Ceva Logistics 七月網絡攻擊：一次供應鏈漏洞波及 Steam、ING、Bol、Ajax 等多間企業

邊啲公司同客戶受影響？

涉事嘅品牌全部都唔係直接被駭。佢哋嘅共通點係都共用 Ceva 作為第三方物流合作夥伴，所以呢單係典型嘅供應鏈（或者叫第四方）數據事故。荷蘭資料保護局（Autoriteit Persoonsgegevens）收到至少十間機構嘅 GDPR 第 33 條洩漏報告 。已確認受影響嘅清單包括：

• Bol（荷蘭最大網購平台）——喺 8 月 5 日至 6 日期間警告客戶，話姓名、地址同電話號碼可能已經外洩 。Bol 事後暫停咗同 Ceva 嘅數據共享 。
• De Bijenkorf（荷蘭高級百貨公司）——喺 8 月 5 日發出類似警告 。
• Ajax（阿姆斯特丹足球會）——喺 8 月 6 日確認，由 Ceva 處理嘅網上商店可能洩漏咗客戶資料 。
• ING（荷蘭跨國銀行）——通報咗「物流合作夥伴發生網絡事故」，受影響嘅係用積分兌換由 Ceva 運送實體產品嘅客戶 。
• Ace & Tate（眼鏡零售商）——通知客戶，包裹相關嘅個人資料可能已被存取 。
• Valve / Steam 硬件客戶——Valve 由 8 月 7 日開始向歐洲客戶發出洩漏通知，受影響嘅係訂購過 Steam Deck、Steam Controller 或 Steam Machine 嘅客戶，而資料仍然由 Ceva 保留（通常係近 90 日內嘅訂單）。

邊類個人資料被竊？

黑客取得咗 Ceva 為處理送貨而儲存嘅送貨同訂單數據。多個新聞媒體一致報告，受影響嘅資料包括 ：

• 全名
• 實體地址（屋企同送貨地址）
• 電話號碼
• 電郵地址
• 訂單詳情（產品類型、訂單編號、價錢）

來自 TechCrunch、Bleeping Computer 同 The Register 等多個來源確認，財務資料——包括信用卡號碼、銀行戶口資料同登入憑證——無受到影響，因為 Ceva 從來唔儲存呢類資料 。不過，聯絡資料同訂單資料外洩會增加針對性釣魚同社交工程攻擊嘅風險，Valve 特別就此向客戶發出警告 。

運作影響：八個倉庫受阻

呢次網絡攻擊有實質嘅物理影響。Ceva 確認，喺八個受影響嘅歐洲倉庫，出貨被迫暫停或者出現嚴重延誤 。Ceva 表示全球其他系統無受影響，所有其他業務繼續正常運作 。截至 2026 年 8 月中，公司仍然喺度努力恢復受影響地點嘅全面運作 。部分貨件要取消，送貨時間表仲未明朗 。

Ceva 嘅官方回應

Ceva Logistics 發咗一份有限度嘅公開聲明，向多間新聞媒體提供。公司話 ：

「運作影響只限於八個倉庫。全球冇其他 CEVA 系統受影響，所有其他業務繼續正常運作，無間斷。」

Ceva 亦表示無法排除個人資料已經外洩嘅可能性，調查仍然進行中 。公司拒絕透露入侵嘅技術細節，截至報導刊登時，亦無任何勒索軟件組織承認責任 。

調查緊嘅部門

• 荷蘭資料保護局（Autoriteit Persoonsgegevens）——收到至少十間機構嘅第 33 條洩漏通知，包括以上列出嘅所有受影響公司 。
• 國家執法機關——荷蘭警方同其他網絡犯罪部門正調查事件，不過未有公開聲明 。
• 內部鑑證——Ceva 同每間受影響公司各自進行緊內部鑑證調查 。

受影響客戶嘅重點須知

• 你嘅財務戶口同密碼係安全嘅——無任何付款資料或登入憑證被盜。
• 要提防釣魚攻擊：騙徒可能會用你嘅真實姓名、地址同訂單紀錄嚟扮得有說服力。Valve 特別警告客戶，黑客可能會「引用你嘅地址嚟證明自己係真嘅」，然後要求你付款或登入——所有呢類要求都當係假嘅 。
• 如果你喺 2026 年 5 月至 8 月期間喺歐洲嘅 Bol、De Bijenkorf、ING 積分商店、Ajax 網上商店、Ace & Tate 或者 Steam 硬件訂購過嘢，你嘅送貨聯絡資料可能已經外洩。

Ceva 嘅事件係一個強烈嘅提醒：單一供應商受到攻擊，可以引發連鎖反應，影響整個信賴品牌生態系統，將一次物流故障變成大規模嘅資料外洩事件。