CEVA 物流網攻波及 Pokémon Center 同 Steam，訂單資料或被曝光

截至最新報道，CEVA 仍在調查。入侵手法、受影響人士總數、實際被存取的資料，以及資料有否被拷走，均未有完全公開確認。暫時亦沒有勒索軟件組織或其他攻擊者公開承認責任。

Pokémon Center 顧客受到咩影響？

Pokémon Center 已通知英國及德國客戶，CEVA 的網絡攻擊影響了履行 PokémonCenter.com 訂單所需的資料。這些資料由物流商持有，用於安排送貨；Pokémon Center 表示，事件不是其本身客戶帳戶或付款處理系統被攻破。

目前主要影響包括：

• **訂單被取消：**部分未完成訂單被 Pokémon Center 取消，包括有報道指涉及 Pokémon 30 周年卡牌商品的預訂。
• **出貨及履單延誤：**其他訂單則因物流運作受阻而延遲。

有顧客報告將 Ghost Chateau 小火龍匙扣訂單與事件扯上關係，但現有證據不足以證明 Pokémon Center 曾公開確認這個特定商品編號已被入侵或正式取消。因此，不應將它當成已獲官方確認的例子。

點解有啲訂單係取消，而唔係等遲啲出貨？

Pokémon Center 尚未公開解釋個別訂單被取消的原因。從營運角度看，可能包括履單紀錄不再可靠、無法確認或分配庫存，或者需要安全地重新建立訂單。不過，以上都只是合理推測，並非已證實的調查結果。

同樣要留意：訂單被取消，並不代表相關資料一定已被盜取；但亦不代表資料一定安全。訂單狀態可能只是物流商在事故後作出的處理決定，未必反映最終鑑證結果。

可能曝光咩資料？

受影響的 Pokémon Center 客戶，可能涉及以下資料：

• 全名
• 送貨或帳單地址
• 電郵地址
• 電話號碼
• 訂單資料，包括所購買商品及相關履單詳情

這與密碼或付款卡資料外洩是兩回事。Pokémon Center 的通知及相關報道顯示，其網站及客戶帳戶系統沒有被攻破，而付款卡資料亦沒有透過今次事件被存取。

這個分別降低了直接被盜刷信用卡或帳戶被接管的風險，但並不代表可以掉以輕心。騙徒如果掌握真實姓名、地址、電郵及商品資料，就可以令假冒送貨、退款或訂單通知的訊息看起來非常可信。

仲有邊啲公司受牽連？

由於 CEVA 同時為多間公司提供物流服務，事件影響不只 Pokémon Center。被報道受影響或曾通知客戶的機構包括：

• Valve，涉及歐洲 Steam 硬件買家
• 荷蘭零售商 bol 及 De Bijenkorf
• ING
• Ace & Tate
• Ajax

報道形容約有十多間機構受影響，但調查尚未完成，已公開名單未必完整。

Valve 亦曾警告購買實體 Steam 硬件的歐洲客戶，包括 Steam Deck、Steam Machine 或 Steam Controller 的買家。可能曝光的資料主要是送貨相關資料；Valve 表示 Steam 密碼、付款卡號及 Steam Guard 驗證碼不在事件之內。

換句話說，今次較接近是物流供應鏈遭入侵，而不是 Steam 或 Pokémon Center 本身的直接系統外洩。

點解釣魚詐騙風險特別高？

姓名、地址、電話、電郵及訂單詳情，正正是社交工程常用的資料。騙徒可以藉此製作一段看似在跟進你預期中的訂單訊息。即使訊息提到你真的買過的商品、地址、訂單或取消安排，都應先當成可疑訊息處理。

常見誘餌可能包括：

• 要求支付「重新派送費」或海關費
• 聲稱已取消的 30 周年商品重新找到存貨，要求立即確認
• 假退款、換貨或補發通知
• 要求確認地址、信用卡、密碼或一次性驗證碼
• 冒充 Pokémon Center、CEVA、Valve、速遞公司、銀行或海關機構

CEVA 亦曾另外提醒，騙徒會冒用其名稱、標誌、信紙、員工身份及假網站發出詐騙通訊。

受影響客戶而家應該點做？

1. **只透過官方網站或應用程式查訂單。**自行開啟 Pokémon Center 或 Steam 帳戶頁面，使用已儲存書籤或手動輸入網址，不要點擊突如其來的電郵、短訊或社交媒體回覆內的連結。
2. **不要為「放行包裹」付款。**如有疑問，透過自行找到的官方電話或網站聯絡零售商、物流商或銀行，不要使用訊息內提供的聯絡方法。
3. **絕對不要交出密碼或一次性驗證碼。**正常的送貨、退款或補發安排，不應要求帳戶密碼、MFA 驗證碼或 Steam Guard 驗證碼。
4. **保護下單時使用的電郵帳戶。**設定獨有密碼並開啟多重認證。如果其他帳戶重用了相同的電郵及密碼組合，亦應更改密碼。
5. **留意付款活動。**今次事件沒有顯示 Pokémon Center 的付款卡資料被曝光；但如發現不明交易，應使用卡背或銀行官方網站上的電話聯絡發卡機構。
6. **保留相關紀錄。**儲存訂單確認、取消電郵、退款資料及物流追蹤紀錄。如訂單被取消，應透過官方客服查詢退款或重新下單安排。
7. **小心現實世界的冒認。**任何突然致電、上門或提及你住址、聲稱可以恢復或重新派送包裹的聯絡，都應額外核實。

今次事件提醒大家：就算零售商的主網站仍然安全，物流供應商被攻破一樣可以波及客戶。現時已知風險主要集中於送貨及訂單資料；至於個別 Pokémon Center 訂單為何被取消，以及 CEVA 實際有幾多資料受影響，仍有待調查確認。