CEVA Logistics bị tấn công mạng: Đơn hàng Pokémon Center bị hủy, dữ liệu giao hàng có thể lộ

Một cuộc tấn công mạng nhằm vào CEVA Logistics, nhà cung cấp dịch vụ hoàn tất đơn hàng cho Pokémon Center tại Vương quốc Anh và Đức, đã làm gián đoạn hoạt động kho ở châu Âu và có thể khiến dữ liệu giao hàng, thông tin đơn hàng của khách hàng bị lộ. Sự cố không bắt nguồn từ website Pokémon Center hay hệ thống tài khoản khách hàng của hãng. Các báo cáo hiện có cho biết thông tin thẻ thanh toán không bị lộ trong phần ảnh hưởng liên quan đến Pokémon Center.

Vấn đề trước mắt với khách hàng gồm hai phần: một số đơn hàng bị hủy hoặc giao chậm, trong khi những người bị ảnh hưởng có thể trở thành mục tiêu của các vụ lừa đảo tinh vi, sử dụng đúng sản phẩm, địa chỉ hoặc thông tin trục trặc đơn hàng có thật.

Chuyện gì xảy ra tại CEVA Logistics?

CEVA Logistics là công ty logistics hợp đồng có trụ sở tại Pháp, thuộc tập đoàn CMA CGM. Doanh nghiệp này vận hành hơn 1.000 kho hàng trên toàn cầu và đảm nhiệm khâu xử lý, đóng gói, giao hàng cho nhiều hãng bán lẻ và công ty công nghệ.

Kẻ tấn công đã truy cập các hệ thống CEVA trong khoảng từ ngày 29/7 đến ngày 1/8/2026. Vụ xâm nhập làm gián đoạn một phần hoạt động logistics hợp đồng của CEVA tại châu Âu. Các nguồn tin cho biết 8 kho hàng bị ảnh hưởng, khiến việc xuất hàng bị dừng hoặc không thể thực hiện. Ngày 1/8, CEVA thông báo cho các khách hàng liên quan rằng hàng hóa đang được lưu tại những cơ sở bị gián đoạn chưa thể vận chuyển.

Ở thời điểm các báo cáo mới nhất được công bố, CEVA vẫn đang điều tra. Phương thức xâm nhập, tổng số người bị ảnh hưởng, loại dữ liệu chính xác đã bị truy cập và việc dữ liệu có bị lấy ra hay không vẫn chưa được xác định công khai. Chưa có nhóm ransomware hay nhóm tấn công nào lên tiếng nhận trách nhiệm.

Khách hàng Pokémon Center bị ảnh hưởng ra sao?

Pokémon Center đã thông báo cho khách hàng tại Vương quốc Anh và Đức rằng CEVA, đối tác được sử dụng để hoàn tất đơn hàng trên PokémonCenter.com, đã hứng chịu một cuộc tấn công mạng. Dữ liệu được CEVA lưu giữ nhằm phục vụ việc giao sản phẩm; Pokémon Center cho biết sự cố không phải là vụ xâm nhập vào hệ thống tài khoản khách hàng hay hệ thống xử lý thanh toán của chính hãng.

Khách hàng ghi nhận hai tác động chính:

• Đơn hàng bị hủy: Pokémon Center đã hủy một số đơn đang chờ xử lý, trong đó có các đơn đặt trước sản phẩm thẻ kỷ niệm 30 năm Pokémon được nhiều khách hàng báo cáo.
• Giao hàng và hoàn tất đơn bị chậm: Các đơn khác bị trì hoãn do hoạt động logistics tại những cơ sở bị ảnh hưởng bị gián đoạn.

Một số báo cáo từ khách hàng có nhắc đến móc khóa Ghost Chateau Cyndaquil trong bối cảnh sự cố. Tuy nhiên, bằng chứng hiện có chưa cho thấy Pokémon Center từng công khai xác nhận riêng sản phẩm này bị xâm phạm hoặc chính thức bị hủy. Vì vậy, không nên xem đây là một trường hợp đã được xác nhận.

