- Το Pokémon Center σε Ηνωμένο Βασίλειο και Γερμανία επιβεβαίωσε διαρροή δεδομένων πελατών εξαιτίας κυβερνοεπίθεσης στον πάροχο logistics CEVA Logistics.
- Οι χάκερ απέκτησαν πρόσβαση σε ονόματα, διευθύνσεις, τηλέφωνα και λεπτομέρειες παραγγελιών, χωρίς πάντως να εκτεθούν στοιχεία τραπεζικών καρτών.
- Πέρα από τα ζητήματα απορρήτου, η επίθεση προκάλεσε σοβαρές καθυστερήσεις στις αποστολές και ακυρώσεις παραγγελιών για συλλεκτικά είδη.
Η αλυσίδα εφοδιασμού αποδεικνύεται ξανά ο πιο αδύναμος κρίκος στην ψηφιακή ασφάλεια μεγάλων λιανεμπόρων. Όπως αποκάλυψε σχετικό ρεπορτάζ του BleepingComputer, το Pokémon Center ενημερώνει πελάτες του σε Ηνωμένο Βασίλειο και Γερμανία ότι τα προσωπικά τους δεδομένα διέρρευσαν εξαιτίας παραβίασης στους servers της CEVA Logistics.
Στις δικές μας δοκιμές και αναλύσεις ασφαλείας σε ανάλογα περιστατικά, βλέπουμε διαρκώς το ίδιο μοτίβο: οι εταιρείες επενδύουν εκατομμύρια στην ασφάλεια των δικών τους υποδομών, αλλά αγνοούν τον κίνδυνο που προέρχεται από εξωτερικούς συνεργάτες. Στην προκειμένη περίπτωση, η CEVA Logistics — θυγατρική του κολοσσού CMA CGM — διαχειρίζεται αποθήκες και αποστολές, γεγονός που την καθιστά προνομιακό στόχο για κυβερνοεγκληματίες που αναζητούν κερκόπορτες σε πολλαπλά brands.
Η αλυσίδα εφοδιασμού στο στόχαστρο
Η κυβερνοεπίθεση στη CEVA Logistics πραγματοποιήθηκε μεταξύ 29 Ιουλίου και 1 Αυγούστου, επηρεάζοντας πολλαπλούς λιανεμπόρους στην Ευρώπη σύμφωνα με στοιχεία από το FreightWaves. Οι εισβολείς κατάφεραν να διεισδύσουν στα συστήματα αποθήκευσης και διαχείρισης, διαταράσσοντας τη λειτουργία τουλάχιστον οκτώ ευρωπαϊκών αποθηκών.
Όταν αγοράζεις ένα προϊόν από ένα παγκόσμιο ηλεκτρονικό κατάστημα, τα δεδομένα σου ταξιδεύουν αυτόματα σε τρίτους παρόχους για την έκδοση voucher και την παράδοση. Αν αυτοί οι πάροχοι δεν διαθέτουν αυστηρά πρωτόκολλα zero-trust, μετατρέπονται σε κερκόπορτα. Στο εργαστήριο του TechNoid επισημαίνουμε διαρκώς ότι η ασφάλεια σταματάει εκεί ακριβώς που τελειώνει ο έλεγχός σου πάνω στα δεδομένα.
Τι ακριβώς διέρρευσε και οι ακυρώσεις
Σύμφωνα με τις ειδοποιήσεις που εστάλησαν στους θιγόμενους καταναλωτές, οι χάκερ απέκτησαν πρόσβαση σε πλήρη ονόματα, ταχυδρομικές διευθύνσεις, αριθμούς τηλεφώνου, διευθύνσεις email και αναλυτικά στοιχεία των παραγγελιών τους. Ευτυχώς, τα στοιχεία πληρωμής και οι τραπεζικές κάρτες παραμένουν ασφαλή, καθώς η CEVA δεν διατηρεί τέτοιου είδους πληροφορίες στα συστήματά της.
