Ceva Logistics साइबर हमला 2026: कैसे एक लॉजिस्टिक्स कंपनी के हैक ने यूरोप के दिग्गज ब्रांड्स को चपेट में ले लिया

एक सिंगल साइबर अटैक ने पूरी सप्लाई चेन को हिलाकर रख दिया। Ceva Logistics पर हुए इस हमले का असर Valve (Steam हार्डवेयर), Bol, De Bijenkorf, Ajax, ING और Ace & Tate जैसे दिग्गज ब्रांड्स पर पड़ा। यहाँ पूरी कहानी है, तथ्यों और स्रोतों के साथ।

हमला कब और कैसे हुआ?

29 जुलाई 2026 को एक अज्ञात हैकर ने Ceva Logistics के ऑर्डर-प्रोसेसिंग सिस्टम में अनधिकृत पहुँच बना ली । Ceva Logistics एक फ्रांस-मुख्यालय वाली लॉजिस्टिक्स दिग्गज है, जो CMA CGM ग्रुप की सहायक कंपनी है। यह घुसपैठ 1 अगस्त तक जारी रही, जिससे यूरोप में कंपनी के आठ कॉन्ट्रैक्ट लॉजिस्टिक्स वेयरहाउस प्रभावित हुए ।

Ceva ने 1 अगस्त को अपने प्रभावित ग्राहकों को सूचित किया कि एक "साइबर इंट्रूज़न" के कारण इन स्थानों पर संचालन ठप हो गया है और माल की शिपिंग रोक दी गई है ।

किन कंपनियों और ग्राहकों पर असर पड़ा?

यह ध्यान रखना ज़रूरी है कि इनमें से किसी भी ब्रांड पर सीधा हमला नहीं हुआ। सभी ने Ceva को अपने थर्ड-पार्टी फुलफिलमेंट पार्टनर के रूप में इस्तेमाल किया था, जो एक क्लासिक सप्लाई-चेन (या फोर्थ-पार्टी) डेटा इंसिडेंट है। डच डेटा प्रोटेक्शन अथॉरिटी (Autoriteit Persoonsgegevens) को कम से कम दस अलग-अलग संगठनों से GDPR अनुच्छेद 33 के तहत उल्लंघन रिपोर्ट मिली हैं ।

पुष्टि की गई कंपनियों की सूची इस प्रकार है:

• Bol (नीदरलैंड का सबसे बड़ा ऑनलाइन रिटेलर) — ने 5-6 अगस्त को ग्राहकों को चेतावनी दी कि उनके नाम, पते और फोन नंबर लीक हो सकते हैं । घटना के बाद Bol ने Ceva के साथ डेटा शेयरिंग रोक दी ।
• De Bijenkorf (डच लक्ज़री डिपार्टमेंट स्टोर) — ने 5 अगस्त को इसी तरह की चेतावनी भेजी ।
• Ajax (एम्स्टर्डम फुटबॉल क्लब) — ने 6 अगस्त को पुष्टि की कि Ceva द्वारा संचालित उनके ऑनलाइन शॉप के ग्राहक डेटा के लीक होने की संभावना है ।
• ING (डच बहुराष्ट्रीय बैंक) — ने रिपोर्ट किया "एक लॉजिस्टिक्स पार्टनर पर साइबर घटना", जिसका असर उन ग्राहकों पर पड़ा जिन्होंने Ceva द्वारा शिप किए गए रिवॉर्ड पॉइंट्स रिडीम किए थे ।
• Ace & Tate (आईवियर रिटेलर) — ने ग्राहकों को सूचित किया कि पार्सल से संबंधित व्यक्तिगत डेटा एक्सेस किया जा सकता है ।
• Valve / Steam हार्डवेयर ग्राहक — Valve ने 7 अगस्त से यूरोपीय ग्राहकों को ब्रीच नोटिफिकेशन भेजना शुरू किया, जिन्होंने Steam Deck, Steam Controller या Steam Machine का ऑर्डर दिया था और जिनका डेटा अभी भी Ceva के पास था (आमतौर पर पिछले 90 दिनों के ऑर्डर) ।

कौन सा डेटा चुराया गया?

