudd. Varslene fra Pokémon Center og tilgjengelig rapportering sier at selskapets eget nettsted og kundekontosystemer ikke ble kompromittert, og at betalingskortopplysninger ikke ble åpnet gjennom denne hendelsen.

Det reduserer den direkte risikoen for kortsvindel og kontoovertakelse. Risikoen for målrettet svindel forsvinner likevel ikke. En svindler som kjenner navn, adresse, e-postadresse og hvilket produkt som er bestilt, kan få en falsk melding om levering eller refusjon til å se ekte ut.

Hvilke andre selskaper ble berørt?

Fordi CEVA er en felles logistikkleverandør for flere virksomheter, fikk hendelsen konsekvenser utover Pokémon Center. Følgende selskaper og organisasjoner ble omtalt som berørte eller som virksomheter som varslet kunder:

• Valve, for europeiske kjøpere av Steam-maskinvare
• De nederlandske nettbutikkene bol og De Bijenkorf
• ING
• Ace & Tate
• Ajax

Mediene har omtalt omtrent et dusin berørte organisasjoner, men listen kan være ufullstendig mens etterforskningen pågår.

Valve varslet separat europeiske kunder som hadde kjøpt fysisk Steam-maskinvare, blant annet Steam Deck, Steam Machine eller Steam Controller. Opplysningene som kan ha blitt eksponert, var knyttet til levering. Valve opplyste at Steam-passord, betalingskortnumre og Steam Guard-koder ikke var berørt.

Dette var dermed et leverandørangrep mot en logistikkpartner – ikke et direkte innbrudd i Steam eller Pokémon Center.

Hvorfor er phishingfaren spesielt høy?

Opplysninger om levering og ordre er nyttige i sosial manipulering fordi de kan brukes til å lage meldinger som ser ut til å bekrefte noe mottakeren allerede forventer. Vær skeptisk til uventede e-poster, tekstmeldinger og telefonsamtaler, selv om de nevner et ekte produkt, en reell adresse eller en faktisk kansellering.

Mulige svindelforsøk kan blant annet inneholde:

• Krav om betaling av et «nytt leveringsgebyr» eller tollgebyr
• Påstander om at et kansellert 30-årsjubileumsprodukt er funnet eller tilgjengelig igjen
• Falske tilbud om refusjon, erstatningsvare eller ny levering
• Forespørsler om å bekrefte adresse, kortopplysninger, passord eller engangskode
• Meldinger som utgir seg for å komme fra Pokémon Center, CEVA, Valve, et transportselskap, en bank eller tollmyndighetene

CEVA har også tidligere advart om svindel der selskapets navn, logo, brevmaler, ansattes identiteter og falske nettsteder brukes i bedragersk korrespondanse.

Dette bør berørte kunder gjøre nå

1. Sjekk ordre bare via offisielle nettsteder eller apper. Åpne Pokémon Center- eller Steam-kontoen direkte via et lagret bokmerke eller ved å skrive inn adressen selv. Ikke bruk lenker i uventede e-poster, tekstmeldinger eller svar i sosiale medier.
2. Ikke betal for å «frigjøre» en pakke. Ta kontakt med butikken, transportøren eller banken via kontaktinformasjon du finner uavhengig av meldingen.
3. Del aldri passord eller engangskoder. En forespørsel om levering, refusjon eller erstatningsvare skal ikke kreve passord, flerfaktorkode eller Steam Guard-kode.
4. Sikre e-postkontoen som ble brukt ved bestillingen. Bruk et unikt passord og aktiver flerfaktorautentisering. Bytt også passord på andre tjenester der samme kombinasjon av e-postadresse og passord er brukt.
5. Følg med på betalingsaktivitet. Hendelsen tyder ikke på at Pokémon Center-kortopplysninger ble eksponert, men kontakt kortutstederen via det offisielle telefonnummeret hvis du ser en ukjent transaksjon.
6. Ta vare på dokumentasjon. Lagre ordrebekreftelser, kanselleringsmeldinger, informasjon om refusjon og sporingsopplysninger. Bruk offisiell kundestøtte for spørsmål om kansellerte ordre eller mulighet for refusjon og ny bestilling.
7. Vær oppmerksom på fysisk identitetssvindel. Uventede besøk, telefonsamtaler eller meldinger som viser til hjemmeadressen din eller en «gjenfunnet» pakke, bør undersøkes ekstra nøye.

Hendelsen viser hvorfor et datainnbrudd hos en logistikkleverandør kan ramme kunder selv om nettbutikken deres fortsatt er sikker. I dette tilfellet er den kjente risikoen først og fremst knyttet til leverings- og ordreopplysninger. Hvorfor Pokémon Center kansellerte enkelte ordre, og hvor omfattende CEVA-kompromitteringen faktisk var, er fortsatt uavklart.