Vì sao một số đơn bị hủy thay vì chỉ giao chậm?

Pokémon Center chưa công khai giải thích lý do cụ thể đối với từng đơn hàng. Về mặt vận hành, các khả năng có thể gồm dữ liệu hoàn tất đơn hàng không còn đáng tin cậy, doanh nghiệp gặp khó khăn trong việc xác định hoặc phân bổ hàng tồn kho, hoặc cần xây dựng lại đơn hàng theo cách an toàn. Đây chỉ là những khả năng hợp lý, chưa phải kết luận đã được xác nhận.

Việc một đơn hàng bị hủy cũng không chứng minh dữ liệu liên quan chắc chắn đã bị đánh cắp, nhưng đồng thời cũng không chứng minh dữ liệu hoàn toàn an toàn. Trạng thái hủy có thể phản ánh quyết định xử lý đơn sau sự cố, chứ chưa nói lên kết quả cuối cùng của quá trình điều tra pháp chứng.

Dữ liệu nào có thể đã bị lộ?

Đối với khách hàng Pokémon Center bị ảnh hưởng, các dữ liệu được báo cáo hoặc có khả năng nằm trong vùng rủi ro gồm:

• Họ và tên đầy đủ
• Địa chỉ giao hàng hoặc địa chỉ thanh toán
• Địa chỉ email
• Số điện thoại
• Thông tin đơn hàng, bao gồm sản phẩm đã mua và chi tiết liên quan đến việc hoàn tất đơn

Đây không phải là một vụ lộ mật khẩu hoặc thông tin thẻ thanh toán. Thông báo của Pokémon Center và các báo cáo hiện có cho biết website cùng hệ thống tài khoản khách hàng của hãng không bị xâm phạm, đồng thời dữ liệu thẻ thanh toán không bị truy cập thông qua sự cố này.

Điều này làm giảm nguy cơ trực tiếp bị đánh cắp thẻ hoặc chiếm quyền tài khoản từ vụ việc CEVA. Tuy vậy, rủi ro không biến mất: kẻ lừa đảo có trong tay tên thật, địa chỉ, email và thông tin sản phẩm có thể tạo ra một tin nhắn giả mạo giao hàng hoặc hoàn tiền trông rất đáng tin.

Những công ty nào khác bị ảnh hưởng?

Vì CEVA là nhà cung cấp logistics dùng chung cho nhiều doanh nghiệp, sự cố không chỉ giới hạn ở Pokémon Center. Các tổ chức được đưa tin là bị ảnh hưởng hoặc đã thông báo cho khách hàng gồm:

• Valve, liên quan đến người mua phần cứng Steam tại châu Âu
• Các nhà bán lẻ Hà Lan bol và De Bijenkorf
• ING
• Ace & Tate
• Ajax

Các báo cáo đề cập khoảng một chục tổ chức bị ảnh hưởng, nhưng danh sách công khai có thể chưa đầy đủ khi cuộc điều tra vẫn tiếp diễn.

Valve cũng cảnh báo khách hàng châu Âu từng mua phần cứng vật lý, gồm Steam Deck, Steam Machine hoặc Steam Controller. Dữ liệu có khả năng bị lộ là thông tin phục vụ giao hàng; Valve cho biết mật khẩu Steam, số thẻ thanh toán và mã Steam Guard không nằm trong sự cố.

Do đó, đây là một vụ xâm phạm chuỗi cung ứng tại nhà cung cấp logistics, không phải vụ đột nhập trực tiếp vào Steam hay Pokémon Center.

Vì sao nguy cơ lừa đảo giả mạo lại cao?

