Pokémon Centerは、英国とドイツの顧客に対し、Pokémon Centerの両市場での注文履行を担う第三者企業CEVA Logisticsへのサイバー攻撃により、個人情報が流出したことを通知し始めました。
今回の事件は保留中の注文の一部キャンセルにもつながり、データセキュリティ事案の影響がカスタマーサービスやサプライチェーンの混乱にまで及んでいます。
同社は、自社ウェブサイト自体は侵害の発生源ではないと説明しています。流出の原因は、小売顧客向けに配送情報を処理しているCEVA Logisticsにあると特定されました。
Pokémon Centerは侵害通知メールの中で、「予期せぬ注文履行上の問題」により最近の注文をキャンセルしたことを謝罪した上で、CEVAがサイバー攻撃の被害に遭ったと説明しました。CEVAはPokémon Centerに対し、この攻撃活動は2026年7月30日に始まり、注文履行に使用するシステムに影響が及んだと伝えています。
Pokémon Centerによると、権限のない第三者が顧客の氏名、郵送先住所、電話番号、メールアドレス、およびPokémonCenter.comでの注文内容の詳細にアクセスした可能性があるとのことです。
同社は、CEVAが決済カード情報にアクセスする権限を持っていないため、その種の情報は今回の事案に関与していないと説明しています。また、Pokémon Centerアカウントのその他の情報についても影響を受けていないとしています。
決済データが含まれていないことで、直接的な金銭的被害の一部リスクは限定されるものの、流出した情報は依然として重大なリスクをはらんでいます。
氏名、自宅住所、連絡先情報、商品情報があれば、攻撃者は極めて信憑性の高いフィッシングメールや配送を装ったテキストメッセージ、不正な返金通知を作成するのに十分な材料を得ることになります。
実際の注文や顧客が受け取る予定の商品に言及したメッセージは、ありきたりな詐欺よりもはるかに説得力を持つ可能性があります。Pokémon CenterのUKウェブサイトでは現在、一部の注文で処理・発送・配送に通常より時間がかかる場合があると案内しています。
それにもかかわらず、顧客からは単なる遅延ではなく、完全なキャンセルが発生しているとの報告が寄せられています。同社は、今回の侵害がなぜ一部の注文でキャンセルを必要としたのかについて公に説明しておらず、影響を受けた買い物客の人数についても明らかにしていません。
今回のPokémon Centerの事案は、世界最大級の契約物流・輸送企業の一つであるCEVA Logisticsを巻き込んだ、より大規模なサイバー攻撃の一部です。
報道によれば、CEVAは侵入が7月29日に始まった可能性が高いことを確認しており、欧州内の少なくとも8か所の倉庫に影響が及んだとされています。同社はこの事案を確認した後、セキュリティ対応手順を発動し、8月1日に欧州の契約物流業務の一部が影響を受けたことを関係顧客に通知しました。
CSNの報道によると、業務への影響は被害を受けた8拠点にとどまり、その他のグローバルシステムには影響がなかったとされています。
しかし別の報道では、今回の事案により、Steamの親会社であるValveを含む銀行、小売企業、ゲーム関連企業に関連する顧客データが流出した可能性が指摘されています。Valveは、CEVAがパスワードや決済認証情報を保有していなかったため、それらは流出していないと説明しています。
オランダのデータ保護当局をはじめとする法執行機関が調査を進めています。CEVAは侵入経路や技術的詳細、攻撃の帰属について公には明らかにしていません。
Pokémon Centerの利用者は、配送・返金・アカウントに関するメッセージを受け取った場合、必ず公式チャネルを通じて内容を独自に確認するようにしてください。緊急の対応を求める予期しないメッセージ内のリンクは、クリックしないよう注意が必要です。
今回の事案は、物流委託先企業における侵害が複数ブランドにまたがるデータ流出を引き起こし、攻撃者に標的型ソーシャルエンジニアリングのための貴重な材料を与えてしまうことを如実に示しています。
ANY.RUNのブラウザ内データ検査で、検知・調査・対応をより高速に。フィッシングの可視性を高め、SOCを強化してMTTRを削減しましょう
翻訳元: https://cyberpress.org/pokemon-center-data-breach-exposes/
