Pokémon Center는 영국과 독일 고객들에게 두 시장에서 PokemonCenter.com 제품 배송을 담당하는 물류 서비스 업체 CEVA Logistics의 시스템을 겨냥한 해킹으로 개인정보와 주문 정보가 노출되었을 가능성이 있다고 알렸다. BleepingComputer가 확인한 통지에 따르면, 이 사건에는 고객 이름, 우편 주소, 전화번호, 이메일 주소 및 주문 내용에 관한 세부 정보가 포함됐다.
해킹은 2026년 7월 29일부터 8월 1일 사이 CEVA 시스템에서 발생했으며, Pokémon Center의 메시지는 공격이 7월 30일에 시작됐다고 밝혔다. 회사는 고객이 주문을 제출할 때 수집한 데이터를 주문 처리 및 배송을 위해 물류 서비스 제공업체와 공유한다.
어떤 데이터가 노출되었을 가능성이 있는가?
Pokémon Center는 권한이 없는 당사자들이 고객 신원 및 구매 주문과 관련된 정보에 접근했을 가능성이 있다고 밝혔다. 그러나 고객 및 주문과 관련된 다른 정보에는 영향이 없었으며, CEVA는 결제 카드 데이터에 접근할 권한이 없다고 설명했다.
주문 처리가 끝난 뒤에도 해당 데이터가 CEVA에 보관되는지는 여전히 불분명하다. 같은 공격으로 고객이 영향을 받은 Valve는 CEVA가 주문 후 최대 90일 동안 배송 정보를 보관한다고 밝혔지만, Pokémon Center는 동일한 기간이 고객 데이터에도 적용되는지 확인하지 않았다.
배송 지연 및 일부 주문 취소
공격의 영향은 데이터 노출 가능성에 그치지 않았다. 해킹으로 CEVA의 유럽 내 창고 8곳이 운영 중단을 겪으면서 배송 처리, 준비 및 인도가 지연됐다. Pokémon Center는 영국 웹사이트에도 일부 주문이 평소보다 오래 걸릴 수 있다고 고객에게 경고하는 안내문을 게시했다.
회사가 고객들에게 보낸 메시지에서, 예상치 못한 주문 처리 문제로 인해 일부 주문을 취소해야 했다고 밝혔다. 고객들은 30주년 기념 컬렉션 제품과 Ghost Chateau Cyndaquil 열쇠고리 같은 다른 상품이 취소됐다고 알렸다. 회사는 일부 경우에 이 사건으로 인해 배송 지연이 아닌 주문 취소가 발생한 이유를 설명하지 않았다.
이 사건이 중요한 이유
이번 사건은 매장 자체의 시스템이 해킹되지 않았더라도 외부 공급업체에 대한 침해가 매장 고객에게 직접 영향을 미칠 수 있음을 보여준다. 이름, 주소, 전화번호 및 주문 내용처럼 배송에 필요한 데이터가 물류 업체에 존재했으며 사건의 범위에 포함될 수 있었다.
해킹의 여파는 Pokémon Center를 넘어선다. Valve는 같은 공격으로 유럽 Steam 기기 고객의 이름, 주소, 전화번호, 이메일 주소 및 주문한 제품 정보가 도난당했다고 밝혔다. CEVA는 CMA CGM 그룹과 연계되어 있으며 약 1,000개의 창고를 운영한다. 또한 지난해 1,500만 건의 배송을 처리했으며 2025년 매출은 183억 달러에 달했다.
BleepingComputer는 주문 취소 원인에 대한 추가 세부 정보를 얻기 위해 Pokémon Center 및 Pokémon 제품과 관련된 홍보 담당자들에게 연락했지만, 보도 시점까지 답변을 받지 못했다.