Invasão da Ceva Logistics expôs dados de clientes em bancos, varejistas e compradores da Steam

Em 2026-08-10, o TechCrunch noticiou que a Ceva Logistics, gigante de transporte e logística sediada na França, com US$ 18,3 bilhões em receita em 2025 e mais de mil armazéns no mundo, havia sido invadida. A intrusão, que o site do setor FreightWaves datou de 29 de julho, afetou pelo menos oito armazéns na Europa usados para enviar mercadorias pelo continente e causou atrasos no envio de produtos nos locais afetados.

O ataque também se tornou um vazamento de dados para os clientes varejistas da Ceva: os hackers obtiveram nomes, endereços residenciais, números de telefone e endereços de e-mail de clientes a partir dos sistemas da Ceva. A varejista online holandesa Bol alertou seus clientes e previu atrasos e alguns pedidos cancelados; a De Bijenkorf confirmou atrasos em pedidos; a Ajax, o gigante bancário ING e a fabricante de óculos Ace & Tate relataram que informações de entrega de clientes foram afetadas. A Valve disse ter sabido em 7 de agosto que dados haviam sido obtidos e alertou compradores recentes de hardware da Steam, observando que a Ceva armazena suas informações de entrega por 90 dias após um pedido.

A Ceva confirmou a intrusão cibernética em 1º de agosto, em declarações a clientes afetados e ao TechCrunch, dizendo que seus protocolos de segurança foram ativados imediatamente e que o impacto ficou "limitado a oito armazéns", sem outros sistemas globais afetados. Seu porta-voz se recusou a dizer quanto dado pessoal foi obtido ou se houve pedido de resgate, e o site da empresa não carregava corretamente até a publicação. A autoridade holandesa de proteção de dados disse ter recebido relatos de violação de 10 organizações, e as autoridades holandesas estavam investigando.

Dados pessoais de clientes varejistas de pelo menos 10 organizações relatados ao regulador holandês; atrasos no envio e pedidos cancelados

Gigantes da logística se tornaram alvos privilegiados de cibercriminosos porque podem desviar caminhões e contêineres de mercadorias reais

Os sistemas da Ceva guardavam um único repositório compartilhado de dados de entrega de clientes varejistas de várias marcas, então uma única violação repercutiu em todas elas

A empresa manteve silêncio sobre escopo, resgate e volume de dados, enquanto os clientes tiveram de fazer as notificações

Quando você está no meio da cadeia de suprimentos de todo mundo, sua dívida de segurança se torna a violação de cada cliente

Até 2026-08-10, alguns aplicativos e serviços afetados da Ceva estavam de volta ao ar, uma investigação com as autoridades estava em andamento, e a autoridade holandesa de proteção de dados tinha relatos de violação de 10 organizações ligadas ao incidente.