Auslöser ist ein Cyberangriff auf CEVA Logistics, eine Tochter der CMA CGM Group. CEVA betreibt 1.000 Lagerhäuser, wickelte im vergangenen Jahr 15 Millionen Sendungen ab und meldete für 2025 einen Umsatz von 18,3 Milliarden US-Dollar. Nach Angaben im Artikel wurden bei dem Angriff mehrere europäische Einzelhändler in Mitleidenschaft gezogen.
Pokémon Center schreibt in Benachrichtigungs-E-Mails, die BleepingComputer vorliegen, CEVA sei der Anbieter, den das Unternehmen für den Versand von PokemonCenter.com-Produkten an Kunden im Vereinigten Königreich und in Deutschland nutze. In einer übersetzten Passage heißt es: „Wir schreiben Ihnen, um Sie über einen Cybervorfall bei einem Logistikdienstleister von Pokémon Center zu informieren, der einige Ihrer Daten betreffen könnte.“ Weiter heißt es, CEVA habe mitgeteilt, Opfer eines Cyberangriffs geworden zu sein, der am 30. Juli 2026 begonnen habe.
Nach Darstellung von Pokémon Center könnten Unbefugte den vollständigen Namen, die Postanschrift, Telefonnummer, E-Mail-Adresse und Details zum Inhalt von Bestellungen abgegriffen haben. Nicht betroffen seien andere Informationen zu Kunden und Bestellungen. Zudem habe CEVA keinen Zugriff auf Zahlungskartendaten der Kunden.
Die Folgen beschränken sich nicht auf den Datenabfluss. Der Angriff störte laut Artikel auch acht europäische Lagerhäuser von CEVA und verursachte Lieferverzögerungen für viele Kunden. Pokémon Center blendet deshalb auf seiner britischen Website einen Hinweis ein, wonach sich die Bearbeitung, der Versand und die Zustellung mancher Bestellungen länger als üblich hinziehen können.
Zusätzlich berichten Kunden, dass Bestellungen storniert wurden. In einer von BleepingComputer eingesehenen Mitteilung heißt es dazu: „Wir bedauern, Ihnen mitteilen zu müssen, dass wir Ihre jüngste Bestellung [Bestellnummer] aufgrund eines unvorhergesehenen Problems bei der Auftragsabwicklung stornieren mussten.“ Warum der Vorfall zu Stornierungen führte und nicht nur zu Verzögerungen, bleibt nach dem Artikel unklar.
Zunächst gab es Berichte, wonach Stornierungen die erwarteten Produkte der Kollektion zum 30. Jubiläum betreffen. Ein Reddit-Beitrag zeigt laut Artikel jedoch, dass auch andere Artikel betroffen waren, darunter der Schlüsselanhänger „Ghost Chateau Cyndaquil“. Ein weiterer Kunde schrieb demnach, ebenfalls dieselbe Stornierungs-E-Mail erhalten zu haben.
Der CEVA-Vorfall traf auch Valve. Das Unternehmen informierte Kunden von Steam-Hardware in Europa darüber, dass bei dem Cyberangriff Namen, Adressen, Telefonnummern, E-Mail-Adressen und Informationen über bestellte Produkte entwendet wurden. In der Benachrichtigung von Valve hieß es, CEVA speichere lieferbezogene Informationen bis zu 90 Tage nach einer Bestellung. Ob dieselbe Aufbewahrungsfrist auch für Kundendaten von Pokémon Center gilt, ist laut Artikel unklar.
BleepingComputer hat Pokémon Center sowie Medienkontakte von Pokémon um weitere Informationen gebeten, insbesondere dazu, warum der Vorfall zu Bestellstornierungen führte. Eine Antwort lag dem Bericht zufolge nicht vor.