Pokémon Center storniert Europa-Bestellungen nach Cyberangriff auf CEVA Logistics

Nach einem Cyberangriff auf CEVA Logistics, den externen Versanddienstleister für Großbritannien und Deutschland, hat The Pokémon Company eine Reihe von Bestellungen im Pokémon Center storniert. Betroffene Kunden erhielten E-Mails mit einer entsprechenden Stornierungsbestätigung. Dazu gehörten auch Vorbestellungen für die kommende Pokémon-Sammelkartenspiel-Erweiterung 30th Celebration, eines der begehrtesten Sets des Jahres, das bereits kurz nach Beginn des Vorbestellungszeitraums ausverkauft war.

CEVA-Sicherheitslücke legt Kundendaten offen

Laut den Benachrichtigungen des Pokémon Centers zum Sicherheitsvorfall wurde CEVA Logistics ab etwa dem 30. Juli 2026 Opfer eines Cyberangriffs. Einige Berichte datieren den Angriff bereits auf den 29. Juli. Dabei wurden Systeme kompromittiert, die CEVA zur Verarbeitung von Lieferinformationen für seine Einzelhandelskunden nutzt. Dadurch konnten Daten im Zusammenhang mit Bestellungen auf PokemonCenter.com offengelegt werden. Zu den betroffenen Informationen gehörten unter anderem vollständige Namen, Postanschriften, Telefonnummern, E-Mail-Adressen und Bestelldetails. Zahlungskarten- und Zugangsdaten waren laut Pokémon Center nicht betroffen, da diese Informationen getrennt von den CEVA-Systemen verarbeitet werden.

Der Vorfall ist Teil einer größeren Sicherheitslücke bei CEVA Logistics, die den Betrieb in rund acht europäischen Lagern beeinträchtigte. Auch andere CEVA-Kunden, darunter Valves europäische Steam-Hardware-Niederlassung, meldeten ähnliche Datenlecks im Zusammenhang mit demselben Angriff. Dies deutet darauf hin, dass die Auswirkungen weit über die Marke Pokémon hinausgehen und Teile der europäischen Logistik-Lieferkette betreffen.

Nach vagen ersten Mitteilungen kam es zu Stornierungen

Zunächst informierte Pokémon Center seine Kunden lediglich über die Stornierung ihrer Bestellungen aufgrund eines „unvorhergesehenen Problems bei der Auftragsabwicklung“, ohne den Cyberangriff zu erwähnen. Auf der britischen Website des Unternehmens wird derzeit zudem ein separater Hinweis angezeigt, der vor Verzögerungen bei der Bearbeitung einiger Bestellungen warnt. Viele betroffene Kunden berichten jedoch von vollständigen Stornierungen statt lediglich verspäteter Lieferungen. Warum der Vorfall Stornierungen und nicht nur Lieferverzögerungen erforderlich machte, ist weiterhin unklar. Pokémon Center hat bislang nicht bekannt gegeben, wie viele Bestellungen oder Kunden insgesamt betroffen sind.

Abgesehen von den Benachrichtigungs-E-Mails an betroffene Kunden hat Pokémon Center keine offizielle öffentliche Stellungnahme veröffentlicht. Die Einzelheiten des Vorfalls wurden größtenteils durch von Kunden geteilte Screenshots sowie Berichte von Sicherheitsdiensten bekannt, die die Benachrichtigungen analysiert haben.

Betroffene Kunden sollten, wie bei ähnlichen Datenlecks durch Drittanbieter, besonders vorsichtig mit unerwünschten E-Mails sein, in denen ihre Bestellnummern genannt werden. Offen gelegte Kontakt- und Bestelldaten können für Phishing-Angriffe missbraucht werden, bei denen sich Betrüger als legitime Händler oder Dienstleister ausgeben.