ANÁLISIS
CEVA Logistics, ocho almacenes parados: la interrupción contingente pasa por la logística
El 29 de julio de 2026 un ataque a CEVA Logistics detuvo al menos ocho almacenes europeos, bloqueando mercancías de clientes como Bol, de Bijenkorf y Valve y exponiendo datos de sus clientes finales. El análisis: mercancías bloqueadas en el almacén de otro, datos de clientes en el proveedor, el cúmulo en la logística y preguntas para las renovaciones.
Archivo: reconstrucción escrita en noviembre de 2026
Tema del mes de agosto de 2026 · por cybercoverinsurance
El 29 de julio de 2026 un ataque informático golpeó a CEVA Logistics, el grupo logístico controlado por la naviera francesa CMA CGM. Al menos ocho almacenes europeos se detuvieron y el 1 de agosto CEVA comunicó a sus clientes que las mercancías de esos centros no podían enviarse. Entre los clientes afectados estaban la tienda online neerlandesa Bol, los grandes almacenes de Bijenkorf y Valve, que entrega en Europa el hardware de Steam a través de CEVA. También quedaron expuestos datos de los clientes finales.
Para quien asume el riesgo cyber el caso es un ejemplo de interrupción de negocio contingente en la logística: empresas no atacadas que no pueden entregar porque sus mercancías están bloqueadas en el almacén de un proveedor. A ello se suma una vulneración de los datos de sus clientes, custodiados por el proveedor.
Lo que se sabe
El ataque. CEVA dijo a TechCrunch que el ataque probablemente empezó el 29 de julio. Al menos ocho almacenes en Europa resultaron afectados. CEVA opera en más de 170 países y el año anterior tuvo 18.300 millones de dólares de ingresos brutos (TechRadar). El 1 de agosto la empresa comunicó a sus clientes que las mercancías de los centros afectados no podían enviarse. No dio detalles técnicos ni nombró al atacante, y a mediados de agosto ningún grupo había reivindicado el ataque (Security Affairs).
Los clientes. Bol dijo que sus propios sistemas no se habían visto afectados, pero sí dos sistemas usados para gestionar pedidos en un centro de CEVA: las mercancías de ese centro se habían retirado de la venta y la restauración estaba tardando más de lo previsto. De Bijenkorf mantuvo abiertas sus tiendas, advirtiendo que los pedidos online, las devoluciones y los reembolsos podían ir más lentos. Valve explicó que CEVA conserva hasta 90 días los datos de entrega del hardware de Steam, y que probablemente se vieron comprometidos nombres, direcciones, teléfonos, correos y tipo y precio del producto (TechRadar).
Los datos. De Bijenkorf indicó que podían estar expuestos nombres, datos de contacto, datos de pedidos y en algunos casos números de IVA, pero no datos de pago ni contraseñas. La autoridad neerlandesa de protección de datos había recibido diez notificaciones de vulneración (TechRadar). Un vendedor en la dark web ofreció lo que presentó como la base de datos de CEVA, con listas de clientes, envíos, contratos, precios y datos bancarios; la afirmación no está confirmada (Security Affairs).
Lo que no se sabe. No se han hecho públicos el tipo de ataque, el autor, una posible petición de rescate, la duración de la parada de los almacenes ni el coste para CEVA y sus clientes.
Mercancías bloqueadas en el almacén de otro
El proveedor no informático. CEVA no es un proveedor de software ni de nube, sino un operador logístico. Para los clientes, la parada del almacén tiene el mismo efecto que una caída informática: sin envíos, sin ventas. Las coberturas de interrupción contingente limitadas a proveedores informáticos no responden.
Las mercancías bloqueadas. Bol retiró de la venta las mercancías del centro afectado (TechRadar). Para un vendedor online, la mercancía bloqueada en un almacén externo es facturación perdida hasta que el almacén se reactiva. El daño dura lo que dura la recuperación del proveedor, que el cliente no controla.
El periodo de indemnización depende del proveedor. La restauración del centro de Bol estaba tardando más de lo previsto (TechRadar). Para el asegurado, la duración del siniestro depende por completo de la respuesta de un tercero. Una cobertura de interrupción contingente con un periodo de indemnización corto puede no bastar.
Los datos de los clientes en el proveedor
La vulneración llega de fuera. Valve y de Bijenkorf tuvieron que avisar a sus propios clientes de una vulneración ocurrida en CEVA (TechRadar). Para el asegurado, las obligaciones de notificación siguen siendo suyas, aunque los datos estuvieran en manos de un proveedor.
El proveedor conserva más datos de los necesarios. CEVA conservaba los datos de entrega hasta 90 días (TechRadar). Cada día de conservación adicional aumenta el número de personas afectadas por una vulneración. Los contratos con proveedores logísticos deberían limitar la conservación a lo estrictamente necesario.
La acción de repetición contra el proveedor. Los clientes de CEVA podrían intentar recuperar costes de notificación y pérdidas. Los contratos logísticos suelen limitar la responsabilidad, y en logística los daños indirectos a menudo se excluyen o se limitan. Para el asegurador del cliente, la repetición es posible pero incierta.
El cúmulo en la logística
Un operador, muchos clientes. Ocho almacenes europeos de un solo operador servían a clientes distintos: comercio electrónico, grandes almacenes, electrónica de consumo (TechRadar). Para una cartera de empresas del comercio, un gran operador logístico es un punto de cúmulo como la nube.
El dato que rara vez se recoge. El cuestionario pregunta por los proveedores informáticos críticos, casi nunca por los operadores logísticos. Sin embargo, para muchos comercios el almacén externo es el proveedor del que depende toda la facturación.
El grupo naviero detrás. CEVA forma parte de CMA CGM (Security Affairs). El sector marítimo y logístico ha sido golpeado repetidamente en los últimos años, desde ataques a puertos hasta el caso n0n de octubre de 2026. El riesgo para los clientes se concentra en pocos grandes grupos.
Qué llevar a las renovaciones
Impacto para las aseguradorasMedio
Un ataque a CEVA Logistics detuvo al menos ocho almacenes europeos, bloqueando mercancías de clientes como Bol, de Bijenkorf y Valve y exponiendo datos de sus clientes finales.
En cuanto a la cartera, el caso CEVA sugiere recoger los nombres de los principales operadores logísticos de los asegurados del comercio y la industria, e incluir en las pruebas de cúmulo un escenario de parada de varios almacenes de un gran operador, con interrupción contingente y notificaciones de vulneración para muchos clientes a la vez.