Eine gehackte Logistikfirma, zwei Gaming-Riesen: Pokémon Center vom selben CEVA-Leck betroffen wie Steam-Hardware

Man bestellt ein Steam Deck oder ein Plüsch-Relaxo, und ein paar Wochen später verliert eine Logistikfirma, von der man nie gehört hat, den eigenen Namen, die Wohnadresse und die Telefonnummer. In dieser Lage befinden sich gerade immer mehr europäische Spieler - und die Liste der Betroffenen wird länger.

CEVA Logistics, eines der größten Versandunternehmen Europas, wurde Ziel eines Cyberangriffs; die Angreifer waren Berichten zufolge Ende Juli und Anfang August in den Systemen. Valve schlug als erster Gaming-Name Alarm und warnte europäische Steam-Hardware-Kunden, dass ihre Daten wahrscheinlich kompromittiert wurden. Wenige Tage später berichtet Eurogamer nun, dass dasselbe Leck auch das Pokémon Center erreicht hat - den offiziellen Pokémon-Merchandise-Shop -, der Kunden in Großbritannien und Deutschland darüber informiert, dass ihre persönlichen Daten und Bestellinformationen betroffen sein könnten. Einige betroffene Bestellungen wurden Berichten zufolge sogar storniert - ein gehacktes Lager kann also buchstäblich bedeuten, dass kein Paket vor der Tür steht.

Was laut den Benachrichtigungen abgeflossen ist: vollständige Namen, Postadressen, Telefonnummern, E-Mail-Adressen und Details zu den Bestellungen. Was nicht: Zahlungsdaten, Passwörter und Zugangsdaten - darauf hatte die Logistikfirma nie Zugriff. Berichte legen zudem nahe, dass CEVA Bestelldaten nur für begrenzte Zeit speichert, etwa die letzten Monate an Sendungen. Das grenzt den Kreis ein, tröstet aber niemanden, der diesen Sommer Steam-Hardware gekauft hat.

Warum das auch uns betrifft

Der britische und der deutsche Shop klingen weit weg, aber viele Spieler in unserer Region bestellen Steam-Hardware und Pokémon-Merchandise genau über den deutschen Shop oder über Weiterleitungsdienste - das "Deutschland" auf der Liste ist also näher, als es aussieht. Und die geleakte Kombination ist das eigentlich Gefährliche: Name, Adresse, Telefonnummer und eine echte, frische Bestellung. Das ist exakt der Treibstoff für die gefälschten "Ihr Paket wartet, bitte Zollgebühr zahlen"-Nachrichten, die ohnehin schon die Handys in unserer Region fluten. Ein Betrüger, der weiß, dass man wirklich etwas bestellt hat - und ungefähr wann -, ist deutlich überzeugender als einer, der blind rät.

Mein Fazit ist unbequem, aber simpel: Den Shop kann man sich aussuchen, seine Logistikkette nicht. Valve und The Pokémon Company haben die Zahlungsseite sauber abgesichert - und es hat nichts genützt, weil das schwache Glied ein Drittanbieter war, der genau die Daten hielt, die man braucht, um an der Haustür zu klingeln. Wer kürzlich in einem der beiden Shops bestellt hat, sollte jede Liefernachricht mit Misstrauen behandeln und direkt die offizielle Tracking-Seite aufrufen, statt Links anzutippen. Das Leck ist bereits passiert; ob es einen etwas kostet, hängt jetzt vor allem davon ab, worauf man als Nächstes klickt.

Bild: JJBers from Willimantic, Connecticut, USA / CC BY 2.0, source: https://commons.wikimedia.org/wiki/File:Nintendo_(New_York,_New_York)_(31406686067).jpg