Злам Ceva Logistics у липні 2026 року: кібератака на ланцюг поставок, яка вразила Steam, ING, Bol, Ajax та інших

Одна кібератака на глобального логістичного гіганта спричинила каскадний витік даних, який торкнувся роздрібних гігантів, великого банку, футбольного клубу та тисяч геймерів Steam по всій Європі. Ось чіткий, підкріплений джерелами аналіз того, що сталося під час інциденту з Ceva Logistics у липні 2026 року.

Атака: 29 липня – 1 серпня 2026 року

29 липня 2026 року невстановлений зловмисник отримав несанкціонований доступ до систем обробки замовлень Ceva Logistics, логістичної компанії зі штаб-квартирою у Франції, що належить групі CMA CGM . Порушник зберігав доступ до 1 серпня, вразивши європейські контрактні логістичні операції Ceva — а саме вісім складів по всьому континенту .

Ceva повідомила своїх постраждалих клієнтів 1 серпня про «кібернетичне вторгнення», яке порушило роботу на цих об'єктах, зупинивши вихідні відвантаження .

Які компанії та клієнти постраждали?

Жоден із залучених брендів не зазнав прямого злому. Натомість усі вони використовували Ceva як стороннього партнера з логістики, що робить цей інцидент класичним випадком витоку даних у ланцюгу поставок (або четвертої сторони). Нідерландський орган із захисту даних (Autoriteit Persoonsgegevens) отримав повідомлення про витік згідно зі статтею 33 GDPR щонайменше від десяти окремих організацій . Підтверджений список включає:

• Bol (найбільший нідерландський онлайн-рітейлер) — попередив клієнтів 5–6 серпня про можливе розголошення імен, адрес та номерів телефонів . Bol призупинив обмін даними з Ceva після інциденту .
• De Bijenkorf (нідерландський універмаг класу люкс) — надіслав подібні попередження 5 серпня .
• Ajax (амстердамський футбольний клуб) — підтвердив 6 серпня, що його інтернет-магазин, який обслуговується Ceva, міг розкрити дані клієнтів .
• ING (нідерландський багатонаціональний банк) — повідомив про «кіберінцидент у логістичного партнера», який торкнувся клієнтів, що викупили бонусні бали за фізичні товари, які доставляла Ceva .
• Ace & Tate (рітейлер окулярів) — повідомив клієнтів, що персональні дані, пов'язані з посилками, могли бути отримані .
• Клієнти Valve / Steam hardware — Valve почав розсилати повідомлення про витік даних 7 серпня європейським клієнтам, які замовили Steam Deck, Steam Controller або Steam Machine, і чиї дані все ще зберігалися у Ceva (як правило, замовлення протягом попередніх 90 днів) .

Які типи персональних даних були викрадені?

Зловмисники отримали дані про доставку та замовлення, які Ceva зберігала для виконання поставок. Поля, що постійно згадуються в кількох новинних джерелах, включають :

• Повні імена
• Фізичні адреси (домашні та адреси доставки)
• Номери телефонів
• Адреси електронної пошти
• Деталі замовлення (тип продукту, номер замовлення, ціна)

Численні джерела, включаючи TechCrunch, Bleeping Computer та The Register, підтверджують, що фінансові дані — включаючи номери кредитних карток, банківські реквізити та облікові дані для входу — не були скомпрометовані, оскільки Ceva ніколи їх не зберігала . Однак розголошення контактних даних і даних про замовлення створює підвищений ризик цілеспрямованих фішингових атак та атак соціальної інженерії, про що Valve окремо попередив своїх клієнтів .

Операційний вплив: вісім складів порушено

Кібератака мала відчутний фізичний вплив. Ceva підтвердила, що відвантаження були зупинені або значно затримані на восьми постраждалих європейських складах . Ceva заявила, що жодні інші системи по всьому світу не постраждали, і всі інші операції продовжувалися без перерв . Станом на середину серпня 2026 року компанія все ще працювала над відновленням повної роботи на постраждалих об'єктах . Деякі відвантаження були скасовані, а терміни доставки залишалися невизначеними .

Офіційна відповідь Ceva

Ceva Logistics надала обмежену публічну заяву, якою поділилася з кількома новинними виданнями. Компанія заявила :

«Операційний вплив обмежений вісьмома складами. Жодні інші системи CEVA по всьому світу не постраждали, і всі інші операції продовжуються без перерв.»

Ceva також заявила, що не може виключити можливість розголошення персональних даних, і що розслідування триває . Компанія відмовилася розголошувати технічні деталі вторгнення, і на момент публікації жодна група програм-вимагачів не взяла на себе відповідальність .

Органи, що проводять розслідування

• Нідерландський орган із захисту даних (Autoriteit Persoonsgegevens) — отримав повідомлення про витік згідно зі статтею 33 GDPR щонайменше від десяти організацій, включаючи всі перелічені вище постраждалі компанії .
• Національна поліція — витік розслідується нідерландською поліцією та іншими підрозділами боротьби з кіберзлочинністю, хоча вони не робили публічних заяв .
• Внутрішня криміналістика — Ceva та кожна постраждала компанія проводять власні криміналістичні розслідування .

Ключові висновки для постраждалих клієнтів

• Ваші фінансові рахунки та паролі в безпеці — жодні платіжні дані або облікові дані для входу не були викрадені.
• Будьте пильні щодо фішингових спроб: Шахраї можуть використовувати ваше справжнє ім'я, адресу та історію замовлень, щоб виглядати легітимно. Valve прямо попередив клієнтів, що зловмисники можуть «процитувати вашу адресу, щоб довести свою справжність» і попросити платіж або вхід — ставтеся до всіх таких запитів як до фальшивих .
• Якщо ви замовили товари в Bol, De Bijenkorf, магазині винагород ING, онлайн-магазині Ajax, Ace & Tate або Steam hardware у Європі приблизно між травнем і серпнем 2026 року, ваші контактні дані для доставки могли бути розголошені.

Витік Ceva є яскравим нагадуванням про те, що єдиний злом постачальника може поширитися на цілу екосистему довірених брендів, перетворивши логістичну невдачу на масштабний інцидент із розголошенням даних.