Tra il 29 luglio e il 1° agosto 2026 un attacco informatico ha colpito CEVA Logistics, la divisione di logistica contrattuale del gruppo francese CMA CGM, mandando in tilt otto magazzini europei ed esponendo i dati personali di clienti legati a marchi come Steam e Pokémon Center. È il tipo di incidente che gli addetti ai lavori chiamano “upstream breach”: non attacchi il rivenditore, attacchi chi gli spedisce la merce, e i danni ricadono comunque sui suoi clienti finali.
Il caso arriva mentre il Garante per la protezione dei dati personali ha appena chiuso un mese di sanzioni pesanti, da Wind Tre a Piaggio, e mentre un nuovo report segnala quasi 500.000 account compromessi in Italia nel solo secondo trimestre 2026. Tre storie diverse, un unico filo conduttore: la sicurezza dei dati in Europa sta diventando un problema strutturale, non un’eccezione isolata.
Cosa è successo a CEVA Logistics
CEVA Logistics ha comunicato ai clienti coinvolti, il 1° agosto 2026, che un’intrusione informatica stava colpendo parte delle sue operazioni di logistica contrattuale in Europa. L’azienda ha collocato l’inizio dell’incidente attorno al 29 luglio 2026 e ha precisato che l’impatto operativo era circoscritto a otto magazzini europei, senza coinvolgere altri sistemi del gruppo a livello globale, secondo quanto riportato da Security Affairs.
L’effetto pratico è stato immediato: spedizioni bloccate o ritardate per i clienti che si appoggiavano a quei magazzini, dal 29 luglio in avanti. TechCrunch ha ricostruito come il fermo logistico si sia propagato a catena su marchi retail, bancari e gaming che usano CEVA come fornitore di terze parti per lo stoccaggio e la spedizione europea.
Otto magazzini, dati di migliaia di clienti: la portata del breach
A metà agosto 2026 CEVA non aveva ancora reso pubblico il vettore d’attacco. Nessun gruppo ransomware aveva rivendicato l’intrusione sui consueti siti di leak, e l’azienda evitava esplicitamente il termine “ransomware” nelle sue comunicazioni ufficiali. L’evidenza disponibile descrive un accesso non autorizzato con esfiltrazione di dati, non ancora una cifratura confermata di tipo estorsivo, come riportato dall’advisory tecnico di Integrity360.
Ciò che rende il caso rilevante non è la quantità di sistemi colpiti, relativamente contenuta, ma la quantità di marchi a valle che si sono trovati costretti a notificare i propri clienti. Un singolo fornitore logistico compromesso è bastato a generare notifiche di data breach da parte di aziende che i loro clienti conoscono bene, mentre nessuno di loro conosceva CEVA come parte della propria filiera dati.
Steam, Pokémon Center e gli altri brand coinvolti
Valve ha avvisato i clienti europei che avevano acquistato hardware Steam che, tra il 29 luglio e il 1° agosto 2026, l’attacco a CEVA, il suo spedizioniere hardware in Europa, ha esposto nomi, indirizzi, codici postali, città, paesi, numeri di telefono, email collegate agli account Steam e dettagli sugli ordini hardware. Valve ha precisato che CEVA non ha mai avuto accesso a dati di pagamento, password o codici Steam Guard, quindi quelle informazioni non risultano coinvolte.
Pokémon Center e The Pokémon Company hanno inviato notifiche simili, inizialmente a clienti nel Regno Unito e in Germania, per ordini europei legati a prodotti come le carte del 30° anniversario. I campi esposti coincidono con quelli di Valve: nome completo, indirizzo postale, telefono, email e dettagli del contenuto dell’ordine. Anche il rivenditore olandese Bol ha segnalato il coinvolgimento di un magazzino gestito da CEVA a Waalwijk, con lo stesso tipo di dati anagrafici sottratti. Il quadro complessivo, secondo le fonti raccolte finora, riguarda clienti retail, bancari e gaming i cui dati di contatto e ordine transitavano per i sistemi di CEVA, senza che risultino coinvolte credenziali di accesso o dati di pagamento.
