Pokémon Centerは英国とドイツの顧客に対し、両市場でPokemonCenter.comの商品の発送を担当する物流会社CEVA Logisticsのシステムが侵害された結果、個人データや注文情報が流出した可能性があると通知しました。BleepingComputerが確認した通知によると、事件の対象には顧客の氏名、郵送先住所、電話番号、メールアドレス、注文内容の詳細が含まれます。
CEVAのシステムへの侵害は2026年7月29日から8月1日までの間に発生し、Pokémon Centerのメッセージでは攻撃が7月30日に始まったとされています。同社は、注文時に収集した顧客データを、注文の処理と発送を実行するために物流サービスプロバイダーと共有しています。
流出した可能性のあるデータとは？
Pokémon Centerは、権限のない者が顧客の身元や購入注文に関連する情報を取得した可能性があると述べました。ただし、顧客や注文に関するその他の情報は影響を受けておらず、CEVAには決済カード情報へアクセスする権限がないと説明しました。
注文の処理が完了した後も、データがCEVAに保存され続けるかどうかは依然として不明です。同じ攻撃で顧客が影響を受けたValveは、CEVAが注文後最長90日間、配送情報を保持すると述べましたが、Pokémon Centerは同じ期間が顧客データに適用されるかどうかを確認していません。
配送の遅延と一部注文のキャンセル
攻撃の影響はデータ流出の可能性だけにとどまりませんでした。この侵害により、CEVAが欧州で運営する8つの倉庫が停止し、発送の処理、梱包、配送に遅延が生じました。また、Pokémon Centerは英国のウェブサイトで、一部の注文は通常より時間がかかる可能性があると顧客に警告する通知を掲載しています。
同社が顧客に送ったメッセージによると、予期せぬ注文処理上の問題により、一部の注文をキャンセルせざるを得なかったとのことです。顧客からは、30周年記念コレクションの商品に加え、Ghost Chateau Cyndaquilのキーチェーンなど、その他の商品もキャンセルされたとの報告がありました。なぜ事件によって一部のケースで配送の遅延ではなくキャンセルに至ったのか、同社は明らかにしていません。
なぜこの事件が重要なのか？
この事件は、店舗自体のシステムが侵害されていなくても、外部プロバイダーへの侵害が店舗の顧客に直接影響を及ぼす可能性を示しています。氏名、住所、電話番号、注文内容など、配送に必要なデータは物流業者側に存在しており、事件の対象に含まれる可能性がありました。
侵害の影響はPokémon Centerにとどまりません。Valveは、同じ攻撃で欧州のSteamデバイス顧客の氏名、住所、電話番号、メールアドレス、注文商品の情報が盗まれたと述べています。CEVAはCMA CGMグループに属し、約1,000の倉庫を運営しています。また、同社は前年に1,500万件の配送を処理し、2025年には183億ドルの収益を記録しました。
BleepingComputerは、注文がキャンセルされた理由について追加の詳細を得るため、Pokémon CenterおよびPokémon製品に関連する広報担当者に連絡しましたが、記事公開時点で回答はありませんでした。