L’attacco informatico che tra il 29 e il 30 luglio 2026 ha colpito Ceva Logistics sta mostrando conseguenze sempre più ampie e ad agosto la catena delle catena delle notifiche ai clienti finali non si è ancora chiusa. Il 17 e il 18 agosto Pokémon Center ha avvisato i propri acquirenti in Regno Unito e Germania che nomi, indirizzi postali, numeri di telefono, indirizzi email e dettagli degli ordini effettuati su PokemonCenter.com sono stati esposti nell'intrusione informatica subita a fine luglio dalla controllata di logistica contrattuale del gruppo Cma Cgm. Il rivenditore ha precisato che i propri sistemi non sono stati violati e che Ceva non dispone dei dati delle carte di pagamento.
Alla lista dei soggetti colpiti a valle si è aggiunto anche un centro di distribuzione di About You, la piattaforma di commercio elettronico passata l'anno scorso sotto il controllo di Zalando, che ha spostato altrove le proprie attività per contenere le interruzioni, informato i clienti potenzialmente coinvolti e trasmesso le segnalazioni alle Autorità competenti, senza rendere noti né i numeri né la tipologia dei dati interessati. Il dettaglio corregge il quadro dei primi giorni, quando Zalando non risultava tra i clienti olandesi toccati dall'incidente. Secondo una ricostruzione di Rtl Nieuws, le aziende coinvolte sarebbero almeno dodici, contro le sei o sette individuate nella prima settimana, con notevoli ritardi nelle consegne.
L'Autoriteit Persoonsgegevens, il Garante olandese per la protezione dei dati, sarebbe stata informata dell’intrusione il 3 agosto e ha ricevuto notifiche di violazione da almeno dieci organizzazioni distinte, ciascuna nella propria qualità di titolare del trattamento rispetto a un unico responsabile compromesso. La finestra temporale dei dati esposti dipende dalle politiche della loro conservazione: Ceva mantiene le informazioni di consegna fino a novanta giorni dopo l'ordine, elemento che l'informativa di Valve ha reso esplicito e che nel caso di Pokémon Center non è stato precisato. Per i clienti aziendali olandesi di De Bijenkorf si aggiunge un profilo specifico, legato al prelievo delle partite Iva: nelle numerazioni più datate dei lavoratori autonomi il codice identificativo nazionale è incorporato nella partita Iva stessa. Secondo una lettera interna firmata dal manager Joeri de Vaan e trapelata alla rivista di settore Ttm, l'incidente potrebbe inoltre riguardare i dati personali di dipendenti e lavoratori somministrati di Ceva.
Sulla destinazione dei dati sottratti, le informazioni divergono. Rtl Nieuws ha documentato già il 5 e 6 agosto la presenza di un database con informazioni di clienti Bol e De Bijenkorf in vendita su più forum del dark web, mentre Ceva sostiene che quel materiale contenga dati risalenti al 2025 e una fonte vicina all'azienda ha dichiarato al quotidiano Ad che le informazioni dei clienti non sarebbero finite nel dark web. Questo è un punto importante, perché nomi e indirizzi di residenza prelevati si possono usare anche a distanza di mesi per campagne di phishing costruite sulla cronologia degli acquisti e questa è la ragione per cui Valve, nella propria informativa, ha messo in guardia dai messaggi che citano l'indirizzo esatto del destinatario per accreditarsi come autentici e chiedono di confermare una consegna o di pagare piccoli importi di sdoganamento. Sul perimetro dell’attacco, resta confermato finora che solo interessa otto magazzini europei di logistica contrattuale, mentre le attività di trasporto aereo, marittimo, stradale e ferroviario del gruppo hanno continuato a funzionare regolarmente.
Questo non è il primo episodio che riguarda Ceva Logistics. Il gruppo di hacker Coinbase Cartel ha rivendicato due attacchi contro la società di logistica nel 2025. È una formazione attiva da settembre 2025, che opera per sola esfiltrazione senza cifratura dei sistemi e ha rivendicato oltre cento attacchi. Secondo The Loadstar, questo gruppo averebbe colpito altre società di logistica, tra cui Dsv, Kuehne + Nagel e operatori minori. Bisogna comunque ricordare che per l'incidente di luglio nessun gruppo ha finora avanzato rivendicazioni e che l'ipotesi di un'origine nordcoreana circolata su canali social non trova riscontro in alcuna fonte.
Intanto questo caso ha rilanciato il dibattito sul rischio di concentrazione presso i fornitori terzi di logistica. Ceva Logistics gestisce oltre mille siti in più di 170 Paesi e ha chiuso il 2025 con ricavi per 18,3 miliardi di dollari (circa 16 miliardi di euro), una scala che la rende nodo condiviso da decine di marchi nel commercio elettronico, nella moda, nel settore bancario e in quello video-ludico. La società di consulenza Conscia inquadra l'episodio come caso di concentration risk: un singolo compromesso tecnico presso un fornitore condiviso si è propagato su clienti di settori eterogenei che non sono mai stati violati direttamente, spostando la valutazione dei fornitori 3PL dalla sola resilienza operativa alla postura di cibersicurezza dei sistemi di gestione di magazzino e ordini.
