Pokémon Center : les données des acheteurs volées chez son transporteur CEVA

Un transporteur piraté, des commandes annulées sans explication

Fin juillet, CEVA Logistics, l'un des plus gros logisticiens du monde, a subi une intrusion dans ses systèmes européens. Dans sa déclaration à TechCrunch, l'entreprise indique que l'impact opérationnel se limite à huit entrepôts et qu'aucun autre de ses systèmes dans le monde n'a été touché. Elle précise avoir confirmé le 1er août, aux clients concernés, qu'une intrusion affectait une partie de ses opérations de logistique contractuelle en Europe. La date de départ du 29 juillet 2026, elle, ne vient pas de CEVA mais du site spécialisé FreightWaves, reprise ensuite par TechCrunch et par BleepingComputer. CEVA n'a communiqué aucune date de début d'intrusion.

Pokémon Center fait partie de ces clients. Dans le courriel envoyé aux acheteurs, la boutique commence par s'excuser d'avoir annulé une commande pour un problème d'expédition imprévu, avant d'en donner la vraie raison quelques lignes plus bas : CEVA, le prestataire qui expédie les produits de PokemonCenter.com, a été victime d'une cyberattaque à partir du 30 juillet 2026. C'est la date retenue par Pokémon Center, un jour plus tard que celle rapportée par FreightWaves. CEVA, de son côté, n'a jamais rendu publique de date de début.

Le site spécialisé BleepingComputer, qui a publié le contenu de ce courriel le 17 août, souligne un point resté sans réponse : on ne comprend pas pourquoi une attaque contre un entrepôt oblige à annuler des commandes plutôt qu'à les retarder. Ni la boutique ni les contacts presse de la marque n'ont répondu à ses questions.

Nom, adresse, téléphone et contenu du colis : ce qui a pu partir

La notification est précise sur les champs concernés. Des personnes non autorisées ont pu obtenir les noms complets, les adresses postales, les numéros de téléphone, les adresses électroniques et les détails du contenu des commandes passées sur PokemonCenter.com.

Elle est tout aussi claire sur ce qui n'est pas concerné : CEVA n'a pas accès aux données de carte bancaire des clients. Aucun mot de passe, aucun identifiant de compte ne figure dans la liste. Valve, un autre client de CEVA touché par la même intrusion, a été encore plus explicite auprès de ses acheteurs européens en précisant que ni les mots de passe, ni les codes Steam Guard, ni les moyens de paiement n'étaient accessibles au transporteur.

C'est le détail du contenu des commandes qui distingue cette fuite d'un banal fichier d'adresses. Quelqu'un peut savoir ce que vous avez acheté, en quelle quantité, et où le faire livrer.

Royaume-Uni et Allemagne : la France n'est pas dans le périmètre annoncé

Le courriel de Pokémon Center ne laisse pas de place au doute sur le périmètre : CEVA est le prestataire utilisé pour expédier les produits de PokemonCenter.com aux clients du Royaume-Uni et de l'Allemagne. Ce sont les deux seuls pays cités, et aucune des sources que nous avons lues ne mentionne de clients français notifiés.

Cela s'explique simplement, il n'existe pas de boutique Pokémon Center française. Les deux vitrines européennes de l'enseigne sont la britannique et l'allemande. Si vous achetez vos produits Pokémon chez un revendeur français, cette fuite ne vous concerne pas.

La situation a tout de même une ironie géographique. CEVA Logistics est une entreprise française, filiale du groupe marseillais CMA CGM, avec environ 110 000 salariés. Le siège est en France, les clients prévenus sont ailleurs. Retenez la règle la plus sûre : si vous avez reçu ce courriel, considérez-vous concerné, quel que soit votre pays de résidence.

Une seule intrusion chez CEVA, une longue liste de marques touchées

Pokémon Center n'est qu'un nom parmi d'autres. La même intrusion a touché Valve, qui a prévenu le 10 août les acheteurs européens de son matériel Steam, le distributeur néerlandais Bol, le grand magasin De Bijenkorf, la banque ING, le club de football de l'Ajax Amsterdam et le lunetier Ace and Tate.

