Ceva Logistics 2026年7月網路攻擊：一樁供應鏈資安事件如何波及 Steam、ING、Bol、Ajax 等多家知名品牌

哪些公司與客戶受到影響？

受波及的品牌本身並未遭到直接入侵。它們共同的交集點是 Ceva——這家第三方物流合作夥伴，因此這是一起典型的供應鏈（或稱第四方）資料事件。荷蘭資料保護主管機關（Autoriteit Persoonsgegevens）至少收到了10個不同組織的 GDPR 第33條通報 。已確認受影響的公司包括：

• Bol（荷蘭最大線上零售商）—— 於8月5日至6日警告客戶，其姓名、地址和電話號碼可能已遭外洩 。事後，Bol 暫停了與 Ceva 的資料共享 。
• De Bijenkorf（荷蘭高級百貨公司）—— 於8月5日發出類似警告 。
• Ajax（阿姆斯特丹足球俱樂部）—— 8月6日確認，其由 Ceva 處理的線上商店可能導致客戶資料外洩 。
• ING（荷蘭跨國銀行）—— 通報發生「物流合作夥伴的網路事件」，影響對象為那些曾在 ING 兌換忠誠點數以換取由 Ceva 運送之實體商品的客戶 。
• Ace & Tate（眼鏡零售商）—— 通知客戶，與包裹相關的個人資料可能已被存取 。
• Valve / Steam 硬體客戶—— Valve 從8月7日開始，向那些曾訂購 Steam Deck、Steam Controller 或 Steam Machine，且其資料仍保存在 Ceva（通常是近90天內的訂單）的歐洲客戶發送外洩通知 。

哪些個人資料被竊取？

攻擊者取得了 Ceva 為履行運送訂單而持有的配送與訂單資料。多家新聞媒體一致報導的外洩欄位包括 ：

• 全名
• 實體地址（家庭與運送地址）
• 電話號碼
• 電子郵件地址
• 訂單詳細資訊（產品類型、訂單編號、價格）

來自 TechCrunch、Bleeping Computer 和 The Register 等多個消息來源都確認，金融資料（包括信用卡號碼、銀行帳戶詳細資訊和登入憑證）並未外洩，因為 Ceva 從未儲存這些資料 。然而，聯絡資訊與訂單資料的外洩，會增加遭受針對性釣魚攻擊和社交工程攻擊的風險，Valve 已明確向客戶提出這項警告 。

營運衝擊：8座倉庫運作中斷

這起網路攻擊造成了具體的實體影響。Ceva 證實，受影響的8座歐洲倉庫的出貨作業已暫停或嚴重延遲 。Ceva 表示，全球其他系統未受影響，所有其他業務均正常運作 。截至2026年8月中旬，該公司仍在努力恢復受影響據點的全部運作 。部分訂單已遭取消，配送時程仍不明朗 。

Ceva 的官方回應

Ceva Logistics 發布了一份簡短的公開聲明，並向多家媒體提供。該公司表示 ：

「營運影響僅限於8座倉庫。Ceva 全球其他系統均未受影響，所有其他業務將持續運作，不受干擾。」

Ceva 也表示，無法排除個人資料已遭外洩的可能性，調查仍在進行中 。該公司拒絕透露入侵的技術細節，截至本報導發布，尚無任何勒索軟體團體出面宣稱對此事件負責 。

調查中的主管機關

• 荷蘭資料保護主管機關（Autoriteit Persoonsgegevens） —— 已收到至少10個組織的 GDPR 第33條通報，其中包括上述所有受影響的公司 。
• 國家執法機關 —— 荷蘭警方與其他網路犯罪單位正在調查此事件，但目前尚未公開發表評論 。
• 內部鑑識調查 —— Ceva 及每家受影響的公司均正在進行各自的內部鑑識調查 。

受影響客戶的關鍵須知

• 您的金融帳戶和密碼是安全的 —— 沒有付款資料或登入憑證被盜。
• 請對釣魚攻擊保持警覺：詐騙者可能利用您真實的姓名、地址和訂單歷史來取信於您。Valve 已明確警告客戶，攻擊者可能會「引用您的地址來說服您」，並要求您付款或登入——請將所有這類要求視為詐騙 。
• 若您在2026年5月至8月間，曾於 Bol、De Bijenkorf、ING 的獎勵商店、Ajax 線上商店、Ace & Tate 或 Steam 硬體商店（歐洲地區）下單，您的配送聯絡資料可能已遭外洩。

Ceva 資料外洩事件是一個鮮明的警示：單一供應商的資安破口，足以在整個信賴品牌生態系統中引發連鎖效應，將物流問題轉變為大規模的資料曝光事件。