Vụ tấn công mạng Ceva Logistics tháng 7/2026: Lộ dữ liệu Steam, ING, Bol, Ajax và nhiều thương hiệu lớn

Ceva đã thông báo cho các khách hàng bị ảnh hưởng vào ngày 1 tháng 8 rằng một "sự xâm nhập mạng" đã làm gián đoạn hoạt động tại các địa điểm đó, tạm dừng các lô hàng đi .

Những công ty và khách hàng nào bị ảnh hưởng?

Không có thương hiệu nào trong số này bị tấn công trực tiếp. Thay vào đó, tất cả đều chia sẻ Ceva như một đối tác hoàn tất đơn hàng bên thứ ba, khiến đây trở thành một sự cố dữ liệu chuỗi cung ứng điển hình. Cơ quan bảo vệ dữ liệu Hà Lan (Autoriteit Persoonsgegevens) đã nhận được báo cáo vi phạm theo Điều 33 GDPR từ ít nhất mười tổ chức riêng biệt . Danh sách đã được xác nhận bao gồm:

• Bol (nhà bán lẻ trực tuyến lớn nhất Hà Lan) – đã cảnh báo khách hàng vào ngày 5-6 tháng 8 rằng tên, địa chỉ và số điện thoại có thể đã bị lộ . Bol đã tạm ngừng chia sẻ dữ liệu với Ceva sau sự cố .
• De Bijenkorf (cửa hàng bách hóa cao cấp của Hà Lan) – đã gửi cảnh báo tương tự vào ngày 5 tháng 8 .
• Ajax (câu lạc bộ bóng đá Amsterdam) – xác nhận vào ngày 6 tháng 8 rằng cửa hàng trực tuyến do Ceva xử lý có thể đã làm lộ dữ liệu khách hàng .
• ING (ngân hàng đa quốc gia của Hà Lan) – báo cáo về một "sự cố mạng tại một đối tác hậu cần", ảnh hưởng đến những khách hàng đã đổi điểm thưởng lấy hàng hóa vật chất do Ceva vận chuyển .
• Ace & Tate (nhà bán lẻ kính mắt) – thông báo rằng dữ liệu cá nhân liên quan đến bưu kiện có thể đã bị truy cập .
• Khách hàng phần cứng của Valve / Steam – Valve đã gửi thông báo vi phạm bắt đầu từ ngày 7 tháng 8 tới các khách hàng châu Âu đã đặt mua Steam Deck, Steam Controller hoặc Steam Machine, và dữ liệu của họ vẫn được Ceva lưu giữ (thường là các đơn hàng trong vòng 90 ngày trước đó) .

Loại dữ liệu cá nhân nào đã bị đánh cắp?

Những kẻ tấn công đã lấy được dữ liệu giao hàng và đơn hàng mà Ceva nắm giữ để thực hiện vận chuyển. Các trường dữ liệu bị lộ được nhiều hãng tin đưa tin một cách nhất quán bao gồm :

• Họ và tên
• Địa chỉ vật lý (nhà riêng và địa chỉ giao hàng)
• Số điện thoại
• Địa chỉ email
• Chi tiết đơn hàng (loại sản phẩm, mã đơn hàng, giá tiền)

Nhiều nguồn tin từ TechCrunch, Bleeping Computer và The Register xác nhận rằng dữ liệu tài chính – bao gồm số thẻ tín dụng, chi tiết tài khoản ngân hàng và thông tin đăng nhập – đã không bị xâm phạm, vì Ceva chưa bao giờ lưu trữ chúng . Tuy nhiên, việc lộ dữ liệu liên hệ và đơn hàng tạo ra nguy cơ cao về các cuộc tấn công lừa đảo có chủ đích (spear phishing) và kỹ thuật xã hội, một điểm mà Valve đã cảnh báo rõ ràng cho khách hàng của mình .

Tác động đến hoạt động: Tám nhà kho bị gián đoạn

Cuộc tấn công mạng đã gây ra hậu quả vật chất rõ rệt. Ceva xác nhận rằng các lô hàng đã bị tạm dừng hoặc chậm trễ đáng kể tại tám nhà kho châu Âu bị ảnh hưởng . Ceva tuyên bố rằng không có hệ thống nào khác trên toàn cầu bị ảnh hưởng và tất cả các hoạt động khác vẫn tiếp diễn mà không bị gián đoạn . Tính đến giữa tháng 8 năm 2026, công ty vẫn đang nỗ lực khôi phục toàn bộ hoạt động tại các địa điểm bị ảnh hưởng . Một số lô hàng đã bị hủy và tiến độ giao hàng vẫn không chắc chắn .

Phản ứng chính thức của Ceva

Ceva Logistics đã đưa ra một tuyên bố hạn chế trước công chúng, được chia sẻ với nhiều hãng tin. Công ty cho biết :

"Tác động đến hoạt động chỉ giới hạn ở tám nhà kho. Không có hệ thống CEVA nào khác trên toàn cầu bị ảnh hưởng và tất cả các hoạt động khác vẫn tiếp diễn mà không bị gián đoạn."

Ceva cũng tuyên bố không thể loại trừ khả năng dữ liệu cá nhân đã bị lộ và cuộc điều tra vẫn đang được tiến hành . Công ty từ chối tiết lộ các chi tiết kỹ thuật về vụ xâm nhập và tính đến thời điểm công bố, chưa có nhóm ransomware nào nhận trách nhiệm .

Cơ quan điều tra

• Cơ quan bảo vệ dữ liệu Hà Lan (Autoriteit Persoonsgegevens) – đã nhận được thông báo vi phạm Điều 33 từ ít nhất mười tổ chức, bao gồm tất cả các công ty bị ảnh hưởng được liệt kê ở trên .
• Cơ quan thực thi pháp luật quốc gia – vụ việc đang được điều tra bởi cảnh sát Hà Lan và các đơn vị tội phạm mạng khác, mặc dù họ chưa đưa ra tuyên bố công khai .
• Điều tra nội bộ – Ceva và từng công ty bị ảnh hưởng đang tiến hành các cuộc điều tra pháp y riêng .

Những điều khách hàng bị ảnh hưởng cần biết

• Tài khoản tài chính và mật khẩu của bạn an toàn – không có dữ liệu thanh toán hoặc thông tin đăng nhập nào bị lấy cắp.
• Cảnh giác với các âm mưu lừa đảo (phishing): Kẻ lừa đảo có thể sử dụng tên thật, địa chỉ và lịch sử đơn hàng của bạn để làm cho các cuộc tấn công trở nên hợp lý hơn. Valve đã đặc biệt cảnh báo khách hàng rằng kẻ tấn công có thể "trích dẫn lại địa chỉ của bạn để chứng minh họ là thật" và yêu cầu thanh toán hoặc đăng nhập – hãy coi tất cả các yêu cầu như vậy là giả mạo .
• Nếu bạn đã đặt hàng từ Bol, De Bijenkorf, cửa hàng điểm thưởng của ING, cửa hàng trực tuyến của Ajax, Ace & Tate hoặc phần cứng Steam ở châu Âu trong khoảng thời gian từ tháng 5 đến tháng 8 năm 2026, thông tin liên hệ giao hàng của bạn có thể đã bị lộ.

Vụ vi phạm Ceva là một lời nhắc nhở rõ ràng rằng một sự xâm phạm từ một nhà cung cấp duy nhất có thể lan rộng ra toàn bộ hệ sinh thái các thương hiệu đáng tin cậy, biến một sự cố hậu cần thành một sự kiện lộ dữ liệu trên diện rộng.