侵害されたのはポケモン本体ではなく「委託先」 #
2026年7月29日から8月1日にかけて、ポケモンセンター公式通販(pokemoncenter.com)の英国・ドイツ向け配送を担うフランス系物流大手CEVA Logisticsのサーバーが何者かに侵入された。盗まれたのは氏名・住所・電話番号・メールアドレス・注文内容などの個人情報で、決済カード情報はCEVA側がそもそも保持していなかったため無事だった。The Pokemon Companyは被害者に通知を行い、一部注文を「配送上の予期せぬ問題」を理由にキャンセルしたが、詳細説明は避けている。
1. 侵入
7/29〜8/1、委託先CEVA Logisticsのサーバーに何者かが侵入。
2. データ窃取
氏名・住所・連絡先・注文情報が持ち出される(決済情報は対象外)。
3. 通知・対応
The Pokemon Companyが英独の対象顧客に通知、一部注文をキャンセル。
なぜ「委託先」が最大のリスクになるのか #
本体企業がどれだけ強固なセキュリティ体制を敷いていても、配送・決済・カスタマーサポートなど業務委託先の1社が破られれば同じ被害が生まれる。攻撃者にとって委託先は「本体より守りが薄いのに、同じ顧客データにアクセスできる」格好の踏み台だ。近年のランサムウェアや情報窃取キャンペーンは、大手ブランドを直接狙うよりその周辺のMSP・物流・SaaSベンダーを突破口にするケースが目立つ。ポケモンほどの知名度がある企業でさえ、自社の管理外にあるサーバーの侵害を防げなかった事実は、サプライチェーン全体をセキュリティ境界として捉える必要性を改めて示している。
今できる対応
対象顧客は通知メール内のリンクを鵜呑みにせず公式サイトから直接ログインして確認し、使い回しパスワードがあれば変更したい。企業側にとっては、委託先選定時のセキュリティ監査と、契約における侵害時の通知義務の明文化が最低限の防衛線になる。
COMMENTS 0
No comments yet — be the first to leave one.