Kybernetický útok na Ceva Logistics v červenci 2026: Kdo byl zasažen a jaká data unikla

Ceva 1. srpna informovala dotčené klienty o „kybernetické intruzi“, která zastavila odchozí zásilky z těchto lokalit .

Které společnosti a zákazníci byli zasaženi?

Žádná z uvedených značek nebyla napadena přímo. Všechny sdílely Ceva jako partnera pro logistiku a plnění objednávek, což z incidentu dělá učebnicový příklad dodavatelského (či čtvrté strany) útoku. Nizozemský úřad pro ochranu osobních údajů (Autoriteit Persoonsgegevens) obdržel oznámení o narušení podle článku 33 GDPR od nejméně deseti různých organizací . Potvrzený seznam zahrnuje:

• Bol (největší nizozemský online prodejce) – varoval zákazníky 5.–6. srpna, že mohla uniknout jména, adresy a telefonní čísla . Bol po incidentu pozastavil sdílení dat s Ceva .
• De Bijenkorf (nizozemský luxusní obchodní dům) – rozeslal podobná varování 5. srpna .
• Ajax (amsterdamský fotbalový klub) – potvrdil 6. srpna, že data zákazníků jeho online shopu, který obsluhuje Ceva, mohla být odhalena .
• ING (nizozemská nadnárodní banka) – nahlásila „kybernetický incident u logistického partnera“, který se dotkl klientů, kteří si pomocí věrnostních bodů objednali fyzické zboží přepravované Ceva .
• Ace & Tate (řetězec optik) – informoval zákazníky, že k jejich osobním údajům souvisejícím s balíky mohl mít útočník přístup .
• Zákazníci Steamu (Valve) – Valve začalo 7. srpna rozesílat oznámení o narušení evropským zákazníkům, kteří si objednali Steam Deck, Steam Controller nebo Steam Machine a jejichž data Ceva stále uchovávala (typicky objednávky z posledních 90 dny) .

Jaké typy osobních údajů byly ukradeny?

Útočníci získali doručovací a objednávková data, která Ceva spravovala za účelem vyřízení zásilek. Všechny renomované zdroje (TechCrunch, Bleeping Computer, The Register) se shodují, že uniklé údaje zahrnují :

• celá jména
• fyzické adresy (domácí i dodací)
• telefonní čísla
• e-mailové adresy
• podrobnosti o objednávce (typ produktu, číslo objednávky, cena)

Mnohočetné zdroje potvrzují, že finanční údaje – čísla platebních karet, bankovní spojení ani přihlašovací údaje – nebyly kompromitovány, protože je Ceva nikdy neukládala . Nicméně únik kontaktních údajů a historie objednávek výrazně zvyšuje riziko cílených phishingových a sociálně‑inženýrských útoků, na což Valve své zákazníky výslovně upozornilo .

Provozní dopad: osm ochromených skladů

Útok měl hmatatelný fyzický dopad. Ceva potvrdila, že v osmi zasažených evropských skladech byly zásilky zastaveny nebo výrazně zpožděny . Ceva uvedla, že žádné další systémy na světě nebyly ovlivněny a veškeré ostatní operace pokračují bez přerušení . V polovině srpna 2026 společnost stále pracovala na obnovení plného provozu v postižených lokalitách . Některé zásilky byly zrušeny a dodací lhůty zůstávaly nejisté .

Oficiální reakce Ceva

Ceva Logistics vydala omezené veřejné prohlášení, které sdílela s několika médii. Společnost uvedla :

„Provozní dopad je omezen na osm skladů. Žádné jiné systémy Ceva na světě nebyly ovlivněny a všechny ostatní operace pokračují bez přerušení.“

Ceva zároveň uvedla, že nemůže vyloučit, že došlo k úniku osobních údajů, a že vyšetřování probíhá . Společnost odmítla zveřejnit technické podrobnosti o průniku a k datu zveřejnění zprávy se k útoku nepřihlásila žádná ransomware skupina .

Vyšetřující orgány

• Nizozemský úřad pro ochranu osobních údajů (Autoriteit Persoonsgegevens) – obdržel oznámení o narušení podle článku 33 GDPR od nejméně deseti organizací, včetně všech výše uvedených společností .
• Národní policie – narušení je vyšetřováno nizozemskou policií a dalšími jednotkami pro boj s kyberkriminalitou, které však dosud nevydaly veřejná prohlášení .
• Interní forenzní vyšetřování – Ceva i každá z postižených společností provádějí vlastní forenzní šetření .

Klíčová ponaučení pro postižené zákazníky

• Vaše finanční účty a hesla jsou v bezpečí – žádné platební údaje ani hesla nebyly odcizeny.
• Buďte ve střehu kvůli phishingu: Podvodníci mohou použít vaše skutečné jméno, adresu i historii objednávek, aby jejich zprávy vypadaly důvěryhodně. Valve výslovně varovalo, že útočníci „mohou citovat vaši adresu, aby dokázali, že jsou praví“, a žádat o potvrzení doručení, zaplacení malého poplatku nebo přihlášení k „ověření“ objednávky – všechny takové požadavky považujte za podvodné .
• Pokud jste si v Evropě objednali zboží z Bol, De Bijenkorf, věrnostního obchodu ING, online shopu Ajax, Ace & Tate nebo hardwaru Steamu zhruba mezi květnem a srpnem 2026, mohly uniknout vaše kontaktní údaje k doručení.

Útok na Ceva je tvrdou připomínkou toho, že kompromitace jediného dodavatele se může přelít přes celý ekosystém důvěryhodných značek a z logistického selhání udělat plošný únik dat.