Ceva Logistics Veri İhlali: Tek Bir Kargo Devi, Avrupa’nın En Büyük Markalarını Nasıl Sarsıntıya Uğrattı?

Küresel bir lojistik devine yapılan tek bir siber saldırı, Avrupa'nın en büyük perakendecilerini, bir bankayı, bir futbol kulübünü ve binlerce Steam oyuncusunu etkileyen bir veri ihlali dalgasına dönüştü. İşte Temmuz 2026'daki Ceva Logistics olayının kaynaklara dayalı, net bir özeti.

Saldırı: 29 Temmuz – 1 Ağustos 2026

29 Temmuz 2026'da kimliği belirsiz bir saldırgan, merkezi Fransa'da bulunan ve CMA CGM Grubu'na ait olan Ceva Logistics'in sipariş işleme sistemlerine yetkisiz erişim sağladı . Saldırgan, 1 Ağustos'a kadar sistemde kalarak şirketin Avrupa'daki sözleşmeli lojistik operasyonlarını –özellikle kıtadaki sekiz depoyu– hedef aldı .

Ceva, etkilenen müşterilerine 1 Ağustos'ta bir "siber izinsiz giriş" yaşandığını ve bu durumun söz konusu depolardaki operasyonları durdurduğunu, giden sevkiyatların askıya alındığını bildirdi .

Hangi Şirketler ve Müşteriler Etkilendi?

Listedeki markaların hiçbiri doğrudan saldırıya uğramadı. Aksine, tamamı Ceva'yı üçüncü taraf kargo ortağı olarak kullanıyordu. Bu durum olayı, tedarik zinciri (dördüncü taraf) kaynaklı klasik bir veri ihlali haline getirdi. Hollanda Veri Koruma Otoritesi (Autoriteit Persoonsgegevens), GDPR'nin 33. maddesi kapsamında en az 10 farklı kuruluştan ihlal bildirimi aldı . Onaylanan etkilenen şirketler listesi şöyle:

• Bol (Hollanda'nın en büyük online perakendecisi) – 5-6 Ağustos'ta müşterilerini isim, adres ve telefon numaralarının ifşa olmuş olabileceği konusunda uyardı . Olay sonrası Bol, Ceva ile veri paylaşımını askıya aldı .
• De Bijenkorf (Hollandalı lüks mağaza zinciri) – 5 Ağustos'ta benzer uyarılar gönderdi .
• Ajax (Amsterdam futbol kulübü) – 6 Ağustos'ta Ceva tarafından yönetilen online mağazasındaki müşteri verilerinin ifşa olmuş olabileceğini doğruladı .
• ING (Hollandalı çokuluslu banka) – "Lojistik ortağında yaşanan siber olay" nedeniyle, sadakat puanlarını Ceva'nın gönderdiği fiziksel ürünlerle değiştiren müşterilerinin etkilendiğini bildirdi .
• Ace & Tate (gözlük perakendecisi) – Müşterilerine kargo bilgilerine erişilmiş olabileceğini bildirdi .
• Valve / Steam donanım müşterileri – Valve, 7 Ağustos'tan itibaren Avrupa'daki Steam Deck, Steam Controller veya Steam Machine siparişlerinde verileri hâlâ Ceva'da bulunan (genellikle son 90 gün içindeki siparişler) müşterilerine ihlal bildirimleri göndermeye başladı .

Hangi Tür Kişisel Veriler Çalındı?

Saldırganlar, Ceva'nın siparişleri yerine getirmek için elinde bulundurduğu teslimat ve sipariş verilerini ele geçirdi. Birden fazla haber kaynağı tarafından tutarlı bir şekilde raporlanan ifşa olmuş alanlar şunları içeriyor :

• Tam isimler
• Fiziksel adresler (ev ve teslimat adresleri)
• Telefon numaraları
• E-posta adresleri
• Sipariş detayları (ürün türü, sipariş numarası, fiyatı)

TechCrunch, Bleeping Computer ve The Register gibi kaynaklar, kredi kartı numaraları, banka hesap detayları ve giriş bilgileri gibi finansal verilerin ÇALINMADIĞINI doğruluyor. Çünkü Ceva bu verileri hiçbir zaman depolamıyor . Ancak, iletişim ve sipariş bilgilerinin ifşa olması, hedefli phishing (oltalama) ve sosyal mühendislik saldırıları riskini ciddi şekilde artırıyor. Valve, müşterilerini bu konuda açıkça uyardı .

