Atak hakerski na giganta logistycznego Ceva Logistics. Które firmy ucierpiały i jakie dane wyciekły?

Jeden cyberatak na globalnego giganta logistycznego przerodził się w kaskadowy wyciek danych, który dotknął gigantów handlu detalicznego, duży bank, klub piłkarski i tysiące graczy Steam w całej Europie. Oto jasny, oparty na źródłach obraz tego, co wydarzyło się podczas incydentu Ceva Logistics w lipcu 2026 r.

Atak: 29 lipca – 1 sierpnia 2026 r.

29 lipca 2026 r. niezidentyfikowany atakujący uzyskał nieautoryzowany dostęp do systemów przetwarzania zamówień w Ceva Logistics, francuskiej firmie spedycyjno-logistycznej będącej własnością grupy CMA CGM . Intruz utrzymywał dostęp do 1 sierpnia, zakłócając europejskie operacje logistyki kontraktowej Ceva – konkretnie osiem magazynów na kontynencie .

Ceva poinformowała swoich dotkniętych klientów 1 sierpnia o „cyberintruzji”, która zakłóciła działanie tych lokalizacji i wstrzymała wysyłki wychodzące .

Które firmy i klienci zostali dotknięci?

Żadna z zaangażowanych marek nie padła ofiarą bezpośredniego włamania. Zamiast tego wszystkie dzieliły Ceva jako partnera logistycznego, co czyni ten incydent podręcznikowym przykładem naruszenia łańcucha dostaw (lub naruszenia czwartej strony). Holenderski organ ochrony danych osobowych (Autoriteit Persoonsgegevens) otrzymał zgłoszenia naruszenia ochrony danych (art. 33 RODO) od co najmniej dziesięciu oddzielnych organizacji . Potwierdzona lista obejmuje:

• Bol (największy holenderski sprzedawca internetowy) – ostrzegł klientów 5–6 sierpnia, że imiona, nazwiska, adresy i numery telefonów mogły zostać ujawnione . Bol zawiesił udostępnianie danych Ceva po incydencie .
• De Bijenkorf (holenderski dom towarowy z artykułami luksusowymi) – wysłał podobne ostrzeżenia 5 sierpnia .
• Ajax (amsterdamski klub piłkarski) – potwierdził 6 sierpnia, że jego sklep internetowy obsługiwany przez Ceva mógł ujawnić dane klientów .
• ING (holenderski bank międzynarodowy) – zgłosił „incydent cybernetyczny u partnera logistycznego”, który dotknął klientów realizujących punkty lojalnościowe za towary fizyczne wysyłane przez Ceva .
• Ace & Tate (sieć optyczna) – powiadomił klientów, że dane osobowe związane z przesyłkami mogły zostać przejęte .
• Klienci Valve / Steam hardware – Valve rozpoczął wysyłanie powiadomień o naruszeniu 7 sierpnia europejskim klientom, którzy zamówili Steam Decka, Steam Controller lub Steam Machine, a których dane były nadal przechowywane przez Ceva (zazwyczaj zamówienia z ostatnich 90 dni) .

Jakie rodzaje danych osobowych zostały skradzione?

Atakujący uzyskali dane dostawy i zamówień, które Ceva przechowywała w celu realizacji przesyłek. Ujawnione pola, konsekwentnie zgłaszane przez wiele serwisów informacyjnych, obejmują :

• Pełne imiona i nazwiska
• Adresy fizyczne (domowe i dostawy)
• Numery telefonów
• Adresy e-mail
• Szczegóły zamówień (rodzaj produktu, numer zamówienia, cena)

Wiele źródeł, w tym TechCrunch, Bleeping Computer i The Register, potwierdza, że dane finansowe – w tym numery kart kredytowych, dane kont bankowych i dane logowania – nie zostały naruszone, ponieważ Ceva nigdy ich nie przechowywała . Jednak ujawnienie danych kontaktowych i szczegółów zamówień stwarza zwiększone ryzyko ukierunkowanych ataków phishingowych i socjotechnicznych, o czym Valve wyraźnie ostrzegł swoich klientów .

Wpływ operacyjny: zakłócenie pracy ośmiu magazynów

Cyberatak miał namacalny fizyczny wpływ. Ceva potwierdziła, że w ośmiu dotkniętych europejskich magazynach wstrzymano lub znacznie opóźniono wysyłki . Ceva oświadczyła, że żadne inne systemy na świecie nie zostały naruszone, a wszystkie inne operacje były kontynuowane bez zakłóceń . W połowie sierpnia 2026 r. firma nadal pracowała nad przywróceniem pełnej operacyjności w dotkniętych lokalizacjach . Niektóre przesyłki zostały anulowane, a terminy dostaw pozostały niepewne .

Oficjalna odpowiedź Ceva

Ceva Logistics wydała ograniczone publiczne oświadczenie, które udostępniła wielu serwisom informacyjnym. Firma powiedziała :

„Wpływ operacyjny jest ograniczony do ośmiu magazynów. Żadne inne systemy CEVA na świecie nie zostały naruszone, a wszystkie inne operacje są kontynuowane bez zakłóceń.”

Ceva oświadczyła również, że nie może wykluczyć, iż dane osobowe zostały ujawnione, i że dochodzenie jest w toku . Firma odmówiła ujawnienia szczegółów technicznych dotyczących włamania i na moment publikacji żadna grupa ransomware nie przyznała się do odpowiedzialności .

Organy prowadzące dochodzenie

• Holenderski organ ochrony danych osobowych (Autoriteit Persoonsgegevens) – otrzymał zgłoszenia naruszenia ochrony danych na podstawie art. 33 RODO od co najmniej dziesięciu organizacji, w tym wszystkich wymienionych powyżej dotkniętych firm .
• Krajowe organy ścigania – naruszenie jest przedmiotem dochodzenia holenderskiej policji i innych jednostek ds. cyberprzestępczości, choć nie wydały one publicznych oświadczeń .
• Analiza kryminalistyczna wewnętrzna – Ceva i każda z dotkniętych firm prowadzą własne dochodzenia kryminalistyczne .

Kluczowe wnioski dla dotkniętych klientów

• Twoje konta finansowe i hasła są bezpieczne – żadne dane płatnicze ani dane logowania nie zostały przejęte.
• Uważaj na próby phishingu: Oszuści mogą użyć Twojego prawdziwego imienia, adresu i historii zamówień, by uwiarygodnić swoje wiadomości. Valve wyraźnie ostrzegł klientów, że atakujący mogą „przytoczyć Twój adres, by udowodnić, że są wiarygodni” i poprosić o płatność lub logowanie – traktuj wszystkie takie prośby jako fałszywe .
• Jeśli zamawiałeś w Bol, De Bijenkorf, sklepie nagród ING, sklepie internetowym Ajax, Ace & Tate lub sprzęcie Steam w Europie mniej więcej między majem a sierpniem 2026 r., Twoje dane kontaktowe dotyczące dostawy mogły zostać ujawnione.

Naruszenie Ceva jest jaskrawym przypomnieniem, że pojedynczy atak na dostawcę może odbić się echem w całym ekosystemie zaufanych marek, zamieniając awarię logistyczną w powszechne ujawnienie danych.