Ceva Logisticsへのハッキングで銀行・小売業者・Steam購入者の顧客データが流出

2026年8月10日、TechCrunchは、2025年の売上高が183億ドルで世界に千以上の倉庫を持つフランス本社の海運・物流大手Ceva Logisticsがハッキングされたと報じた。業界サイトFreightWavesが7月29日と特定したこの侵入は、欧州全土で商品の出荷に使われている少なくとも8つの倉庫に影響を与え、影響を受けた拠点の商品に配送遅延を引き起こした。

この攻撃はCevaの小売顧客にとってもデータ侵害となった。ハッカーはCevaのシステムから顧客の氏名、自宅住所、電話番号、メールアドレスを取得した。オランダのオンライン小売業者Bolは顧客に警告し、遅延と一部注文のキャンセルを見込んだ。De Bijenkorfは注文の遅延を確認した。Ajax、銀行大手ING、眼鏡メーカーAce & Tateはいずれも顧客の配送情報が影響を受けたと報告した。Valveは8月7日にデータが取得されたことを知り、最近Steamのハードウェアを購入した顧客に警告したと述べ、Cevaが注文後90日間配送情報を保存していると指摘した。

Cevaは8月1日、影響を受けた顧客とTechCrunchへの声明でサイバー侵入を認め、セキュリティプロトコルを直ちに起動したと述べ、影響は「8つの倉庫に限定」され、他のグローバルシステムには影響がないとした。同社の広報担当者は、どれだけの個人データが取得されたか、身代金要求が届いたかどうかについては明らかにしなかった。また、公開時点で同社のウェブサイトは適切に読み込まれていなかった。オランダのデータ保護当局は10の組織から侵害報告を受けたと述べ、オランダ当局が調査を行っていた。

オランダの規制当局に報告された少なくとも10組織の小売顧客の個人データ、配送遅延と注文キャンセル

物流大手は、実在する商品を積んだトラックやコンテナを転用できるため、サイバー犯罪者の主要な標的となっている

Cevaのシステムは多くのブランドにまたがる小売顧客の配送データを一つの共有ストアに保持していたため、一度の侵害がそのすべてに波及した

同社は影響範囲、身代金、データ量について口を閉ざしたままで、顧客側が通知を行わなければならなかった

あらゆる企業のサプライチェーンの中心に位置する場合、自社のセキュリティ上の負債はすべての顧客の侵害となる

2026年8月10日時点で、影響を受けたCevaのアプリケーションとサービスの一部はオンラインに復旧し、当局との調査が進行中であり、オランダのデータ保護当局はこの事案に関連する10の組織から侵害報告を受けていた。