La boutique officielle Pokémon a confirmé une cyberattaque d’envergure touchant les commandes passées au Royaume-Uni et en Allemagne. En cause : son prestataire logistique CEVA Logistics. Des données personnelles ont été exposées et de nombreuses précommandes ont été annulées, en pleine période du 30e anniversaire du JCC Pokémon.
Une faille chez CEVA Logistics, pas chez Pokémon Center
Contrairement à ce que l’on pourrait croire, les systèmes de Pokémon Center n’ont pas été directement piratés. L’attaque a frappé CEVA Logistics, le transporteur chargé des expéditions pour le Royaume-Uni et l’Allemagne. Selon les notifications envoyées aux clients, l’intrusion a débuté le 30 juillet 2026, même si d’autres comptes rendus évoquent une détection dès le 29 juillet 2026. Au total, au moins huit entrepôts européens de CEVA ont été perturbés. L’incident ne concerne pas uniquement Pokémon : le même prestataire a également affecté des commandes de Valve/Steam, notamment des livraisons de Steam Deck, confirmant l’ampleur de cette attaque de la chaîne logistique. Un incident similaire avait déjà été signalé en 2024, mais les derniers éléments confirment qu’il s’agit bien d’une attaque via CEVA.
Données personnelles exposées : noms, adresses, téléphones, mais pas les CB
Les clients concernés ont été notifiés à partir du 18 août 2026. Parmi les informations potentiellement accessibles figurent les noms complets, adresses postales, numéros de téléphone, adresses e-mail ainsi que le contenu détaillé des commandes. Les autres informations de compte ne seraient pas affectées. Bonne nouvelle cependant : les données bancaires n’ont pas été compromises, car CEVA Logistics n’y avait pas accès. Les autorités néerlandaises de protection des données enquêtent sur cette fuite, aux côtés d’autres forces de l’ordre. À ce jour, aucun groupe de pirates n’a revendiqué l’attaque.
Annulations en chaîne pour les produits du 30e anniversaire
La conséquence la plus visible pour les fans est l’annulation pure et simple de nombreuses commandes, notamment celles concernant les produits du 30e anniversaire du JCC Pokémon. Initialement, Pokémon Center avait évoqué un simple « problème de traitement imprévu » avant de révéler la véritable cause. Cette annulation massive touche des articles très attendus, comme des boîtes spéciales et collections premium, vendues en quantités limitées sur la boutique en ligne. Des exemples concrets incluent des « surprise box » ou le porte-clé Ghost Chateau Cyndaquil, annulés chez de nombreux clients. Pour les collectionneurs britanniques et allemands, la frustration est immense, d’autant que ces produits ne seront pas forcément reproposés à l’identique. La spéculation autour de ces éditions limitées risque d’augmenter sur le marché secondaire.
Un coup dur pour la marque en pleine année anniversaire
Cet incident tombe au plus mauvais moment pour The Pokémon Company, qui célèbre les 30 ans de la licence en 2026. Le Pokémon Center, vitrine premium des produits dérivés, dépend fortement de CEVA pour sa logistique européenne. Avec plus de 1000 entrepôts dans le monde et environ 18,3 milliards de dollars de revenus en 2025, CEVA est un acteur majeur, mais ce modèle centralisé expose ses clients à un risque systémique. Pokémon Center n’a pas encore communiqué sur d’éventuelles mesures de remédiation, comme une diversification de ses prestataires ou une compensation pour les clients lésés. Les notifications recommandent toutefois une vigilance accrue face aux tentatives de phishing.
