29 juillet 2026
CEVA Logistics
Entreprise Logistique / chaîne d’approvisionnement
Une intrusion a touché une partie des opérations de logistique contractuelle européenne de CEVA Logistics à compter du 29 juillet 2026 environ. CEVA a indiqué aux clients concernés que l’incident avait été identifié le 1er août, puis confirmé à la presse que l’impact opérationnel était limité à huit entrepôts européens.
La violation est devenue visible via les clients de CEVA. Des enseignes en aval et Valve, qui utilise CEVA pour expédier du matériel Steam en Europe, ont averti que des informations d’expédition détenues par CEVA avaient été consultées ou copiées. Aucun effectif public de personnes n’a été établi.
Faits datés dans le dossier public
Début de la fenêtre d’intrusion communiquée ensuite dans les avis et articles liés à Valve.
CEVA identifie l’intrusion, active des mesures de sécurité et informe les clients concernés. L’impact opérationnel est ensuite décrit comme limité à huit entrepôts européens.
Valve indique apprendre que des informations relatives à ses clients européens de matériel ont probablement été compromises. CEVA conservait les informations de livraison Valve jusqu’à 90 jours après une commande.
TechCrunch et d’autres médias détaillent l’impact multi-clients. Valve commence une information large de ses clients.
D’autres articles identifient d’autres enseignes touchées et indiquent que l’autorité néerlandaise de protection des données a reçu plusieurs notifications liées à l’incident CEVA.
Comment cela s’est passé
CEVA n’a pas publié de méthode d’accès initiale, de vulnérabilité, de famille de rançongiciel ni d’attaquant. La perturbation opérationnelle des entrepôts a conduit certains commentateurs à évoquer un rançongiciel ou un logiciel destructeur ; ce n’est pas une conclusion technique confirmée. Les faits de réponse confirmés sont que CEVA a isolé les systèmes concernés, activé ses protocoles et fait appel à des enquêteurs externes.
Ce qui a été exposé
Pour les clients Valve, les champs probablement exposés étaient le nom, l’adresse, le téléphone, l’e-mail, et le type de matériel ou les détails de commande. D’autres clients de CEVA ont signalé des ensembles comparables de données de livraison et de contact. Le volume total exact, tous clients confondus, est inconnu. Additionner les notifications de chaque entreprise ferait aussi courir un risque de double comptage.
Ce qui n’était pas dans le périmètre
Valve a indiqué que CEVA ne détient pas les données de paiement Steam, les mots de passe, les codes Steam Guard ni d’autres identifiants de compte Steam. CEVA a indiqué aux journalistes que les activités air, mer, terre et rail continuaient et que l’effet opérationnel identifié était limité à huit entrepôts.
Ce que cela a changé concrètement
La violation crée deux couches de risque. Sur le plan opérationnel, la perturbation des entrepôts peut retarder commandes, retours et remboursements. Sur le plan de la vie privée, un contexte de livraison volé permet des arnaques aux colis convaincantes : un criminel qui connaît l’adresse d’une victime et un achat récent de matériel peut plausiblement exiger un petit paiement de douane, des frais de réexpédition ou une vérification de compte.
Ce qui a suivi
CEVA a activé ses protocoles de sécurité, isolé les systèmes concernés et fait appel à des enquêteurs externes. Les clients en aval ont commencé à informer leurs propres clients et les autorités de protection des données. Valve a explicitement prévenu ses clients de s’attendre à de faux messages et indiqué qu’elle demandait à CEVA un compte rendu plus complet de ce qui avait été emporté et comment.
Ce que les suites ont modifié
L’enquête était encore en cours à la clôture de recherche du 16 août. La méthode technique, le nombre total de personnes concernées et le nombre définitif d’organisations clientes doivent être traités comme provisoires.
Dans leurs mots
attendez-vous à de faux messages
Original expect fake messages
Avis client Valve, rapporté le 10 août 2026
Considérez-les tous comme frauduleux.
Original Treat all of them as fake.
Avis client Valve, rapporté le 10 août 2026
Qu’est-ce que cela veut dire ?
- Identifiants
- Un couple identifiant / mot de passe, ou la clé équivalente utilisée par une application pour se connecter.