Pokémon Center informiert Kunden im Vereinigten Königreich und in Deutschland darüber, dass einige ihrer persönlichen Daten nach einem Cyberangriff auf CEVA Logistics, das für die Abwicklung und den Versand von Bestellungen in diesen Märkten zuständigen Drittanbieter, offengelegt worden sein könnten. Der Vorfall hat auch die Lieferungen gestört, wobei einige Kunden berichteten, dass ihre Bestellungen storniert wurden.
Die kompromittierten Systeme gehörten CEVA Logistics und nicht dem Pokémon Center selbst. CEVA bewahrte jedoch Kundeninformationen auf, die das Pokémon Center bereitgestellt hatte, damit Bestellungen über PokemonCenter.com vorbereitet und geliefert werden konnten. Das bedeutete, dass Angreifer potenziell Zugang zu Kundendaten erhielten, obwohl sie die Systeme des Pokémon Centers nicht direkt kompromittierten.
CEVA erlitt zwischen dem 29. Juli und dem 1. August einen Cyberangriff, der Teile seiner europäischen Aktivitäten betraf. Das Unternehmen betreibt ein großes internationales Logistiknetzwerk und bietet Lager- und Transportdienstleistungen für zahlreiche Unternehmen an, sodass die Folgen des Vorfalls über einen einzelnen Einzelhändler hinausgehen. Mehrere europäische Lagerhäuser wurden gestört, was zu Versandverzögerungen beigetragen hat.
Laut Benachrichtigungen, die an betroffene Kunden des Pokémon Centers gesendet wurden, begann der Angriff am 30. Juli. Die potenziell kompromittierten Informationen umfassen die vollständigen Kundennamen, Postadressen, Telefonnummern und E-Mail-Adressen. Auch Informationen zu den in einzelnen PokemonCenter.com Bestellungen enthaltenen Produkten könnten eingesehen worden sein.
Das Pokémon Center teilte mit, dass andere Kunden- und Bestellinformationen nicht betroffen seien. Wichtig ist, dass CEVA keinen Zugriff auf die Zahlungskarteninformationen der Kunden hat, sodass Kartendaten nicht zu den Daten gehören, die durch den Logistikanbieter als potenziell offengelegt identifiziert wurden.
Der Datenverstoß hat Probleme geschaffen, die über die Offenlegung von Kundeninformationen hinausgehen. Pokémon Center hat in seinem britischen Geschäft einen Hinweis angebracht, der Kunden warnt, dass einige Bestellungen Verzögerungen haben und zusätzliche Zeit für Bearbeitung, Versand und Lieferung benötigen könnten.
Einige Kunden haben stattdessen E-Mails erhalten, in denen ihnen mitgeteilt wurde, dass ihre Einkäufe wegen eines unerwarteten Fulfillment-Problems storniert wurden. Die Stornierungsnachrichten enthielten außerdem Informationen über den CEVA-Sicherheitsvorfall. Es bleibt unklar, warum bestimmte Einkäufe storniert werden mussten und nicht nur verzögert wurden.
Die Berichte konzentrierten sich zunächst auf Bestellungen, die das erwartete 30-jährige Jubiläums-Merchandise von Pokémon betrafen, aber Kunden berichteten auch von Stornierungen bei nicht verwandten Produkten. Ein Reddit-Nutzer berichtete beispielsweise, dass eine Bestellung für einen Schlüsselanhänger von Ghost Chateau Cyndaquil storniert worden sei, wobei ein anderer Kunde angab, eine ähnliche Benachrichtigung erhalten zu haben.
Das Pokémon Center hat keine öffentliche Zahl der betroffenen Kunden veröffentlicht. Es ist auch unklar, wie viele der potenziell exponierten Datensätze im Vergleich zu Deutschland zu Kunden im Vereinigten Königreich gehören.
Der CEVA-Vorfall hat auch Kunden anderer Unternehmen betroffen. Valve informierte zuvor europäische Kunden, die Steam-Hardware gekauft hatten, darüber, dass Informationen desselben Logistikanbieters kompromittiert wurden. Diese Aufzeichnungen enthielten Kontakt- und Lieferinformationen im Zusammenhang mit Kundenbestellungen.
Die beiden Vorfälle zeigen, wie eine Sicherheitslücke bei einem Logistikunternehmen Informationen von Kunden von Unternehmen offenlegen kann, deren eigene Systeme nicht unbedingt kompromittiert wurden. Einzelhändler stellen Fulfillment-Partnern routinemäßig die Namen, Adressen und Kontaktdaten zur Verfügung, die für die Lieferung von Käufen erforderlich sind, und platzieren Kundendaten in der Infrastruktur einer anderen Organisation.
Für Pokémon Center-Kunden beschränkt sich die bestätigte Sorge daher auf Informationen, die mit CEVA zur Auftragsabwicklung geteilt werden. Zahlungskarteninformationen waren dem Logistikanbieter nicht verfügbar, während die genaue Anzahl der betroffenen Kunden und der vollständige Grund für die gemeldeten Auftragsstornierungen noch nicht geklärt wurden.