Serangan Siber Ceva Logistics Julai 2026: Apa Yang Berlaku, Siapa Yang Terjejas, dan Apa Data Yang Dicuri?

Ceva memberitahu pelanggannya yang terjejas pada 1 Ogos bahawa satu "pencerobohan siber" telah mengganggu operasi di tapak tersebut, menghentikan penghantaran keluar .

Syarikat dan Pelanggan Mana Yang Terjejas?

Tiada satu pun jenama yang terbabit mengalami pelanggaran secara langsung. Sebaliknya, kesemua mereka berkongsi Ceva sebagai rakan kongsi pemenuhan pesanan (fulfillment) pihak ketiga, menjadikan ini insiden data rantaian bekalan (atau pihak keempat) yang tulen. Pihak berkuasa perlindungan data Belanda (Autoriteit Persoonsgegevens) menerima laporan pelanggaran GDPR Perkara 33 daripada sekurang-kurangnya sepuluh organisasi berasingan . Senarai yang disahkan termasuk:

• Bol (peruncit dalam talian terbesar Belanda) — memberi amaran kepada pelanggan pada 5–6 Ogos bahawa nama, alamat, dan nombor telefon mungkin telah terdedah . Bol menggantung perkongsian data dengan Ceva selepas insiden itu .
• De Bijenkorf (gedung serba ada mewah Belanda) — menghantar amaran serupa pada 5 Ogos .
• Ajax (kelab bola sepak Amsterdam) — mengesahkan pada 6 Ogos bahawa kedai dalam taliannya yang dikendalikan oleh Ceva mungkin telah mendedahkan data pelanggan .
• ING (bank multinasional Belanda) — melaporkan "insiden siber di rakan kongsi logistik," menjejaskan pelanggan yang menebus mata ganjaran untuk barangan fizikal yang dihantar oleh Ceva .
• Ace & Tate (peruncit cermin mata) — memberitahu pelanggan bahawa data peribadi berkaitan bungkusan mungkin telah diakses .
• Pelanggan hardware Valve / Steam — Valve mula menghantar notifikasi pelanggaran pada 7 Ogos kepada pelanggan Eropah yang memesan Steam Deck, Steam Controller, atau Steam Machine, dan yang datanya masih disimpan oleh Ceva (biasanya pesanan dalam tempoh 90 hari sebelumnya) .

Apa Jenis Data Peribadi yang Dicuri?

Penyerang mendapatkan data penghantaran dan pesanan yang disimpan oleh Ceva untuk memenuhi penghantaran. Medan yang terdedah yang dilaporkan secara konsisten merentas beberapa saluran berita termasuk :

• Nama penuh
• Alamat fizikal (rumah dan penghantaran)
• Nombor telefon
• Alamat e-mel
• Butiran pesanan (jenis produk, nombor pesanan, harga)

Pelbagai sumber daripada TechCrunch, Bleeping Computer, dan The Register mengesahkan bahawa data kewangan — termasuk nombor kad kredit, butiran akaun bank, dan bukti kelayakan log masuk — tidak terjejas, kerana Ceva tidak pernah menyimpannya . Walau bagaimanapun, pendedahan data hubungan dan pesanan mewujudkan risiko tinggi serangan 'phishing' dan kejuruteraan sosial yang disasarkan, satu perkara yang diberi amaran secara jelas oleh Valve kepada pelanggannya .

Kesan Operasi: Lapan Gudang Tergendala

Serangan siber ini memberi kesan fizikal yang ketara. Ceva mengesahkan bahawa penghantaran dihentikan atau ditangguhkan dengan ketara di lapan gudang Eropah yang terjejas . Ceva menyatakan bahawa tiada sistem lain secara global terjejas dan semua operasi lain diteruskan tanpa gangguan . Sehingga pertengahan Ogos 2026, syarikat itu masih berusaha memulihkan operasi penuh di tapak yang terjejas . Beberapa penghantaran dibatalkan, dan garis masa penghantaran masih tidak menentu .

Respons Rasmi Ceva

Ceva Logistics memberikan kenyataan awam yang terhad, yang dikongsikan dengan beberapa saluran berita. Syarikat itu berkata :

"Kesan operasi adalah terhad kepada lapan gudang. Tiada sistem CEVA lain secara global terjejas, dan semua operasi lain diteruskan tanpa gangguan."

Ceva juga menyatakan ia tidak dapat menolak kemungkinan data peribadi telah terdedah dan siasatan masih dijalankan . Syarikat itu enggan mendedahkan butiran teknikal mengenai pencerobohan itu, dan setakat penerbitan ini, tiada kumpulan perisian tebusan (ransomware) yang mengaku bertanggungjawab .

Pihak Berkuasa yang Menyiasat

• Pihak Berkuasa Perlindungan Data Belanda (Autoriteit Persoonsgegevens) — menerima notifikasi pelanggaran Perkara 33 daripada sekurang-kurangnya sepuluh organisasi, termasuk semua syarikat yang terjejas yang disenaraikan di atas .
• Penguatkuasaan undang-undang negara — pelanggaran ini sedang disiasat oleh polis Belanda dan unit jenayah siber lain, walaupun mereka belum mengeluarkan kenyataan awam .
• Siasatan forensik dalaman — Ceva dan setiap syarikat yang terjejas menjalankan siasatan forensik mereka sendiri .

Perkara Penting untuk Pelanggan yang Terjejas

• Akaun kewangan dan kata laluan anda selamat — tiada data pembayaran atau bukti kelayakan log masuk diambil.
• Berwaspada terhadap percubaan 'phishing': Penipu mungkin menggunakan nama, alamat, dan sejarah pesanan sebenar anda untuk kelihatan sah. Valve secara jelas memberi amaran kepada pelanggan bahawa penyerang mungkin "menyebut alamat anda kembali kepada anda" dan meminta pembayaran atau log masuk — anggap semua permintaan seperti itu sebagai palsu .
• Jika anda membuat pesanan daripada Bol, De Bijenkorf, kedai ganjaran ING, kedai dalam talian Ajax, Ace & Tate, atau hardware Steam di Eropah antara sekitar Mei dan Ogos 2026, butiran hubungan penghantaran anda mungkin terdedah.

Pelanggaran Ceva ini adalah peringatan yang jelas bahawa satu kompromi vendor boleh merebak ke seluruh ekosistem jenama yang dipercayai, menjadikan kegagalan logistik sebagai peristiwa pendedahan data yang meluas.