Serangan Ceva Logistics Juli 2026: Kronologi, Brand Terdampak, dan Data yang Bocor

Sebuah serangan siber terhadap raksasa logistik global berubah menjadi kebocoran data berantai yang menyentuh raksasa ritel, bank besar, klub sepak bola, dan ribuan gamer Steam di seluruh Eropa. Berikut adalah rincian berdasarkan fakta dan sumber terpercaya tentang apa yang sebenarnya terjadi dalam insiden Ceva Logistics pada Juli 2026.

Kronologi Serangan: 29 Juli – 1 Agustus 2026

Pada 29 Juli 2026, seorang peretas yang tidak teridentifikasi berhasil mendapatkan akses tidak sah ke sistem pemrosesan pesanan di Ceva Logistics, sebuah perusahaan pengiriman dan logistik kontrak yang berkantor pusat di Prancis dan dimiliki oleh grup CMA CGM . Peretas tersebut mempertahankan akses hingga 1 Agustus, memengaruhi operasi logistik kontrak Ceva di Eropa — tepatnya, delapan gudang di seluruh benua .

Pada 1 Agustus, Ceva memberi tahu klien yang terdampak bahwa telah terjadi "penyusupan siber" yang mengganggu operasi di lokasi-lokasi tersebut, sehingga menghentikan pengiriman barang keluar .

Perusahaan dan Pelanggan Mana yang Terdampak?

Tidak ada satu pun merek yang disebutkan di bawah ini yang diretas secara langsung. Sebaliknya, mereka semua menggunakan Ceva sebagai mitra pemenuhan pesanan pihak ketiga, menjadikan ini sebagai insiden data rantai pasok klasik. Otoritas perlindungan data Belanda (Autoriteit Persoonsgegevens) menerima laporan pelanggaran Pasal 33 GDPR dari setidaknya sepuluh organisasi terpisah . Daftar yang terkonfirmasi meliputi:

• Bol (peritel online terbesar di Belanda) — memperingatkan pelanggan pada 5–6 Agustus bahwa nama, alamat, dan nomor telepon mungkin telah terekspos . Bol menghentikan sementara pembagian data dengan Ceva setelah insiden ini .
• De Bijenkorf (department store mewah Belanda) — mengirim peringatan serupa pada 5 Agustus .
• Ajax (klub sepak bola Amsterdam) — mengonfirmasi pada 6 Agustus bahwa toko online-nya yang ditangani oleh Ceva mungkin telah membocorkan data pelanggan .
• ING (bank multinasional Belanda) — melaporkan "insiden siber di mitra logistik", yang memengaruhi nasabah yang menukarkan poin loyalitas untuk barang fisik yang dikirim oleh Ceva .
• Ace & Tate (peritel kacamata) — memberi tahu pelanggan bahwa data pribadi terkait paket mungkin telah diakses .
• Valve / Pelanggan hardware Steam — Valve mulai mengirimkan notifikasi pelanggaran pada 7 Agustus kepada pelanggan Eropa yang memesan Steam Deck, Steam Controller, atau Steam Machine, dan yang datanya masih disimpan oleh Ceva (biasanya pesanan dalam 90 hari terakhir) .

Jenis Data Pribadi yang Dicuri

Peretas memperoleh data pengiriman dan pesanan yang disimpan Ceva untuk memenuhi pengiriman. Bidang data yang terekspos dan dilaporkan secara konsisten oleh berbagai media meliputi :

• Nama lengkap
• Alamat fisik (rumah dan pengiriman)
• Nomor telepon
• Alamat email
• Detail pesanan (jenis produk, nomor pesanan, harga)

Banyak sumber dari TechCrunch, Bleeping Computer, dan The Register mengonfirmasi bahwa data finansial — termasuk nomor kartu kredit, detail rekening bank, dan kredensial login — tidak ikut bocor karena Ceva tidak pernah menyimpannya . Namun, tereksposnya data kontak dan pesanan meningkatkan risiko serangan phishing dan rekayasa sosial yang ditargetkan — sebuah poin yang secara eksplisit diperingatkan oleh Valve kepada pelanggannya .

Dampak Operasional: Delapan Gudang Terganggu

Serangan siber ini memiliki dampak fisik yang nyata. Ceva mengonfirmasi bahwa pengiriman di delapan gudang Eropa yang terkena dampak dihentikan atau tertunda secara signifikan . Ceva menyatakan bahwa tidak ada sistem lain secara global yang terpengaruh dan semua operasi lainnya berjalan tanpa gangguan . Hingga pertengahan Agustus 2026, perusahaan masih berusaha memulihkan operasi penuh di lokasi yang terdampak . Beberapa pengiriman terpaksa dibatalkan, dan jadwal pengiriman masih belum pasti .

Tanggapan Resmi Ceva

Ceva Logistics memberikan pernyataan publik terbatas, yang dibagikan ke berbagai media. Perusahaan tersebut mengatakan :

"Dampak operasional terbatas pada delapan gudang. Tidak ada sistem CEVA lain secara global yang terpengaruh, dan semua operasi lainnya berjalan tanpa gangguan."

Ceva juga menyatakan tidak dapat mengesampingkan kemungkinan bahwa data pribadi telah terekspos dan penyelidikan masih berlangsung . Perusahaan menolak mengungkapkan detail teknis tentang penyusupan tersebut, dan hingga berita ini diturunkan, belum ada kelompok ransomware yang mengaku bertanggung jawab .

Otoritas yang Menyelidiki

• Otoritas Perlindungan Data Belanda (Autoriteit Persoonsgegevens) — menerima pemberitahuan pelanggaran Pasal 33 dari setidaknya sepuluh organisasi, termasuk semua perusahaan terdampak yang tercantum di atas .
• Penegak hukum nasional — pelanggaran ini sedang diselidiki oleh polisi Belanda dan unit kejahatan siber lainnya, meskipun mereka belum mengeluarkan pernyataan publik .
• Forensik internal — Ceva dan setiap perusahaan yang terdampak melakukan investigasi forensik mereka sendiri .

Poin Penting bagi Pelanggan yang Terdampak

• Akun finansial dan kata sandi Anda aman — tidak ada data pembayaran atau kredensial login yang dicuri.
• Waspadalah terhadap upaya phishing: Penipu dapat menggunakan nama, alamat, dan riwayat pesanan asli Anda untuk tampak meyakinkan. Valve secara eksplisit memperingatkan pelanggan bahwa penyerang mungkin "menyebutkan alamat Anda kembali kepada Anda" dan meminta pembayaran atau login — anggap semua permintaan semacam itu palsu .
• Jika Anda memesan dari Bol, De Bijenkorf, toko hadiah ING, toko online Ajax, Ace & Tate, atau hardware Steam di Eropa antara sekitar Mei hingga Agustus 2026, detail kontak pengiriman Anda mungkin telah terekspos.

Pelanggaran Ceva adalah pengingat nyata bahwa kompromi pada satu vendor dapat bergema ke seluruh ekosistem merek tepercaya, mengubah kegagalan logistik menjadi peristiwa paparan data yang meluas.