Ceva ilmoitti 1. elokuuta asiakkailleen, että "kyberhyökkäys" oli häirinnyt toimintaa kyseisissä kohteissa ja pysäyttänyt lähtevät lähetykset .

Mitkä yritykset ja asiakkaat kärsivät?

Yksikään merkeistä ei kärsinyt suorasta tietomurrosta. Sen sijaan ne kaikki jakoivat Ceva:n kolmannen osapuolen toimituskumppanina, mikä tekee tästä oppikirjaesimerkin toimitusketjuun (tai neljännen osapuolen) kohdistuvasta tietoturvaloukkauksesta. Alankomaiden tietosuojaviranomainen (Autoriteit Persoonsgegevens) vastaanotti GDPR:n 33 artiklan mukaisia tietomurtoilmoituksia vähintään kymmeneltä eri organisaatiolta . Vahvistettu listaus sisältää:

• Bol (Alankomaiden suurin verkkokauppias) – varoitti asiakkaita 5.–6. elokuuta, että nimiä, osoitteita ja puhelinnumeroita on saattanut päätyä vääriin käsiin . Bol keskeytti tietojen jakamisen Ceva:n kanssa tapauksen jälkeen .
• De Bijenkorf (alankomaalainen luksustavaratalo) – lähetti samankaltaisia varoituksia 5. elokuuta .
• Ajax (Amsterdamin jalkapalloseura) – vahvisti 6. elokuuta, että sen Ceva:n hallinnoima verkkokauppa on saattanut altistaa asiakastietoja .
• ING (alankomaalainen monikansallinen pankki) – raportoi "kyberhyökkäyksestä logistiikkakumppanilla", joka koski asiakkaita, jotka lunastivat kanta-asiakaspisteitä fyysisistä tuotteista, jotka Ceva toimitti .
• Ace & Tate (silmälasiketju) – ilmoitti asiakkailleen, että paketteihin liittyviin henkilötietoihin on saatettu päästä käsiksi .
• Valve / Steam-laitteistoasiakkaat – Valve alkoi lähettää tietomurtoilmoituksia 7. elokuuta alkaen eurooppalaisille asiakkaille, jotka olivat tilanneet Steam Deckin, Steam Controllerin tai Steam Machinen ja joiden tiedot olivat edelleen Ceva:lla (tyypillisesti edellisten 90 päivän aikana tehdyt tilaukset) .

Millaisia henkilötietoja varastettiin?

Hyökkääjät saivat haltuunsa toimitus- ja tilaustietoja, joita Ceva säilytti lähetysten toteuttamista varten. Useiden uutislähteiden mukaan altistuneita tietoja ovat :

• Koko nimet
• Kotiosoitteet ja toimitusosoitteet
• Puhelinnumerot
• Sähköpostiosoitteet
• Tilaustiedot (tuotetyyppi, tilausnumero, hinta)

TechCrunch, Bleeping Computer ja The Register vahvistavat, että maksutietoja – kuten luottokorttinumeroita, pankkitilitietoja ja kirjautumistunnuksia – ei paljastunut, koska Ceva ei koskaan säilyttänyt niitä . Yhteys- ja tilaustietojen paljastuminen lisää kuitenkin kohdennettujen tietojenkalastelu- ja verkkorikollisuusriskien uhkaa, minkä Valve nimenomaisesti mainitsi varoituksessaan asiakkailleen .

Toiminnalliset vaikutukset: Kahdeksan varastoa häiriintyi

Kyberhyökkäyksellä oli konkreettinen fyysinen vaikutus. Ceva vahvisti, että lähetykset pysähtyivät tai viivästyivät merkittävästi kahdeksassa varastossa . Ceva totesi, että mitään muita järjestelmiä maailmanlaajuisesti ei häiriintynyt ja että kaikki muut toiminnot jatkuivat keskeytyksettä . Elokuun puolivälissä 2026 yhtiö työskenteli edelleen täyden toiminnan palauttamiseksi häiriintyneillä kohteilla . Osa lähetyksistä peruttiin, ja toimitusaikataulut pysyivät epävarmoina .

Ceva:n virallinen vastaus

Ceva Logistics antoi rajoitetun julkisen lausunnon, jonka se jakoi useille uutistoimistoille. Yhtiö sanoi :

"Toiminnallinen vaikutus rajoittuu kahdeksaan varastoon. Mitään muita CEVA:n järjestelmiä maailmanlaajuisesti ei ole häiriintynyt, ja kaikki muut toiminnot jatkuvat keskeytyksettä."

