Ataque à CEVA Logistics expõe dados de entrega e interrompe pedidos do Pokémon Center

Um ataque cibernético contra a CEVA Logistics, empresa de logística contratada pelo Pokémon Center no Reino Unido e na Alemanha, interrompeu operações de armazéns na Europa e pode ter exposto dados de entrega e de pedidos. O incidente não começou no site nem nos sistemas de contas do Pokémon Center, e os relatos disponíveis indicam que informações de cartões de pagamento não foram expostas no impacto relacionado à empresa.

O problema imediato para os consumidores é duplo: alguns pedidos foram cancelados ou atrasados, e clientes afetados podem receber golpes especialmente convincentes, com referências a produtos, endereços ou problemas reais de entrega.

O que aconteceu na CEVA Logistics?

A CEVA Logistics é o braço de logística contratada do grupo CMA CGM, com sede na França. A companhia opera mais de 1.000 armazéns no mundo e realiza serviços de armazenamento, separação de pedidos e envio para diversos varejistas e empresas de tecnologia.

Os invasores tiveram acesso aos sistemas da CEVA aproximadamente entre 29 de julho e 1º de agosto de 2026. A invasão interrompeu parte das operações europeias de logística contratada. Segundo os relatos, oito armazéns foram afetados, fazendo com que remessas fossem interrompidas ou não pudessem ser despachadas. Em 1º de agosto, a CEVA avisou clientes afetados que os produtos armazenados nas instalações comprometidas não estavam sendo enviados.

Nos relatos mais recentes, a investigação ainda estava em andamento. O método usado na invasão, o número total de pessoas afetadas, exatamente quais dados foram acessados e se informações foram retiradas dos sistemas não haviam sido esclarecidos publicamente. Nenhum grupo de ransomware ou outro invasor havia reivindicado a autoria.

Como clientes do Pokémon Center foram afetados?

O Pokémon Center avisou consumidores do Reino Unido e da Alemanha que a CEVA havia sofrido um ataque cibernético que afetava informações usadas para cumprir pedidos feitos no PokémonCenter.com. Esses dados estavam com a empresa de logística para permitir a entrega dos produtos. O Pokémon Center afirmou que o incidente não representava uma invasão de suas próprias contas de clientes nem de seu processamento de pagamentos.

Os principais efeitos relatados foram:

• Pedidos cancelados: o Pokémon Center cancelou alguns pedidos pendentes, incluindo pré-encomendas de produtos de cartas do 30º aniversário de Pokémon.
• Atrasos no envio e no processamento: outros pedidos ficaram atrasados devido à interrupção das operações logísticas.

O chaveiro Ghost Chateau Cyndaquil foi mencionado em relatos de clientes em conexão com o problema. No entanto, as evidências disponíveis não mostram que o Pokémon Center tenha identificado publicamente esse SKU específico como comprometido ou oficialmente cancelado. Portanto, ele não deve ser apresentado como um exemplo confirmado.

Por que alguns pedidos foram cancelados em vez de apenas atrasados?

O Pokémon Center não explicou publicamente a decisão para cada pedido. Entre as possíveis razões operacionais estão registros de separação ou envio que deixaram de ser confiáveis, dificuldade para localizar ou reservar o estoque e a necessidade de refazer pedidos com segurança. Essas são possibilidades plausíveis, não conclusões confirmadas.

O cancelamento também não prova que os dados associados ao pedido foram roubados — nem prova que estavam seguros. O status pode refletir uma decisão operacional tomada após o incidente, e não o resultado final da investigação forense.

Quais dados podem ter sido expostos?

No caso de clientes afetados do Pokémon Center, as informações relatadas ou potencialmente expostas incluem:

• Nome completo;
• endereço de entrega ou cobrança;
• endereço de e-mail;
• número de telefone;
• informações do pedido, incluindo produtos comprados e detalhes relacionados ao processamento da entrega.

Isso não equivale a um vazamento de senhas ou cartões. Os avisos do Pokémon Center e os relatos disponíveis indicam que o site e os sistemas de contas da empresa não foram comprometidos e que informações de cartões não foram acessadas por meio desse incidente.

