CEVA saldırısı Pokémon Center siparişlerini aksattı, teslimat verilerini riske attı

CEVA Logistics’e yönelik bir siber saldırı, Pokémon Center’ın Birleşik Krallık ve Almanya’daki siparişlerinin karşılandığı Avrupa lojistik operasyonlarını aksattı. Saldırı Pokémon Center’ın internet sitesinden veya müşteri hesaplarından kaynaklanmadı. Mevcut bildirimlere göre bu olay kapsamında Pokémon Center müşterilerinin ödeme kartı bilgilerine erişilmedi.

Müşteriler açısından sorun iki başlıkta toplanıyor: Bazı siparişler iptal edildi veya gecikti; ayrıca gerçek ürün, adres ya da sipariş ayrıntılarını kullanan son derece inandırıcı dolandırıcılık mesajları gönderilebilir.

CEVA Logistics’te ne oldu?

CEVA Logistics, merkezi Fransa’da bulunan CMA CGM grubunun sözleşmeli lojistik şirketi. Şirket dünya genelinde 1.000’den fazla depo işletiyor ve farklı perakendeciler ile teknoloji şirketleri adına ürünlerin depolanması, hazırlanması ve gönderilmesini yürütüyor.

Saldırganların CEVA sistemlerine yaklaşık 29 Temmuz-1 Ağustos 2026 tarihleri arasında eriştiği bildirildi. Saldırı, şirketin Avrupa’daki sözleşmeli lojistik faaliyetlerinin bir bölümünü sekteye uğrattı. Raporlara göre sekiz depo etkilendi; bu tesislerdeki ürünlerin gönderilmesi durdu veya mümkün olmadı. CEVA, 1 Ağustos’ta etkilenen müşterilerine aksayan tesislerde bulunan ürünlerin gönderilemediğini bildirdi.

CEVA, son raporların yayımlandığı sırada olayın soruşturmasını sürdürüyor. Saldırının hangi yöntemle gerçekleştirildiği, kaç kişinin etkilendiği, tam olarak hangi verilere erişildiği ve verilerin dışarı çıkarılıp çıkarılmadığı kamuoyuna kesin olarak açıklanmış değil. Mevcut haberlere göre herhangi bir fidye yazılımı grubu ya da başka bir saldırgan da sorumluluğu üstlenmedi.

Pokémon Center müşterileri nasıl etkilendi?

Pokémon Center, Birleşik Krallık ve Almanya’daki müşterilerine, siparişlerin hazırlanması için kullandığı lojistik sağlayıcı CEVA’daki saldırının PokémonCenter.com siparişleriyle ilişkili bilgileri etkileyebileceğini bildirdi. Şirket, olayın kendi müşteri hesaplarının veya ödeme sistemlerinin ele geçirilmesi anlamına gelmediğini belirtti.

Müşterilerin bildirdiği başlıca etkiler şunlar:

• İptal edilen siparişler: Pokémon Center bazı bekleyen siparişleri iptal etti. Bunlar arasında Pokémon’un 30. yıl dönümü kart ürünleri için verilen bazı ön siparişlerin de bulunduğu bildirildi.
• Gönderim ve tedarik gecikmeleri: Diğer siparişler, etkilenen lojistik operasyonları nedeniyle gecikti.

Ghost Chateau Cyndaquil anahtarlığı, bazı müşteri paylaşımlarında bu olayla bağlantılı olarak anıldı. Ancak mevcut kanıtlar, Pokémon Center’ın bu ürünü özel olarak ele geçirilmiş veya resmi olarak iptal edilmiş bir ürün şeklinde tanımladığını göstermiyor. Bu nedenle anahtarlık, doğrulanmış bir örnek olarak sunulmamalı.

Bazı siparişler neden geciktiği halde iptal edildi?

Pokémon Center, hangi siparişlerin neden iptal edildiğini kamuoyuna açıklamadı. Olası operasyonel nedenler arasında tedarik kayıtlarının güvenilirliğini yitirmesi, stokların bulunamaması veya doğru siparişle eşleştirilememesi ve etkilenen siparişlerin güvenli biçimde yeniden oluşturulması gerekliliği bulunabilir. Ancak bunların hiçbiri doğrulanmış bulgu değil, yalnızca makul ihtimaller.

Bir siparişin iptal edilmesi, ilgili müşteri verilerinin kesin olarak çalındığını göstermez. Aynı şekilde verilerin güvende olduğunu da kanıtlamaz. İptal kararı, adli bilişim soruşturmasının sonucundan ziyade saldırı sonrasında alınmış bir lojistik tedbir olabilir.

Hangi bilgiler açığa çıkmış olabilir?

Etkilenen Pokémon Center müşterileri için bildirilen veya açığa çıkmış olabilecek bilgiler arasında şunlar yer alıyor:

• Ad ve soyadı
• Teslimat veya fatura adresi
• E-posta adresi
• Telefon numarası
• Sipariş bilgileri; satın alınan ürünler ve ilgili gönderim ayrıntıları

Bu durum, şifrelerin veya ödeme kartı bilgilerinin ele geçirildiği anlamına gelmiyor. Pokémon Center’ın bildirimleri ve mevcut haberler, şirketin kendi internet sitesi ile müşteri hesap sistemlerinin saldırıya uğramadığını ve bu olay kapsamında ödeme kartı bilgilerinin erişime açılmadığını gösteriyor.

