Ceva Logistics, l’un des plus grands prestataires logistiques au monde, est victime d’une cyberattaque qui touche une partie de ses entrepôts européens. Le géant néerlandais du e-commerce bol, le grand magasin de Bijenkorf, la banque ING, le club de football Ajax et le lunettier Ace & Tate ont prévenu leurs clients que des données de livraison avaient pu être consultées ou copiées. Aucun chiffre n’a été publié.
Ce qui s’est passé
D’après FreightWaves, l’attaque a perturbé huit entrepôts de Ceva en Europe pendant un week-end, et les clients de Ceva ont été informés le 1er août d’une intrusion touchant une partie de son activité de logistique contractuelle. Les autres activités de Ceva (fret aérien, maritime, routier et ferroviaire) n’auraient pas été affectées. Ceva ne s’était pas exprimé publiquement au moment de la publication de FreightWaves.
Chez bol, deux systèmes servant à traiter les commandes d’un de ses centres de distribution, le site de Veerweg exploité par Ceva, sont concernés. bol précise que ses propres systèmes n’ont pas été touchés, qu’il a suspendu les échanges de données avec son prestataire et que des commandes sont retardées ou annulées.
Quelles données ont fuité
Ceva traite les informations nécessaires pour livrer les colis. Selon la NOS, la télévision publique néerlandaise, bol et de Bijenkorf évoquent :
- noms ;
- adresses et codes postaux ;
- numéros de téléphone ;
- d’autres données personnelles liées aux commandes.
Les entreprises concernées indiquent n’avoir aucun signe de vol de données de paiement, de mots de passe ou d’identifiants de connexion. Le volume de personnes touchées n’est connu pour aucune d’entre elles.
Chronologie
| Date | Événement |
|---|---|
| 1er août | Ceva informe ses clients d’une intrusion ; bol apprend qu’une fuite est possible |
| 3 août | bol notifie l’Autoriteit Persoonsgegevens, l’autorité néerlandaise de protection des données |
| 5 août | bol et de Bijenkorf préviennent leurs clients par e-mail et publient l’information |
| 6 août | FreightWaves révèle que huit entrepôts européens de Ceva sont touchés |
| 7 août | Ajax, ING (achats via son programme de points) et Ace & Tate se déclarent à leur tour concernés |
Interrogé par la NOS sur le délai entre le 1er et le 5 août, un porte-parole de bol a expliqué que l’entreprise voulait informer ses clients en une seule fois, après une analyse approfondie. De Bijenkorf a lancé une enquête externe sur la cause et l’ampleur de l’incident.
Le maillon faible : le sous-traitant logistique
L’affaire illustre un risque souvent sous-estimé : pour livrer, un logisticien reçoit les coordonnées des clients de dizaines de marques. Une seule intrusion chez lui suffit à toucher des entreprises qui n’ont rien en commun, d’une banque à un club de football. Pour le client final, impossible de savoir à l’avance quel prestataire détient son adresse.
Les données de livraison sont idéales pour les faux SMS de transporteur : « colis en attente, frais de réexpédition à régler ». Aucun transporteur sérieux ne vous fera payer par un lien reçu par SMS.
Que faire si vous êtes concerné
- Si vous avez commandé récemment chez bol, de Bijenkorf, Ace & Tate, dans la boutique d’Ajax ou via le programme de points d’ING, surveillez vos e-mails : les entreprises préviennent directement les personnes touchées.
- Méfiez-vous des messages qui citent une commande réelle pour réclamer un paiement ou des identifiants.
- En cas de doute, vérifiez l’état de votre commande en vous connectant vous-même au site du vendeur, jamais via le lien d’un message.