Кибератака на Ceva Logistics в июле 2026 — что произошло, кто пострадал и какие данные были украдены

Ceva уведомила пострадавших клиентов 1 августа о том, что «кибервторжение» нарушило работу на этих объектах, приостановив исходящие отправления .

Какие компании и клиенты пострадали?

Ни один из затронутых брендов не был взломан напрямую. Все они пользовались услугами Ceva как стороннего партнера по выполнению заказов, что делает этот инцидент классической атакой на цепочку поставок (или «четвертую сторону»). Нидерландский регулятор (Autoriteit Persoonsgegevens) получил уведомления о нарушении в соответствии со статьей 33 GDPR как минимум от десяти различных организаций . Подтвержденный список включает:

• bol (крупнейший нидерландский онлайн-ритейлер) — предупредил клиентов 5–6 августа о возможной утечке имен, адресов и номеров телефонов . После инцидента bol приостановил передачу данных Ceva .
• De Bijenkorf (нидерландский универмаг класса люкс) — разослал аналогичные предупреждения 5 августа .
• Ajax (амстердамский футбольный клуб) — 6 августа подтвердил, что данные клиентов его интернет-магазина, обслуживаемого Ceva, могли быть раскрыты .
• ING (нидерландский международный банк) — сообщил о «киберинциденте у логистического партнера», затронувшем клиентов, которые обменивали бонусные баллы на физические товары, доставляемые Ceva .
• Ace & Tate (сеть оптик) — уведомила клиентов о возможном доступе к их персональным данным, связанным с посылками .
• Valve / клиенты Steam — Valve разослала уведомления, начиная с 7 августа, европейским покупателям Steam Deck, Steam Controller или Steam Machine, чьи данные все еще хранились у Ceva (как правило, заказы за последние 90 дней) .

Какие персональные данные были украдены?

Злоумышленники получили данные о доставке и заказах, которые Ceva хранила для выполнения отправлений. Согласно сообщениям из нескольких источников, среди раскрытых полей :

• Полные имена
• Физические адреса (домашние и для доставки)
• Номера телефонов
• Адреса электронной почты
• Детали заказов (тип товара, номер заказа, цена)

Многочисленные источники (TechCrunch, Bleeping Computer, The Register) подтверждают, что финансовые данные — номера кредитных карт, банковские реквизиты и логины — не были скомпрометированы, так как Ceva их никогда не хранила . Однако утечка контактных данных и информации о заказах создает повышенный риск целевых фишинговых атак и социальной инженерии — на это прямо указала Valve в своем предупреждении .

Операционное воздействие: нарушение работы восьми складов

Кибератака имела ощутимые физические последствия. Ceva подтвердила, что отправления были приостановлены или значительно задержаны на восьми затронутых европейских складах . Ceva заявила, что другие системы компании по всему миру не пострадали и все остальные операции продолжаются без перебоев . К середине августа 2026 года компания все еще работала над восстановлением полной функциональности на пострадавших объектах . Некоторые отправления были отменены, а сроки доставки оставались неопределенными .

Официальный ответ Ceva

Ceva Logistics выступила с кратким публичным заявлением, которое было распространено через несколько новостных агентств. Компания сообщила :

«Операционное воздействие ограничено восемью складами. Никакие другие системы Ceva по всему миру не пострадали, и все остальные операции продолжаются без перебоев».

Ceva также заявила, что не может исключить возможность раскрытия персональных данных, и что расследование продолжается . Компания отказалась раскрывать технические детали вторжения, и на момент публикации ни одна группа вымогателей не взяла на себя ответственность .

Расследующие органы

• Нидерландский регулятор персональных данных (Autoriteit Persoonsgegevens) — получил уведомления о нарушении (ст. 33 GDPR) как минимум от десяти организаций, включая все вышеперечисленные компании .
• Национальные правоохранительные органы — расследование ведется нидерландской полицией и другими подразделениями по борьбе с киберпреступностью, однако они не делали публичных заявлений .
• Внутренние расследования — Ceva и каждая пострадавшая компания проводят собственные криминалистические расследования .

Ключевые выводы для пострадавших клиентов

• Ваши финансовые счета и пароли в безопасности — платежные данные и логины не были похищены.
• Будьте бдительны к фишингу: мошенники могут использовать ваши реальные имя, адрес и историю заказов, чтобы казаться убедительными. Valve прямо предупредила клиентов, что злоумышленники могут «процитировать ваш адрес, чтобы доказать свою подлинность» и попросить оплатить «небольшую пошлину за повторную доставку» — все такие запросы следует считать ложными .
• Если вы оформляли заказы в bol, De Bijenkorf, магазине вознаграждений ING, интернет-магазине Ajax, Ace & Tate или заказывали оборудование Steam в Европе примерно с мая по август 2026 года, ваши контактные данные для доставки могли быть раскрыты.

Инцидент с Ceva — яркое напоминание о том, что компрометация одного поставщика может вызвать эффект домино, затронув целую экосистему доверенных брендов и превратив логистический сбой в масштабную утечку данных.