物流大手セヴァへのサイバー攻撃、欧州全域の有名企業・銀行・サッカークラブ・ゲーマーにデータ流出が拡大

影響を受けた企業と顧客

影響を受けたブランドはいずれも直接の侵害を受けたわけではない。全社がセヴァをサードパーティのフルフィルメントパートナーとして共有していたため、これは典型的なサプライチェーン（ないしは「フォースパーティ」）データインシデントである。オランダデータ保護機関（Autoriteit Persoonsgegevens）には、少なくとも10の別々の組織からGDPR第33条に基づく事故報告が提出されている 。確認されている企業は以下の通り。

• Bol（オランダ最大のオンライン小売）：8月5日～6日にかけて、氏名、住所、電話番号が流出した可能性があると顧客に通知 。事後、セヴァとのデータ共有を停止した 。
• デ・バイエンコルフ（De Bijenkorf、オランダの高級百貨店）：8月5日に同様の警告を発出 。
• アヤックス（Ajax、アムステルダムのサッカークラブ）：8月6日、セヴァが運営するオンラインショップを通じて顧客データが流出した可能性があると発表 。
• ING（オランダの多国籍銀行）：「物流パートナーにおけるサイバーインシデント」として、同社のポイントプログラムで物理商品を購入しセヴァが発送した顧客に影響があったと報告 。
• Ace & Tate（アイウェア小売）：荷物関連の個人データが不正アクセスされた可能性があると顧客に通知 。
• Valve / Steam ハードウェア顧客：Valveは8月7日から、欧州でSteam Deck、Steam Controller、Steam Machineを購入し、なおかつセヴァがデータを保持していた（通常、注文から90日以内）欧州の顧客に対し、漏洩通知を開始した 。

流出した個人データの種類

攻撃者は、セヴァが出荷業務のために保持していた配送データと注文データを取得した。複数の報道機関で一貫して報告されている流出項目は以下の通り ：

• 氏名
• 住所（自宅・配送先）
• 電話番号
• メールアドレス
• 注文詳細（商品の種類、注文番号、価格）

TechCrunch、Bleeping Computer、The Registerなど複数の情報源は、クレジットカード番号、銀行口座情報、ログイン認証情報といった金融データは流出していないと確認している。これはセヴァがそれらを保存していなかったためである 。しかし、連絡先と注文データの流出は、標的型フィッシングやソーシャルエンジニアリング攻撃のリスクを著しく高める。Valveも顧客に対してこの点を明示的に警告している 。

業務への影響：8つの倉庫が混乱

このサイバー攻撃は物理的な影響を及ぼした。セヴァは、影響を受けた欧州8か所の倉庫で出荷が停止または大幅に遅延したことを認めている 。セヴァは、全世界の他のシステムには影響がなく、他のすべての業務は中断なく継続していると述べている 。2026年8月中旬時点でも、同社は影響を受けた拠点の完全な業務再開に向けて作業中であった 。一部の出荷はキャンセルされ、配送スケジュールは不確かなままである 。

セヴァ側の公式対応

セヴァ・ロジスティクスは、複数の報道機関に共有した限定的な声明を発表した。同社は次のように述べている ：

「業務への影響は8つの倉庫に限定されています。世界中の他のCEVAシステムには影響はなく、他のすべての業務は中断なく継続しています。」

セヴァはまた、個人データが流出した可能性を否定できないとしており、調査は継続中であると述べた 。同社は侵入に関する技術的詳細の開示を拒否しており、現時点でランサムウェアグループによる犯行声明も確認されていない 。

捜査当局

• オランダデータ保護機関（Autoriteit Persoonsgegevens）：上記の全企業を含む少なくとも10の組織から、GDPR第33条に基づく事故報告を受けている 。
• 各国の法執行機関：オランダ警察などのサイバー犯罪対策ユニットが捜査を行っているが、公的な声明は発表していない 。
• 内部フォレンジック：セヴァおよび影響を受けた各企業が、それぞれ内部調査を実施している 。

影響を受けた顧客への重要ポイント

-金融情報やパスワードは安全です：支払いデータやログイン認証情報は流出していません。
-フィッシングに警戒を：攻撃者は、あなたの実名、住所、注文履歴を悪用して、正規の連絡を装う可能性があります。Valveは「住所を引用して連絡し、支払いやログインを求めてくるすべての要求を偽物として扱う」よう警告しています 。

• 上記の期間中に該当企業で注文を行った場合、配送先の連絡先情報が流出した可能性があります。

今回のセヴァ事件は、単一のベンダー侵害が、信頼できるブランドのエコシステム全体に波及し、物流上の障害が広範なデータ流出に発展することを示す痛烈な教訓である。