Ceva Logistics-datalek juli 2026: cyberaanval treft Bol, ING, Ajax, Steam en meer via gedeelde logistieke partner

Ceva stelde zijn getroffen klanten op 1 augustus op de hoogte van een 'cyberinbraak' die de operaties in die magazijnen verstoorde en uitgaande zendingen stillegde .

Welke bedrijven en klanten zijn geraakt?

Geen van de betrokken merken werd direct gehackt. Ze gebruiken allemaal Ceva als fulfilmentpartner – een klassiek voorbeeld van een supply-chain-datalek (ook wel fourth-party-incident genoemd). De Autoriteit Persoonsgegevens ontving meldingen van minstens tien organisaties . De bevestigde lijst omvat:

• bol (grootste webwinkel van Nederland) – waarschuwde klanten op 5-6 augustus dat namen, adressen en telefoonnummers mogelijk zijn buitgemaakt . Bol schortte het delen van gegevens met Ceva na het incident op .
• De Bijenkorf – stuurde op 5 augustus vergelijkbare waarschuwingen .
• Ajax – bevestigde op 6 augustus dat de webshop, die via Ceva liep, mogelijk klantgegevens heeft blootgesteld .
• ING – meldde een 'cyberincident bij een logistieke partner', waarbij het gaat om klanten die via de ING Puntenwinkel fysieke producten bestelden .
• Ace & Tate – stelde klanten op de hoogte dat aan pakketten gerelateerde persoonsgegevens mogelijk zijn ingezien .
• Valve / Steam hardware-klanten – Valve stuurde vanaf 7 augustus meldingen aan Europese klanten die een Steam Deck, Steam Controller of Steam Machine bestelden en van wie de gegevens nog bij Ceva lagen (doorgaans bestellingen in de afgelopen 90 dagen) .

Welke persoonsgegevens zijn gestolen?

De aanvallers verkregen bezorg- en bestelgegevens. De consistent gemelde velden zijn :

• Volledige namen
• Fysieke adressen (thuis- en verzendadres)
• Telefoonnummers
• E-mailadressen
• Bestelgegevens (producttype, bestelnummer, prijs)

TechCrunch, Bleeping Computer en The Register bevestigen dat financiële gegevens – zoals creditcardnummers, bankrekeningnummers en inloggegevens – niet zijn buitgemaakt, omdat Ceva die nooit opslaat . Wel creëert de blootstelling van contact- en bestelgegevens een verhoogd risico op gerichte phishing en social engineering. Valve waarschuwde klanten hier nadrukkelijk voor .

Operationele impact: acht magazijnen ontregeld

De cyberaanval had een tastbare fysieke impact. Ceva bevestigde dat verzendingen op de acht getroffen Europese locaties werden gestaakt of fors vertraagd . Het bedrijf stelde dat andere systemen wereldwijd niet geraakt zijn en dat alle overige operaties doorgingen . Half augustus 2026 was Ceva nog bezig de volledige operaties te herstellen van de getroffen magazijnen . Sommige zendingen werden geannuleerd en levertijden bleven onzeker .

Reactie van Ceva

Ceva Logistics gaf een beperkte verklaring, die met verschillende nieuwsmedia werd gedeeld. Het bedrijf zei :

"De operationele impact blijft beperkt tot acht magazijnen. Geen andere Ceva-systemen wereldwijd zijn getroffen en alle overige operaties worden ononderbroken voortgezet."

Ceva gaf aan niet uit te kunnen sluiten dat persoonsgegevens zijn blootgesteld en dat het onderzoek nog loopt . Het bedrijf deelde geen technische details over de inbraak en er heeft zich tot nu toe geen ransomwaregroep gemeld .

Onderzoek door autoriteiten

• Autoriteit Persoonsgegevens (AP) – ontving van minstens tien organisaties een melding op basis van artikel 33 van de AVG .
• Nationale politie – het datalek wordt onderzocht door de Nederlandse politie en andere cybercrime-eenheden, maar zij hebben nog geen verklaring afgelegd .
• Intern forensisch onderzoek – Ceva en elk getroffen bedrijf doen zelf forensisch onderzoek .

Wat moet je weten als klant?

• Je financiële gegevens en wachtwoorden zijn veilig – er zijn geen betaalgegevens of inloggegevens gestolen.
• Wees alert op phishing: oplichters kunnen je echte naam, adres en bestelgeschiedenis gebruiken om berichten geloofwaardig te laten lijken. Valve waarschuwde dat aanvallers je adres kunnen citeren om zich als echt voor te doen en kunnen vragen om een betaling of inlog – behandel al dit soort verzoeken als nep .
• Heb je tussen ongeveer mei en augustus 2026 iets besteld bij bol, De Bijenkorf, de ING Puntenwinkel, de Ajax-shop, Ace & Tate of Steam-hardware in Europa? Dan kunnen je bezorggegevens mogelijk zijn blootgesteld.

Het Ceva-datalek is een pijnlijke herinnering dat één zwakke schakel in de keten een hele reeks vertrouwde merken kan treffen: van een logistiek probleem naar een grootschalige datalekken.