物流大手Cevaへのサイバー攻撃、欧州の小売業者とSteamユーザーに影響

世界的な貨物輸送企業Ceva Logisticsへのサイバー攻撃により、欧州大手小売業者の出荷業務が混乱し、人気ビデオゲームプラットフォームの利用者の顧客データが流出した可能性があると報じられています。

Cevaはこの攻撃について公式には発表しておらず、コメント要請にも応じていません。しかし報道によれば、同社は今月初め、契約物流事業の一部にサイバー侵入があったことを法人顧客に通知したとされています。

今回のインシデントでは欧州の8つの倉庫の業務が混乱し、影響を受けた施設に在庫を保管していた小売業者の出荷に遅延が生じたと報じられています。

影響を受けたとされる企業には、オランダのeコマース大手Bol、高級百貨店De Bijenkorf、アイウェア企業Ace & Tate、アムステルダムのサッカークラブAjax、さらに欧州におけるSteamのハードウェア事業などが含まれます。

被害の全容は依然として明らかになっておらず、影響を受けた8つの倉庫の所在地も不明です。Cevaは攻撃の実行者や、ハッカーが身代金を要求したかどうかについても明らかにしていません。

小売業者の被害

Bolがその後被害を受けた顧客に送付した通知によると、Cevaは8月1日にこのサイバー攻撃についてeコマースプラットフォームのBolに知らせたとのことです。この通知内容は後にオランダのメディアでも報じられています。

同社によると、調査の結果、サイバー犯罪者はBolの配送センターの1つからの注文処理に使われていたCevaの2つのシステムに侵入したことが判明しましたが、Bol自体のシステムには影響がなかったとしています。

影響を受けた拠点に保管されていた商品は一時的にオフラインとなり、一部の顧客注文には遅延やキャンセルが発生しました。Bolは予防措置としてCevaとのデータ連携も停止しており、安全が確認され次第再開するとしています。

侵害されたCevaのシステムには顧客情報や出荷情報が含まれていたとされています。Bolは被害を受けた顧客に対し、攻撃当時これらのシステムに保存されていた情報が第三者によって閲覧またはコピーされた可能性があると伝えました。

流出した可能性のあるデータには、氏名、住所、郵便番号、電話番号、メールアドレス、注文番号、追跡情報、購入詳細が含まれます。一部の記録にはギフトカードに添付されたメッセージが含まれている可能性もあるとしています。

Bolによると、Cevaは侵害を発見した後、不正アクセスを阻止するための対応を取り、調査のために外部のサイバーセキュリティ専門家を起用したとのことです。

他にも影響を受けたとされるCevaの顧客には、同物流会社がグッズ販売やオンライン注文業務を担当しているアムステルダムのサッカークラブAjaxや、オランダのアイウェア企業Ace & Tateが含まれています。

Cevaのオランダ事業は他の大手ブランドにもサービスを提供しています。同社は自社ウェブサイトで、オランダ国内で8つのeコマース拠点を運営していると述べており、同拠点でサービスを提供する顧客としてBol、Zalando、De Bijenkorfを挙げています。De Bijenkorfは先週、物流業者の1社へのサイバー攻撃により注文、返品、返金に遅延が生じており、顧客データが流出した可能性があると顧客に警告しました。

運輸業界のニュース・データ提供会社FreightWavesは、調査に詳しい関係者の話として、8つの倉庫以外のCevaのシステムには影響がなかったと報じています。同報道によれば、同社の航空、海運、陸運、鉄道の輸送管理業務は中断なく継続しているとのことです。

Steamユーザーへの警告

今回の被害について最も詳細な説明を行っているのが、Steamゲーミングプラットフォームを運営する米ビデオゲーム企業Valveです。

Valveは月曜日、欧州における同社の出荷業務をCevaが担当していることから、Steam実機ハードウェアの購入に関連する情報が侵害された可能性があるとして、欧州の顧客への通知を開始しました。

通知によると、CevaはValveから顧客の配送情報を受け取っており、注文後最大90日間これらの記録を保持できるとされています。

Valveは、攻撃者がどの記録を正確に取得したかを特定できなかったため、影響を受けた可能性が合理的に想定される顧客に対して通知したとしています。

流出した可能性のある情報には、顧客の氏名、住所、郵便番号、市区町村、国名、電話番号、メールアドレスに加え、注文したSteamハードウェアの種類と価格が含まれます。

Valveは「Cevaに対し、何がどのように奪われたのか全容を明らかにするよう求めており、影響を受けた各国のデータ保護当局への通知も進めています」と述べています。

今のところこの攻撃について公式な犯行声明は出ておらず、ランサムウェアが使用されたのか、ハッカーが金銭を要求したのかについても依然として不明です。

フランスに本社を置くCeva Logisticsは、世界最大級の物流・サプライチェーン企業の1社です。従業員数は約110,000人で、世界中に1,700以上の拠点を展開しています。