CEVA Logistics: ataque à cadeia de fornecimento expõe clientes de Bol, Steam e mais

O ataque à CEVA Logistics é um incidente de cadeia de fornecimento clássico: o alvo primário é o operador logístico, mas o impacto recai sobre uma pluralidade de marcas de varejo e seus consumidores finais — que não têm nenhuma relação direta com a CEVA e não têm como saber que seus dados de entrega estavam armazenados ali. A CEVA é subsidiária integral do grupo CMA CGM, terceiro maior armador do mundo, e opera mais de 1.700 instalações em 170 países. O segmento afetado — contract logistics europeu — concentra warehousing e fulfillment de e-commerce para marcas como Bol, Zalando, De Bijenkorf e outras, conforme o próprio site da empresa.

A janela de acesso declarada é de quatro dias (29 de julho a 1.º de agosto). O fato de a CEVA ter conseguido isolar os sistemas nesse período é relevante — mas a contenção não impediu a exfiltração de dados de entrega de múltiplos clientes. O número de armazéns afetados (oito) é consistente entre todas as fontes e foi confirmado pela própria CEVA, o que eleva a credibilidade desse número. O que a CEVA não confirmou: o vetor de entrada, a quantidade de registros exfiltrados, se houve demanda de resgate, e a identidade do atacante.

A hipótese ransomware/malware destrutivo é razoável pela disrupção física dos armazéns — sistemas foram desligados, estoques foram retirados de venda, e a restauração ainda estava incompleta em 6 de agosto, cinco dias após o isolamento. Empresas não desligam infraestrutura de warehouse sem motivo operacional grave; isso aponta para infecção de sistemas de OT ou de ERP/WMS que controlam os armazéns. Mas isso é inferência analítica — não confirmação.

Um elemento que a maioria das coberturas não destacou: a CEVA já havia sido alvo reivindicado pelo grupo Coinbase Cartel em setembro de

2025. A alegação daquele grupo foi tratada com ceticismo por pesquisadores (há registro de X/Hackmanac de que o grupo possivelmente reempacotava dados de vazamentos anteriores), mas o SOCRadar registrou a alegação com confiança de 85% e status 'claimed'. A pergunta que permanece sem resposta é se a intrusão de julho-agosto de 2026 tem alguma relação com aquele evento anterior — seja pela reutilização de credenciais nunca rotacionadas, acesso persistente deixado em 2025, ou atacante completamente diferente que explorou as mesmas fraquezas.

A AP holandesa confirmou receber notificações de dez organizações distintas — número que pode crescer. A De Bijenkorf teve de suspender praticamente todos os pedidos online (apenas produtos em estoque físico ficaram disponíveis até 4 de setembro, segundo comunicado interno). Para o Bol, o armazém afetado (Veerweg) foi isolado, produtos saíram do ar e a empresa suspendeu recebimento de fornecedores naquela localidade. Valve, de forma notável, foi mais transparente que a CEVA: descreveu exatamente quais campos de dados foram afetados, declarou o que não foi comprometido (senha, Steam Guard, dados de pagamento) e avisou clientes sobre o risco concreto de phishing direcionado.

A venda dos dados em fórum de dark web — reportada pelo RTL Nieuws e corroborada por alegação de ator não identificado usando alias 'Jeffrey Epstein' de comercializar registros de 400 mil clientes belgas da Bol — é um sinal de que a exfiltração foi bem-sucedida e que os dados já estão em circulação. A autenticidade da amostra publicada para validar essa alegação não foi confirmada por nenhuma fonte com acesso técnico.

Ao menos seis organizações confirmaram exposição de dados de clientes: Bol, De Bijenkorf, Valve/Steam, Ajax, ING e Ace & Tate. Os dados comprometidos incluem, conforme confirmado por múltiplas notificações: nome completo, endereço de entrega (rua, CEP, cidade, país), telefone, endereço de e-mail e detalhes do pedido (produto, valor). Para clientes De Bijenkorf, dados de negócios como razão social e CNPJ/VAT podem ter sido afetados. Nenhuma organização confirmou vazamento de senhas, dados bancários, IBANs ou números de cartão de crédito.

No plano operacional: a De Bijenkorf suspendeu pedidos para a maioria de seus produtos online até início de setembro; o Bol retirou produtos do armazém afetado de venda e cancelou pedidos; a Ace & Tate suspendeu envio de armações para entrega em domicílio. O risco imediato mais concreto para consumidores é phishing altamente contextualizado — o conjunto de dados (nome + endereço + item específico comprado + valor) permite engodo convincente por e-mail, SMS e telefone referenciando o pedido real.