CEVA 物流遭網攻：Pokémon Center 與 Steam 用戶必須知道的事

CEVA Logistics 遭遇網路攻擊後，旗下歐洲部分物流及倉儲作業受到干擾。這家負責 Pokémon Center 英國及德國訂單履約的物流供應商，可能讓部分客戶的配送及訂單資料落入未獲授權人士手中。事件並非源自 Pokémon Center 網站或客戶帳戶系統；現有報道亦指出，這次 Pokémon Center 相關影響不涉及付款卡資料。

對消費者而言，眼前的問題主要有兩個：部分訂單被取消或延遲，以及日後可能收到利用真實商品、地址或訂單狀態製作的高仿詐騙訊息。

CEVA Logistics 發生了什麼事？

CEVA Logistics 是總部位於法國、隸屬 CMA CGM 的合約物流企業，全球營運超過 1,000 個倉庫，為多家零售商及科技公司處理倉儲、訂單履約與配送。

攻擊者約在 2026 年 7 月 29 日至 8 月 1 日 期間取得 CEVA 系統的存取權。事件干擾了 CEVA 部分歐洲合約物流業務；報道指有 8 個倉庫受到影響，貨件一度停止或無法出庫。CEVA 在 8 月 1 日通知受影響客戶，存放於相關設施的貨物暫時無法寄出。

在最新報道中，CEVA 仍在調查事件。入侵方式、受影響人士的完整數目、實際遭存取的資料，以及資料是否被帶走，均未獲公開確認。現有報道也沒有顯示任何勒索軟體組織或其他攻擊者已承認責任。

Pokémon Center 客戶受到哪些影響？

Pokémon Center 已通知英國及德國客戶，CEVA 遭遇的網攻影響了用於履行 PokémonCenter.com 訂單的資料。這些資料由物流供應商保管，以便安排商品配送；Pokémon Center 表示，事件並非其客戶帳戶或付款處理系統遭入侵。

客戶目前回報的主要影響包括：

• 訂單取消： Pokémon Center 取消了部分待處理訂單，當中包括據報的寶可夢 30 週年卡牌商品預購。
• 出貨及履約延誤： 由於受影響的物流作業受到干擾，其他訂單則出現延遲。

有客戶報告將 Ghost Chateau 小火龍鑰匙扣與這次事件聯繫起來，但目前沒有足夠證據顯示 Pokémon Center 曾公開確認該特定商品編號遭到入侵或正式取消。因此，不應把它當作已獲官方確認的案例。

為什麼有些訂單被取消，而不是單純延遲？

Pokémon Center 尚未公開解釋個別訂單的取消決定。從營運角度看，可能原因包括履約紀錄不再可靠、難以確認或分配庫存，或需要安全地重新建立受影響訂單。不過，這些都只是合理推測，並非已證實的調查結論。

訂單被取消，並不代表相關資料一定已被竊取，也不代表資料一定安全。取消狀態可能只是事件發生後的履約處理決定，不能取代後續鑑識調查的結果。

哪些資料可能遭曝光？

對受影響的 Pokémon Center 客戶而言，據報或可能遭存取的資料包括：

• 全名
• 收貨或帳單地址
• 電子郵件地址
• 電話號碼
• 訂單資料，包括訂購商品及相關履約資訊

這與密碼或付款卡資料外洩並不相同。Pokémon Center 的通知及相關報道指出，其網站及客戶帳戶系統並未遭到入侵；付款卡資料也未因這次事件被存取。

這項區別降低了直接遭遇盜刷或帳戶接管的風險，但並不代表可以掉以輕心。若詐騙者掌握真實姓名、地址、電子郵件及商品細節，就能把假冒的配送、退款或訂單通知寫得相當逼真。

還有哪些公司或客戶受到影響？

由於 CEVA 是多家企業共用的物流供應商，事件影響並不只限於 Pokémon Center。據報受到影響或曾通知客戶的機構包括：

• Valve，涉及歐洲 Steam 硬體買家
• 荷蘭零售商 bol 及 De Bijenkorf
• ING
• Ace & Tate
• Ajax 足球會

報道形容受影響機構約有十多家，但調查尚未完成，公開名單可能並不完整。

Valve 另行警告曾購買實體 Steam 硬體的歐洲客戶，包括 Steam Deck、Steam Machine 或 Steam Controller 買家。可能遭曝光的是配送相關資料；Valve 表示 Steam 密碼、付款卡號及 Steam Guard 驗證碼並未涉及。

因此，這次事件屬於物流供應商的供應鏈入侵，而不是 Steam 或 Pokémon Center 本身的直接資料外洩。

為什麼釣魚詐騙風險特別高？

這次可能曝光的資料非常適合被用於社交工程攻擊，因為詐騙者可以利用受害者原本正在等待的商品或訂單，製作看似合理的訊息。即使訊息提到真實商品、地址、訂單或取消狀態，來歷不明的電郵、短訊及社交平台私訊仍應視為可疑。

常見誘餌可能包括：

• 要求支付「重新配送費」或海關費用
• 聲稱被取消的 30 週年商品重新找到庫存或可以補發
• 提供假的退款、替換商品或優先補貨方案
• 要求確認地址、付款卡、密碼或一次性驗證碼
• 冒充 Pokémon Center、CEVA、Valve、物流公司、銀行或海關機構

CEVA 也曾另外提醒，詐騙者會冒用其名稱、標誌、信紙格式、員工身分及假網站發送欺詐訊息。

受影響客戶現在應該怎麼做？

1. 只透過官方網站或應用程式查詢訂單。 直接開啟 Pokémon Center 或 Steam 帳戶入口，使用已儲存的書籤或自行輸入官方網址，不要點擊突如其來的電郵、短訊或社交平台回覆中的連結。
2. 不要支付所謂的「放行包裹費」。 如需確認配送、退款或訂單狀態，應透過自行查找的官方聯絡方式聯絡零售商、物流商或銀行，而不是使用訊息內提供的電話或連結。
3. 絕對不要分享密碼或一次性驗證碼。 配送、退款或換貨程序不應要求帳戶密碼、多因素驗證碼或 Steam Guard 驗證碼。
4. 保護下單時使用的電子郵件帳戶。 設定獨有密碼並啟用多因素驗證。如果其他服務重用了相同的電子郵件及密碼組合，也應更換那些密碼。
5. 留意付款活動。 雖然目前沒有證據顯示 Pokémon Center 的付款卡資料因這次 CEVA 事件遭曝光，但若發現不明交易，應使用付款卡背面的官方電話聯絡發卡機構。
6. 保存相關紀錄。 保留訂單確認、取消電郵、退款資訊及物流追蹤資料。如需了解取消訂單或退款、重新下單選項，應透過官方客服查詢。
7. 提防現實世界的冒充行為。 若有人突然致電、上門或傳訊息，並提及你的住址或聲稱可以恢復配送某件包裹，应提高警覺並另行核實身分。

這次事件提醒消費者：即使零售商的主要網站仍然安全，物流供應商遭入侵也可能波及客戶。就目前已知情況，風險主要集中在配送及訂單資料；至於 Pokémon Center 為何取消個別訂單，以及 CEVA 事件的完整影響範圍，仍有待進一步調查。