Cyberattaque de Ceva Logistics : quand un seul prestataire logistique expose des millions de clients en Europe

Une seule cyberattaque contre un géant de la logistique a déclenché une fuite de données en cascade, touchant des enseignes de la grande distribution, une grande banque, un club de football, et des milliers de joueurs Steam en Europe. Voici un récit clair et sourcé de ce qui s’est passé lors de l’incident de juillet 2026 chez Ceva Logistics.

L’attaque : 29 juillet – 1er août 2026

Le 29 juillet 2026, un attaquant non identifié a obtenu un accès non autorisé aux systèmes de traitement des commandes de Ceva Logistics, entreprise de fret et de logistique sous contrat basée en France, filiale du groupe CMA CGM . L’intrus a conservé cet accès jusqu’au 1er août, touchant les opérations de logistique contractuelle de Ceva en Europe, en particulier huit entrepôts répartis sur le continent .

Le 1er août, Ceva a informé ses clients concernés qu’une « intrusion cybernétique » avait perturbé les activités sur ces sites, entraînant l’arrêt des expéditions sortantes .

Quelles entreprises et quels clients ont été touchés ?

Aucune des marques concernées n’a subi de brèche directe. En revanche, toutes utilisaient Ceva comme partenaire logistique, ce qui fait de cet incident une attaque typique de la chaîne d’approvisionnement (ou de quatrième partie). L’autorité néerlandaise de protection des données (Autoriteit Persoonsgegevens) a reçu au moins dix notifications de violation au titre de l’article 33 du RGPD . La liste confirmée comprend :

• Bol (le plus grand détaillant en ligne néerlandais) – a averti ses clients les 5 et 6 août que leurs noms, adresses et numéros de téléphone avaient pu être exposés . Bol a suspendu le partage de données avec Ceva après l’incident .
• De Bijenkorf (grand magasin de luxe néerlandais) – a envoyé des avertissements similaires le 5 août .
• Ajax (club de football d’Amsterdam) – a confirmé le 6 août que sa boutique en ligne gérée par Ceva pourrait avoir exposé les données de ses clients .
• ING (banque multinationale néerlandaise) – a signalé un « incident cybernétique chez un partenaire logistique », affectant les clients qui avaient échangé leurs points de fidélité contre des produits physiques expédiés par Ceva .
• Ace & Tate (enseigne de lunettes) – a informé ses clients que leurs données personnelles liées aux colis avaient pu être consultées .
• Valve / clients Steam hardware – Valve a commencé à envoyer des notifications de violation le 7 août aux clients européens ayant commandé un Steam Deck, une Steam Controller ou une Steam Machine, et dont les données étaient encore conservées par Ceva (généralement les commandes passées dans les 90 jours précédents) .

Quels types de données personnelles ont été volés ?

Les attaquants ont obtenu les données de livraison et de commandes que Ceva détenait pour exécuter les expéditions. Les champs exposés, systématiquement rapportés par plusieurs médias, sont les suivants :

• Nom et prénom
• Adresse postale (domicile et livraison)
• Numéro de téléphone
• Adresse e-mail
• Détails de la commande (type de produit, numéro de commande, prix)

De nombreuses sources, dont TechCrunch, Bleeping Computer et The Register, confirment que les données financières – numéros de carte de crédit, coordonnées bancaires et identifiants de connexion – n’ont pas été compromises, car Ceva ne les stockait jamais . Cependant, l’exposition des coordonnées et des détails de commande crée un risque accru d’hameçonnage ciblé et d’ingénierie sociale, un point que Valve a explicitement souligné dans ses avertissements à ses clients .

Impact opérationnel : huit entrepôts perturbés

La cyberattaque a eu un impact physique tangible. Ceva a confirmé que les expéditions avaient été interrompues ou considérablement retardées dans les huit entrepôts européens touchés . Ceva a déclaré qu’aucun autre système à l’échelle mondiale n’avait été affecté et que toutes les autres opérations se poursuivaient sans interruption . À la mi-août 2026, l’entreprise travaillait encore à la restauration complète des activités sur les sites impactés . Certaines expéditions ont été annulées et les délais de livraison restaient incertains .

La réponse officielle de Ceva

Ceva Logistics a fourni une déclaration publique limitée, partagée avec plusieurs médias. L’entreprise a déclaré :

« L’impact opérationnel se limite à huit entrepôts. Aucun autre système CEVA à l’échelle mondiale n’a été affecté et toutes les autres opérations se poursuivent sans interruption. »

Ceva a également indiqué qu’elle ne pouvait exclure que des données personnelles aient été exposées et que l’enquête était en cours . La société a refusé de divulguer les détails techniques de l’intrusion et, à ce jour, aucun groupe de rançongiciel n’a revendiqué la responsabilité .

Autorités d’enquête

• Autorité néerlandaise de protection des données (Autoriteit Persoonsgegevens) – a reçu des notifications de violation (article 33) d’au moins dix organisations, dont toutes les entreprises listées ci-dessus .
• Police nationale / unités de cybercriminalité – la brèche fait l’objet d’une enquête de la police néerlandaise et d’autres unités, bien qu’aucune déclaration publique n’ait été faite .
• Expertise interne – Ceva et chaque entreprise concernée mènent leurs propres enquêtes médico-légales .

Points clés pour les clients concernés

• Vos comptes bancaires et mots de passe sont en sécurité – aucune donnée de paiement ni identifiant n’a été dérobée.
• Restez vigilants face aux tentatives d’hameçonnage : Les fraudeurs pourraient utiliser votre vrai nom, votre adresse et votre historique de commandes pour paraître légitimes. Valve a explicitement prévenu ses clients que les attaquants pourraient « citer votre adresse pour prouver leur bonne foi » et demander un paiement ou une connexion – traitez toutes ces demandes comme frauduleuses .
• Si vous avez passé commande chez Bol, De Bijenkorf, sur la boutique de récompenses ING, la boutique en ligne d’Ajax, Ace & Tate, ou pour du matériel Steam en Europe entre environ mai et août 2026, vos coordonnées de livraison ont pu être exposées.

La fuite Ceva nous rappelle avec force qu’une seule compromission chez un prestataire peut se répercuter sur tout un écosystème de marques de confiance, transformant un incident logistique en une vaste exposition de données personnelles.