Ωστόσο, το πιο περίεργο κομμάτι της υπόθεσης είναι οι μαζικές ακυρώσεις παραγγελιών. Ενώ μια κυβερνοεπίθεση τυπικά προκαλεί καθυστερήσεις λόγω downtime, εδώ αρκετοί χρήστες είδαν τις παραγγελίες τους να ακυρώνονται εντελώς. Όπως αναφέρουν χρήστες σε πλατφόρμες κοινωνικής δικτύωσης όπως το X (πρώην Twitter) και το Reddit, ακόμα και πολυαναμενόμενα συλλεκτικά αντικείμενα και merchandise έμειναν στον “αέρα”, χωρίς η εταιρεία να έχει διευκρινίσει πλήρως τον λόγο της ακύρωσης έναντι της απλής καθυστέρησης.
Ο κοινωνικός αντίκτυπος και η Valve
Το πρόβλημα δεν αφορά αποκλειστικά τους φίλους των Pokémon. Η ίδια ακριβώς διαρροή μέσω της CEVA Logistics έπληξε και τη Valve, η οποία αναγκάστηκε να ειδοποιήσει κατόχους Steam hardware στην Ευρώπη ότι τα προσωπικά τους δεδομένα εκτέθηκαν με τον ίδιο ακριβώς τρόπο.
Όταν ένας πάροχος logistics χάνει τα δεδομένα πελατών από διαφορετικούς κολοσσούς της βιομηχανίας ταυτόχρονα, μιλάμε για συστημική αποτυχία διαχείρισης κινδύνου. Οι Γερμανοί και Βρετανοί καταναλωτές βρίσκονται τώρα αντιμέτωποι με αυξημένο κίνδυνο στοχευμένων επιθέσεων phishing, εκμεταλλευόμενοι το γεγονός ότι οι επιθέσεις αυτές γνωρίζουν ακριβώς τι αγόρασαν και πού μένουν.
Η άποψή μας στο TechNoid
Η νέα αυτή κρίση αποδεικνύει πόσο εύθραυστο είναι το οικοσύστημα του σύγχρονου e-commerce. Δεν γίνεται οι εταιρείες να κρύβονται πίσω από το άλλοθι των “τρίτων παρόχων” όταν αποκαλύπτονται δεδομένα χιλιάδων χρηστών. Αν το Pokémon Center και η κάθε μεγάλη πλατφόρμα θέλουν να κερδίσουν την εμπιστοσύνη μας, οφείλουν να επιβάλλουν αυστηρότερα κριτήρια κυβερνοασφάλειας σε ολόκληρη την αλυσίδα τους, προσφέροντας παράλληλα διαφανείς αποζημιώσεις και ουσιαστική προστασία στους πελάτες που βλέπουν τις παραγγελίες τους να γίνονται καπνός.
Συχνές Ερωτήσεις για τη Διαρροή Δεδομένων στο Pokémon Center
Ποιοι επηρεάστηκαν από τη διαρροή δεδομένων;
Οι πελάτες του Pokémon Center που υπέβαλαν παραγγελίες και διαμένουν στο Ηνωμένο Βασίλειο και τη Γερμανία.
Εκτέθηκαν τραπεζικά στοιχεία ή αριθμοί καρτών;
Όχι. Η CEVA Logistics δεν διαθέτει πρόσβαση σε στοιχεία πληρωμών ή αριθμούς καρτών των πελατών.
Ποια δεδομένα πελατών διέρρευσαν;
Πλήρη ονόματα, ταχυδρομικές διευθύνσεις, αριθμοί τηλεφώνου, διευθύνσεις email και περιεχόμενα παραγγελιών.
Ποιος άλλος κολοσσός επλήγη από το ίδιο περιστατικό;
Η Valve επηρεάστηκε επίσης, ειδοποιώντας Ευρωπαίους πελάτες του Steam hardware για διαρροή προσωπικών δεδομένων.
Γιατί ακυρώθηκαν ορισμένες παραγγελίες;
Η κυβερνοεπίθεση προκάλεσε σοβαρή διαταραχή σε ευρωπαϊκές αποθήκες της CEVA Logistics, οδηγώντας σε προβλήματα fulfillment και ακυρώσεις.
