Ceva повідомила своїх постраждалих клієнтів 1 серпня про «кібернетичне вторгнення», яке порушило роботу на цих об'єктах, зупинивши вихідні відвантаження .

Які компанії та клієнти постраждали?

Жоден із залучених брендів не зазнав прямого злому. Натомість усі вони використовували Ceva як стороннього партнера з логістики, що робить цей інцидент класичним випадком витоку даних у ланцюгу поставок (або четвертої сторони). Нідерландський орган із захисту даних (Autoriteit Persoonsgegevens) отримав повідомлення про витік згідно зі статтею 33 GDPR щонайменше від десяти окремих організацій . Підтверджений список включає:

• Bol (найбільший нідерландський онлайн-рітейлер) — попередив клієнтів 5–6 серпня про можливе розголошення імен, адрес та номерів телефонів . Bol призупинив обмін даними з Ceva після інциденту .
• De Bijenkorf (нідерландський універмаг класу люкс) — надіслав подібні попередження 5 серпня .
• Ajax (амстердамський футбольний клуб) — підтвердив 6 серпня, що його інтернет-магазин, який обслуговується Ceva, міг розкрити дані клієнтів .
• ING (нідерландський багатонаціональний банк) — повідомив про «кіберінцидент у логістичного партнера», який торкнувся клієнтів, що викупили бонусні бали за фізичні товари, які доставляла Ceva .
• Ace & Tate (рітейлер окулярів) — повідомив клієнтів, що персональні дані, пов'язані з посилками, могли бути отримані .
• Клієнти Valve / Steam hardware — Valve почав розсилати повідомлення про витік даних 7 серпня європейським клієнтам, які замовили Steam Deck, Steam Controller або Steam Machine, і чиї дані все ще зберігалися у Ceva (як правило, замовлення протягом попередніх 90 днів) .

Які типи персональних даних були викрадені?

Зловмисники отримали дані про доставку та замовлення, які Ceva зберігала для виконання поставок. Поля, що постійно згадуються в кількох новинних джерелах, включають :

• Повні імена
• Фізичні адреси (домашні та адреси доставки)
• Номери телефонів
• Адреси електронної пошти
• Деталі замовлення (тип продукту, номер замовлення, ціна)

Численні джерела, включаючи TechCrunch, Bleeping Computer та The Register, підтверджують, що фінансові дані — включаючи номери кредитних карток, банківські реквізити та облікові дані для входу — не були скомпрометовані, оскільки Ceva ніколи їх не зберігала . Однак розголошення контактних даних і даних про замовлення створює підвищений ризик цілеспрямованих фішингових атак та атак соціальної інженерії, про що Valve окремо попередив своїх клієнтів .

Операційний вплив: вісім складів порушено

Кібератака мала відчутний фізичний вплив. Ceva підтвердила, що відвантаження були зупинені або значно затримані на восьми постраждалих європейських складах . Ceva заявила, що жодні інші системи по всьому світу не постраждали, і всі інші операції продовжувалися без перерв . Станом на середину серпня 2026 року компанія все ще працювала над відновленням повної роботи на постраждалих об'єктах . Деякі відвантаження були скасовані, а терміни доставки залишалися невизначеними .

Офіційна відповідь Ceva

Ceva Logistics надала обмежену публічну заяву, якою поділилася з кількома новинними виданнями. Компанія заявила :

«Операційний вплив обмежений вісьмома складами. Жодні інші системи CEVA по всьому світу не постраждали, і всі інші операції продовжуються без перерв.»

Ceva також заявила, що не може виключити можливість розголошення персональних даних, і що розслідування триває . Компанія відмовилася розголошувати технічні деталі вторгнення, і на момент публікації жодна група програм-вимагачів не взяла на себе відповідальність .

Органи, що проводять розслідування

• Нідерландський орган із захисту даних (Autoriteit Persoonsgegevens) — отримав повідомлення про витік згідно зі статтею 33 GDPR щонайменше від десяти організацій, включаючи всі перелічені вище постраждалі компанії .
• Національна поліція — витік розслідується нідерландською поліцією та іншими підрозділами боротьби з кіберзлочинністю, хоча вони не робили публічних заяв .
• Внутрішня криміналістика — Ceva та кожна постраждала компанія проводять власні криміналістичні розслідування .

Ключові висновки для постраждалих клієнтів

• Ваші фінансові рахунки та паролі в безпеці — жодні платіжні дані або облікові дані для входу не були викрадені.
• Будьте пильні щодо фішингових спроб: Шахраї можуть використовувати ваше справжнє ім'я, адресу та історію замовлень, щоб виглядати легітимно. Valve прямо попередив клієнтів, що зловмисники можуть «процитувати вашу адресу, щоб довести свою справжність» і попросити платіж або вхід — ставтеся до всіх таких запитів як до фальшивих .
• Якщо ви замовили товари в Bol, De Bijenkorf, магазині винагород ING, онлайн-магазині Ajax, Ace & Tate або Steam hardware у Європі приблизно між травнем і серпнем 2026 року, ваші контактні дані для доставки могли бути розголошені.

Витік Ceva є яскравим нагадуванням про те, що єдиний злом постачальника може поширитися на цілу екосистему довірених брендів, перетворивши логістичну невдачу на масштабний інцидент із розголошенням даних.

