CEVA-attacken slog ut leveranser och kan ha röjt kunduppgifter

I de senaste rapporterna pågick utredningen fortfarande. Det är ännu inte offentligt klarlagt hur angriparna tog sig in, hur många personer som berördes, exakt vilka uppgifter som lästes eller om information fördes bort. Ingen utpekad ransomwaregrupp eller annan angripare hade heller tagit på sig ansvaret enligt tillgängliga uppgifter.

Så påverkades Pokémon Center-kunder

Pokémon Center informerade kunder i Storbritannien och Tyskland om att CEVA hade utsatts för en cyberattack som berörde information som används för att fullfölja beställningar från PokémonCenter.com. Logistikföretaget hade tillgång till uppgifterna för att kunna leverera varorna. Pokémon Center uppgav samtidigt att incidenten inte innebar att de egna kundkontona eller betalningssystemen hade hackats.

Kunder har framför allt rapporterat två praktiska följder:

• Avbrutna beställningar: Pokémon Center avbröt vissa pågående order, däribland rapporterade förbeställningar av kortprodukter för Pokémonseriens 30-årsjubileum.
• Försenade leveranser: Andra beställningar försenades när den berörda logistikverksamheten stördes.

Nyckelringen Ghost Chateau Cyndaquil har nämnts i kundrapporter i samband med incidenten. Det finns däremot inte tillräckligt stöd för att slå fast att Pokémon Center offentligt identifierade just den produkten som komprometterad eller officiellt avbruten. Den bör därför inte beskrivas som ett bekräftat exempel.

Varför avbröts vissa order i stället för att bara försenas?

Pokémon Center har inte offentligt förklarat varför enskilda beställningar avbröts. Möjliga operativa orsaker kan vara att lager- eller orderuppgifter inte längre gick att lita på, att varor inte kunde lokaliseras eller reserveras, eller att beställningar behövde byggas upp på nytt på ett säkert sätt. Det är dock möjliga förklaringar – inte bekräftade slutsatser.

Att en order avbryts bevisar alltså inte att tillhörande kunduppgifter stals. Det bevisar inte heller att uppgifterna var säkra. Orderstatusen kan vara resultatet av ett beslut i lager- och leveransprocessen efter incidenten, snarare än ett slutligt besked från den tekniska utredningen.

Vilka uppgifter kan ha exponerats?

För berörda Pokémon Center-kunder omfattar de rapporterade eller potentiellt exponerade uppgifterna bland annat:

• fullständigt namn
• leverans- eller faktureringsadress
• e-postadress
• telefonnummer
• orderuppgifter, till exempel vilka produkter som beställts och tillhörande information om leveransen

Det är inte samma sak som en läcka av lösenord eller betalkortsuppgifter. Pokémon Centers meddelanden och tillgängliga rapporter anger att företagets egen webbplats och kundkontosystem inte komprometterades och att betalkortsuppgifter inte kom åt genom den här incidenten.

Skillnaden minskar den direkta risken för kortbedrägerier och kontokapning till följd av CEVA-läckan. Risken för bedrägerier försvinner däremot inte. En bedragare som känner till ditt namn, din adress, din e-postadress och vilken produkt du beställt kan få ett falskt leverans- eller återbetalningsmeddelande att se äkta ut.

Vilka andra företag berördes?

Eftersom CEVA är en gemensam logistikleverantör sträckte sig incidenten längre än till Pokémon Center. Organisationer som rapporterats vara berörda eller som har kontaktat kunder inkluderar:

• Valve, med europeiska köpare av Steam-hårdvara
• de nederländska återförsäljarna bol och De Bijenkorf
• ING
• Ace & Tate
• Ajax

Rapporteringen har talat om ungefär ett dussin berörda organisationer, men listan kan vara ofullständig medan utredningen fortsätter.

Valve varnade separat europeiska kunder som köpt fysisk Steam-hårdvara, exempelvis Steam Deck, Steam Machine eller Steam Controller. De potentiellt exponerade uppgifterna var kopplade till leveransen. Valve uppgav att Steam-lösenord, betalkortsnummer och Steam Guard-koder inte berördes.

Det handlar därför om ett angrepp i leverantörskedjan hos ett logistikföretag – inte om ett direkt intrång i Steam eller Pokémon Center.

Därför är risken för nätfiske extra hög

Uppgifterna som kan ha exponerats är särskilt användbara vid social manipulation. De kan hjälpa en angripare att skriva ett meddelande som verkar bekräfta något mottagaren redan väntar på. Var skeptisk till oväntade meddelanden även om de nämner en riktig produkt, order, adress eller avbruten leverans.

Tänkbara bluffbeten är bland annat:

• en begäran om att betala en ”omleveransavgift” eller tullavgift
• ett påstående om att en avbruten 30-årsjubileumsprodukt har hittats eller kommit tillbaka i lager
• ett falskt erbjudande om återbetalning eller ersättningsvara
• en begäran om att bekräfta adress, kort, lösenord eller engångskod
• meddelanden som utger sig för att komma från Pokémon Center, CEVA, Valve, ett fraktbolag, en bank eller en tullmyndighet

CEVA har också varnat för bedrägerier där företagets namn, logotyp, brevpapper, medarbetares identiteter och falska webbplatser används i bluffkorrespondens.

Vad bör berörda kunder göra nu?

1. Kontrollera ordern endast via officiella webbplatser eller appar. Öppna Pokémon Centers eller Steams kontoportal direkt via ett sparat bokmärke eller genom att själv skriva in adressen. Använd inte länkar i oväntade mejl, sms eller svar på sociala medier.
2. Betala inte för att ”frisläppa” ett paket. Kontakta återförsäljaren, fraktbolaget eller banken via kontaktuppgifter du själv hämtat från den officiella webbplatsen – inte via meddelandet du fått.
3. Dela aldrig lösenord eller engångskoder. En leverans-, återbetalnings- eller ersättningsprocess ska inte kräva lösenord, multifaktoriseringskod eller Steam Guard-kod.
4. Säkra e-postkontot som användes vid beställningen. Använd ett unikt lösenord och aktivera multifaktorautentisering. Byt lösenord på andra tjänster där samma kombination av e-postadress och lösenord återanvänts.
5. Håll koll på kort- och banktransaktioner. Incidenten visar inte att Pokémon Centers betalkortsuppgifter exponerats, men kontakta kortutgivaren via dess officiella telefonnummer om du ser en okänd transaktion.
6. Spara dokumentationen. Behåll orderbekräftelser, avbrutna ordermejl, återbetalningsuppgifter och spårningsinformation. Använd officiell kundsupport för frågor om en avbruten order eller om återbetalning och eventuell ny beställning.
7. Var vaksam även utanför nätet. Oväntade samtal, besök eller meddelanden som hänvisar till din hemadress eller ett påstått återfunnet paket bör granskas extra noga.

Den viktigaste lärdomen är att ett intrång hos en logistikpartner kan drabba kunder även när återförsäljarens egen webbplats är säker. I det här fallet kretsar den kända exponeringen kring leverans- och orderinformation. Varför vissa Pokémon Center-order avbröts och hur omfattande CEVA:s intrång faktiskt var är fortfarande inte klarlagt.