L'autorité néerlandaise de protection des données a confirmé l'ampleur du phénomène. Mark Schenkel, porte-parole de cette autorité, a déclaré à TechCrunch que dix organisations lui avaient signalé une violation liée à cet incident. CEVA, de son côté, n'a toujours rien publié sur la façon dont les attaquants sont entrés, sur le volume de données emporté, ni sur le nombre d'entreprises et de particuliers concernés. Aucun groupe criminel n'a revendiqué l'attaque et le porte-parole du logisticien a refusé de dire s'il y avait eu une demande de rançon.

C'est le schéma typique de la fuite par ricochet. Vous n'aviez sans doute jamais entendu parler de CEVA, et pourtant votre adresse de livraison était chez eux.

Pourquoi c'est particulièrement piégeux quand l'acheteur est un enfant

Les données parties de l'entrepôt sont exactement celles qui rendent une arnaque crédible. Un escroc qui connaît votre prénom, votre adresse, votre téléphone et le fait que vous attendez un coffret de cartes précis n'a plus besoin d'improviser. Son message ressemblera à un vrai suivi de livraison.

La vague d'annulations aggrave le risque, car beaucoup d'acheteurs attendent aujourd'hui un remboursement. C'est le terrain rêvé pour de faux courriels de dédommagement. Un remboursement légitime revient tout seul sur le moyen de paiement utilisé lors de l'achat, sans formulaire à remplir ni coordonnées bancaires à ressaisir.

Un mot pour les parents. Si la commande a été passée avec votre carte pour un enfant ou un adolescent, c'est vous qui recevez la notification, mais c'est souvent lui qui guette le colis et qui répondra le premier à un message parlant de sa commande. Expliquez-lui la règle : on ne répond pas, on ne clique pas, on ne donne jamais un code reçu par SMS, on montre le message à un adulte. Pour connaître le sort réel d'une commande, on passe par son compte sur le site officiel, jamais par le lien reçu.

Côté mot de passe, rien n'indique qu'un identifiant Pokémon Center ait fuité. La notification n'en cite aucun parmi les données concernées, et un transporteur n'a pas d'accès aux comptes clients. Une nuance toutefois : contrairement à Valve, qui a écrit noir sur blanc à ses clients que ni les mots de passe ni les codes Steam Guard n'étaient accessibles, Pokémon Center n'a rien affirmé de tel. Il n'y a donc pas d'urgence, mais si vous réutilisez ce mot de passe sur d'autres sites, le changer reste une bonne habitude.

Ce que nous ne pouvons pas vérifier

Nous ignorons combien de clients de Pokémon Center sont touchés. Aucun chiffre n'a été communiqué, ni par la boutique ni par CEVA. Nous ne savons pas non plus si tous les acheteurs britanniques et allemands sont concernés, ou seulement ceux dont la commande transitait par l'un des huit entrepôts perturbés.

La raison exacte des annulations reste inexpliquée : BleepingComputer n'a obtenu aucune réponse de la marque sur ce point précis. Interrogé par Forbes, le support de Pokémon Center s'est borné à indiquer que si un client n'a pas reçu de notification officielle concernant ses données personnelles, alors, à sa connaissance, il n'a pas été affecté. Nous n'avons pas pu consulter directement les conditions de livraison de PokemonCenter.com, dont les pages bloquent la consultation automatisée. Nous ne pouvons donc pas exclure de façon absolue qu'un résident français se soit fait livrer depuis la boutique britannique ou allemande et se retrouve concerné.

Enfin, personne ne sait aujourd'hui si les données volées ont été revendues, publiées ou simplement conservées, ni qui est derrière l'attaque.

Un mot enfin sur nos sources. Tout ce qui concerne spécifiquement Pokémon Center repose sur une seule source primaire : le courriel de notification publié par BleepingComputer le 17 août. Forbes le cite explicitement et ZATAZ en propose une reprise en français. Les articles de TechCrunch, The Record et The Register, eux, portent sur CEVA et ne mentionnent jamais Pokémon Center. CEVA n'a d'ailleurs cité aucun de ses clients touchés.

Sources : BleepingComputer ↗ · TechCrunch ↗ · Forbes ↗ · The Record ↗ · The Register ↗ · BleepingComputer ↗ · ZATAZ ↗ · FreightWaves ↗

Article rédigé et vérifié par Cyberfaille, avec assistance IA. Un doute, une correction ? écrivez-nous.