Operasyonel Etki: Sekiz Depo Kilitlendi

Siber saldırının fiziksel dünyada da somut bir etkisi oldu. Ceva, etkilenen sekiz Avrupa deposunda sevkiyatların durdurulduğunu veya ciddi şekilde geciktiğini doğruladı . Ceva, dünya genelindeki diğer sistemlerinin etkilenmediğini ve diğer tüm operasyonların kesintisiz devam ettiğini belirtti . Ağustos 2026 ortası itibarıyla şirket, etkilenen bölgelerde tam operasyonları geri getirmek için çalışmalarını sürdürüyordu . Bazı siparişler iptal edildi ve teslimat tarihleri belirsizliğini koruyordu .

Ceva'nın Resmi Açıklaması

Ceva Logistics, birçok haber kuruluşuyla paylaştığı sınırlı bir kamu açıklaması yaptı. Şirket şunları söyledi :

"Operasyonel etki sekiz depo ile sınırlıdır. Dünya genelindeki diğer CEVA sistemleri etkilenmemiştir ve diğer tüm operasyonlar kesintisiz devam etmektedir."

Ceva ayrıca kişisel verilerin ifşa olmuş olma ihtimalini göz ardı edemeyeceğini ve soruşturmanın devam ettiğini belirtti . Şirket, saldırının teknik detayları hakkında bilgi vermezken, yayın anına kadar hiçbir fidye yazılımı grubu olayın sorumluluğunu üstlenmedi .

Soruşturan Yetkililer

• Hollanda Veri Koruma Otoritesi (Autoriteit Persoonsgegevens) – Yukarıda listelenen tüm etkilenen şirketler de dahil olmak üzere en az 10 kuruluştan GDPR 33. madde kapsamında ihlal bildirimi aldı .
• Ulusal Kolluk Kuvvetleri – İhlal, Hollanda polisi ve diğer siber suç birimleri tarafından soruşturuluyor, ancak henüz kamuoyuna açıklama yapılmadı .
• Dahili Adli Bilişim (Forensic) İncelemeleri – Ceva ve etkilenen her şirket kendi dahili adli bilişim soruşturmalarını yürütüyor .

Etkilenen Müşteriler İçin Önemli Çıkarımlar

• Finansal hesaplarınız ve şifreleriniz GÜVENDE – Hiçbir ödeme verisi veya giriş bilgisi çalınmadı.
• Phishing saldırılarına karşı tetikte olun: Dolandırıcılar, gerçek adınızı, adresinizi ve sipariş geçmişinizi kullanarak size güvenilir görünebilir. Valve, müşterilerini saldırganların "adresinizi size karşı kullanabileceği" ve bir ödeme veya giriş bilgisi isteyebileceği konusunda açıkça uyardı. Bu tür tüm talepleri SAHTE kabul edin .
• Yaklaşık Mayıs ve Ağustos 2026 arasında Bol, De Bijenkorf, ING'nin ödül mağazası, Ajax'ın online mağazası, Ace & Tate veya Steam donanımından Avrupa'da sipariş verdiyseniz, teslimat iletişim bilgileriniz ifşa olmuş olabilir.

Ceva ihlali, tek bir tedarikçinin güvenlik açığının, güvenilen markalardan oluşan bir ekosistemi nasıl etkileyebileceğinin ve bir lojistik arızasının nasıl geniş çaplı bir veri ifşası olayına dönüşebileceğinin çarpıcı bir hatırlatıcısıdır.