Cyberatak na CEVA Logistics zakłócił dostawy i naraził dane klientów

Cyberatak nie zaatakował bezpośrednio sklepów Pokémon Center ani Steam. Jego celem była firma CEVA Logistics — zewnętrzny operator odpowiedzialny za realizację i wysyłkę zamówień. Skutki odczuli klienci Pokémon Center w Wielkiej Brytanii i Niemczech, a także europejscy nabywcy sprzętu Steam.

Najbardziej pilne są dziś dwa problemy: część przesyłek została anulowana lub opóźniona, a dane dotyczące prawdziwych zamówień mogą ułatwić oszustom przygotowanie przekonujących wiadomości phishingowych.

Co wydarzyło się w CEVA Logistics?

CEVA Logistics to mająca siedzibę we Francji firma z grupy CMA CGM, specjalizująca się w logistyce kontraktowej. Prowadzi ponad 1000 magazynów na całym świecie i realizuje dostawy dla wielu sprzedawców oraz firm technologicznych.

Napastnicy uzyskali dostęp do systemów CEVA mniej więcej między 29 lipca a 1 sierpnia 2026 r. Atak zakłócił część europejskich operacji logistycznych. Według doniesień dotknął ośmiu magazynów, w których wstrzymano wysyłkę lub nie można było nadać towarów. 1 sierpnia CEVA poinformowała klientów, że towary przechowywane w zakłóconych obiektach nie są wysyłane.

W najnowszych doniesieniach dochodzenie nadal trwało. Nie ustalono publicznie metody włamania, pełnej liczby poszkodowanych osób, dokładnego zakresu danych, do których uzyskano dostęp, ani tego, czy informacje zostały skopiowane lub usunięte. Żadna grupa ransomware ani inny napastnik nie przyznał się dotąd do ataku.

Jak ucierpieli klienci Pokémon Center?

Pokémon Center powiadomiło klientów z Wielkiej Brytanii i Niemiec, że cyberatak na CEVA mógł objąć informacje wykorzystywane do realizacji zamówień z PokémonCenter.com. Dane znajdowały się u operatora logistycznego, aby mógł dostarczyć produkty. Pokémon Center podkreśliło, że incydent nie oznacza włamania do jego własnych kont klientów ani systemu płatności.

Klienci zgłaszali przede wszystkim:

• Anulowanie zamówień: Pokémon Center anulowało część oczekujących zamówień, w tym zgłaszane przedsprzedaże kart Pokémon z okazji 30. rocznicy.
• Opóźnienia dostaw i realizacji: inne zamówienia zostały opóźnione z powodu zakłóceń w operacjach logistycznych.

W relacjach klientów pojawia się także brelok Ghost Chateau Cyndaquil. Dostępne informacje nie potwierdzają jednak, że Pokémon Center oficjalnie wskazało ten konkretny produkt jako naruszony lub anulowany. Nie należy więc przedstawiać go jako potwierdzonego przykładu.

Dlaczego część zamówień anulowano, a nie tylko opóźniono?

Pokémon Center nie wyjaśniło publicznie powodów anulowania poszczególnych zamówień. Możliwe przyczyny operacyjne to utrata wiarygodności danych magazynowych, problem ze zlokalizowaniem lub przydzieleniem towaru albo konieczność bezpiecznego odtworzenia zamówień. Są to jednak prawdopodobne scenariusze, a nie ustalone fakty.

Samo anulowanie zamówienia nie dowodzi, że powiązane z nim dane zostały skradzione — ale nie dowodzi też, że były bezpieczne. Status mógł wynikać z decyzji dotyczącej realizacji zamówienia podjętej po incydencie, a nie z ostatecznych wyników analizy kryminalistycznej.

Jakie dane mogły zostać ujawnione?

W przypadku klientów Pokémon Center potencjalnie narażone informacje obejmują:

• imię i nazwisko,
• adres dostawy lub adres rozliczeniowy,
• adres e-mail,
• numer telefonu,
• informacje o zamówieniu, w tym zamówionych produktach i szczegółach realizacji.

To nie jest równoznaczne z wyciekiem haseł ani danych kart płatniczych. Powiadomienia Pokémon Center i dostępne doniesienia wskazują, że jego strona internetowa oraz systemy kont klientów nie zostały przejęte, a dane kart płatniczych nie były dostępne w ramach tego incydentu.

Zmniejsza to bezpośrednie ryzyko kradzieży środków lub przejęcia konta. Nie eliminuje jednak zagrożenia. Oszust, który zna prawdziwe imię, adres, adres e-mail i szczegóły produktu, może stworzyć fałszywą wiadomość o dostawie, zwrocie pieniędzy albo anulowanym zamówieniu, która będzie wyglądała bardzo wiarygodnie.

