ANALISI
CEVA Logistics, otto magazzini fermi: l'interruzione da dipendenza passa dalla logistica
Il 29 luglio 2026 un attacco a CEVA Logistics ha fermato almeno otto magazzini europei, bloccando le merci di clienti come Bol, de Bijenkorf e Valve ed esponendo dati dei loro clienti. L'analisi: merci ferme nel magazzino di un altro, dati dei clienti presso il fornitore, cumulo sulla logistica e domande per i rinnovi.
Archivio: ricostruzione scritta a novembre 2026
Tema del mese di agosto 2026 · di cybercoverinsurance
Il 29 luglio 2026 un attacco informatico ha colpito CEVA Logistics, il gruppo logistico controllato dall'armatore francese CMA CGM. Almeno otto magazzini europei si sono fermati e il 1° agosto CEVA ha avvisato i clienti che le merci ferme in quei siti non potevano essere spedite. Tra i clienti colpiti ci sono il negozio online olandese Bol, i grandi magazzini de Bijenkorf e Valve, che tramite CEVA consegna in Europa l'hardware di Steam. Sono stati esposti anche dati dei clienti finali.
Per chi assume il rischio cyber il caso è un esempio di interruzione da dipendenza nella logistica: aziende che non sono state attaccate, ma non possono consegnare perché le loro merci sono ferme nel magazzino di un fornitore. A questo si aggiunge la violazione di dati dei loro clienti, gestiti dal fornitore.
Cosa si sa
L'attacco. CEVA ha detto a TechCrunch che l'attacco è iniziato con ogni probabilità il 29 luglio. Almeno otto magazzini in Europa sono stati colpiti. CEVA opera in oltre 170 Paesi e ha avuto 18,3 miliardi di dollari di ricavi lordi l'anno precedente (TechRadar). Il 1° agosto la società ha comunicato ai clienti che le merci nei siti colpiti non potevano essere spedite. Non ha fornito dettagli tecnici né indicato l'autore, e nessun gruppo aveva rivendicato l'attacco a metà agosto (Security Affairs).
I clienti. Bol ha detto che i propri sistemi non erano stati toccati, ma due sistemi usati per gestire gli ordini in un sito CEVA erano stati colpiti: le merci in quel sito erano state tolte dalla vendita e il ripristino richiedeva più tempo del previsto. De Bijenkorf ha tenuto aperti i negozi, avvertendo che ordini online, resi e rimborsi potevano essere più lenti. Valve ha spiegato che CEVA conserva i dati di consegna dell'hardware di Steam fino a 90 giorni, e che nomi, indirizzi, telefoni, email e tipo e prezzo dei prodotti erano probabilmente compromessi (TechRadar).
I dati. De Bijenkorf ha indicato che nomi, recapiti, dati degli ordini e in alcuni casi numeri di partita IVA potevano essere esposti, ma non dati di pagamento o password. L'autorità olandese per la protezione dei dati aveva ricevuto dieci notifiche di violazione (TechRadar). Un venditore sul dark web ha messo in vendita quella che diceva essere la banca dati di CEVA, con elenchi clienti, spedizioni, contratti, prezzi e dati bancari; la rivendicazione non è stata confermata (Security Affairs).
Cosa non è noto. Il tipo di attacco, l'autore, l'eventuale richiesta di riscatto, la durata del fermo dei magazzini e il costo per CEVA e per i clienti non sono stati resi pubblici.
Merci ferme nel magazzino di un altro
Il fornitore non informatico. CEVA non è un fornitore di software o di cloud, ma un operatore logistico. Per i clienti, il fermo del magazzino ha lo stesso effetto di un fermo informatico: niente spedizioni, niente vendite. Le garanzie di interruzione da dipendenza che coprono solo i fornitori informatici non rispondono.
Le merci bloccate. Bol ha tolto dalla vendita le merci ferme nel sito colpito (TechRadar). Per un venditore online, la merce bloccata in un magazzino esterno è fatturato perso finché il magazzino non riparte. Il danno dura quanto il ripristino del fornitore, che il cliente non controlla.
Il periodo di indennizzo dipende dal fornitore. Il ripristino del sito di Bol richiedeva più del previsto (TechRadar). Per l'assicurato, la durata del sinistro dipende interamente dalla risposta di un terzo. Una garanzia di interruzione da dipendenza con un periodo di indennizzo breve può non bastare.
I dati dei clienti presso il fornitore
La violazione arriva da fuori. Valve e de Bijenkorf hanno dovuto avvertire i propri clienti di una violazione avvenuta presso CEVA (TechRadar). Per l'assicurato, gli obblighi di notifica restano suoi, anche se i dati erano custoditi da un fornitore.
Il fornitore conserva più dati del necessario. CEVA conservava i dati di consegna fino a 90 giorni (TechRadar). Ogni giorno di conservazione in più aumenta il numero di persone coinvolte in una violazione. I contratti con i fornitori logistici dovrebbero limitare la conservazione allo stretto necessario.
La rivalsa sul fornitore. I clienti di CEVA possono cercare di recuperare costi di notifica e perdite. I contratti logistici limitano di solito la responsabilità, e la logistica spesso esclude o limita i danni indiretti. Per l'assicuratore del cliente, la rivalsa è possibile ma incerta.
Il cumulo sulla logistica
Un operatore, molti clienti. Otto magazzini europei di un solo operatore servivano clienti diversi: commercio elettronico, grandi magazzini, elettronica di consumo (TechRadar). Per un portafoglio di aziende del commercio, un grande operatore logistico è un punto di cumulo come il cloud.
Il dato raramente raccolto. Il questionario chiede dei fornitori informatici critici, quasi mai degli operatori logistici. Eppure per molte aziende di commercio il magazzino esterno è il fornitore da cui dipende tutto il fatturato.
Il gruppo armatoriale alle spalle. CEVA fa parte di CMA CGM (Security Affairs). Il settore marittimo e logistico è stato colpito più volte negli ultimi anni, dagli attacchi ai porti al caso n0n di ottobre 2026. Il rischio per i clienti si concentra su pochi grandi gruppi.
Cosa portare ai rinnovi
Impatto per gli assicuratoriMedio
Un attacco a CEVA Logistics ha fermato almeno otto magazzini europei, bloccando le merci di clienti come Bol, de Bijenkorf e Valve ed esponendo dati dei loro clienti finali.
Sul fronte del portafoglio, il caso CEVA suggerisce di raccogliere il nome dei principali operatori logistici degli assicurati del commercio e dell'industria, e di includere nei test di cumulo uno scenario di fermo di più magazzini di un grande operatore, con interruzione da dipendenza e notifiche di violazione per molti clienti insieme.