Bu ayrım, doğrudan kart hırsızlığı veya hesap ele geçirme riskini azaltıyor. Ancak gerçek ad, adres, e-posta ve satın alınan ürün bilgilerine sahip bir dolandırıcı, sahte kargo veya para iadesi mesajını oldukça inandırıcı hale getirebilir.

Başka hangi şirketler etkilendi?

CEVA’nın farklı şirketler için ortak lojistik sağlayıcısı olması, olayın Pokémon Center’ın ötesine taşınmasına neden oldu. Etkilendiği veya müşterilerini bilgilendirdiği bildirilen kuruluşlar arasında şunlar yer alıyor:

• Avrupa’daki Steam donanımı alıcıları için Valve
• Hollandalı perakendeciler bol ve De Bijenkorf
• ING
• Ace & Tate
• Ajax

Haberlerde yaklaşık bir düzine kuruluşun etkilendiği aktarılıyor; ancak soruşturma sürdüğü için yayımlanan liste henüz eksiksiz olmayabilir.

Valve ayrıca Steam Deck, Steam Machine veya Steam Controller gibi fiziksel Steam donanımları satın alan Avrupalı müşterilerini uyardı. Şirkete göre açığa çıkmış olabilecek bilgiler teslimatla ilgili ayrıntılarla sınırlıydı; Steam şifreleri, ödeme kartı numaraları ve Steam Guard kodları olayın parçası değildi.

Dolayısıyla bu olay, Steam veya Pokémon Center’ın doğrudan hacklenmesinden ziyade ortak bir lojistik sağlayıcısına yönelik tedarik zinciri saldırısı niteliğinde.

Kimlik avı riski neden yüksek?

Teslimat bilgileri, sosyal mühendislik saldırıları için özellikle kullanışlıdır. Çünkü saldırganlar, alıcının gerçekten beklediği bir ürün veya sipariş hakkında mesaj göndererek iletişime güvenilirlik katabilir. Gerçek bir ürün adından, adresinizden veya sipariş sorunundan bahsetse bile beklenmedik mesajları şüpheli kabul edin.

Olası dolandırıcılık senaryoları şöyle olabilir:

• “Yeniden teslimat” veya gümrük ücreti adı altında ödeme talebi
• İptal edilen 30. yıl dönümü ürününün bulunduğu ya da yeniden stoklandığı iddiası
• Sahte para iadesi veya yeni ürün gönderimi teklifi
• Adres, kart, şifre veya tek kullanımlık doğrulama kodu isteme
• Pokémon Center, CEVA, Valve, kargo şirketi, banka veya gümrük kurumu taklidi yapan mesajlar

CEVA da ayrıca dolandırıcıların şirketin adını, logosunu, antetli belgelerini, çalışan kimliklerini ve sahte internet sitelerini kullandığı konusunda uyarıda bulunuyor.

Etkilenen müşteriler şimdi ne yapmalı?

1. Siparişleri yalnızca resmi sitelerden veya uygulamalardan kontrol edin. Pokémon Center ya da Steam hesabınıza, kayıtlı yer iminizden veya adresi kendiniz yazarak doğrudan giriş yapın. Beklenmedik e-posta, SMS veya sosyal medya yanıtlarındaki bağlantıları kullanmayın.
2. Paketi “serbest bırakmak” için ödeme yapmayın. Perakendeci, kargo şirketi veya bankayla, gelen mesajdaki iletişim bilgileri yerine resmi kanallardan edindiğiniz bilgilerle görüşün.
3. Şifre veya tek kullanımlık kod paylaşmayın. Kargo, para iadesi ya da ürün değişimi işlemleri için hesap şifresi, çok faktörlü kimlik doğrulama kodu veya Steam Guard kodu istenmemeli.
4. Siparişte kullandığınız e-posta hesabını güvenceye alın. Benzersiz bir şifre kullanın ve çok faktörlü kimlik doğrulamayı etkinleştirin. Aynı e-posta-şifre kombinasyonunu kullandığınız diğer hesapların şifrelerini de değiştirin.
5. Kart ve banka hareketlerini izleyin. Pokémon Center ödeme kartı bilgilerinin bu olayda açığa çıktığına dair bir belirti yok; yine de tanımadığınız bir işlem görürseniz kart kuruluşunuzu resmi telefon numarasından arayın.
6. Kayıtları saklayın. Sipariş onaylarını, iptal e-postalarını, para iadesi bilgilerini ve takip ayrıntılarını koruyun. İptal edilen sipariş veya olası iade ve yeniden sipariş seçenekleri için yalnızca resmi destek kanallarını kullanın.
7. Fiziksel dünyadaki taklitlere karşı da dikkatli olun. Ev adresinize atıfta bulunan beklenmedik aramalar, ziyaretler veya “kurtarılan paket” mesajları ekstra inceleme gerektirir.

Bu olayın temel dersi şu: Bir perakendecinin ana sitesi güvende kalsa bile kullandığı lojistik şirketindeki ihlal müşterileri etkileyebilir. CEVA vakasında bilinen risk, ağırlıklı olarak teslimat ve sipariş bilgileriyle sınırlı görünüyor. Ancak Pokémon Center’ın belirli siparişleri neden iptal ettiği ve CEVA saldırısının tam kapsamı henüz açıklığa kavuşmuş değil.