Które inne firmy zostały dotknięte?

Ponieważ CEVA obsługuje wielu klientów, incydent wykraczał poza Pokémon Center. Wśród organizacji, które miały zostać dotknięte zdarzeniem lub informowały o nim swoich klientów, wymieniano:

• Valve — w związku z europejskimi nabywcami sprzętu Steam,
• holenderskich sprzedawców bol i De Bijenkorf,
• ING,
• Ace & Tate,
• Ajax.

Doniesienia mówiły o około kilkunastu organizacjach, ale lista może nie być pełna, dopóki dochodzenie trwa.

Valve ostrzegło europejskich klientów, którzy kupili fizyczny sprzęt Steam, w tym Steam Deck, Steam Machine lub Steam Controller. Potencjalnie ujawnione miały być dane związane z dostawą. Valve podało, że hasła do Steam, numery kart płatniczych i kody Steam Guard nie były objęte incydentem.

Było to zatem naruszenie bezpieczeństwa u wspólnego dostawcy logistycznego, a nie bezpośrednie włamanie do Steam czy Pokémon Center.

Dlaczego ryzyko phishingu jest szczególnie wysokie?

Dane dotyczące dostawy są cenne dla oszustów zajmujących się inżynierią społeczną. Pozwalają napisać wiadomość, która sprawia wrażenie potwierdzenia czegoś, na co odbiorca rzeczywiście czeka.

Szczególnie podejrzane mogą być wiadomości dotyczące:

• opłaty za „ponowne doręczenie” lub opłaty celnej,
• rzekomego odzyskania albo ponownej dostępności anulowanego produktu z okazji 30. rocznicy,
• fałszywego zwrotu pieniędzy lub wymiany towaru,
• prośby o potwierdzenie adresu, karty, hasła albo jednorazowego kodu,
• kontaktu podszywającego się pod Pokémon Center, CEVA, Valve, firmę kurierską, bank lub urząd celny.

CEVA już wcześniej ostrzegała przed oszustwami wykorzystującymi jej nazwę, logo, papier firmowy, dane pracowników i fałszywe strony internetowe.

Co powinni teraz zrobić klienci?

1. Sprawdzaj zamówienia wyłącznie na oficjalnych stronach lub w aplikacjach. Otwórz portal Pokémon Center albo Steam bezpośrednio — przez zapisany zakładkę lub ręcznie wpisany adres. Nie korzystaj z linków w nieoczekiwanych e-mailach, SMS-ach ani odpowiedziach w mediach społecznościowych.
2. Nie płać za „uwolnienie” przesyłki. Skontaktuj się ze sprzedawcą, przewoźnikiem lub bankiem, korzystając z danych znalezionych niezależnie, a nie z wiadomości, którą otrzymałeś.
3. Nigdy nie podawaj haseł ani kodów jednorazowych. Dostawa, zwrot pieniędzy ani wymiana produktu nie powinny wymagać hasła do konta, kodu MFA ani kodu Steam Guard.
4. Zabezpiecz skrzynkę e-mail używaną przy zamówieniu. Ustaw unikalne hasło i włącz uwierzytelnianie wieloskładnikowe. Zmień hasła w innych serwisach, jeśli używałeś tam tego samego połączenia adresu e-mail i hasła.
5. Monitoruj płatności. Incydent nie wskazuje, by dane kart płatniczych Pokémon Center zostały ujawnione, ale w razie nieznanej transakcji skontaktuj się z wystawcą karty, korzystając z oficjalnego numeru.
6. Zachowaj dokumentację. Nie usuwaj potwierdzeń zamówień, wiadomości o anulowaniu, informacji o zwrocie ani danych śledzenia. O anulowane zamówienie lub możliwość zwrotu bądź ponownego zakupu pytaj przez oficjalną obsługę.
7. Zachowaj ostrożność także poza internetem. Niespodziewane telefony, wizyty lub wiadomości odnoszące się do twojego adresu domowego albo „odzyskanej” przesyłki wymagają dodatkowej weryfikacji.

Najważniejszy wniosek jest prosty: naruszenie bezpieczeństwa firmy logistycznej może dotknąć klientów nawet wtedy, gdy główna strona sprzedawcy pozostaje bezpieczna. W tym przypadku wiadomo, że zagrożone mogły być przede wszystkim dane dostawy i zamówień. Nadal nie wiadomo natomiast, dlaczego konkretne zamówienia Pokémon Center anulowano zamiast opóźnić oraz jaki jest pełny zakres incydentu w CEVA.