Pokémon Center sta informando i clienti nel Regno Unito e in Germania che alcune delle loro informazioni personali potrebbero essere state esposte a seguito di un attacco informatico contro CEVA Logistics, la società terza responsabile dell’esecuzione e della spedizione degli ordini in quei mercati. L’incidente ha anche interrotto le consegne, con alcuni clienti che hanno segnalato che i loro ordini sono stati cancellati.
I sistemi compromessi appartenevano a CEVA Logistics piuttosto che al Pokémon Center stesso. Tuttavia, CEVA conservava le informazioni dei clienti fornite da Pokémon Center, così che gli ordini effettuati tramite PokemonCenter.com potessero essere preparati e consegnati. Ciò significava che gli attaccanti potevano potenzialmente accedere ai registri dei clienti nonostante non compromettessero direttamente i sistemi del Pokémon Center.
CEVA ha subito un attacco informatico che ha colpito parti delle sue operazioni europee tra il 29 luglio e il 1° agosto. L’azienda gestisce una vasta rete logistica internazionale e fornisce servizi di magazzinaggio e trasporto per numerose aziende, il che significa che le conseguenze dell’incidente sono andate oltre un singolo rivenditore. Diversi magazzini europei sono stati interrotti, contribuendo a ritardi nelle spedizioni.
Secondo le notifiche inviate ai clienti interessati del Pokémon Center, l’attacco è iniziato il 30 luglio. Le informazioni potenzialmente compromesse includono i nomi completi dei clienti, indirizzi postali, numeri di telefono e indirizzi email. Potrebbero essere state inoltre consultate informazioni che identificano i prodotti contenuti nei singoli ordini PokemonCenter.com.
Pokémon Center ha dichiarato che le altre informazioni sui clienti e sugli ordini non sono state influenzate. È importante sottolineare che CEVA non ha accesso alle informazioni delle carte di pagamento dei clienti, quindi i dettagli delle carte non sono tra i dati identificati come potenzialmente esposti dal fornitore di logistica.
La violazione ha creato problemi oltre la semplice esposizione delle informazioni dei clienti. Pokémon Center ha pubblicato un avviso sul suo negozio nel Regno Unito che avverte i clienti che alcuni ordini stanno subendo ritardi e potrebbero richiedere tempo aggiuntivo per l’elaborazione, la spedizione e la consegna.
Alcuni clienti hanno invece ricevuto email che li informano che i loro acquisti sono stati annullati a causa di un problema di evasione imprevisto. I messaggi di cancellazione contenevano anche informazioni sull’incidente di sicurezza CEVA. Rimane incerto perché alcuni acquisti dovessero essere stati cancellati invece di essere semplicemente rimandati.
Le segnalazioni inizialmente si concentravano su ordini riguardanti il merchandising per il 30° anniversario previsto di Pokémon, ma i clienti hanno anche segnalato cancellazioni riguardanti prodotti non correlati. Un utente di Reddit, ad esempio, ha riferito che un ordine per un portachiavi Cyndaquil di Ghost Chateau era stato annullato, con un altro cliente che ha dichiarato di aver ricevuto una notifica simile.
Pokémon Center non ha fornito pubblicamente una cifra sul numero di clienti interessati. Non è chiaro nemmeno quanti dei record potenzialmente esposti appartengano a clienti nel Regno Unito rispetto alla Germania.
L’incidente CEVA ha colpito anche clienti di altre aziende. Valve aveva precedentemente notificato i clienti europei che acquistavano hardware Steam che le informazioni detenute dallo stesso fornitore logistico erano state compromesse. Questi documenti includevano informazioni di contatto e consegna associate agli ordini dei clienti.
I due episodi illustrano come una violazione in un’azienda di logistica possa esporre informazioni appartenenti ai clienti di aziende i cui sistemi non sono necessariamente stati compromessi. I rivenditori forniscono regolarmente ai partner di evasione i nomi, gli indirizzi e i dati di contatto necessari per effettuare gli acquisti, inserendo le informazioni dei clienti all’interno dell’infrastruttura di un’altra organizzazione.
Per i clienti del Pokémon Center, la preoccupazione confermata si limita quindi alle informazioni condivise con CEVA per l’evasione degli ordini. Le informazioni sulle carte di pagamento non erano disponibili al fornitore logistico, mentre il numero preciso di clienti interessati e la vera ragione dietro le cancellazioni degli ordini non sono ancora stati accerti.