La réponse courte
Entre le 29 juillet et le 1er août 2026, des attaquants ont compromis les systèmes de gestion d'entrepôts (WMS) de huit sites CEVA Logistics en Europe. Les données personnelles de clients de Valve, ING Bank, Ajax Amsterdam et Ace & Tate ont été exfiltrées : noms, adresses e-mail et postales, numéros de téléphone, historique de commandes. Ni mots de passe ni données bancaires ne seraient concernés selon CEVA.
Le vrai enseignement pour les équipes qui conçoivent ou commanditent des solutions logistiques et supply chain n'est pas technique : c'est que la sécurité de vos données clients dépend désormais autant de vos prestataires logistiques que de votre propre infrastructure. Une intégration API peu maîtrisée avec un 3PL devient un vecteur d'attaque direct sur votre référentiel client.
Chronologie et faits confirmés
L'intrusion a débuté le 29 juillet 2026. Selon la notification adressée à Valve par CEVA, des tiers non autorisés ont accédé aux systèmes de traitement des commandes d'au moins un centre de distribution. L'accès a duré jusqu'au 1er août, date à laquelle CEVA affirme avoir contenu l'incident.
Les investigations ont rapidement révélé que huit entrepôts européens étaient concernés, tous impliqués dans la distribution de biens pour des marchands en ligne. TechCrunch, qui a publié le 10 août une analyse approfondie de la brèche, et The Register, qui a confirmé les faits le 11 août, ont tous deux identifié un périmètre plus large que les premières déclarations de CEVA ne le laissaient entendre.
Les données exposées comprennent :
- Noms et prénoms des destinataires
- Adresses e-mail et adresses postales de livraison
- Numéros de téléphone
- Détails des commandes (produits, dates, montants)
Parmi les clients de CEVA ayant notifié leurs propres clients : Valve (commandes matérielles Steam), ING Bank, le club de football Ajax Amsterdam et l'opticien Ace & Tate. La plateforme néerlandaise Bol a pour sa part suspendu ses échanges de données avec CEVA dès la découverte de l'incident, ce qui a entraîné l'annulation ou le retard de certaines commandes.
Au 6 août, les opérations dans les entrepôts touchés n'étaient pas encore entièrement rétablies. Les autres sites CEVA dans le monde n'ont pas été affectés, l'incident étant circonscrit aux systèmes WMS des huit entrepôts européens concernés.
CEVA, CMA CGM et la dimension française
CEVA Logistics n'est pas une entreprise anonyme dans l'écosystème français. Filiale à 100 % de CMA CGM, le groupe maritime marseillais fondé par Robert Böhm et dirigé par Rodolphe Saadé, CEVA est l'opérateur logistique du troisième armateur mondial. Le groupe CMA CGM a acquis CEVA en 2019 pour en faire le bras logistique terrestre et aérien de son réseau global.
CEVA opère des entrepôts en France et gère la supply chain de nombreuses enseignes françaises et européennes, notamment dans les secteurs de la mode, de l'électronique grand public et du e-commerce. L'incident n'a pas visé les sites français en priorité — les huit entrepôts touchés sont répartis dans plusieurs pays européens — mais il concerne directement les entreprises qui utilisent CEVA comme prestataire logistique pour livrer leurs clients en France et en Europe.
Pour les directions des systèmes d'information (DSI) françaises qui gèrent des contrats avec des 3PL (third-party logistics), cet incident est un signal d'alarme : les obligations RGPD relatives à la sous-traitance des données personnelles s'appliquent pleinement aux prestataires logistiques qui traitent les données de commande de vos clients.
Ce que révèle l'attaque sur la sécurité logistique
La cyberattaque CEVA met en lumière trois failles structurelles que l'on retrouve dans la plupart des chaînes logistiques modernes.
1. Les WMS comme vecteur d'attaque sous-estimé
Les systèmes de gestion d'entrepôts (WMS) sont rarement perçus comme des cibles prioritaires. Pourtant, ils concentrent l'ensemble des données de commande : qui commande quoi, pour qui, où et quand. Lorsqu'un WMS est connecté via API aux systèmes d'information de dizaines de marchands partenaires, sa compromission se propage mécaniquement à l'ensemble de l'écosystème.
L'enquête de TechCrunch révèle que l'accès aux systèmes CEVA a permis d'extraire des données relatives à des commandes actives — des informations fraîches, adressables et directement exploitables pour des campagnes de phishing ciblé. Un fraudeur disposant du nom, de l'adresse et du détail d'une commande Steam ou ING peut construire un message d'arnaque parfaitement crédible.