Essa diferença reduz o risco direto de fraude com cartão ou tomada de contas decorrente da exposição na CEVA. Mas o risco não desaparece: um golpista que tenha nome, endereço, e-mail e detalhes de um produto pode criar uma falsa mensagem de entrega ou reembolso com aparência legítima.

Quais outras empresas foram afetadas?

Como a CEVA presta serviços para várias empresas, o incidente ultrapassou o Pokémon Center. Organizações apontadas como afetadas ou que notificaram clientes incluem:

• Valve, no caso de compradores europeus de hardware da Steam;
• varejistas holandeses bol e De Bijenkorf;
• ING;
• Ace & Tate;
• Ajax.

Os relatos mencionam aproximadamente uma dúzia de organizações afetadas, mas a lista pode não estar completa enquanto a investigação continua.

A Valve também alertou clientes europeus que compraram hardware físico, como Steam Deck, Steam Machine ou Steam Controller. Os dados potencialmente expostos eram relacionados à entrega. A empresa afirmou que senhas da Steam, números de cartões e códigos do Steam Guard não estavam envolvidos.

Assim, o caso é um comprometimento de cadeia de fornecimento em um prestador de logística, e não uma invasão direta da Steam ou do Pokémon Center.

Por que o risco de phishing é especialmente alto?

Os dados envolvidos são úteis para engenharia social porque permitem criar mensagens que parecem confirmar algo que a vítima já espera. Uma comunicação não solicitada deve ser tratada com desconfiança mesmo quando menciona um produto verdadeiro, um endereço correto, um pedido real ou um cancelamento legítimo.

Entre os possíveis golpes estão:

• cobrança de uma suposta taxa de reentrega ou alfândega;
• afirmação de que um produto do 30º aniversário cancelado foi recuperado ou voltou ao estoque;
• oferta falsa de reembolso ou substituição;
• pedido para confirmar endereço, cartão, senha ou código de uso único;
• mensagens se passando pelo Pokémon Center, pela CEVA, pela Valve, por uma transportadora, banco ou órgão aduaneiro.

A própria CEVA já alertou que golpistas usam seu nome, logotipo, papel timbrado, identidades de funcionários e sites falsos em correspondências fraudulentas.

O que clientes afetados devem fazer agora

1. Confira pedidos apenas em sites ou aplicativos oficiais. Acesse diretamente o portal da conta do Pokémon Center ou da Steam usando um endereço digitado manualmente, um favorito salvo ou o aplicativo oficial. Não clique em links de e-mails, mensagens de texto ou respostas inesperadas nas redes sociais.
2. Não pague para “liberar” uma encomenda. Fale com a loja, transportadora ou banco usando dados de contato obtidos de forma independente, e não as informações contidas na mensagem recebida.
3. Nunca compartilhe senhas ou códigos de uso único. Uma solicitação de entrega, reembolso ou substituição não deve exigir senha de conta, código de autenticação multifator ou Steam Guard.
4. Proteja o e-mail usado no pedido. Use uma senha exclusiva e ative a autenticação multifator. Troque também as senhas de outras contas nas quais a mesma combinação de e-mail e senha tenha sido reutilizada.
5. Monitore as movimentações financeiras. O incidente não indica que dados de cartões do Pokémon Center tenham sido expostos, mas entre em contato com a administradora pelo número oficial se aparecer uma transação desconhecida.
6. Guarde os registros. Salve confirmações de pedido, e-mails de cancelamento, informações de reembolso e dados de rastreamento. Use o suporte oficial para perguntar sobre cancelamentos e possíveis opções de reembolso ou novo pedido.
7. Fique atento a tentativas de personificação no mundo físico. Telefonemas, visitas ou mensagens inesperadas que mencionem seu endereço ou uma encomenda supostamente recuperável exigem cuidado redobrado.

A principal lição é que um vazamento em uma empresa de logística pode atingir consumidores mesmo quando o site da loja continua protegido. Neste caso, a exposição conhecida está concentrada em dados de entrega e pedidos, enquanto o motivo dos cancelamentos individuais do Pokémon Center e a extensão completa do comprometimento da CEVA ainda não foram esclarecidos.