Een cyberaanval op logistiek dienstverlener CEVA Logistics verstoorde eind juli en begin augustus 2026 de operatie in acht Europese magazijnen. Niet het incident zelf is het meest leerzame, maar de reikwijdte ervan: klanten van Bol, De Bijenkorf, ING, Ajax, Ace & Tate en Valve kregen een waarschuwing over mogelijk gelekte persoonsgegevens, terwijl geen van die organisaties zelf was aangevallen. Eén verwerker in de keten bleek het gedeelde risico.
Waarom een incident bij een logistieke partner direct doorwerkt bij opdrachtgevers
Volgens brancheplatform FreightWaves begon de verstoring op 29 juli 2026. Op 1 augustus informeerde CEVA de getroffen klanten dat goederen in de betrokken magazijnen niet verzonden konden worden. CEVA bevestigde tegenover TechCrunch dat de operationele impact beperkt bleef tot acht magazijnen en dat andere systemen wereldwijd niet werden geraakt. Toch raakte de uitval retail, bankwezen, sport en gaming tegelijk, omdat fulfilment voor al die partijen op dezelfde infrastructuur draait.
Om bestellingen te kunnen bezorgen beschikt een logistieke partner over namen, adressen, telefoonnummers, e-mailadressen en orderinformatie, in sommige gevallen aangevuld met btw-nummers van zakelijke klanten. Precies die dataset kwam volgens de betrokken organisaties in gevaar. Betaalgegevens en wachtwoorden zouden niet zijn buitgemaakt. Valve gaf aan dat CEVA geen toegang heeft tot betaalgegevens of Steam Guard-codes.
Verantwoordelijkheid blijft bij de opdrachtgever liggen
Een woordvoerder van de Autoriteit Persoonsgegevens liet aan TechCrunch weten dat de toezichthouder datalekmeldingen van tien organisaties over dit incident heeft ontvangen. Dat aantal illustreert de kern van ketenrisico: onder de AVG blijft de verwerkingsverantwoordelijke aansprakelijk voor gegevens die bij een verwerker zijn ondergebracht. Bol legde de gegevensuitwisseling met de getroffen locatie stil en haalde assortiment tijdelijk offline, wat laat zien dat vooraf vastgelegde escalatieafspraken het verschil maken in de eerste uren.
Onduidelijkheid vertraagt de eigen respons
RTL Nieuws meldde dat een database met CEVA-klantgegevens op het darkweb wordt aangeboden. CEVA schrijft dat toe aan een ouder incident, een lezing die niet onafhankelijk is bevestigd. Er is geen ransomwaregroep die de aanval heeft opgeëist en de aanvalsvector is publiek onbekend. Wie afhankelijk is van een partner die traag of onvolledig communiceert, kan de eigen meldplicht en klantcommunicatie nauwelijks onderbouwen.
Concrete lessen voor risicobeheersing in de keten
NIS2 en de Nederlandse Cyberbeveiligingswet stellen expliciete eisen aan het beheersen van risico’s bij toeleveranciers. Dat vraagt om actuele verwerkersovereenkomsten met harde meldtermijnen, inzicht in welke gegevens een partner werkelijk bewaart en hoe lang, en continuïteitsscenario’s voor het wegvallen van een fulfilmentlocatie. De specialisten van SolidBE denken graag mee over leveranciersrisico, segmentatie en detectie in de keten.