Dữ liệu bị lộ đặc biệt hữu ích cho các chiến thuật thao túng tâm lý. Nó cho phép kẻ gian tạo ra những tin nhắn tưởng như đang xác nhận một việc mà người nhận vốn đã chờ đợi hoặc biết đến. Hãy coi mọi email, tin nhắn hoặc cuộc gọi bất ngờ là đáng ngờ, ngay cả khi chúng đề cập đúng sản phẩm, địa chỉ, đơn hàng hoặc trạng thái hủy.

Các kịch bản lừa đảo có thể gồm:

• Yêu cầu thanh toán “phí giao lại” hoặc phí hải quan
• Thông báo rằng sản phẩm kỷ niệm 30 năm bị hủy đã được tìm thấy hoặc mở bán lại
• Đề nghị hoàn tiền, đổi hàng hoặc gửi sản phẩm thay thế giả mạo
• Yêu cầu xác nhận địa chỉ, thông tin thẻ, mật khẩu hoặc mã dùng một lần
• Giả danh Pokémon Center, CEVA, Valve, đơn vị vận chuyển, ngân hàng hoặc cơ quan hải quan

CEVA cũng từng cảnh báo riêng về các vụ lừa đảo sử dụng tên, logo, giấy tiêu đề, danh tính nhân viên và website giả mạo của công ty để gửi thư gian dối.

Khách hàng nên làm gì ngay bây giờ?

1. Chỉ kiểm tra đơn hàng qua website hoặc ứng dụng chính thức. Hãy tự mở cổng tài khoản Pokémon Center hoặc Steam bằng địa chỉ đã lưu hoặc tự nhập thủ công. Không bấm vào liên kết trong email, tin nhắn, bài đăng mạng xã hội hay phần trả lời bất ngờ.
2. Không trả tiền để “giải phóng” bưu kiện. Nếu cần xác minh, hãy liên hệ nhà bán lẻ, đơn vị vận chuyển hoặc ngân hàng qua thông tin lấy từ website chính thức, không dùng số điện thoại hay liên kết trong tin nhắn đáng ngờ.
3. Tuyệt đối không cung cấp mật khẩu hoặc mã dùng một lần. Quy trình giao hàng, hoàn tiền hay đổi sản phẩm không nên yêu cầu mật khẩu tài khoản, mã xác thực đa yếu tố hoặc mã Steam Guard.
4. Bảo vệ tài khoản email dùng để đặt hàng. Sử dụng mật khẩu riêng và bật xác thực đa yếu tố. Nếu từng dùng lại cùng một cặp email-mật khẩu cho dịch vụ khác, hãy đổi mật khẩu ở những nơi đó.
5. Theo dõi giao dịch thanh toán. Sự cố hiện không cho thấy dữ liệu thẻ của Pokémon Center bị lộ, nhưng hãy gọi cho đơn vị phát hành thẻ qua số chính thức nếu phát hiện giao dịch bất thường.
6. Lưu lại hồ sơ. Giữ email xác nhận đơn, thông báo hủy, thông tin hoàn tiền và mã theo dõi. Hãy dùng kênh hỗ trợ chính thức để hỏi về đơn bị hủy hoặc khả năng hoàn tiền, đặt lại đơn.
7. Cảnh giác với hành vi giả danh ngoài đời thực. Những cuộc gọi, người lạ ghé nhà hoặc tin nhắn nhắc đến đúng địa chỉ nhà và một bưu kiện “có thể khôi phục” cần được kiểm tra đặc biệt thận trọng.

Bài học lớn từ sự cố này là một vụ lộ dữ liệu tại đơn vị logistics vẫn có thể ảnh hưởng trực tiếp đến khách hàng, ngay cả khi website chính của nhà bán lẻ vẫn an toàn. Trong trường hợp CEVA, phần dữ liệu được biết đến hiện tập trung vào thông tin giao hàng và đơn hàng; lý do Pokémon Center hủy từng đơn cụ thể cũng như toàn bộ phạm vi xâm phạm vẫn chưa được làm rõ.