Ceva Logistics-angrepet i juli 2026: Et leverandørangrep som rammet Steam, ING, Bol, Ajax og flere

Ceva varslet sine berørte kunder 1. august om et "cyberinntrenging" som forstyrret driften ved disse stedene og stanset utgående forsendelser .

Hvilke selskaper og kunder ble berørt?

Ingen av merkene som ble involvert, ble selv direkte angrepet. I stedet delte de alle Ceva som en tredjeparts logistikkpartner, noe som gjør dette til et klassisk leverandørangrep. Den nederlandske datatilsynet (Autoriteit Persoonsgegevens) mottok GDPR Artikkel 33-varsler fra minst ti separate organisasjoner . Den bekreftede listen inkluderer:

• Bol (Nederlands største nettbutikk) – advarte kunder 5.–6. august om at navn, adresser og telefonnumre kan ha blitt eksponert . Bol stanset datadeling med Ceva etter hendelsen .
• De Bijenkorf (nederlandsk luksusvarehus) – sendte lignende advarsler 5. august .
• Ajax (Amsterdam-fotballklubb) – bekreftet 6. august at nettbutikken deres, som ble håndtert av Ceva, kan ha eksponert kundedata .
• ING (nederlandsk storbank) – rapporterte et "cyberincident hos en logistikkpartner", som påvirket kunder som løste inn bonuspoeng for fysiske varer sendt av Ceva .
• Ace & Tate (brillekjede) – varslet kunder om at pakkerelaterte personopplysninger kan ha blitt tilgjengeliggjort .
• Valve / Steam hardware-kunder – Valve sendte datalekvarsler fra 7. august til europeiske kunder som bestilte en Steam Deck, Steam Controller eller Steam Machine, og hvis data fortsatt var hos Ceva (typisk bestillinger innen de siste 90 dagene) .

Hvilke personopplysninger ble stjålet?

Angriperne fikk tak i leverings- og ordredata som Ceva oppbevarte for å gjennomføre forsendelser. Feltene som ble eksponert, inkluderer :

• Fullt navn
• Fysisk adresse (hjemme- og leveringsadresse)
• Telefonnummer
• E-postadresse
• Ordredetaljer (produkttype, ordrenummer, pris)

Flere kilder, inkludert TechCrunch, Bleeping Computer og The Register, bekrefter at betalingsinformasjon – som kredittkortnumre, kontonumre og påloggingsdetaljer – ikke ble kompromittert, fordi Ceva aldri lagret det . Eksponeringen av kontakt- og ordredata skaper imidlertid en økt risiko for målrettede phishing- og svindelangrep, noe Valve uttrykkelig advarte sine kunder om .

Operasjonell påvirkning: Åtte varehus ble rammet

Cyberangrepet fikk konkrete fysiske konsekvenser. Ceva bekreftet at forsendelser ble stanset eller betydelig forsinket ved de åtte berørte europeiske varehusene . Ceva uttalte at ingen andre globale systemer ble påvirket, og at all annen drift fortsatte uten avbrudd . I midten av august 2026 jobbet selskapet fortsatt med å gjenopprette full drift ved de rammede stedene . Noen forsendelser ble kansellert, og leveringstidene var usikre .

Ceva's offisielle svar

Ceva Logistics ga en begrenset offentlig uttalelse, som de delte med flere nyhetskanaler. Selskapet sa :

"Den operasjonelle påvirkningen er begrenset til åtte varehus. Ingen andre CEVA-systemer globalt ble påvirket, og all annen drift fortsetter uten avbrudd."

Ceva uttalte også at de ikke kunne utelukke at personopplysninger ble eksponert, og at etterforskningen pågikk . Selskapet ønsket ikke å oppgi tekniske detaljer om inntrengingen, og per publisering hadde ingen løsepengevaregruppe tatt på seg ansvaret .

Etterforskende myndigheter

• Nederlandske datatilsyn (Autoriteit Persoonsgegevens) – mottok Artikkel 33-varsler fra minst ti organisasjoner, inkludert alle de berørte selskapene .
• Nasjonal politi – Angrepet blir etterforsket av nederlandsk politi og andre cyberkrimenheter, men de har ikke kommet med offentlige uttalelser .
• Intern forensikk – Ceva og hvert berørte selskap gjennomfører egne forensiske undersøkelser .

Viktige tips for berørte kunder

• Dine betalingskontoer og passord er trygge – ingen betalingsdata eller påloggingsdetaljer ble stjålet.
• Vær oppmerksom på phishing-forsøk: Svindlere kan bruke ditt virkelige navn, adresse og ordrehistorikk for å virke legitime. Valve advarte kundene spesifikt om at angripere kan "sitere adressen din tilbake til deg" og be om betaling eller pålogging – behandl alle slike forespørsler som falske .
• Hvis du bestilte fra Bol, De Bijenkorf, INGs bonusbutikk, Ajax sin nettbutikk, Ace & Tate eller Steam hardware i Europa mellom omtrent mai og august 2026, kan leveringskontaktdetaljene dine ha blitt eksponert.

Ceva-hendelsen er en sterk påminnelse om at et enkelt leverandørangrep kan få ringvirkninger over hele økosystemet av betrodde merkevarer, og gjøre en logistikkfeil til en omfattende datalekkhendelse.