Bleeping Computerは8月17日(米国時間)、「Pokémon Center data breach exposes customer info, cancels some orders」において、ポケモンのオフィシャルショップ「ポケモンセンター」の顧客情報が流出したと報じた。

ポケモンセンターが顧客向けに送付した通知メールによると、「PokemonCenter.com」の商品発送に使用している「CEVAロジスティクス」がサイバー攻撃の被害に遭い、注文の詳細情報を流出した可能性があるという。

物流大手CEVAがサイバー攻撃被害、氏名・住所・注文内容など流出か

CEVAロジスティクスはフランスに本社を置く多国籍の物流・サプライチェーン企業だ。世界中に1000を超える倉庫を配し、大規模なサードパーティーロジスティクス(3PL: Third Party Logistics)事業および関連サービスを展開している。

サイバー攻撃は7月29日から8月1日にかけて発生し、EU域内の同社8拠点に影響を与えた。物流にも影響し、配送遅延が発生したことで一部の注文がキャンセルされたという。

また、この事案では事業を委託している企業の注文情報が窃取された可能性がある。ポケモンセンターは影響を受けた企業の1つで、次の顧客情報が流出した可能性があると報告している。

  • 氏名
  • 配送先の住所
  • 電話番号
  • メールアドレス
  • PokemonCenter.comの注文内容の詳細

CEVAは決済情報にはアクセスできないと述べ、カード情報の流出は否定した。影響を受けた顧客の地域、規模については公式発表を確認できていない。

Steamにも被害、影響はEU域内に限定か

Bleeping Computerは英国向けのポケモンセンターWebサイトが顧客向けメッセージを公開したと明らかにした。現時点で正確な影響範囲は明らかになっていないが、確認されている被害はEU域内が中心とみられる。

  • 英国向けのポケモンセンターWebサイトに掲載されたメッセージ 引用：Bleeping Computer

    英国向けのポケモンセンターWebサイトに掲載されたメッセージ 引用：Bleeping Computer

CEVAへのサイバー攻撃の影響はポケモンセンターだけではない。ゲームプラットフォーム「Steam」を展開するValveも、顧客の注文情報が流出した可能性があると報じられている(参考：「Valve notifies Steam hardware customers of a data breach」)。

この報告によると、EU域内の顧客向けSteamハードウェアの注文情報が窃取された可能性がある。また、CEVAが配送情報を最大90日間保持していたことを明らかにし、サイバー攻撃の発生90日前に注文した顧客への影響を指摘した。

この保持期間がポケモンセンターの事案にも適用されるかは明らかになっていない。Bleeping Computerはポケモンセンターに問い合わせを行ったが、記事執筆時点までに回答は得られなかったとしている。