Pokémon Center informó a sus clientes en Reino Unido y Alemania de que sus datos personales y la información de sus pedidos podrían haber quedado expuestos tras una brecha que afectó a los sistemas de la empresa logística CEVA Logistics, encargada de enviar los productos de PokemonCenter.com en ambos mercados. El incidente incluyó, según las notificaciones a las que tuvo acceso BleepingComputer, los nombres de los clientes, sus direcciones postales, números de teléfono, direcciones de correo electrónico y detalles del contenido de los pedidos.
La brecha se produjo en los sistemas de CEVA entre el 29 de julio y el 1 de agosto de 2026, mientras que el mensaje de Pokémon Center indica que el ataque comenzó el 30 de julio. La empresa utiliza los datos de los clientes que recopila cuando realizan pedidos y después los comparte con el proveedor logístico para llevar a cabo las operaciones de preparación y envío.
¿Qué datos podrían haber quedado expuestos?
Pokémon Center afirmó que personas no autorizadas podrían haber obtenido información relacionada con la identidad de los clientes y sus pedidos de compra. Sin embargo, aclaró que otros datos de clientes y pedidos no se vieron afectados y que CEVA no tiene autorización para acceder a los datos de las tarjetas de pago.
Aún no está claro si CEVA seguirá conservando los datos después de completar los pedidos. Valve, cuyos clientes también se vieron afectados por el mismo ataque, afirmó que CEVA conserva la información de entrega durante un máximo de 90 días después del pedido, pero Pokémon Center no confirmó si el mismo plazo se aplica a los datos de sus clientes.
Retrasos en los envíos y cancelación de algunos pedidos
El impacto del ataque no se limitó a la posible exposición de datos. La brecha interrumpió las operaciones de ocho almacenes europeos de CEVA, lo que provocó retrasos en el procesamiento, la preparación y la entrega de los envíos. Pokémon Center también muestra en su sitio web británico un aviso que advierte a los clientes de que algunos pedidos podrían tardar más de lo habitual.
En los mensajes que la empresa envió a los clientes, indicó que se vio obligada a cancelar algunos pedidos debido a lo que describió como un problema inesperado en la ejecución de los pedidos. Algunos clientes informaron de la cancelación de productos de la colección del 30.º aniversario, además de otros artículos, como el llavero Ghost Chateau Cyndaquil. La empresa no explicó por qué el incidente provocó cancelaciones en algunos casos en lugar de limitarse a retrasar las entregas.
¿Por qué es importante este incidente?
El incidente demuestra que una brecha en un proveedor externo puede afectar directamente a los clientes de una tienda, incluso cuando los sistemas de la propia tienda no han sido vulnerados. Los datos necesarios para el envío, como el nombre, la dirección, el número de teléfono y el contenido del pedido, estaban en poder del socio logístico y podían pasar a formar parte del alcance del incidente.
Las consecuencias de la brecha van más allá de Pokémon Center; Valve afirmó que durante el mismo ataque fueron robados los nombres, direcciones, números de teléfono, direcciones de correo electrónico e información sobre los productos solicitados por clientes de dispositivos Steam en Europa. CEVA está vinculada al grupo CMA CGM y gestiona alrededor de 1.000 almacenes; durante el año pasado procesó 15 millones de envíos y registró ingresos de 18.300 millones de dólares en 2025.
BleepingComputer se puso en contacto con Pokémon Center y con entidades de prensa relacionadas con los productos Pokémon para obtener más detalles sobre el motivo de la cancelación de los pedidos, pero no había recibido respuesta hasta el momento de publicar el informe.