Pokémon Center annuleert Europese bestellingen na cyberaanval op CEVA Logistics

The Pokémon Company heeft een reeks lopende bestellingen bij Pokémon Centers in het Verenigd Koninkrijk en Duitsland geannuleerd nadat CEVA Logistics, de externe leverancier waarop het bedrijf vertrouwt voor de verzending van producten in die markten, het slachtoffer werd van een cyberaanval. Getroffen klanten ontvingen e-mails waarin de annuleringen werden bevestigd, waaronder enkele voorbestellingen voor de aanstaande uitbreiding „Pokémon TCG 30th Celebration“, een van de meest gewilde sets van het jaar, die al kort na de start van de voorverkoopperiode was uitverkocht.

Inbreuk bij CEVA legt klantgegevens bloot

In de meldingen van Pokémon Center over het datalek staat vermeld dat CEVA Logistics rond 30 juli 2026 werd getroffen door een cyberaanval, waarbij sommige berichten de inbreuk al op 29 juli plaatsen. Door de aanval werden systemen gecompromitteerd die CEVA gebruikt om leveringsinformatie voor retailklanten te verwerken, waardoor gegevens in verband met bestellingen op PokémonCenter.com openbaar werden gemaakt. De informatie omvatte onder meer de volledige namen, postadressen, telefoonnummers, e-mailadressen en bestelgegevens van klanten. Het bedrijf verklaart dat betaalkaartgegevens en inloggegevens niet zijn aangetast, aangezien die informatie los van de systemen van CEVA wordt verwerkt.

Het incident maakt deel uit van een grotere datalek bij CEVA Logistics, waardoor de bedrijfsvoering in ongeveer acht van haar Europese magazijnen werd verstoord. Andere klanten van CEVA, waaronder de Europese Steam-hardwareactiviteiten van Valve, hebben melding gemaakt van een soortgelijke blootstelling van klantgegevens als gevolg van dezelfde aanval, wat erop wijst dat de gevolgen zich ver buiten het Pokémon-merk uitstrekken en de bredere logistieke toeleveringsketen raken.

Annuleringen volgden op vage eerste berichten

Alvorens de cyberaanval bekend te maken, deelde Pokémon Center klanten aanvankelijk mee dat hun bestellingen waren geannuleerd vanwege een „onvoorzien probleem bij de afhandeling“, zonder het datalek te vermelden. Op de Britse webshop van het bedrijf staat momenteel een afzonderlijke mededeling waarin wordt gewaarschuwd voor vertragingen bij de verwerking van sommige bestellingen, hoewel veel getroffen klanten melden dat hun bestellingen volledig zijn geannuleerd in plaats van vertraagd. Het blijft onduidelijk waarom het incident annuleringen vereiste in plaats van louter vertragingen bij de verzending, en Pokémon Center heeft niet bekendgemaakt hoeveel bestellingen of klanten in totaal zijn getroffen.

Pokémon Center heeft geen formele openbare verklaring afgegeven buiten de e-mails aan klanten om, en details zijn grotendeels naar voren gekomen via schermafbeeldingen die door getroffen klanten zijn gedeeld en via berichtgeving van beveiligingsmedia die de berichten hebben geanalyseerd.

Net als bij soortgelijke datalekken bij derde partijen dienen getroffen klanten op hun hoede te zijn voor ongevraagde e-mails waarin naar hun bestelnummers wordt verwezen, aangezien dergelijke gelekte contact- en bestelgegevens vaak worden hergebruikt in daaropvolgende phishingpogingen waarbij zich iemand voordoet als een legitieme verkoper.