ポケモンセンターは、サードパーティの物流プロバイダーであるCEVA Logisticsからハッカーが顧客の個人情報と注文情報を盗み出したことを受け、イギリスおよびドイツの顧客に対してサードパーティ経由のデータ侵害が発生したことを通知しています。
今回のサイバー攻撃で侵害されたのはCEVA側のシステムですが、流出した記録はPokemonCenter.comサイトで注文を行った顧客のものでした。ポケモンセンターはこの情報を物流プロバイダーと共有し、PokemonCenter.comの注文の処理・発送を委託していました。
CEVA Logisticsは、世界第3位の海運会社であるCMA CGMグループの子会社です。同社は1,000カ所の倉庫を運営し、昨年は1,500万件の出荷を取り扱い、2025年には183億ドルの収益を計上しています。
同社は最近サイバー攻撃を受け、攻撃者は7月29日から8月1日にかけてサーバーに侵入し、欧州の複数の小売業者に影響を及ぼしました。
今回のCEVA侵害はValveにも影響を及ぼしており、Valveは欧州のSteamハードウェア顧客に対し、氏名、住所、電話番号、メールアドレス、注文商品に関する情報がこのサイバー攻撃で盗まれたことを通知しています。
Valveの侵害通知によると、CEVAは注文後最大90日間、配送関連情報を保持しているとのことです。ただし、ポケモンセンターの顧客データにも同じ保持期間が適用されるかどうかは不明です。
今回の攻撃は欧州の8カ所の倉庫の業務にも支障をきたし、多くの顧客の発送に遅延が生じています。
データ侵害を受けポケモンセンターの注文がキャンセルに
BleepingComputerが確認したデータ侵害通知メールによると、ポケモンセンターはイギリスおよびドイツの顧客向けにPokemonCenter.comの商品を発送するベンダーとしてCEVAを利用しているとしています。
「予期せぬ発送処理上の問題により、お客様の直近のご注文[注文番号]をキャンセルせざるを得なくなりましたことをお詫び申し上げます」と、ポケモンセンターのデータ侵害通知には記されています。
「ポケモンセンターの物流プロバイダーに影響を及ぼしたサイバーインシデントにより、お客様の一部の情報が影響を受けた可能性があることをお知らせいたします。ポケモンセンターがイギリスおよびドイツのお客様向けにPokemonCenter.comの商品発送に利用しているベンダーであるCEVA Logistics(「CEVA」)から、2026年7月30日に開始したサイバー攻撃の被害に遭ったとの連絡がありました」
ポケモンセンターによると、権限のない第三者が顧客の氏名、郵送先住所、電話番号、メールアドレス、およびPokemonCenter.comの注文内容に関する詳細を取得した可能性があるとのことです。
同社は、顧客および注文に関連するその他の情報は影響を受けておらず、CEVAは顧客の支払いカード情報にはアクセスできないとしています。
ポケモンセンターは現在、イギリスのウェブサイト上に、一部の注文で遅延が発生しており、処理・発送・配達に通常より時間がかかる場合があるとの通知を表示しています。
しかし、顧客からは今回の侵害を受けて注文がキャンセルされたとの報告も上がっており、なぜ単なる遅延ではなくキャンセルが必要になったのかは不明です。
当初の報告では、大きな期待を集めていた30周年記念コレクション商品のキャンセルが警告されていましたが、あるRedditの投稿では、Ghost Chateau Cyndaquilキーリングなど他のグッズも影響を受けたことが示されています。
別の顧客も、同様のキャンセルメールを受け取ったと返信しています。
BleepingComputerはポケモンセンターおよびポケモンのメディア窓口に連絡を取り、今回の侵害の詳細と、なぜこのインシデントで顧客の注文がキャンセルされることになったのかについて問い合わせましたが、回答は得られていません。
攻撃者が有効な認証情報を手に入れると、その行動の37%しかブロックできない
全体的な防御スコアだけでは、初期侵入後に何が起きるかは見えてきません。攻撃者が有効な認証情報を使い始めると、防御の成功率は急激に低下します。
The Blue Report 2026は、顧客の本番環境で実施された3億3,800万件のシミュレーションをもとに、防御手法ごとに詳細な分析結果をまとめています。