2. La propagation tiers-à-tiers : le maillon faible du RGPD opérationnel
Le RGPD impose aux responsables de traitement de s'assurer que leurs sous-traitants offrent des garanties suffisantes. Dans les chaînes logistiques, ce principe se heurte à une réalité opérationnelle : les données de commande transitent par plusieurs intermédiaires (transporteur, entrepôt, plateforme de tracking) avant d'arriver à destination. Chaque maillon est un périmètre de risque.
L'incident CEVA illustre ce que les juristes appellent la « contamination de la chaîne de sous-traitance » : Bol, ING, Valve n'ont pas été attaqués directement. Leurs données clients l'ont été via leur prestataire logistique. La notification à la CNIL incombe néanmoins au responsable de traitement initial — c'est-à-dire au marchand, dans les 72 heures suivant sa prise de connaissance de la violation.
3. La segmentation insuffisante des accès API
La capacité des attaquants à traverser plusieurs entrepôts et à atteindre les données de multiples clients suggère une segmentation insuffisante des accès API entre les différents marchands utilisant les services CEVA. Dans une architecture bien segmentée, la compromission d'un entrepôt ne devrait pas permettre d'accéder aux commandes d'un client distinct. Un audit de sécurité de vos intégrations logistiques permet d'identifier ces chemins transversaux avant qu'un attaquant ne le fasse.
Ce que peuvent faire les équipes dès maintenant
Quelques priorités concrètes pour les équipes qui gèrent des intégrations avec des 3PL ou qui développent des logiciels de supply chain :
- Cartographiez vos flux de données personnelles chez les tiers. Quelles données de commande transmettez-vous à vos prestataires logistiques ? Dans quels systèmes atterrissent-elles ? Depuis combien de temps les conservent-ils ? Cette cartographie est la base de toute gestion des risques RGPD liée aux sous-traitants.
- Révisez vos contrats de sous-traitance. Les DPA (Data Processing Agreements) avec vos 3PL doivent inclure des clauses de notification d'incident, des délais contractuels de remontée d'information et des exigences minimales de sécurité (chiffrement au repos et en transit, contrôle des accès, journalisation).
- Minimisez les données partagées. Votre 3PL a-t-il réellement besoin de l'adresse e-mail de vos clients pour gérer une expédition physique ? Réduire le périmètre des données transmises réduit mécaniquement l'impact d'une compromission.
- Instrumentez la détection côté API. Mettez en place des alertes sur les volumes anormaux de requêtes sortantes vers vos partenaires logistiques, et exigez d'eux des logs d'accès accessibles en cas d'incident. Sans détection, le délai RGPD de 72 h ne peut pas être tenu.
- Répétez votre plan de gestion d'incident tiers. La chaîne de décision « incident chez un sous-traitant → qualification → notification CNIL → communication clients » doit être écrite et testée avant la crise. L'incident CEVA a montré que des marchands ont appris la brèche par la presse avant d'être notifiés par leur prestataire.
Questions fréquentes
Quelles entreprises ont eu leurs données clients exposées lors de la cyberattaque CEVA ?
Parmi les entreprises confirmées comme victimes indirectes figurent Valve (données de commandes Steam), la banque ING, le club de football Ajax Amsterdam et l'opticien Ace & Tate, ainsi que la plateforme néerlandaise Bol. Les données exposées comprennent noms, adresses électroniques et postales, numéros de téléphone et détails des commandes. Aucune donnée bancaire ni aucun mot de passe n'auraient été compromis selon les premières déclarations de CEVA.
Pourquoi la cyberattaque CEVA concerne-t-elle les entreprises françaises ?
CEVA Logistics est une filiale du groupe français CMA CGM, basé à Marseille. Ses entrepôts européens gèrent la supply chain de nombreuses enseignes françaises et européennes. L'incident illustre que la sécurité de vos données clients dépend aussi de la maturité cyber de vos prestataires logistiques : un tiers compromis, et c'est votre référentiel client qui s'exfiltre.
Comment se prémunir contre une fuite de données via un sous-traitant logistique ?
La prévention passe par trois axes : la contractualisation (clauses RGPD et exigences de sécurité dans les contrats logistiques), la gestion des risques tiers (TPRM) et les audits réguliers. Sur le plan technique, minimiser les flux de données partagés, chiffrer les échanges et prévoir une procédure de notification rapide permettent de tenir le délai de 72 heures imposé par le RGPD en cas d'incident chez un prestataire.
Sources
TechCrunch, 10 août 2026 — A data breach at shipping giant Ceva Logistics is rippling across banks, retailers, Steam gamers, and beyond
The Register, 11 août 2026 — Cyberattack on logistics giant CEVA delivers customer data into the wrong hands
FreightWaves — Cyberattack on Ceva Logistics warehouses in Europe impacts retailers
Infosecurity Magazine — Logistics Giant Ceva Suffers Data Breach Impacting European Clients