Ceva-logistikens dataintrång i juli 2026

Ceva meddelade sina drabbade kunder den 1 augusti att ett "cyberintrång" hade stört verksamheten vid dessa anläggningar och stoppat utgående leveranser .

Vilka företag och kunder drabbades?

Inget av de inblandade varumärkena utsattes för ett direkt intrång. Istället delade de alla Ceva som en tredjepartslogistikpartner, vilket gör detta till ett typexempel på en leveranskedjeincident. Den nederländska dataskyddsmyndigheten (Autoriteit Persoonsgegevens) fick in anmälningar enligt GDPR artikel 33 från minst tio olika organisationer . Den bekräftade listan inkluderar:

• Bol (den största nederländska onlineåterförsäljaren) – varnade kunder den 5–6 augusti att namn, adresser och telefonnummer kan ha exponerats . Bol avbröt datadelningen med Ceva efter incidenten .
• De Bijenkorf (nederländskt lyxvaruhus) – skickade liknande varningar den 5 augusti .
• Ajax (Amsterdams fotbollsklubb) – bekräftade den 6 augusti att dess onlineshop, som hanteras av Ceva, kan ha exponerat kunddata .
• ING (nederländsk storbank) – rapporterade ett "cyberincident hos en logistikpartner" som påverkade kunder som löste in lojalitetspoäng för fysiska varor som skickats av Ceva .
• Ace & Tate (glasögonkedja) – meddelade kunder att paketrelaterad personlig data kan ha kommit åt .
• Valve/Steam-hårdvarukunder – Valve skickade från den 7 augusti ut anmälningar om dataintrång till europeiska kunder som beställt en Steam Deck, Steam Controller eller Steam Machine och vars data fortfarande fanns hos Ceva (vanligtvis beställningar inom de senaste 90 dagarna) .

Vilka typer av personuppgifter stals?

Angriparna kom över leverans- och orderdata som Ceva lagrade för att kunna fullgöra leveranser. De exponerade fälten som konsekvent rapporterats av flera nyhetskanaler inkluderar :

• Fullständiga namn
• Fysiska adresser (hem och leverans)
• Telefonnummer
• E-postadresser
• Orderinformation (produkttyp, ordernummer, pris)

Flera källor från TechCrunch, Bleeping Computer och The Register bekräftar att ekonomisk data – inklusive kreditkortsnummer, bankkontouppgifter och inloggningsuppgifter – inte komprometterades, eftersom Ceva aldrig lagrade sådan information . Exponeringen av kontakt- och orderdata skapar dock en förhöjd risk för riktade nätfiske- och social manipulation-attacker, en punkt som Valve uttryckligen varnade sina kunder för .

Operativ påverkan: Åtta lager stördes

Cyberattacken hade en påtaglig fysisk påverkan. Ceva bekräftade att leveranser stoppats eller försenats avsevärt vid de åtta drabbade europeiska lagren . Ceva uppgav att inga andra system globalt påverkades och att all övrig verksamhet fortsatte utan avbrott . I mitten av augusti 2026 arbetade företaget fortfarande med att återställa full verksamhet vid de drabbade anläggningarna . Vissa leveranser ställdes in och leveranstiderna förblev osäkra .

Ceva:s officiella svar

Ceva Logistics utfärdade ett begränsat offentligt uttalande, som man delade med flera nyhetskanaler. Företaget sade :

"Den operativa påverkan är begränsad till åtta lager. Inga andra Ceva-system globalt påverkades, och all övrig verksamhet fortsätter utan avbrott."

Ceva uppgav också att man inte kunde utesluta att personuppgifter hade exponerats och att utredningen pågick . Företaget avböjde att lämna ut tekniska detaljer om intrånget, och vid publiceringstillfället hade ingen utpressningsgrupp tagit på sig ansvaret .

Utredande myndigheter

• Nederländska dataskyddsmyndigheten (Autoriteit Persoonsgegevens) – fick in anmälningar enligt GDPR artikel 33 från minst tio organisationer, inklusive alla de drabbade företagen ovan .
• Nationell polis – intrånget utreds av nederländsk polis och andra cyberbrottsenheter, även om de inte har utfärdat några offentliga uttalanden .
• Intern forensik – Ceva och varje drabbat företag genomför egna forensiska utredningar .

Viktiga slutsatser för drabbade kunder

• Dina bankkonton och lösenord är säkra – inga betalningsuppgifter eller inloggningsuppgifter har stulits.
• Var vaksam på nätfiskeförsök: Bedragare kan använda ditt riktiga namn, adress och orderhistorik för att framstå som trovärdiga. Valve varnade uttryckligen kunder för att angripare kan "citera din adress för dig" och be om en betalning eller inloggning – behandla alla sådana förfrågningar som falska .
• Om du har beställt från Bol, De Bijenkorf, ING:s belöningsbutik, Ajax onlineshop, Ace & Tate eller Steam-hårdvara i Europa mellan ungefär maj och augusti 2026, kan dina leveransuppgifter ha exponerats.

Ceva-incidenten är en skarp påminnelse om hur ett enda leverantörsintrång kan få ringar på vattnet genom en hel ekosystem av betrodda varumärken och förvandla ett logistikmisslyckande till en omfattande dataläckagehändelse.