Ceva kertoi myös, ettei se voi sulkea pois mahdollisuutta, että henkilötietoja olisi paljastunut, ja että tutkimus on kesken . Yhtiö kieltäytyi paljastamasta teknisiä yksityiskohtia hyökkäyksestä, eikä mikään kiristysohjelmaryhmä ole ottanut vastuuta tapahtuneesta .

Tutkintaviranomaiset

• Alankomaiden tietosuojaviranomainen (Autoriteit Persoonsgegevens) – vastaanotti 33 artiklan mukaisia tietomurtoilmoituksia vähintään kymmeneltä organisaatiolta, mukaan lukien kaikki edellä mainitut yritykset .
• Kansalliset lainvalvontaviranomaiset – Alankomaiden poliisi ja muut kyberrikostutkintayksiköt tutkivat tapausta, vaikka eivät ole antaneet julkisia lausuntoja .
• Sisäiset tutkimukset – Ceva ja jokainen asianomainen yritys tekevät omia rikosteknisiä tutkimuksiaan .

Tärkeimmät asiat, jotka koskevien asiakkaiden tulisi tietää

• Taloustietosi ja salasanasi ovat turvassa – maksutietoja tai kirjautumistunnuksia ei varastettu.
• Varo tietojenkalasteluyrityksiä: Huijarit saattavat käyttää oikeaa nimeäsi, osoitettasi ja tilaushistoriaasi näyttääkseen aidolta. Valve varoitti nimenomaisesti, että hyökkääjät saattavat "toistaa osoitteesi sinulle" ja pyytää maksua tai kirjautumista – kohtele kaikkia tällaisia pyyntöjä epäaitoina .
• Jos olet tilannut Bolista, De Bijenkorfista, ING:n palkintokaupasta, Ajaxin verkkokaupasta, Ace & Tatesta tai Steam-laitteistosta Euroopassa suunnilleen toukokuun ja elokuun 2026 välisenä aikana, toimitusosoitteesi ja yhteystietosi ovat saattaneet paljastua.

Ceva:n tietomurto on jyrkkä muistutus siitä, että yhden toimittajan kompromissi voi levitä laajalle koko luotettujen brändien ekosysteemiin ja muuttaa logistiikkavirheen laajaksi tietojen altistumiseksi.

Ceva ilmoitti 1. elokuuta asiakkailleen, että "kyberhyökkäys" oli häirinnyt toimintaa kyseisissä kohteissa ja pysäyttänyt lähtevät lähetykset .

Mitkä yritykset ja asiakkaat kärsivät?

Yksikään merkeistä ei kärsinyt suorasta tietomurrosta. Sen sijaan ne kaikki jakoivat Ceva:n kolmannen osapuolen toimituskumppanina, mikä tekee tästä oppikirjaesimerkin toimitusketjuun (tai neljännen osapuolen) kohdistuvasta tietoturvaloukkauksesta. Alankomaiden tietosuojaviranomainen (Autoriteit Persoonsgegevens) vastaanotti GDPR:n 33 artiklan mukaisia tietomurtoilmoituksia vähintään kymmeneltä eri organisaatiolta . Vahvistettu listaus sisältää:

• Bol (Alankomaiden suurin verkkokauppias) – varoitti asiakkaita 5.–6. elokuuta, että nimiä, osoitteita ja puhelinnumeroita on saattanut päätyä vääriin käsiin . Bol keskeytti tietojen jakamisen Ceva:n kanssa tapauksen jälkeen .
• De Bijenkorf (alankomaalainen luksustavaratalo) – lähetti samankaltaisia varoituksia 5. elokuuta .
• Ajax (Amsterdamin jalkapalloseura) – vahvisti 6. elokuuta, että sen Ceva:n hallinnoima verkkokauppa on saattanut altistaa asiakastietoja .
• ING (alankomaalainen monikansallinen pankki) – raportoi "kyberhyökkäyksestä logistiikkakumppanilla", joka koski asiakkaita, jotka lunastivat kanta-asiakaspisteitä fyysisistä tuotteista, jotka Ceva toimitti .
• Ace & Tate (silmälasiketju) – ilmoitti asiakkailleen, että paketteihin liittyviin henkilötietoihin on saatettu päästä käsiksi .
• Valve / Steam-laitteistoasiakkaat – Valve alkoi lähettää tietomurtoilmoituksia 7. elokuuta alkaen eurooppalaisille asiakkaille, jotka olivat tilanneet Steam Deckin, Steam Controllerin tai Steam Machinen ja joiden tiedot olivat edelleen Ceva:lla (tyypillisesti edellisten 90 päivän aikana tehdyt tilaukset) .

