ポケモンセンター関連の物流業者がハッキングされイギリスとドイツの顧客情報が流出

ポケットモンスター(ポケモン)の関連商品やグッズなどを販売するポケモンセンターと連携する第三者物流業者から顧客の個人情報と注文情報が盗み出され、第三者データ侵害が発生したことがイギリスとドイツのポケモンセンターユーザーに通知されました。

Pokémon Center data breach exposes customer info, cancels some orders
https://www.bleepingcomputer.com/news/security/pokemon-center-data-breach-exposes-customer-info-cancels-some-orders/

フランスに本社を置くグローバルサプライチェーン企業のCEVA Logisticsは、2026年7月29日から8月1日の間に攻撃者がサーバーに侵入し、ヨーロッパの複数の小売業者に影響が出る被害を受けました。

CEVA Logisticsの情報漏えいはSteamを運営するValveにも影響がおよび、2026年8月10日ごろに一部のヨーロッパの顧客に対し「Steamハードウェアを出荷しているCEVA Logisticsがサイバー攻撃を受けました。CEVAはこの攻撃について現在も調査中ですが、Valveが8月7日に把握したところによると、あなたを含むSteamの顧客に関する特定の情報が漏えいした可能性が高いとのことです」と通知を送っています。Valveによると、Steamハードウェアの発送のために配送に関する特定の情報をCEVA Logisticsが受け取っており、その情報は注文後最大90日間保持されるため、これを攻撃者が盗んだ可能性が高いとのこと。盗まれたデータには、被害者の氏名・住所・電話番号・メールアドレス・注文した商品の種類と価格などが含まれます。

そしてさらに、ポケモンセンターのサイトで注文をしたデータも流出した可能性が顧客に対して通知されました。ポケモンセンターはオンラインで注文できる商品もあり、その注文処理と発送のための情報がCEVA Logisticsに共有されていました。

BleepingComputerが入手したデータ漏えい通知メールでは、ポケモンセンターはCEVA Logisticsをオンラインストア「pokemoncenter.com」の商品をイギリスとドイツの顧客に発送するために利用している業者だと説明した上で、「予期せぬ配送上の問題により、お客様の最近のご注文をキャンセルせざるを得なくなりましたことをお知らせいたします。誠に申し訳ございません。ポケモンセンターの物流業者に影響を及ぼしたサイバー攻撃により、お客様の情報の一部が影響を受ける可能性があることをお知らせいたします。ポケモンセンターがイギリスおよびドイツのお客様向けに商品を発送する際に利用している業者であるCEVA Logisticsは、2026年7月30日から始まったサイバー攻撃の被害に遭ったと当社に報告しました」と述べています。サイバー攻撃によって単に発送が遅延しただけではなく、なぜキャンセルが必要になったのかは不明です。

以下は、Xユーザーが報告した通知メールの内容。「ポケモン30周年記念商品」の注文が一部の人でキャンセルされているそうです。

またRedditでは、複数の注文をした中でハロウィンをテーマにしたグッズ「Halloween Ghost Chateau」の「マスコットヒノアラシ」のキーホルダーなど一部だけがキャンセルされたと報告がありました。

ポケモンセンターによると、Valveと同様に第三者が顧客の氏名・住所・電話番号・メールアドレス・PokemonCenter.comでの注文内容の詳細を入手した可能性があるとのことです。顧客および注文に関するその他の情報には影響はなく、CEVA Logisticsは顧客の決済カード情報にアクセスできないため、カード情報の漏えいの心配はないそうです。

この件に関連して、イギリスのポケモンセンターのウェブサイトでは、「一部の注文に遅延が発生しており、処理、発送、配達に通常より時間がかかる場合がある」ということを警告する通知が表示されています。

BleepingComputerは情報漏えいの詳細と、なぜこの事件によって顧客の注文がキャンセルされたのかを知るため、ポケモンセンターとポケモンのメディア担当者に連絡を取りましたが、返答は得られていないとのことです。