हमलावरों ने डिलीवरी और ऑर्डर डेटा प्राप्त किया जो Ceva शिपमेंट पूरा करने के लिए रखता था। कई समाचार आउटलेट्स के अनुसार, उजागर किए गए फ़ील्ड में शामिल हैं :

• पूरा नाम (Full names)
• भौतिक पते (घर और शिपिंग)
• फोन नंबर
• ईमेल पते
• ऑर्डर का विवरण (उत्पाद प्रकार, ऑर्डर नंबर, कीमत)

TechCrunch, Bleeping Computer और The Register जैसे स्रोतों से पुष्टि होती है कि वित्तीय डेटा — जैसे क्रेडिट कार्ड नंबर, बैंक खाता विवरण और लॉगिन क्रेडेंशियल — चुराया नहीं गया, क्योंकि Ceva ने उन्हें कभी स्टोर नहीं किया था । हालांकि, संपर्क और ऑर्डर डेटा के लीक होने से लक्षित फिशिंग और सोशल इंजीनियरिंग हमलों का खतरा बढ़ जाता है, जिसके बारे में Valve ने अपने ग्राहकों को स्पष्ट रूप से आगाह किया ।

संचालन पर प्रभाव: आठ वेयरहाउस ठप

साइबर हमले का सीधा भौतिक प्रभाव पड़ा। Ceva ने पुष्टि की कि आठ प्रभावित यूरोपीय वेयरहाउस से शिपमेंट रोक दिए गए या उनमें काफी देरी हुई । Ceva ने कहा कि वैश्विक स्तर पर कोई अन्य सिस्टम प्रभावित नहीं हुआ और अन्य सभी संचालन बिना किसी रुकावट के जारी रहे । अगस्त 2026 के मध्य तक, कंपनी प्रभावित स्थलों पर पूर्ण संचालन बहाल करने का प्रयास कर रही थी । कुछ शिपमेंट रद्द कर दिए गए और डिलीवरी का समय अनिश्चित बना रहा ।

Ceva की आधिकारिक प्रतिक्रिया

Ceva Logistics ने एक सीमित सार्वजनिक बयान जारी किया, जिसे उन्होंने कई समाचार आउटलेट्स के साथ साझा किया। कंपनी ने कहा :

"संचालन प्रभाव आठ वेयरहाउस तक सीमित है। वैश्विक स्तर पर कोई अन्य CEVA सिस्टम प्रभावित नहीं हुआ है, और अन्य सभी संचालन बिना किसी रुकावट के जारी हैं।"

Ceva ने यह भी कहा कि वह इस बात से इनकार नहीं कर सकता कि व्यक्तिगत डेटा उजागर हुआ है और जांच जारी है । कंपनी ने घुसपैठ के तकनीकी विवरण का खुलासा करने से इनकार कर दिया और प्रकाशन के समय तक किसी रैनसमवेयर समूह ने इसकी जिम्मेदारी नहीं ली थी ।

जाँच कर रहे अधिकारी

• डच डेटा प्रोटेक्शन अथॉरिटी (Autoriteit Persoonsgegevens) — को ऊपर सूचीबद्ध सभी प्रभावित कंपनियों सहित कम से कम दस संगठनों से अनुच्छेद 33 उल्लंघन रिपोर्ट प्राप्त हुई हैं ।
• राष्ट्रीय कानून प्रवर्तन — इस ब्रीच की जांच डच पुलिस और अन्य साइबर अपराध इकाइयों द्वारा की जा रही है, हालांकि उन्होंने कोई सार्वजनिक बयान जारी नहीं किया है ।
• आंतरिक फोरेंसिक जांच — Ceva और प्रत्येक प्रभावित कंपनी अपनी-अपनी फोरेंसिक जांच कर रही है ।

प्रभावित ग्राहकों के लिए मुख्य बातें

• आपके वित्तीय खाते और पासवर्ड सुरक्षित हैं — कोई भुगतान डेटा या लॉगिन क्रेडेंशियल नहीं लिया गया।
• फिशिंग प्रयासों से सावधान रहें: स्कैमर्स आपका असली नाम, पता और ऑर्डर हिस्ट्री का उपयोग करके खुद को वैध साबित कर सकते हैं। Valve ने ग्राहकों को स्पष्ट रूप से चेतावनी दी कि हमलावर "आपका पता बताकर भरोसा जीत सकते हैं" और भुगतान या लॉगिन मांग सकते हैं — ऐसे सभी अनुरोधों को फर्जी समझें ।
• यदि आपने मई से अगस्त 2026 के बीच Bol, De Bijenkorf, ING के रिवॉर्ड्स शॉप, Ajax के ऑनलाइन स्टोर, Ace & Tate, या Steam हार्डवेयर से यूरोप में ऑर्डर किया था, तो आपकी डिलीवरी संपर्क जानकारी लीक हो सकती है।

Ceva ब्रीच एक स्पष्ट अनुस्मारक है कि एक विक्रेता से समझौता पूरे पारिस्थितिकी तंत्र में फैल सकता है, एक लॉजिस्टिक्स विफलता को एक व्यापक डेटा एक्सपोज़र घटना में बदल सकता है।