Millaisia henkilötietoja varastettiin?

Hyökkääjät saivat haltuunsa toimitus- ja tilaustietoja, joita Ceva säilytti lähetysten toteuttamista varten. Useiden uutislähteiden mukaan altistuneita tietoja ovat :

• Koko nimet
• Kotiosoitteet ja toimitusosoitteet
• Puhelinnumerot
• Sähköpostiosoitteet
• Tilaustiedot (tuotetyyppi, tilausnumero, hinta)

TechCrunch, Bleeping Computer ja The Register vahvistavat, että maksutietoja – kuten luottokorttinumeroita, pankkitilitietoja ja kirjautumistunnuksia – ei paljastunut, koska Ceva ei koskaan säilyttänyt niitä . Yhteys- ja tilaustietojen paljastuminen lisää kuitenkin kohdennettujen tietojenkalastelu- ja verkkorikollisuusriskien uhkaa, minkä Valve nimenomaisesti mainitsi varoituksessaan asiakkailleen .

Toiminnalliset vaikutukset: Kahdeksan varastoa häiriintyi

Kyberhyökkäyksellä oli konkreettinen fyysinen vaikutus. Ceva vahvisti, että lähetykset pysähtyivät tai viivästyivät merkittävästi kahdeksassa varastossa . Ceva totesi, että mitään muita järjestelmiä maailmanlaajuisesti ei häiriintynyt ja että kaikki muut toiminnot jatkuivat keskeytyksettä . Elokuun puolivälissä 2026 yhtiö työskenteli edelleen täyden toiminnan palauttamiseksi häiriintyneillä kohteilla . Osa lähetyksistä peruttiin, ja toimitusaikataulut pysyivät epävarmoina .

Ceva:n virallinen vastaus

Ceva Logistics antoi rajoitetun julkisen lausunnon, jonka se jakoi useille uutistoimistoille. Yhtiö sanoi :

"Toiminnallinen vaikutus rajoittuu kahdeksaan varastoon. Mitään muita CEVA:n järjestelmiä maailmanlaajuisesti ei ole häiriintynyt, ja kaikki muut toiminnot jatkuvat keskeytyksettä."

Ceva kertoi myös, ettei se voi sulkea pois mahdollisuutta, että henkilötietoja olisi paljastunut, ja että tutkimus on kesken . Yhtiö kieltäytyi paljastamasta teknisiä yksityiskohtia hyökkäyksestä, eikä mikään kiristysohjelmaryhmä ole ottanut vastuuta tapahtuneesta .

Tutkintaviranomaiset

• Alankomaiden tietosuojaviranomainen (Autoriteit Persoonsgegevens) – vastaanotti 33 artiklan mukaisia tietomurtoilmoituksia vähintään kymmeneltä organisaatiolta, mukaan lukien kaikki edellä mainitut yritykset .
• Kansalliset lainvalvontaviranomaiset – Alankomaiden poliisi ja muut kyberrikostutkintayksiköt tutkivat tapausta, vaikka eivät ole antaneet julkisia lausuntoja .
• Sisäiset tutkimukset – Ceva ja jokainen asianomainen yritys tekevät omia rikosteknisiä tutkimuksiaan .

Tärkeimmät asiat, jotka koskevien asiakkaiden tulisi tietää

• Taloustietosi ja salasanasi ovat turvassa – maksutietoja tai kirjautumistunnuksia ei varastettu.
• Varo tietojenkalasteluyrityksiä: Huijarit saattavat käyttää oikeaa nimeäsi, osoitettasi ja tilaushistoriaasi näyttääkseen aidolta. Valve varoitti nimenomaisesti, että hyökkääjät saattavat "toistaa osoitteesi sinulle" ja pyytää maksua tai kirjautumista – kohtele kaikkia tällaisia pyyntöjä epäaitoina .
• Jos olet tilannut Bolista, De Bijenkorfista, ING:n palkintokaupasta, Ajaxin verkkokaupasta, Ace & Tatesta tai Steam-laitteistosta Euroopassa suunnilleen toukokuun ja elokuun 2026 välisenä aikana, toimitusosoitteesi ja yhteystietosi ovat saattaneet paljastua.

Ceva:n tietomurto on jyrkkä muistutus siitä, että yhden toimittajan kompromissi voi levitä laajalle koko luotettujen brändien ekosysteemiin ja muuttaa logistiikkavirheen laajaksi tietojen altistumiseksi.