- CEVAロジスティクスへのハッキングで欧州の倉庫網が混乱、顧客データの一部が流出
- 小売各社とValveが配送情報の漏えいとサービス遅延を報告
- CEVAからの詳細な情報開示を待つ間、顧客には標的型詐欺への注意喚起
世界最大級の海運・物流企業であるCEVAロジスティクスが大規模なサイバー攻撃を受け、その影響は多くの取引先企業にまで及んでいます。
もっとも、攻撃そのものの詳細はまだ公表されておらず、現時点で得られているわずかな情報も、被害を受けた取引先企業側から出てきたものにすぎません。
CEVAはまだ公式声明を発表しておらず、規制当局への報告も行っていませんが、TechCrunchに対して、攻撃はおそらく2026年7月29日に始まり、欧州の少なくとも8カ所の倉庫に影響を及ぼしたことを認めています。
技術的詳細は不明、被害を受けた顧客企業が次々と名乗り出る
CEVAロジスティクスは世界規模の物流・サプライチェーン企業であり、フランスの海運大手CMA CGMの完全子会社です。フォワーディング、コントラクトロジスティクス、倉庫管理、輸送サービスを数千社の顧客に提供しており、その中には消費財・小売、自動車、産業機械、航空宇宙といった分野の大手企業も含まれます。
同社は世界170カ国以上で事業を展開しており、昨年の総収益は183億ドルに上ります。それだけに業界内でも重要な地位を占めており、攻撃者にとって格好の標的でもあります。
今回のインシデントに関する詳細は、現時点ではほとんど明らかになっていません。攻撃者がどのような手口で侵入したのか(ソーシャルエンジニアリングによるものか、ソフトウェアの脆弱性を突いたものかなど)、どれだけのデータが窃取されたのか、あるいは窃取データの削除と引き換えに身代金を要求されたのかどうかも、いずれも不明です。ただし、被害企業の一社からの情報により、一部のデータが漏えいした可能性が高いことは判明しています。
サイバー攻撃の影響が物理的な業務にまで波及する場合(今回のように8カ所の倉庫が影響を受けたケース)、その攻撃はランサムウェアか、あるいは業務妨害型のマルウェアであったと推測できます。企業がITインフラの一部を停止するのは、感染の除去や不正侵入者の排除に他の手段がない場合に限られるためです。
その間にも、CEVAの顧客企業の一部が、攻撃を受け機密データを喪失したことを認めています。
その一社が、オランダのオンライン小売企業Bolです。同社によると、今回のインシデントは、傘下のフルフィルメントセンターの一つから注文を処理するために使用している2つのシステムに影響を及ぼしたとのことです。
「bol側のシステムに影響はありませんでした」と同社は述べています。「ただし、この拠点を経由して処理された顧客の注文に関するデータについては、閲覧または複製された可能性があります」
Bolはまた、CEVAの一部拠点での業務復旧に想定より時間がかかっていることも明らかにしました。その結果、影響を受けた拠点に保管されていた商品在庫はオフラインとなり、販売できない状態になっています。さらに、Bolは現在、当該拠点においてサプライヤーおよび販売パートナーからの商品受け入れができない状況にあるとのことです。
オランダの高級小売企業De Bijenkorfも同様の発表を行い、注文処理、返品、返金に通常より時間がかかる可能性があるとしつつも、店舗自体は営業を継続していると強調しました。同社はまた、氏名、連絡先情報、オンライン注文データ、場合によってはVAT番号を含む一部の顧客データが漏えいした可能性があるとも述べています。一方で、支払い情報、銀行口座番号(IBAN)、クレジットカード情報、ユーザー名やパスワードは漏えいしていないことが確認されています。
Valveも被害を表明
大手小売企業だけでなく、PCゲーム大手のValveも顧客に対して今回のインシデントについて通知しました。同社によると、CEVAはSteamのハードウェア製品を欧州の顧客に配送しており、その関係でSteamから特定の配送関連情報を受け取っているとのことです。
この情報はCEVAが注文から最大90日間保持するもので、今回漏えいした可能性が高いとされています。含まれる情報は、氏名、住所、電話番号、メールアドレス、注文した製品の種類と価格です。
Valveは顧客に対し、最近のハードウェア注文に言及する偽のメッセージが、メール、SMS、電話などで届く可能性があると警告しました。
「本物であることを装うために、あなたの住所を逆に伝えてくることもあります。配送内容の確認を求めたり、通関手数料や再配達手数料といった名目でわずかな金額の支払いを要求したり、注文を『確認』するためとして何らかのサイトへのログインを求めてくることもあります。これらはすべて偽物だと考えてください」とValveは警告しています。同社はまた、顧客アカウント自体は安全であり、ユーザーが特別な対応を取る必要はないことも強調しました。
その他の詳細については、一般に公開されていないだけでなく、被害を受けたCEVAの取引先企業に対しても明らかにされていません。Valveは、何が、どのようにして流出したのか、その全容を明らかにするようCEVAに対して「強く働きかけている」とし、関係当局にも通知していると述べています。
オランダのデータ保護当局の広報担当者であるMark Schenkel氏はTechCrunchに対し、同機関がこれまでに10件のインシデント報告を受けたことを明らかにしました。CEVAの企業規模を考えれば、今後さらに報告が増えることも十分考えられます。
