Ceva Logisticsin tietomurto heinäkuu 2026

Ceva ilmoitti 1. elokuuta asiakkailleen, että "kyberhyökkäys" oli häirinnyt toimintaa kyseisissä kohteissa ja pysäyttänyt lähtevät lähetykset .

Mitkä yritykset ja asiakkaat kärsivät?

Yksikään merkeistä ei kärsinyt suorasta tietomurrosta. Sen sijaan ne kaikki jakoivat Ceva:n kolmannen osapuolen toimituskumppanina, mikä tekee tästä oppikirjaesimerkin toimitusketjuun (tai neljännen osapuolen) kohdistuvasta tietoturvaloukkauksesta. Alankomaiden tietosuojaviranomainen (Autoriteit Persoonsgegevens) vastaanotti GDPR:n 33 artiklan mukaisia tietomurtoilmoituksia vähintään kymmeneltä eri organisaatiolta . Vahvistettu listaus sisältää:

• Bol (Alankomaiden suurin verkkokauppias) – varoitti asiakkaita 5.–6. elokuuta, että nimiä, osoitteita ja puhelinnumeroita on saattanut päätyä vääriin käsiin . Bol keskeytti tietojen jakamisen Ceva:n kanssa tapauksen jälkeen .
• De Bijenkorf (alankomaalainen luksustavaratalo) – lähetti samankaltaisia varoituksia 5. elokuuta .
• Ajax (Amsterdamin jalkapalloseura) – vahvisti 6. elokuuta, että sen Ceva:n hallinnoima verkkokauppa on saattanut altistaa asiakastietoja .
• ING (alankomaalainen monikansallinen pankki) – raportoi "kyberhyökkäyksestä logistiikkakumppanilla", joka koski asiakkaita, jotka lunastivat kanta-asiakaspisteitä fyysisistä tuotteista, jotka Ceva toimitti .
• Ace & Tate (silmälasiketju) – ilmoitti asiakkailleen, että paketteihin liittyviin henkilötietoihin on saatettu päästä käsiksi .
• Valve / Steam-laitteistoasiakkaat – Valve alkoi lähettää tietomurtoilmoituksia 7. elokuuta alkaen eurooppalaisille asiakkaille, jotka olivat tilanneet Steam Deckin, Steam Controllerin tai Steam Machinen ja joiden tiedot olivat edelleen Ceva:lla (tyypillisesti edellisten 90 päivän aikana tehdyt tilaukset) .

Millaisia henkilötietoja varastettiin?

Hyökkääjät saivat haltuunsa toimitus- ja tilaustietoja, joita Ceva säilytti lähetysten toteuttamista varten. Useiden uutislähteiden mukaan altistuneita tietoja ovat :

• Koko nimet
• Kotiosoitteet ja toimitusosoitteet
• Puhelinnumerot
• Sähköpostiosoitteet
• Tilaustiedot (tuotetyyppi, tilausnumero, hinta)

TechCrunch, Bleeping Computer ja The Register vahvistavat, että maksutietoja – kuten luottokorttinumeroita, pankkitilitietoja ja kirjautumistunnuksia – ei paljastunut, koska Ceva ei koskaan säilyttänyt niitä . Yhteys- ja tilaustietojen paljastuminen lisää kuitenkin kohdennettujen tietojenkalastelu- ja verkkorikollisuusriskien uhkaa, minkä Valve nimenomaisesti mainitsi varoituksessaan asiakkailleen .

Toiminnalliset vaikutukset: Kahdeksan varastoa häiriintyi

Kyberhyökkäyksellä oli konkreettinen fyysinen vaikutus. Ceva vahvisti, että lähetykset pysähtyivät tai viivästyivät merkittävästi kahdeksassa varastossa . Ceva totesi, että mitään muita järjestelmiä maailmanlaajuisesti ei häiriintynyt ja että kaikki muut toiminnot jatkuivat keskeytyksettä . Elokuun puolivälissä 2026 yhtiö työskenteli edelleen täyden toiminnan palauttamiseksi häiriintyneillä kohteilla . Osa lähetyksistä peruttiin, ja toimitusaikataulut pysyivät epävarmoina .

Ceva:n virallinen vastaus

Ceva Logistics antoi rajoitetun julkisen lausunnon, jonka se jakoi useille uutistoimistoille. Yhtiö sanoi :

"Toiminnallinen vaikutus rajoittuu kahdeksaan varastoon. Mitään muita CEVA:n järjestelmiä maailmanlaajuisesti ei ole häiriintynyt, ja kaikki muut toiminnot jatkuvat keskeytyksettä."

Ceva kertoi myös, ettei se voi sulkea pois mahdollisuutta, että henkilötietoja olisi paljastunut, ja että tutkimus on kesken . Yhtiö kieltäytyi paljastamasta teknisiä yksityiskohtia hyökkäyksestä, eikä mikään kiristysohjelmaryhmä ole ottanut vastuuta tapahtuneesta .

Tutkintaviranomaiset

• Alankomaiden tietosuojaviranomainen (Autoriteit Persoonsgegevens) – vastaanotti 33 artiklan mukaisia tietomurtoilmoituksia vähintään kymmeneltä organisaatiolta, mukaan lukien kaikki edellä mainitut yritykset .
• Kansalliset lainvalvontaviranomaiset – Alankomaiden poliisi ja muut kyberrikostutkintayksiköt tutkivat tapausta, vaikka eivät ole antaneet julkisia lausuntoja .
• Sisäiset tutkimukset – Ceva ja jokainen asianomainen yritys tekevät omia rikosteknisiä tutkimuksiaan .

Tärkeimmät asiat, jotka koskevien asiakkaiden tulisi tietää

• Taloustietosi ja salasanasi ovat turvassa – maksutietoja tai kirjautumistunnuksia ei varastettu.
• Varo tietojenkalasteluyrityksiä: Huijarit saattavat käyttää oikeaa nimeäsi, osoitettasi ja tilaushistoriaasi näyttääkseen aidolta. Valve varoitti nimenomaisesti, että hyökkääjät saattavat "toistaa osoitteesi sinulle" ja pyytää maksua tai kirjautumista – kohtele kaikkia tällaisia pyyntöjä epäaitoina .
• Jos olet tilannut Bolista, De Bijenkorfista, ING:n palkintokaupasta, Ajaxin verkkokaupasta, Ace & Tatesta tai Steam-laitteistosta Euroopassa suunnilleen toukokuun ja elokuun 2026 välisenä aikana, toimitusosoitteesi ja yhteystietosi ovat saattaneet paljastua.

Ceva:n tietomurto on jyrkkä muistutus siitä, että yhden toimittajan kompromissi voi levitä laajalle koko luotettujen brändien ekosysteemiin ja muuttaa logistiikkavirheen laajaksi tietojen altistumiseksi.