Pokémon Center informeert klanten in het Verenigd Koninkrijk en Duitsland dat sommige van hun persoonlijke gegevens mogelijk zijn blootgesteld na een cyberaanval op CEVA Logistics, het derde partijbedrijf dat verantwoordelijk is voor het afhandelen en verzenden van bestellingen in die markten. Het incident heeft ook leveringen verstoord, waarbij sommige klanten meldden dat hun bestellingen zijn geannuleerd.
De gecompromitteerde systemen behoorden toe aan CEVA Logistics en niet aan Pokémon Center zelf. CEVA bevatte echter klantinformatie die Pokémon Center verstrekte, zodat bestellingen die via PokemonCenter.com werden geplaatst konden worden voorbereid en geleverd. Dit betekende dat aanvallers mogelijk toegang kregen tot klantgegevens, ondanks dat ze de systemen van Pokémon Center niet direct hadden gecompromitteerd.
CEVA kreeg tussen 29 juli en 1 augustus een cyberaanval te verwerken die delen van haar Europese activiteiten trof. Het bedrijf exploiteert een groot internationaal logistiek netwerk en levert opslag- en transportdiensten aan tal van bedrijven, wat betekent dat de gevolgen van het incident verder reiken dan één enkele retailer. Verschillende Europese magazijnen werden verstoord, wat bijdroeg aan vertragingen in de verzending.
Volgens meldingen die zijn gestuurd naar getroffen Pokémon Center-klanten, begon de aanval op 30 juli. De mogelijk gecompromitteerde informatie omvat de volledige namen van klanten, postadressen, telefoonnummers en e-mailadressen. Informatie die de producten in individuele PokemonCenter.com bestellingen identificeert, kan ook zijn opgevraagd.
Pokémon Center meldde dat andere klant- en bestelinformatie niet werd beïnvloed. Belangrijk is dat CEVA geen toegang heeft tot de betaalkaartgegevens van klanten, waardoor kaartgegevens niet onder de gegevens behoren die mogelijk via de logistieke leverancier worden geïdentificeerd.
De inbreuk heeft problemen veroorzaakt die verder gaan dan het blootstellen van klantinformatie. Pokémon Center heeft een melding op zijn Britse winkel getoond waarin klanten worden gewaarschuwd dat sommige bestellingen vertragingen ondervinden en mogelijk extra tijd vereisen voor verwerking, verzending en levering.
Sommige klanten hebben in plaats daarvan e-mails ontvangen waarin werd verteld dat hun aankopen waren geannuleerd vanwege een onverwacht afhandelingsprobleem. De annuleringsberichten bevatten ook informatie over het CEVA-beveiligingsincident. Het blijft onduidelijk waarom bepaalde aankopen geannuleerd moesten worden in plaats van simpelweg uitgesteld.
Aanvankelijk richtten de meldingen zich op bestellingen met de verwachte 30-jarig jubileummerchandise van Pokémon, maar klanten meldden ook annuleringen met niet-gerelateerde producten. Een Reddit-gebruiker meldde bijvoorbeeld dat een bestelling voor een Ghost Chateau Cyndaquil-sleutelhanger was geannuleerd, waarbij een andere klant zei een soortgelijke melding te hebben ontvangen.
Pokémon Center heeft geen openbaar cijfer vrijgegeven over het aantal getroffen klanten. Het is ook onduidelijk hoeveel van de mogelijk blootgestelde records toebehoren aan klanten in het VK vergeleken met Duitsland.
Het CEVA-incident heeft ook klanten van andere bedrijven getroffen. Valve heeft eerder Europese klanten die Steam-hardware hadden gekocht op de hoogte gebracht dat informatie van dezelfde logistieke leverancier was gecompromitteerd. Die gegevens bevatten contact- en leveringsinformatie die verband hield met klantorders.
De twee incidenten illustreren hoe een inbreuk bij een logistiek bedrijf informatie kan blootleggen van klanten van bedrijven waarvan de eigen systemen niet noodzakelijkerwijs zijn gecompromitteerd. Retailers geven routinematig de namen, adressen en contactgegevens aan fulfillmentpartners die nodig zijn om aankopen te leveren, waarbij klantinformatie binnen de infrastructuur van een andere organisatie wordt geplaatst.
Voor Pokémon Center-klanten is de bevestigde zorg daarom beperkt tot informatie die met CEVA wordt gedeeld voor orderafhandeling. Betaalkaartinformatie was niet beschikbaar voor de logistieke aanbieder, terwijl het exacte aantal getroffen klanten en de volledige reden achter de gerapporteerde annuleringen van bestellingen nog niet zijn vastgesteld.