Ataque cibernético à Ceva Logistics em julho de 2026: como um vazamento em cascata atingiu Steam, ING, Bol, Ajax e outros

A Ceva notificou seus clientes afetados em 1º de agosto sobre uma "intrusão cibernética" que interrompeu as operações nesses locais, interrompendo os embarques de saída .

Quais empresas e clientes foram afetados?

Nenhuma das marcas envolvidas sofreu uma violação direta. Em vez disso, todas elas compartilhavam a Ceva como parceira de logística terceirizada, tornando este um incidente clássico de violação na cadeia de suprimentos (ou de quarto-parte). A autoridade holandesa de proteção de dados (Autoriteit Persoonsgegevens) recebeu relatórios de violação do Artigo 33 do GDPR de pelo menos dez organizações separadas . A lista confirmada inclui:

• Bol (a maior varejista online holandesa) — alertou os clientes em 5 e 6 de agosto que nomes, endereços e números de telefone podem ter sido expostos . A Bol suspendeu o compartilhamento de dados com a Ceva após o incidente .
• De Bijenkorf (loja de departamentos de luxo holandesa) — enviou avisos semelhantes em 5 de agosto .
• Ajax (clube de futebol de Amsterdã) — confirmou em 6 de agosto que sua loja online, gerenciada pela Ceva, pode ter exposto dados de clientes .
• ING (banco multinacional holandês) — relatou um "incidente cibernético em um parceiro logístico", afetando clientes que resgataram pontos de fidelidade por produtos físicos enviados pela Ceva .
• Ace & Tate (varejista de óculos) — notificou os clientes de que dados pessoais relacionados a pacotes podem ter sido acessados .
• Clientes de hardware da Valve / Steam — a Valve começou a enviar notificações de violação em 7 de agosto para clientes europeus que compraram um Steam Deck, Steam Controller ou Steam Machine, e cujos dados ainda estavam retidos pela Ceva (normalmente, pedidos dos últimos 90 dias) .

Que tipos de dados pessoais foram roubados?

Os invasores obtiveram dados de entrega e pedidos que a Ceva mantinha para realizar as entregas. Os campos expostos, consistentemente relatados por vários veículos de notícias, incluem :

• Nomes completos
• Endereços físicos (residencial e de entrega)
• Números de telefone
• Endereços de e-mail
• Detalhes do pedido (tipo de produto, número do pedido, preço)

Múltiplas fontes, incluindo TechCrunch, Bleeping Computer e The Register, confirmam que dados financeiros — incluindo números de cartão de crédito, detalhes de conta bancária e credenciais de login — não foram comprometidos, porque a Ceva nunca os armazenou . No entanto, a exposição de dados de contato e pedidos cria um risco maior de ataques de phishing direcionados e engenharia social, um ponto sobre o qual a Valve alertou explicitamente seus clientes .

Impacto operacional: oito armazéns paralisados

O ataque cibernético teve um impacto físico tangível. A Ceva confirmou que os embarques foram interrompidos ou sofreram atrasos significativos nos oito armazéns europeus afetados . A Ceva declarou que nenhum outro sistema globalmente foi afetado e que todas as outras operações continuaram sem interrupção . Em meados de agosto de 2026, a empresa ainda estava trabalhando para restaurar as operações completas nos locais impactados . Alguns embarques foram cancelados e os prazos de entrega permaneceram incertos .

Resposta oficial da Ceva

A Ceva Logistics forneceu uma declaração pública limitada, que compartilhou com vários veículos de notícias. A empresa disse :

"O impacto operacional está limitado a oito armazéns. Nenhum outro sistema da CEVA globalmente foi afetado, e todas as outras operações continuam sem interrupção."

A Ceva também afirmou que não poderia descartar que dados pessoais tivessem sido expostos e que a investigação estava em andamento . A empresa se recusou a divulgar detalhes técnicos sobre a intrusão e, até o momento da publicação, nenhum grupo de ransomware havia reivindicado a responsabilidade .

Autoridades investigando

• Autoridade Holandesa de Proteção de Dados (Autoriteit Persoonsgegevens) — recebeu notificações de violação do Artigo 33 de pelo menos dez organizações, incluindo todas as empresas afetadas listadas acima .
• Polícia nacional — a violação está sob investigação pela polícia holandesa e outras unidades de crimes cibernéticos, embora não tenham emitido declarações públicas .
• Perícia interna — a Ceva e cada empresa afetada estão conduzindo suas próprias investigações forenses .

Principais conclusões para clientes afetados

• Suas contas financeiras e senhas estão seguras — nenhum dado de pagamento ou credenciais de login foram roubados.
• Fique atento a tentativas de phishing: golpistas podem usar seu nome real, endereço e histórico de pedidos para parecerem legítimos. A Valve alertou explicitamente os clientes de que os invasores podem "citar seu endereço de volta para você" e pedir um pagamento ou login — trate todas essas solicitações como falsas .
• Se você fez um pedido na Bol, De Bijenkorf, loja de recompensas ING, loja online do Ajax, Ace & Tate ou hardware Steam na Europa entre maio e agosto de 2026, seus detalhes de contato de entrega podem ter sido expostos.

A violação da Ceva é um lembrete gritante de que um único comprometimento de fornecedor pode se espalhar por todo um ecossistema de marcas confiáveis, transformando uma falha logística em um evento generalizado de exposição de dados.