Ceva повідомила своїх постраждалих клієнтів 1 серпня про «кібернетичне вторгнення», яке порушило роботу на цих об'єктах, зупинивши вихідні відвантаження .

Які компанії та клієнти постраждали?

Жоден із залучених брендів не зазнав прямого злому. Натомість усі вони використовували Ceva як стороннього партнера з логістики, що робить цей інцидент класичним випадком витоку даних у ланцюгу поставок (або четвертої сторони). Нідерландський орган із захисту даних (Autoriteit Persoonsgegevens) отримав повідомлення про витік згідно зі статтею 33 GDPR щонайменше від десяти окремих організацій . Підтверджений список включає:

• Bol (найбільший нідерландський онлайн-рітейлер) — попередив клієнтів 5–6 серпня про можливе розголошення імен, адрес та номерів телефонів . Bol призупинив обмін даними з Ceva після інциденту .
• De Bijenkorf (нідерландський універмаг класу люкс) — надіслав подібні попередження 5 серпня .
• Ajax (амстердамський футбольний клуб) — підтвердив 6 серпня, що його інтернет-магазин, який обслуговується Ceva, міг розкрити дані клієнтів .
• ING (нідерландський багатонаціональний банк) — повідомив про «кіберінцидент у логістичного партнера», який торкнувся клієнтів, що викупили бонусні бали за фізичні товари, які доставляла Ceva .
• Ace & Tate (рітейлер окулярів) — повідомив клієнтів, що персональні дані, пов'язані з посилками, могли бути отримані .
• Клієнти Valve / Steam hardware — Valve почав розсилати повідомлення про витік даних 7 серпня європейським клієнтам, які замовили Steam Deck, Steam Controller або Steam Machine, і чиї дані все ще зберігалися у Ceva (як правило, замовлення протягом попередніх 90 днів) .

Які типи персональних даних були викрадені?

Зловмисники отримали дані про доставку та замовлення, які Ceva зберігала для виконання поставок. Поля, що постійно згадуються в кількох новинних джерелах, включають :

• Повні імена
• Фізичні адреси (домашні та адреси доставки)
• Номери телефонів
• Адреси електронної пошти
• Деталі замовлення (тип продукту, номер замовлення, ціна)

Численні джерела, включаючи TechCrunch, Bleeping Computer та The Register, підтверджують, що фінансові дані — включаючи номери кредитних карток, банківські реквізити та облікові дані для входу — не були скомпрометовані, оскільки Ceva ніколи їх не зберігала . Однак розголошення контактних даних і даних про замовлення створює підвищений ризик цілеспрямованих фішингових атак та атак соціальної інженерії, про що Valve окремо попередив своїх клієнтів .

Операційний вплив: вісім складів порушено

Кібератака мала відчутний фізичний вплив. Ceva підтвердила, що відвантаження були зупинені або значно затримані на восьми постраждалих європейських складах . Ceva заявила, що жодні інші системи по всьому світу не постраждали, і всі інші операції продовжувалися без перерв . Станом на середину серпня 2026 року компанія все ще працювала над відновленням повної роботи на постраждалих об'єктах . Деякі відвантаження були скасовані, а терміни доставки залишалися невизначеними .

Офіційна відповідь Ceva

Ceva Logistics надала обмежену публічну заяву, якою поділилася з кількома новинними виданнями. Компанія заявила :

«Операційний вплив обмежений вісьмома складами. Жодні інші системи CEVA по всьому світу не постраждали, і всі інші операції продовжуються без перерв.»

Ceva також заявила, що не може виключити можливість розголошення персональних даних, і що розслідування триває . Компанія відмовилася розголошувати технічні деталі вторгнення, і на момент публікації жодна група програм-вимагачів не взяла на себе відповідальність .

Органи, що проводять розслідування

• Нідерландський орган із захисту даних (Autoriteit Persoonsgegevens) — отримав повідомлення про витік згідно зі статтею 33 GDPR щонайменше від десяти організацій, включаючи всі перелічені вище постраждалі компанії .
• Національна поліція — витік розслідується нідерландською поліцією та іншими підрозділами боротьби з кіберзлочинністю, хоча вони не робили публічних заяв .
• Внутрішня криміналістика — Ceva та кожна постраждала компанія проводять власні криміналістичні розслідування .

Ключові висновки для постраждалих клієнтів

• Ваші фінансові рахунки та паролі в безпеці — жодні платіжні дані або облікові дані для входу не були викрадені.
• Будьте пильні щодо фішингових спроб: Шахраї можуть використовувати ваше справжнє ім'я, адресу та історію замовлень, щоб виглядати легітимно. Valve прямо попередив клієнтів, що зловмисники можуть «процитувати вашу адресу, щоб довести свою справжність» і попросити платіж або вхід — ставтеся до всіх таких запитів як до фальшивих .
• Якщо ви замовили товари в Bol, De Bijenkorf, магазині винагород ING, онлайн-магазині Ajax, Ace & Tate або Steam hardware у Європі приблизно між травнем і серпнем 2026 року, ваші контактні дані для доставки могли бути розголошені.

Витік Ceva є яскравим нагадуванням про те, що єдиний злом постачальника може поширитися на цілу екосистему довірених брендів, перетворивши логістичну невдачу на масштабний інцидент із розголошенням даних.