L’Italia sotto pressione: la stretta del Garante Privacy
Mentre il caso CEVA si sviluppava a livello europeo, il Garante per la protezione dei dati personali italiano ha pubblicato due newsletter, il 16 e il 29 luglio 2026, che fotografano un’attività sanzionatoria in netta accelerazione. Nella prima, l’Autorità ha comminato una multa da 1,7 milioni di euro a Wind Tre per violazioni collegate alla gestione e alla sicurezza dei dati, oltre a sanzioni da 50.000 e 30.000 euro a due società di recupero crediti, secondo il testo pubblicato sul sito ufficiale del Garante.
Nella seconda newsletter, datata 29 luglio 2026, l’Autorità ha sanzionato Piaggio & C. S.p.A. per 460.000 euro e Altroconsumo Edizioni per 280.000 euro relativamente a trattamenti di marketing non conformi, e ha reso nota una sanzione contro la Città Metropolitana di Sassari per un data breach nel settore pubblico locale, come si legge nel documento ufficiale. Il caso Sassari ribadisce un punto che vale anche per gli enti pubblici: l’obbligo di notificare tempestivamente le violazioni resta valido a prescindere dalle dimensioni dell’ente.
| Soggetto sanzionato | Data comunicazione | Importo | Motivo |
|---|---|---|---|
| Wind Tre | 16 luglio 2026 | 1.700.000 € | Violazioni gestione e sicurezza dati |
| Società recupero crediti (1) | 16 luglio 2026 | 50.000 € | Trattamento dati non conforme |
| Società recupero crediti (2) | 16 luglio 2026 | 30.000 € | Trattamento dati non conforme |
| Piaggio & C. S.p.A. | 29 luglio 2026 | 460.000 € | Trattamento dati non conforme |
| Altroconsumo Edizioni | 29 luglio 2026 | 280.000 € | Marketing non conforme |
| Città Metropolitana di Sassari | 29 luglio 2026 | Non specificato | Data breach settore pubblico |
497.400 account violati: l’allarme estate 2026 in Italia
A completare il quadro italiano arriva un dato pubblicato il 10 agosto 2026: nel secondo trimestre dell’anno, tra aprile e giugno, sono stati compromessi 497.400 account tra email, credenziali e profili appartenenti a utenti italiani, secondo l’analisi ripresa da VelvetMag. Il numero conferma una tendenza già emersa nella nostra analisi sui gruppi ransomware attivi in Italia ad agosto 2026: il paese resta tra i bersagli principali in Europa per furti di credenziali e account online, con effetti concentrati su servizi email, social e piattaforme di e-commerce.
Il collegamento con il caso CEVA non è diretto, ma il contesto lo è: un utente italiano medio nell’estate 2026 rischia di trovarsi coinvolto in una notifica di data breach non perché ha sbagliato qualcosa, ma perché uno dei fornitori a monte di un servizio che usa, dalla logistica al credito al consumo, ha subito un’intrusione.
Quanto costa davvero un data breach nel 2026
Il report Cost of a Data Breach 2026 di IBM colloca il costo medio globale di una violazione a 4,99 milioni di dollari, in crescita del 12% rispetto all’anno precedente e il valore più alto mai registrato dallo studio. Le violazioni che coinvolgono l’intelligenza artificiale, circa una su quattro tra quelle di natura dolosa, costano in media 6 milioni di dollari, un milione in più della media generale. Rilevamento, escalation e perdita di business rappresentano ormai il 63% del costo totale di una violazione.
Per l’Italia, il dato più recente disponibile arriva dall’edizione 2025 dello stesso report, relativa agli incidenti del 2024: il costo medio di una violazione era sceso a 3,31 milioni di euro, il 24% in meno rispetto all’anno prima. La causa principale restava il phishing, presente nel 17% dei casi con un costo medio di 4,09 milioni di euro, seguito da attacchi DDoS (13%, 3,03 milioni) e minacce interne (13%, 4,24 milioni). Tra i fattori che fanno lievitare i costi, IBM segnala proprio gli incidenti legati alla catena di fornitura, con un aggravio medio di 179.964 euro, un dato che si applica quasi alla lettera al caso CEVA.
