Attacco informatico a Ceva Logistics di luglio 2026: cosa è successo, chi è stato colpito e quali dati sono stati rubati

Il 1° agosto, Ceva ha notificato ai propri clienti colpiti una "intrusione informatica" che aveva interrotto le operazioni in quei siti, bloccando le spedizioni in uscita .

Quali aziende e clienti sono stati colpiti?

Nessuno dei marchi coinvolti ha subito una violazione diretta. Tutti condividevano Ceva come partner logistico di terze parti, rendendo questo un classico incidente di violazione della supply chain (o di "quarta parte"). L'autorità olandese per la protezione dei dati (Autoriteit Persoonsgegevens) ha ricevuto notifiche di violazione ai sensi dell'Articolo 33 del GDPR da almeno dieci organizzazioni diverse . L'elenco confermato include:

• Bol (la più grande piattaforma di e-commerce olandese) — ha avvertito i clienti il 5-6 agosto che nomi, indirizzi e numeri di telefono potevano essere stati esposti . Bol ha sospeso la condivisione dei dati con Ceva dopo l'incidente .
• De Bijenkorf (grandi magazzini di lusso olandesi) — ha inviato avvisi simili il 5 agosto .
• Ajax (club calcistico di Amsterdam) — ha confermato il 6 agosto che il suo negozio online gestito da Ceva potrebbe aver esposto i dati dei clienti .
• ING (banca multinazionale olandese) — ha segnalato un "incidente informatico presso un partner logistico", colpendo i clienti che avevano riscattato punti fedeltà per beni fisici spediti da Ceva .
• Ace & Tate (rivenditore di occhiali) — ha notificato ai clienti che i dati personali relativi ai pacchi potrebbero essere stati compromessi .
• Clienti hardware Valve / Steam — Valve ha iniziato a inviare notifiche di violazione dal 7 agosto ai clienti europei che avevano ordinato un Steam Deck, un Steam Controller o una Steam Machine, e i cui dati erano ancora in possesso di Ceva (tipicamente ordini entro i 90 giorni precedenti) .

Quali tipi di dati personali sono stati rubati?

Gli aggressori hanno ottenuto i dati di consegna e di ordine che Ceva conservava per evadere le spedizioni. I campi esposti, segnalati in modo coerente da più testate giornalistiche, includono :

• Nomi completi
• Indirizzi fisici (casa e spedizione)
• Numeri di telefono
• Indirizzi email
• Dettagli dell'ordine (tipo di prodotto, numero d'ordine, prezzo)

Fonti multiple di TechCrunch, Bleeping Computer e The Register confermano che i dati finanziari — inclusi numeri di carte di credito, dettagli di conti bancari e credenziali di accesso — non sono stati compromessi, perché Ceva non li ha mai memorizzati . Tuttavia, l'esposizione dei dati di contatto e dell'ordine crea un rischio elevato di attacchi di phishing mirati e ingegneria sociale, un punto che Valve ha esplicitamente sottolineato ai propri clienti .

Impatto operativo: otto magazzini paralizzati

L'attacco informatico ha avuto un impatto fisico tangibile. Ceva ha confermato che le spedizioni sono state bloccate o notevolmente ritardate negli otto magazzini europei colpiti . Ceva ha dichiarato che nessun altro sistema a livello globale è stato interessato e che tutte le altre operazioni sono continuate senza interruzioni . A metà agosto 2026, l'azienda stava ancora lavorando per ripristinare la piena operatività nei siti colpiti . Alcune spedizioni sono state cancellate e le tempistiche di consegna rimanevano incerte .

La risposta ufficiale di Ceva

Ceva Logistics ha rilasciato una dichiarazione pubblica limitata, condivisa con diverse testate. L'azienda ha dichiarato :

"L'impatto operativo è limitato a otto magazzini. Nessun altro sistema CEVA a livello globale è stato interessato e tutte le altre operazioni continuano senza interruzioni."

Ceva ha anche affermato di non poter escludere che i dati personali siano stati esposti e che l'indagine era in corso . L'azienda ha rifiutato di divulgare dettagli tecnici sull'intrusione e, al momento della pubblicazione, nessun gruppo ransomware ne aveva rivendicato la responsabilità .

Autorità investigative

• Autorità olandese per la protezione dei dati (Autoriteit Persoonsgegevens) — ha ricevuto notifiche di violazione ai sensi dell'Articolo 33 da almeno dieci organizzazioni, tra cui tutte le aziende colpite sopra elencate .
• Forze dell'ordine nazionali — la violazione è sotto indagine da parte della polizia olandese e di altre unità di cybercrimine, sebbene non abbiano rilasciato dichiarazioni pubbliche .
• Indagini forensi interne — Ceva e ogni azienda colpita stanno conducendo le proprie indagini forensi .

Cosa fare se sei stato colpito

• I tuoi conti finanziari e le tue password sono al sicuro — non sono stati prelevati dati di pagamento o credenziali di accesso.
• Fai attenzione ai tentativi di phishing: i truffatori potrebbero usare il tuo vero nome, indirizzo e cronologia ordini per sembrare legittimi. Valve ha avvertito esplicitamente i clienti che gli aggressori potrebbero "citare il tuo indirizzo per dimostrare di essere genuini" e chiederti un pagamento o un login — tratta tutte queste richieste come false .
• Se hai effettuato un ordine da Bol, De Bijenkorf, dal negozio premi di ING, dallo shop online di Ajax, da Ace & Tate o da hardware Steam in Europa tra circa maggio e agosto 2026, i tuoi dati di contatto per la consegna potrebbero essere stati esposti.

La violazione di Ceva è un chiaro esempio di come un singolo fornitore compromesso possa avere ripercussioni a cascata su un intero ecosistema di marchi fidati, trasformando un fallimento logistico in un evento di esposizione diffusa dei dati.