Ciberataque a Ceva Logistics en julio de 2026: qué pasó, quiénes fueron afectados y qué datos se robaron

Un solo ciberataque a un gigante logístico global se convirtió en una filtración de datos en cascada que afectó a grandes minoristas, un banco importante, un club de fútbol y a miles de jugadores de Steam en toda Europa. Aquí tienes un desglose claro, basado en fuentes, de lo que ocurrió en el incidente de Ceva Logistics en julio de 2026.

El ataque: del 29 de julio al 1 de agosto de 2026

El 29 de julio de 2026, un atacante no identificado obtuvo acceso no autorizado a los sistemas de procesamiento de pedidos de Ceva Logistics, una empresa de transporte y logística de contratos con sede en Francia, propiedad del grupo CMA CGM . El intruso mantuvo el acceso hasta el 1 de agosto, afectando las operaciones de logística contractual europea de Ceva, concretamente ocho almacenes en todo el continente .

Ceva notificó a sus clientes afectados el 1 de agosto que se había producido una "intrusión cibernética" que había interrumpido las operaciones en esos centros, deteniendo los envíos salientes .

¿Qué empresas y clientes se vieron afectados?

Ninguna de las marcas implicadas sufrió una filtración directa. En cambio, todas compartían a Ceva como socio logístico externo, lo que convierte esto en un incidente de datos de cadena de suministro (o de cuarta parte) por excelencia. La autoridad neerlandesa de protección de datos (Autoriteit Persoonsgegevens) recibió informes de violación de datos según el artículo 33 del RGPD de al menos diez organizaciones distintas . La lista confirmada incluye:

• Bol (el mayor minorista online neerlandés) — advirtió a sus clientes entre el 5 y el 6 de agosto de que sus nombres, direcciones y números de teléfono podrían haber sido expuestos . Bol suspendió el intercambio de datos con Ceva tras el incidente .
• De Bijenkorf (gran almacén de lujo neerlandés) — envió advertencias similares el 5 de agosto .
• Ajax (club de fútbol de Ámsterdam) — confirmó el 6 de agosto que los datos de los clientes de su tienda online, gestionada por Ceva, podrían haber quedado expuestos .
• ING (banco multinacional neerlandés) — informó de un "incidente cibernético en un socio logístico", que afectaba a los clientes que canjearon puntos de fidelidad por productos físicos enviados por Ceva .
• Ace & Tate (minorista de gafas) — notificó a los clientes que sus datos personales relacionados con paquetes podrían haber sido accedidos .
• Clientes de hardware de Valve / Steam — Valve comenzó a enviar notificaciones de filtración a partir del 7 de agosto a los clientes europeos que adquirieron una Steam Deck, un Mando de Steam o una Steam Machine, y cuyos datos aún estaban en poder de Ceva (normalmente pedidos de los últimos 90 días) .

¿Qué tipos de datos personales se robaron?

Los atacantes obtuvieron datos de entrega y de pedidos que Ceva poseía para gestionar los envíos. Los campos expuestos, informados de manera consistente por varios medios de comunicación, incluyen :

• Nombres completos
• Direcciones físicas (domicilio y envío)
• Números de teléfono
• Direcciones de correo electrónico
• Detalles del pedido (tipo de producto, número de pedido, precio)

Múltiples fuentes, como TechCrunch, Bleeping Computer y The Register, confirman que los datos financieros —incluidos números de tarjeta de crédito, datos bancarios y credenciales de inicio de sesión— no se vieron comprometidos, ya que Ceva nunca los almacenó . Sin embargo, la exposición de datos de contacto y de pedidos genera un mayor riesgo de ataques de phishing e ingeniería social dirigidos, un punto sobre el que Valve advirtió explícitamente a sus clientes .

Impacto operativo: ocho almacenes afectados

El ciberataque tuvo un impacto físico tangible. Ceva confirmó que los envíos se detuvieron o retrasaron significativamente en los ocho almacenes europeos afectados . Ceva declaró que ningún otro sistema a nivel mundial se vio afectado y que todas las demás operaciones continuaron sin interrupción . A mediados de agosto de 2026, la compañía seguía trabajando para restaurar las operaciones completas en los centros afectados . Algunos envíos fueron cancelados y los plazos de entrega seguían siendo inciertos .

Respuesta oficial de Ceva

Ceva Logistics emitió un comunicado público limitado, que compartió con varios medios de comunicación. La compañía dijo :

"El impacto operativo se limita a ocho almacenes. Ningún otro sistema de CEVA a nivel mundial se ha visto afectado, y todas las demás operaciones continúan sin interrupción."

Ceva también declaró que no podía descartar que se hubieran expuesto datos personales y que la investigación estaba en curso . La compañía se negó a revelar detalles técnicos sobre la intrusión y, hasta la fecha de publicación, ningún grupo de ransomware se había atribuido la responsabilidad .

Autoridades investigadoras

• Autoridad de Protección de Datos de los Países Bajos (Autoriteit Persoonsgegevens) — recibió notificaciones de violación de datos según el artículo 33 del RGPD de al menos diez organizaciones, incluidas todas las empresas afectadas enumeradas anteriormente .
• Policía nacional — la filtración está siendo investigada por la policía neerlandesa y otras unidades de ciberdelincuencia, aunque no han emitido declaraciones públicas .
• Investigación forense interna — Ceva y cada empresa afectada están llevando a cabo sus propias investigaciones forenses .

Consejos clave para los clientes afectados

• Tus cuentas financieras y contraseñas están a salvo — no se robaron datos de pago ni credenciales de inicio de sesión.
• Mantente alerta ante intentos de phishing: los estafadores podrían usar tu nombre real, dirección e historial de pedidos para parecer legítimos. Valve advirtió explícitamente a los clientes de que los atacantes podrían "citar tu dirección para demostrar que son auténticos" y pedirte un pago o que inicies sesión: trata todas esas solicitudes como falsas .
• Si hiciste un pedido en Bol, De Bijenkorf, la tienda de recompensas de ING, la tienda online del Ajax, Ace & Tate o hardware de Steam en Europa entre aproximadamente mayo y agosto de 2026, es posible que tus datos de contacto de entrega hayan quedado expuestos.

La filtración de Ceva es un claro recordatorio de que un único proveedor comprometido puede tener repercusiones en todo un ecosistema de marcas de confianza, convirtiendo un fallo logístico en un evento generalizado de exposición de datos.