Non è la prima volta: i precedenti nel settore logistico
Il settore della logistica ha già pagato conti salati per attacchi informatici. Il caso più noto resta quello di Maersk, colpita dal malware NotPetya nel giugno 2017: i sistemi IT dell’azienda danese si bloccarono a livello globale, con un costo stimato tra 200 e 300 milioni di dollari e un terminal del porto di Los Angeles fermo per giorni. Maersk chiuse quel trimestre con una perdita netta di 264 milioni di dollari, nonostante un fatturato in crescita.
Più vicino nel tempo, la stessa CMA CGM, la casa madre di CEVA, subì un attacco ransomware nel settembre 2020 che colpì i sistemi di prenotazione online e causò una violazione dei dati dei clienti, con un costo stimato fino a 50 milioni di dollari. Il gruppo australiano Toll subì due attacchi ransomware separati nel 2020, per un costo combinato superiore ai 300 milioni di dollari, mentre l’olandese Bakker Logistiek, colpita nell’aprile 2021, arrivò a causare carenze di formaggio nei supermercati per il blocco dei sistemi di instradamento e inventario.
| Azienda | Anno | Tipo di attacco | Costo stimato | Impatto principale |
|---|---|---|---|---|
| Maersk | 2017 | NotPetya (wiper) | 200-300 milioni $ | Blocco IT globale, terminal portuali fermi |
| Toll Group | 2020 | Ransomware (2 attacchi) | Oltre 300 milioni $ | Fatturazione, tracciamento container |
| CMA CGM | 2020 | Ransomware | Fino a 50 milioni $ | Sistemi di prenotazione, dati clienti |
| Hellmann Worldwide Logistics | 2021 | Ransomware (RansomExx) | Non divulgato | 70,64 GB esfiltrati, credenziali clienti |
| Bakker Logistiek | 2021 | Ransomware | Non divulgato | Blocco inventario, carenze prodotti |
| CEVA Logistics | 2026 | Intrusione con esfiltrazione dati | Non ancora quantificato | 8 magazzini europei, dati Steam/Pokémon |
NIS2 e la sicurezza della catena di fornitura
Il caso CEVA arriva nel momento in cui l’Unione Europea sta trasformando la direttiva NIS2 da testo normativo a prassi di enforcement. L’articolo 21, comma 2, lettera d) impone esplicitamente alle entità coperte di gestire la sicurezza informatica lungo la catena di fornitura, mappando le dipendenze critiche da fornitori terzi e integrando obblighi di sicurezza nei contratti. Le sanzioni per le entità essenziali possono arrivare fino a 10 milioni di euro o al 2% del fatturato globale.
In Italia, l’Agenzia per la Cybersicurezza Nazionale ha adottato il 13 aprile 2026 la Determinazione n. 127437/2026, che introduce la definizione formale di “fornitore rilevante” e la integra negli obblighi di segnalazione previsti dalla NIS2. Le aziende hanno tempo fino a ottobre 2026 per adeguare le misure di gestione del rischio lungo la catena di fornitura. Un caso come quello di CEVA, fornitore terzo che diventa il punto di rottura per marchi ben più noti al pubblico, è esattamente lo scenario che questa normativa vuole prevenire.
A livello europeo, la Commissione ha adottato il 13 febbraio 2026 il Toolbox per la sicurezza della catena di fornitura ICT, pensato per fornire un approccio comune e non vincolante alla valutazione del rischio nei settori più esposti, logistica compresa. Parallelamente, il regolamento DORA per il settore finanziario, pienamente applicabile dal 17 gennaio 2025, ha fissato per il primo trimestre 2026 la scadenza per il Registro delle Informazioni sui fornitori ICT critici: le prime azioni di supervisione, come quelle avviate dalla banca centrale olandese, sono già partite nei confronti degli istituti con lacune nella gestione del rischio di terze parti.
