Chi ha comprato sul Pokémon Center britannico o tedesco si è visto annullare l’ordine senza una spiegazione dettagliata, e in alcuni casi ha ricevuto un avviso ben più fastidioso della merce mancante: i dati lasciati al momento dell’acquisto potrebbero non essere più al sicuro. Fra i pacchi saltati ci sono anche prodotti legati ai trent’anni del franchise.
La cosa curiosa è che il problema non nasce dentro The Pokémon Company. Nasce a valle, nella società che per quei due Paesi si occupa materialmente delle consegne del Pokémon Center: CEVA Logistics, un operatore logistico con cui nessun cliente ha mai avuto un rapporto diretto e di cui, quasi sempre, ignora persino l’esistenza. È lì che qualcuno è entrato senza permesso. I dettagli riportati qui sotto vengono da un’unica ricostruzione giornalistica del caso, che cita a sua volta le comunicazioni spedite da The Pokémon Company International alle persone coinvolte.
Quali informazioni possono essere finite fuori
L’elenco che l’azienda ha indicato come potenzialmente coinvolto è quello dell’anagrafica di spedizione: nome e cognome, indirizzo di casa, numero di telefono, indirizzo email. Insieme a questi, anche la lista degli articoli che erano dentro l’ordine.
Fuori dal perimetro restano, secondo la stessa comunicazione, le due categorie che di solito preoccupano di più: le password dell’account Pokémon Center e i dati di pagamento non risultano compromessi. È una differenza sostanziale, perché il numero della carta è il dato che consente un danno immediato, mentre un indirizzo e una mail no.
Il rischio, però, si sposta soltanto di un passo. Un elenco di contatti abbinato a un ordine reale vale molto più di un elenco di contatti e basta: chi lo possiede può confezionare un messaggio che cita l’acquisto giusto, la cifra giusta e magari la cancellazione appena avvenuta. È esattamente la situazione in cui una finta email di rimborso ha le migliori probabilità di sembrare autentica, e la fonte segnala proprio questo come conseguenza più concreta dell’esposizione. La guida del National Cyber Security Centre britannico sui messaggi sospetti, richiamata nella comunicazione, insiste su due punti: guardare da chi arriva davvero il messaggio e diffidare delle richieste di dati che non ci si aspettava.
Perché la storia tocca anche chi non ha mai comprato nulla di Pokémon
Il particolare più interessante è anche quello che si perde più facilmente dietro il nome del marchio. L’accesso ai sistemi di CEVA non ha riguardato un magazzino solo: secondo la ricostruzione ne ha toccati almeno otto in Europa. E nello stesso incidente sono finiti anche dati di clienti che avevano acquistato hardware da Valve, cioè la società di Steam, un mondo che con i mostriciattoli tascabili non c’entra niente.
Due marchi lontanissimi, un fornitore in comune: è il modo più chiaro per capire dove finiscono davvero i dati che si lasciano a un negozio online. Non restano nel sito da cui si compra. Attraversano il magazziniere, il corriere, il gestore dell’assistenza, e ognuno di questi passaggi è una porta in più. Quando la porta forzata sta nel fornitore, il cliente scopre l’esistenza dell’anello debole solo dalla mail che lo avvisa.
Un caveat va messo: chi ha ricostruito la vicenda precisa di non sapere se tutti i siti interessati abbiano subito lo stesso tipo di accesso, né se il materiale sottratto sia dello stesso genere ovunque. Otto magazzini non significano automaticamente otto violazioni identiche.
Ordini annullati e spedizioni in ritardo: cosa si sa
Sul piano pratico, in Regno Unito e Germania la conseguenza è doppia. Da un lato le cancellazioni, che hanno colpito anche articoli della linea celebrativa. Dall’altro i rallentamenti: la pagina ufficiale dedicata ai problemi noti del Pokémon Center segnala ritardi nella lavorazione e nella spedizione di una parte degli acquisti destinati ai due mercati.
Nelle notifiche mandate ai clienti l’azienda ha ricondotto gli annullamenti a un intoppo logistico non previsto. Quello che non è stato spiegato è il criterio: perché certi ordini siano stati chiusi invece che semplicemente rimandati, e in base a cosa siano stati individuati, resta senza risposta. Non è chiarito nemmeno quali sistemi legati agli ordini Pokémon siano stati effettivamente raggiunti dall’intrusione.
Le caselle ancora vuote
L’intrusione risalirebbe al 30 luglio 2026, quindi al momento in cui le prime lettere sono partite era in corso da settimane. Da quella data in poi mancano ancora due informazioni che di solito misurano la gravità di un episodio del genere.
- Quante persone siano state coinvolte: The Pokémon Company International non ha diffuso un numero complessivo.
- Chi sia stato: nessun gruppo criminale ha rivendicato pubblicamente l’attacco, il che rende impossibile capire se i dati siano destinati a essere rivenduti, pubblicati o usati per un ricatto.
Il quadro, insomma, è quello di un incidente ammesso ma non ancora quantificato. Vale la pena rileggerlo con la lente da cui siamo partiti: il marchio che il cliente conosce e l’azienda che ha subito il colpo sono due soggetti diversi, e questa distanza è la parte meno rassicurante della vicenda. È anche il motivo per cui, in una settimana fatta soprattutto di annunci allegri sul franchise, questa notizia stona: la trovate insieme a tutte le altre nel nostro punto settimanale sulle notizie Pokémon.
Lascia un commento