2026年7月Ceva物流网络攻击事件：发生了什么，谁受影响，哪些数据被盗

哪些公司和客户受到影响？

涉及的所有品牌本身并未遭受直接攻击。相反，它们都共用Ceva作为第三方履约合作伙伴，这使得此次事件成为教科书式的供应链（或称第四方）数据事件。荷兰数据保护局（Autoriteit Persoonsgegevens）收到了来自至少十个独立组织的GDPR第33条违规通知。确认的受影响名单包括：

• Bol（荷兰最大的在线零售商） —— 于8月5日至6日警告客户，姓名、地址和电话号码可能已被泄露。事件发生后，Bol暂停了与Ceva的数据共享。
• De Bijenkorf（荷兰奢侈品百货公司） —— 于8月5日发出了类似警告。
• Ajax（阿姆斯特丹足球俱乐部） —— 于8月6日确认，其由Ceva处理的在线商店可能泄露了客户数据。
• ING（荷兰跨国银行） —— 报告称“物流合作伙伴发生网络事件”，影响了那些通过Ceva发货兑换实体商品的积分奖励计划客户。
• Ace & Tate（眼镜零售商） —— 通知客户，与包裹相关的个人数据可能已被访问。
• Valve / Steam硬件客户 —— Valve从8月7日开始向欧洲客户发送违规通知，这些客户曾订购Steam Deck、Steam Controller或Steam Machine，并且其数据仍由Ceva持有（通常为过去90天内的订单）。

哪些类型的个人数据被盗？

攻击者获取了Ceva为履行发货而持有的配送和订单数据。多家新闻媒体一致报道的泄露字段包括：

• 全名
• 实际地址（家庭和送货地址）
• 电话号码
• 电子邮件地址
• 订单详情（产品类型、订单号、价格）

来自TechCrunch、Bleeping Computer和The Register等多个信息源证实，财务数据——包括信用卡号、银行账户详情和登录凭证——并未泄露，因为Ceva从不存储这些信息。然而，联系方式和订单数据的泄露增加了遭受针对性钓鱼攻击和社会工程学攻击的风险，Valve明确向其客户警告了这一点。

运营影响：八个仓库运营中断

此次网络攻击造成了切实的物理影响。Ceva确认，受影响的那八个欧洲仓库的发货已被暂停或严重延迟。Ceva表示，全球其他系统未受影响，所有其他业务照常进行。截至2026年8月中旬，该公司仍在努力恢复受影响地点的全部运营。部分货物已被取消，配送时间表仍不确定。

Ceva的官方回应

Ceva Logistics发布了一份有限的公开声明，并分享给了多家新闻媒体。公司表示：

“运营影响仅限于八个仓库。全球其他Ceva系统均未受影响，所有其他业务照常进行，未受影响。”

Ceva还表示，不能排除个人数据已被泄露的可能性，调查仍在进行中。该公司拒绝透露关于入侵的技术细节，截至发稿时，尚无勒索软件组织宣称对此次事件负责。

调查机构

• 荷兰数据保护局（Autoriteit Persoonsgegevens） —— 已收到来自至少十个组织的第33条违规通知，包括上述所有受影响的公司。
• 国家执法部门 —— 荷兰警方和其他网络犯罪部门正在调查此次入侵事件，但他们尚未发表公开声明。
• 内部取证 —— Ceva和每家受影响公司都在进行各自的内部取证调查。

给受影响客户的关键提示

• 您的财务账户和密码是安全的——没有支付数据或登录凭证被盗。
• 警惕钓鱼尝试：诈骗者可能会利用您的真实姓名、地址和订单历史来使骗局显得可信。Valve明确警告客户，攻击者可能会“向您复述您的地址”，并要求您付款或登录——请将此类请求全部视为诈骗。
• 如果您在2026年5月至8月左右曾从Bol、De Bijenkorf、ING的奖励商店、Ajax的在线商店、Ace & Tate或在欧洲购买过Steam硬件，您的配送联系方式可能已被泄露。

Ceva事件是一个鲜明的警示：单一供应商的攻破会像涟漪一样波及整个信任品牌生态系统，将物流故障转变为大规模的数据泄露事件。