ANALYSES
CEVA Logistics, huit entrepôts arrêtés : la carence de fournisseur passe par la logistique
Le 29 juillet 2026, une attaque contre CEVA Logistics a arrêté au moins huit entrepôts européens, bloquant les marchandises de clients comme Bol, de Bijenkorf et Valve et exposant des données de leurs clients finaux. L'analyse : des marchandises bloquées chez un autre, les données des clients chez le prestataire, le cumul dans la logistique et des questions pour les renouvellements.
Archives : reconstitution rédigée en novembre 2026
Thème du mois d'août 2026 · par cybercoverinsurance
Le 29 juillet 2026, une cyberattaque a frappé CEVA Logistics, le groupe logistique contrôlé par l'armateur français CMA CGM. Au moins huit entrepôts européens se sont arrêtés et, le 1er août, CEVA a informé ses clients que les marchandises stockées sur ces sites ne pouvaient pas être expédiées. Parmi les clients touchés figuraient le site de vente en ligne néerlandais Bol, les grands magasins de Bijenkorf et Valve, qui livre en Europe le matériel Steam par l'intermédiaire de CEVA. Des données de clients finaux ont aussi été exposées.
Pour qui porte le risque cyber, le cas illustre la carence de fournisseur dans la logistique : des entreprises non attaquées qui ne peuvent pas livrer parce que leurs marchandises sont bloquées dans l'entrepôt d'un prestataire. S'y ajoute une violation des données de leurs clients, détenues par le prestataire.
Ce que l'on sait
L'attaque. CEVA a déclaré à TechCrunch que l'attaque avait probablement commencé le 29 juillet. Au moins huit entrepôts en Europe ont été touchés. CEVA opère dans plus de 170 pays et a réalisé l'année précédente 18,3 milliards de dollars de chiffre d'affaires brut (TechRadar). Le 1er août, l'entreprise a informé ses clients que les marchandises des sites touchés ne pouvaient pas être expédiées. Elle n'a donné aucun détail technique ni nommé l'attaquant, et à la mi-août aucun groupe n'avait revendiqué l'attaque (Security Affairs).
Les clients. Bol a indiqué que ses propres systèmes n'avaient pas été touchés, mais que deux systèmes servant à traiter les commandes sur un site de CEVA l'avaient été : les marchandises de ce site avaient été retirées de la vente et le rétablissement prenait plus de temps que prévu. De Bijenkorf a gardé ses magasins ouverts, en prévenant que les commandes en ligne, les retours et les remboursements pourraient être plus lents. Valve a expliqué que CEVA conserve jusqu'à 90 jours les données de livraison du matériel Steam, et que les noms, adresses, numéros de téléphone, adresses électroniques ainsi que le type et le prix des produits avaient probablement été compromis (TechRadar).
Les données. De Bijenkorf a indiqué que des noms, coordonnées, données de commande et dans certains cas des numéros de TVA pouvaient être exposés, mais pas les données de paiement ni les mots de passe. L'autorité néerlandaise de protection des données avait reçu dix notifications de violation (TechRadar). Un vendeur sur le dark web a proposé ce qu'il présentait comme la base de données de CEVA, avec listes de clients, expéditions, contrats, prix et coordonnées bancaires ; l'affirmation n'est pas confirmée (Security Affairs).
Ce que l'on ne sait pas. Le type d'attaque, son auteur, une éventuelle demande de rançon, la durée de l'arrêt des entrepôts et le coût pour CEVA et ses clients n'ont pas été rendus publics.
Des marchandises bloquées chez un autre
Le prestataire non informatique. CEVA n'est pas un fournisseur de logiciels ou de cloud, mais un opérateur logistique. Pour les clients, l'arrêt de l'entrepôt a le même effet qu'une panne informatique : pas d'expéditions, pas de ventes. Les garanties de carence limitées aux fournisseurs informatiques ne jouent pas.
Les marchandises bloquées. Bol a retiré de la vente les marchandises du site touché (TechRadar). Pour un vendeur en ligne, la marchandise bloquée dans un entrepôt externe est un chiffre d'affaires perdu jusqu'au redémarrage de l'entrepôt. Le dommage dure autant que le rétablissement du prestataire, que le client ne maîtrise pas.
La période d'indemnisation dépend du prestataire. Le rétablissement du site de Bol prenait plus de temps que prévu (TechRadar). Pour l'assuré, la durée du sinistre dépend entièrement de la réaction d'un tiers. Une garantie de carence avec une période d'indemnisation courte peut ne pas suffire.
Les données des clients chez le prestataire
La violation vient de l'extérieur. Valve et de Bijenkorf ont dû prévenir leurs propres clients d'une violation survenue chez CEVA (TechRadar). Pour l'assuré, les obligations de notification restent les siennes, même si les données étaient détenues par un prestataire.
Le prestataire conserve plus de données que nécessaire. CEVA conservait les données de livraison jusqu'à 90 jours (TechRadar). Chaque jour de conservation supplémentaire augmente le nombre de personnes concernées par une violation. Les contrats avec les prestataires logistiques devraient limiter la conservation au strict nécessaire.
Le recours contre le prestataire. Les clients de CEVA pourraient chercher à récupérer les coûts de notification et les pertes. Les contrats logistiques limitent généralement la responsabilité, et la logistique exclut ou plafonne souvent les dommages indirects. Pour l'assureur du client, le recours est possible mais incertain.
Le cumul dans la logistique
Un opérateur, de nombreux clients. Huit entrepôts européens d'un seul opérateur servaient des clients différents : commerce en ligne, grands magasins, électronique grand public (TechRadar). Pour un portefeuille d'entreprises du commerce, un grand opérateur logistique est un point de cumul comme le cloud.
La donnée rarement recueillie. Le questionnaire porte sur les fournisseurs informatiques critiques, presque jamais sur les opérateurs logistiques. Pourtant, pour de nombreux commerçants, l'entrepôt externe est le prestataire dont dépend tout le chiffre d'affaires.
Le groupe maritime derrière. CEVA fait partie de CMA CGM (Security Affairs). Le secteur maritime et logistique a été frappé à plusieurs reprises ces dernières années, des attaques contre des ports jusqu'au cas n0n d'octobre 2026. Le risque pour les clients se concentre sur quelques grands groupes.
Ce qu'il faut apporter aux renouvellements
Impact pour les assureursMoyen
Une attaque contre CEVA Logistics a arrêté au moins huit entrepôts européens, bloquant les marchandises de clients comme Bol, de Bijenkorf et Valve et exposant des données de leurs clients finaux.
Côté portefeuille, le cas CEVA suggère de recueillir les noms des principaux opérateurs logistiques des assurés du commerce et de l'industrie, et d'intégrer aux tests de cumul un scénario d'arrêt de plusieurs entrepôts d'un grand opérateur, avec carence de fournisseur et notifications de violation pour de nombreux clients à la fois.