2026년 7월 Ceva Logistics 사이버 공격: 무슨 일이 일어났고, 어떤 기업이 피해를 입었으며, 어떤 정보가 유출됐나

글로벌 물류 대기업 하나에 대한 사이버 공격이 유럽 전역의 소매 대기업, 은행, 축구 클럽, 수천 명의 게이머에게까지 연쇄적인 데이터 유출 사고로 번졌습니다. 2026년 7월 발생한 Ceva Logistics 사건에 대해 출처에 기반해 명확히 정리했습니다.

공격 개요: 2026년 7월 29일 ~ 8월 1일

2026년 7월 29일, 신원 미상의 공격자가 CMA CGM 그룹 산하 프랑스 본사의 화물 및 계약 물류 기업인 Ceva Logistics의 주문 처리 시스템에 무단 침입했습니다 . 침입은 8월 1일까지 지속되었으며, 유럽 계약 물류 사업, 특히 유럽 대륙 전역의 8개 창고에 영향을 미쳤습니다 .

Ceva는 8월 1일에 영향을 받은 고객들에게 "사이버 침입"으로 인해 해당 시설의 운영이 중단되고 출고가 중단되었다고 통보했습니다 .

어떤 기업과 고객이 영향을 받았나?

해당 브랜드 중 어느 곳도 직접적인 침해를 당하지 않았습니다. 대신, 모든 기업이 Ceva를 제3자 물류 파트너로 공유하고 있었기 때문에, 이는 전형적인 공급망(또는 4자) 데이터 사고에 해당합니다. 네덜란드 개인정보보호 당국(Autoriteit Persoonsgegevens)은 최소 10개 기관으로부터 GDPR 제33조 침해 신고를 접수했습니다 . 확인된 목록은 다음과 같습니다.

• Bol (네덜란드 최대 온라인 소매업체) — 8월 5~6일에 걸쳐 고객들에게 이름, 주소, 전화번호가 유출되었을 수 있다고 경고했습니다 . Bol은 사건 이후 Ceva와의 데이터 공유를 중단했습니다 .
• De Bijenkorf (네덜란드 고급 백화점) — 8월 5일에 유사한 경고를 보냈습니다 .
• Ajax (암스테르담 축구 클럽) — 8월 6일, Ceva가 처리하는 온라인 샵에서 고객 데이터가 유출되었을 수 있다고 확인했습니다 .
• ING (네덜란드 다국적 은행) — "물류 파트너의 사이버 사고"를 보고했으며, Ceva가 배송하는 포인트 적립 상품을 수령한 고객에게 영향을 미쳤습니다 .
• Ace & Tate (안경 소매업체) — 택배 관련 개인 데이터에 접근되었을 수 있다고 고객들에게 통보했습니다 .
• Valve / Steam 하드웨어 고객 — Valve는 8월 7일부터 유럽 고객 중 Steam Deck, Steam Controller, Steam Machine을 주문했거나 Ceva에 데이터가 보관된(일반적으로 주문 후 90일 이내) 고객에게 침해 통지를 보내기 시작했습니다 .

어떤 유형의 개인 데이터가 도난당했나?

공격자들은 배송을 이행하기 위해 Ceva가 보유한 배송 및 주문 데이터를 획득했습니다. 여러 뉴스 매체에서 일관되게 보도된 노출된 항목은 다음과 같습니다

• 성명
• 실제 주소 (자택 및 배송지)
• 전화번호
• 이메일 주소
• 주문 세부 정보 (제품 유형, 주문 번호, 가격)

TechCrunch, Bleeping Computer, The Register 등 여러 소식통은 Ceva가 신용카드 번호, 은행 계좌 정보, 로그인 자격 증명 등의 금융 데이터를 저장하지 않았기 때문에 이들이 유출되지 않았다고 확인했습니다 . 그러나 연락처 및 주문 데이터의 노출은 표적 피싱 및 사회공학적 공격의 위험을 높이며, Valve는 이 점을 고객들에게 명시적으로 경고했습니다 .

운영상의 영향: 8개 창고 업무 중단

이 사이버 공격은 실질적인 물리적 영향을 미쳤습니다. Ceva는 영향을 받은 유럽 8개 창고에서 출하가 중단되거나 상당히 지연되었다고 확인했습니다 . Ceva는 다른 글로벌 시스템은 영향을 받지 않았으며 다른 모든 운영은 중단 없이 계속된다고 밝혔습니다 . 2026년 8월 중순 기준으로, 회사는 여전히 피해를 입은 현장의 완전한 운영 복구를 위해 노력 중이었습니다 . 일부 출하 건은 취소되었고 배송 일정은 불확실한 상태였습니다 .

Ceva의 공식 대응

Ceva Logistics는 여러 언론 매체와 공유한 제한된 공식 입장을 발표했습니다. 회사는 다음과 같이 밝혔습니다

"운영상의 영향은 8개 창고에 한정됩니다. 다른 CEVA 시스템은 전 세계적으로 영향을 받지 않았으며, 다른 모든 운영은 중단 없이 계속됩니다."

Ceva는 또한 개인 데이터가 노출되었을 가능성을 배제할 수 없으며 조사가 진행 중이라고 밝혔습니다 . 회사는 침입에 대한 기술적 세부 사항을 공개하지 않았으며, 현재까지 이번 공격을 주장하는 랜섬웨어 조직은 나타나지 않았습니다 .

수사 기관

• 네덜란드 개인정보보호 당국(Autoriteit Persoonsgegevens) — 위에 나열된 모든 피해 기업을 포함하여 최소 10개 기관으로부터 GDPR 제33조 침해 신고를 접수했습니다 .
• 국가 수사 기관 — 네덜란드 경찰 및 기타 사이버 범죄 수사대가 이 침해 사고를 조사 중이지만 공개적인 성명은 발표하지 않았습니다 .
• 내부 포렌식 — Ceva와 각 피해 기업은 자체적인 포렌식 조사를 진행 중입니다 .

피해 고객을 위한 핵심 요약

• 금융 계좌와 비밀번호는 안전합니다 — 결제 데이터나 로그인 자격 증명은 유출되지 않았습니다.
• 피싱 시도에 주의하세요: 사기꾼이 귀하의 실제 이름, 주소, 주문 내역을 사용하여 합법적인 것처럼 위장할 수 있습니다. Valve는 공격자가 "주소를 인용하며" 결제나 로그인을 요구할 수 있다고 경고하며, 이러한 모든 요청을 가짜로 간주하라고 당부했습니다 .
• 2026년 5월에서 8월 사이에 Bol, De Bijenkorf, ING 리워드 샵, Ajax 온라인 샵, Ace & Tate 또는 유럽 내 Steam 하드웨어에서 주문한 경우, 배송 연락처 정보가 유출되었을 수 있습니다.

Ceva 침해 사고는 단 한 번의 공급업체 침해가 어떻게 신뢰받는 브랜드의 전체 생태계에 파문을 일으키며, 물류 실패를 광범위한 데이터 노출 사건으로 전환시킬 수 있는지를 생생하게 보여줍니다.