פרץ הסייבר ב-Ceva Logistics ביולי 2026: מתקפה על שרשרת האספקה שפגעה ב-Steam, ING, Bol, Ajax ועוד

Ceva הודיעה ללקוחותיה שנפגעו ב-1 באוגוסט על "חדירת סייבר" ששיבשה את הפעילות באתרים אלה, תוך עצירת משלוחים יוצאים .

אילו חברות ולקוחות נפגעו?

אף אחד מהמותגים המעורבים לא נפרץ ישירות. במקום זאת, כולם חלקו את Ceva כשותפה לוגיסטית חיצונית, מה שהופך את האירוע למתקפה קלאסית על שרשרת האספקה. הרשות ההולנדית להגנת מידע (Autoriteit Persoonsgegevens) קיבלה דיווחי הפרה לפי סעיף 33 של ה-GDPR מלפחות עשרה ארגונים נפרדים . הרשימה המאומתת כוללת:

• Bol (הקמעונאית המקוונת הגדולה בהולנד) – הזהירה לקוחות ב-5–6 באוגוסט כי שמות, כתובות ומספרי טלפון נחשפו ככל הנראה . Bol השעתה את שיתוף הנתונים עם Ceva לאחר האירוע .
• De Bijenkorf (רשת כלבו יוקרתית הולנדית) – שלחה אזהרות דומות ב-5 באוגוסט .
• Ajax (מועדון הכדורגל של אמסטרדם) – אישר ב-6 באוגוסט כי ייתכן שפרטי לקוחות מחנות המקוונת שלו, המנוהלת על ידי Ceva, נחשפו .
• ING (בנק רב-לאומי הולנדי) – דיווח על "אירוע סייבר אצל שותף לוגיסטי", ופגע בלקוחות שמימשו נקודות נאמנות תמורת מוצרים פיזיים שנשלחו על ידי Ceva .
• Ace & Tate (רשת משקפי ראייה) – הודיעה ללקוחות כי ייתכן שפרטים אישיים הקשורים לחבילות נגנבו .
• Valve / לקוחות חומרת Steam – Valve שלחה הודעות פריצה החל מ-7 באוגוסט ללקוחות אירופאים שהזמינו Steam Deck, Steam Controller או Steam Machine, ושהנתונים שלהם עדיין הוחזקו על ידי Ceva (בדרך כלל הזמנות מ-90 הימים האחרונים) .

אילו סוגי מידע אישי נגנבו?

התוקפים השיגו נתוני משלוח והזמנות ש-Ceva החזיקה לצורך ביצוע המשלוחים. השדות שנחשפו, על פי דיווחים עקביים מרובים, כוללים :

• שמות מלאים
• כתובות פיזיות (בית ומשלוח)
• מספרי טלפון
• כתובות דוא"ל
• פרטי הזמנה (סוג מוצר, מספר הזמנה, מחיר)

מקורות רבים, בהם TechCrunch, Bleeping Computer ו-The Register, מאשרים כי מידע פיננסי – לרבות מספרי כרטיסי אשראי, פרטי חשבון בנק ופרטי כניסה – לא נפגע, משום ש-Ceva לא אחסנה אותו מעולם . עם זאת, חשיפת פרטי הקשר ונתוני ההזמנה יוצרת סיכון מוגבר למתקפות פישינג ממוקדות והתחזות, נקודה עליה Valve הזהירה במפורש את לקוחותיה .

השפעה תפעולית: שמונה מחסנים משובשים

למתקפת הסייבר הייתה השפעה פיזית מוחשית. Ceva אישרה שהמשלוחים הופסקו או התעכבו משמעותית בשמונה המחסנים האירופיים שנפגעו . Ceva הצהירה כי אף מערכות אחרות ברחבי העולם לא נפגעו, וכל שאר הפעילויות נמשכו ללא הפרעה . נכון לאמצע אוגוסט 2026, החברה עדיין עבדה כדי לשחזר את הפעילות המלאה באתרים הפגועים . משלוחים מסוימים בוטלו, ולוחות הזמנים למסירה נותרו לא ברורים .

תגובתה הרשמית של Ceva

Ceva Logistics מסרה הצהרה פומבית מוגבלת, אותה חלקה עם מספר כלי תקשורת. החברה אמרה :

"ההשפעה התפעולית מוגבלת לשמונה מחסנים. אף מערכת Ceva אחרת בעולם לא הושפעה, וכל שאר התפעול נמשך ללא הפרעה."

Ceva גם הצהירה כי אינה יכולה לשלול שמידע אישי נחשף, וכי החקירה נמשכת . החברה סירבה לחשוף פרטים טכניים על החדירה, ונכון למועד הפרסום, אף קבוצת כופרה לא לקחה אחריות .

הרשויות החוקרות

• הרשות ההולנדית להגנת מידע (Autoriteit Persoonsgegevens) – קיבלה דיווחי הפרה לפי סעיף 33 לפחות מעשרה ארגונים, כולל כל החברות המושפעות המפורטות לעיל .
• רשויות אכיפת חוק לאומיות – הפריצה נחקרת על ידי משטרת הולנד ויחידות סייבר נוספות, אם כי פורסמו הצהרות פומביות מוגבלות .
• חקירות פורנזיות פנימיות – Ceva וכל חברה מושפעת מנהלות חקירות פורנזיות משלהן .

נקודות עיקריות למי שנפגע

• חשבונות הבנק והסיסמאות שלכם בטוחים – לא נגנבו פרטי תשלום או התחברות.
• היו ערניים לניסיונות פישינג: נוכלים עשויים להשתמש בשמכם האמיתי, בכתובתכם ובהיסטוריית ההזמנות שלכם כדי להיראות לגיטימיים. Valve הזהירה במפורש לקוחות שיתכן שהתוקפים "יצטטו את כתובתכם חזרה אליכם" כדי לבקש תשלום או התחברות – התייחסו לכל בקשה כזו כמזויפת .
• אם הזמנתם מ-Bol, De Bijenkorf, חנות ה-ING Rewards, החנות המקוונת של Ajax, Ace & Tate או חומרת Steam באירופה בין מאי לאוגוסט 2026 בקירוב, ייתכן שפרטי הקשר שלכם למשלוח נחשפו.

פרשת Ceva היא תזכורת בולטת לכך שפגיעה אצל ספק בודד עלולה להתגלגל אל מערכת אקולוגית שלמה של מותגים מהימנים, ולהפוך כשל לוגיסטי לאירוע חשיפת מידע נרחב.