Кибератака на CEVA Logistics сорвала заказы Pokémon Center и раскрыла данные о доставке

Кибератака затронула не сайты Pokémon Center или Steam, а их общего логистического подрядчика — CEVA Logistics. Из-за сбоя в европейских складских операциях часть заказов Pokémon Center в Великобритании и Германии отменили или задержали, а данные о доставке и заказах могли попасть в чужие руки.

Главная практическая проблема для клиентов сейчас — не только сорванные поставки. Если злоумышленники действительно получили имена, адреса, номера телефонов и сведения о покупках, они могут составить очень убедительные сообщения о «повторной доставке», возврате денег или восстановлении отменённого заказа.

Что произошло в CEVA Logistics

CEVA Logistics — французская компания, входящая в группу CMA CGM и специализирующаяся на контрактной логистике: хранении товаров, комплектации заказов и их отправке. Компания управляет более чем 1 000 складов по всему миру и обслуживает множество розничных и технологических брендов.

По имеющимся данным, злоумышленники получили доступ к системам CEVA примерно с 29 июля по 1 августа 2026 года. Атака нарушила работу части европейских логистических операций: сообщения СМИ указывают на восемь пострадавших складов, где отправка товаров была остановлена или стала невозможной. 1 августа CEVA уведомила затронутых клиентов, что товары на этих объектах не отправляются.

На момент последних публикаций расследование продолжалось. Не установлены способ проникновения, точное число затронутых людей, полный перечень доступных данных и факт их вывоза. Ни одна группировка вымогателей или другая сторона не заявила о своей ответственности за атаку.

Как пострадали клиенты Pokémon Center

Pokémon Center сообщил покупателям в Великобритании и Германии об инциденте у CEVA — поставщика, которому передавались данные, необходимые для комплектации и доставки заказов с PokemonCenter.com. По заявлениям компании, это не было взломом её собственных аккаунтов, сайта или платёжной инфраструктуры.

Покупатели столкнулись прежде всего с двумя последствиями:

• Отмена заказов. Pokémon Center отменил часть незавершённых заказов. Среди них, по сообщениям, были некоторые предзаказы коллекционных карточек к 30-летию Pokémon.
• Задержки доставки. Другие заказы задержались из-за перебоев в работе складов и процессов комплектации.

В сообщениях покупателей также упоминался брелок Ghost Chateau Cyndaquil. Однако доступные данные не подтверждают, что Pokémon Center официально назвал именно этот товар скомпрометированным или отменённым. Поэтому считать его подтверждённым примером нельзя.

Почему заказ отменили, а не просто задержали?

Pokémon Center публично не объяснил причины отмены конкретных заказов. Возможные операционные причины — повреждение или ненадёжность складских записей, невозможность точно найти и зарезервировать товар либо необходимость безопасно сформировать заказы заново. Но это лишь вероятные сценарии, а не установленные факты.

Важно и другое: отмена заказа сама по себе не доказывает, что связанные с ним данные украли. Но она также не доказывает обратного — статус заказа мог быть результатом решения по организации доставки, принятого ещё до завершения цифровой экспертизы.

Какие данные могли раскрыться

Для затронутых клиентов Pokémon Center потенциально доступными могли оказаться:

• имя и фамилия;
• адрес доставки или платёжный адрес;
• адрес электронной почты;
• номер телефона;
• сведения о заказе, включая товары и детали их комплектации и доставки.

Это не то же самое, что утечка паролей или банковских карт. Уведомления Pokémon Center и сообщения СМИ указывают, что собственные системы сайта и аккаунтов компании не были скомпрометированы, а данные банковских карт через этот инцидент доступны не были.

Для клиентов Steam, покупавших физические устройства в Европе, Valve также заявила, что в инцидент не попали пароли Steam, номера банковских карт и коды Steam Guard.

Такая граница снижает непосредственный риск кражи денег или захвата аккаунта. Но она не делает ситуацию безопасной: мошеннику, который знает настоящее имя, домашний адрес, купленный товар и факт задержки заказа, гораздо проще выдать себя за магазин, перевозчика или службу поддержки.

Какие ещё компании оказались затронуты

CEVA обслуживает сразу многих клиентов, поэтому инцидент вышел за пределы Pokémon Center. Среди организаций, о которых сообщалось как о пострадавших или уведомлявших клиентов, —:

• Valve — в части европейских покупателей оборудования для Steam;
• нидерландские магазины bol и De Bijenkorf;
• банк ING;
• производитель очков Ace & Tate;
• футбольный клуб Ajax.

В публикациях говорится примерно о десятке затронутых организаций, однако список может быть неполным, пока расследование продолжается.

Valve отдельно предупредила европейских покупателей физических устройств, включая Steam Deck, Steam Machine и Steam Controller. Речь шла о данных, связанных с доставкой, а не о взломе самого Steam.

Таким образом, это компрометация общей цепочки поставок: атаковали логистического подрядчика, а не напрямую Pokémon Center или Steam.

Почему риск фишинга особенно высок

Обычное мошенническое письмо легко распознать, если оно содержит общие формулировки. Но сообщение с настоящим названием товара, адресом или информацией об отменённом заказе может выглядеть вполне правдоподобно.

Будьте особенно осторожны с сообщениями, в которых предлагают:

• оплатить «повторную доставку», таможенный сбор или хранение посылки;
• подтвердить адрес или банковскую карту из-за проблем с отправкой;
• получить якобы найденный или снова доступный предзаказ к 30-летию Pokémon;
• оформить возврат, замену или «приоритетное восстановление» отменённого заказа;
• сообщить пароль, код из SMS, одноразовый код или код Steam Guard;
• перейти на сайт, который имитирует Pokémon Center, CEVA, Valve, банк, курьерскую или таможенную службу.

CEVA отдельно предупреждала о мошеннических письмах, где используются её название, логотип, фирменные бланки, имена сотрудников и поддельные сайты.

Что делать затронутым клиентам

1. Проверяйте заказы только через официальные сайты и приложения. Откройте Pokémon Center или Steam самостоятельно — через сохранённую закладку или введённый вручную адрес. Не переходите по ссылкам из неожиданных писем, SMS и сообщений в соцсетях.
2. Не платите за «разблокировку» посылки. Свяжитесь с магазином, перевозчиком или банком по контактам, найденным независимо от полученного сообщения.
3. Никому не сообщайте пароли и одноразовые коды. Для доставки, возврата денег или замены товара не должны требоваться пароль аккаунта, код многофакторной аутентификации или Steam Guard.
4. Защитите почтовый ящик, использованный при покупке. Установите уникальный пароль и включите многофакторную аутентификацию. Если тот же пароль использовался где-то ещё, замените его и на других сервисах.
5. Следите за операциями по картам и счетам. Хотя данные карт Pokémon Center, по имеющейся информации, не были затронуты, при незнакомом списании обратитесь в банк по официальному номеру.
6. Сохраняйте документы. Не удаляйте подтверждения заказа, письма об отмене, сведения о возврате и трекинге. По вопросам отменённого заказа обращайтесь в официальную поддержку.
7. Учитывайте риск контакта в реальном мире. Неожиданный звонок, визит или сообщение с упоминанием домашнего адреса и «восстановленной» посылки требует особой проверки.

Главный вывод: утечка у логистического подрядчика может повлиять на покупателей даже тогда, когда сайт магазина и аккаунты остаются защищёнными. В случае CEVA подтверждённые последствия сосредоточены вокруг данных о доставке и заказах, а причины отмены отдельных заказов Pokémon Center и полный масштаб компрометации пока не установлены.