Le Pokémon Center annule les commandes européennes à la suite de la cyberattaque subie par CEVA Logistics

La société Pokémon a annulé un lot de commandes en attente auprès des Pokémon Center au Royaume-Uni et en Allemagne après qu’une cyberattaque a touché CEVA Logistics, le prestataire tiers auquel elle fait appel pour expédier ses produits sur ces marchés. Les clients concernés ont reçu des e-mails confirmant ces annulations, notamment pour certaines précommandes de la prochaine extension « Pokémon TCG 30th Celebration », l’une des séries les plus prisées de l’année, qui avait déjà affiché complet peu après l’ouverture de la période de précommande.

La faille chez CEVA expose les données des clients

Les notifications de violation de données du Pokémon Center indiquent que CEVA Logistics a été victime d’une cyberattaque ayant débuté vers le 30 juillet 2026, certains rapports situant l’intrusion dès le 29 juillet. L’attaque a compromis les systèmes utilisés par CEVA pour traiter les informations de livraison de ses clients détaillants, exposant ainsi les données liées aux commandes passées sur PokemonCenter.com. Ces informations comprenaient notamment les noms complets des clients, leurs adresses postales, leurs numéros de téléphone, leurs adresses e-mail et les détails de leurs commandes. L’entreprise précise que les données relatives aux cartes de paiement et aux identifiants de compte n’ont pas été affectées, ces informations étant gérées séparément des systèmes de CEVA.

Cet incident s’inscrit dans le cadre d’une violation de données plus importante chez CEVA Logistics, qui a perturbé les opérations dans environ huit de ses entrepôts européens. D'autres clients de CEVA, notamment les activités européennes de Valve liées au matériel Steam, ont signalé une exposition similaire des données clients suite à cette même attaque, ce qui suggère que les répercussions s'étendent bien au-delà de la marque Pokémon et touchent l'ensemble de la chaîne logistique.

Des annulations ont suivi des messages initiaux vagues

Avant de révéler la cyberattaque, le Pokémon Center avait initialement informé ses clients que leurs commandes avaient été annulées en raison d’un « problème imprévu de traitement des commandes », sans mentionner la violation de données. La boutique en ligne britannique de l’entreprise affiche actuellement un avis distinct signalant des retards de traitement pour certaines commandes, bien que de nombreux clients concernés signalent des annulations pures et simples plutôt que de simples retards. On ignore encore pourquoi cet incident a nécessité des annulations plutôt que de simples retards d’expédition, et Pokémon Center n’a pas précisé combien de commandes ou de clients ont été touchés au total.

Pokémon Center n’a pas publié de communiqué officiel autre que les e-mails d’information adressés aux clients, et les détails ont principalement été révélés par des captures d’écran partagées par les acheteurs concernés et par des articles de médias spécialisés dans la sécurité qui ont analysé ces messages.

Comme pour les violations de données similaires impliquant des tiers, les clients concernés doivent se méfier des e-mails non sollicités faisant référence à leurs numéros de commande, car les coordonnées et les données de commande exposées de ce type sont souvent réutilisées dans le cadre de tentatives de hameçonnage ultérieures visant à usurper l'identité de détaillants légitimes.