Le sanzioni GDPR in Europa: un trend che non rallenta
Il quadro sanzionatorio europeo aiuta a leggere il caso CEVA in prospettiva. Secondo il sondaggio annuale di DLA Piper pubblicato a gennaio 2026, le autorità di controllo europee hanno comminato circa 1,2 miliardi di euro di multe GDPR nel 2025, un livello sostanzialmente in linea con il 2024, portando il totale cumulato dal maggio 2018 a gennaio 2026 a 7,1 miliardi di euro, la cifra che avevamo già documentato nella nostra analisi sulle sanzioni GDPR record in Europa. Il report Enforcement Tracker di CMS, con dati aggiornati al 1° marzo 2026, conta invece 2.685 sanzioni totali per un valore cumulato di circa 6,11 miliardi di euro, in crescita di 487,6 milioni rispetto all’anno precedente.
Le cifre differiscono per metodologia, ma il messaggio è coerente: le autorità europee stanno sanzionando con più decisione e più frequenza, e i casi legati a data breach di terze parti, come Wind Tre o come la stessa Sassari, mostrano che la responsabilità di un’azienda non si esaurisce ai propri sistemi. Vale anche per chi si affida a fornitori come CEVA per la logistica, o per chi gestisce dati sanitari e finanziari attraverso catene di fornitura complesse, come emerso anche nel nostro approfondimento sul report Unit 42 2026 sugli incident response, dove l’89% delle violazioni analizzate aveva un collegamento con l’identità digitale compromessa.
| Metrica | Valore | Fonte |
|---|---|---|
| Costo medio breach globale 2026 | 4,99 milioni $ (+12% annuo) | IBM Cost of a Data Breach 2026 |
| Costo breach con componente AI | 6 milioni $ | IBM Cost of a Data Breach 2026 |
| Costo medio breach Italia (dati 2024) | 3,31 milioni € (-24% annuo) | IBM Cost of a Data Breach 2025 |
| Sovracosto da incidenti supply chain (Italia) | +179.964 € | IBM Cost of a Data Breach 2025 |
| Multe GDPR Europa 2025 | Circa 1,2 miliardi € | DLA Piper Survey gennaio 2026 |
| Multe GDPR cumulate (marzo 2026) | 6,11 miliardi €, 2.685 sanzioni | CMS Enforcement Tracker Report |
| Account violati Italia Q2 2026 | 497.400 | VelvetMag, 10 agosto 2026 |
Impatto sul mercato della logistica contrattuale
Per un operatore come CEVA, parte di un gruppo, CMA CGM, che gestisce anche trasporto marittimo e terminal portuali, un incidente di questo tipo colpisce prima di tutto la fiducia commerciale. I clienti di logistica contrattuale, dalle aziende di gaming ai rivenditori di elettronica, affidano dati anagrafici e informazioni sugli ordini a un fornitore che raramente compare nel loro materiale di comunicazione al pubblico, ma che diventa immediatamente visibile nel momento in cui qualcosa va storto.
Le conseguenze pratiche si misurano su più livelli: costi di notifica e assistenza clienti per i brand coinvolti, revisione contrattuale dei rapporti con CEVA da parte dei clienti esistenti, e un probabile irrigidimento delle clausole di sicurezza nei nuovi contratti di logistica in Europa. Per il mercato assicurativo cyber, un caso come questo rafforza la tendenza già in corso ad alzare i premi per le aziende che dipendono da fornitori terzi non sottoposti a audit di sicurezza indipendenti.
Cosa possono fare ora le aziende esposte
Per i clienti finali coinvolti nelle notifiche di Valve, Pokémon Center o Bol, le raccomandazioni restano quelle standard per un breach di dati anagrafici senza compromissione di credenziali: attenzione a email e SMS di phishing che sfruttano i dati sottratti, nome, indirizzo, dettagli dell’ordine, per apparire credibili, verifica diretta sui siti ufficiali di eventuali comunicazioni sospette, e monitoraggio della propria casella email per tentativi di impersonificazione.
Per le aziende che si affidano a fornitori logistici terzi, il caso CEVA offre un promemoria concreto: mappare esplicitamente quali fornitori trattano dati dei clienti, non solo quelli che li archiviano, includere clausole di notifica rapida negli accordi contrattuali e verificare se il fornitore rientra nella categoria di “fornitore rilevante” secondo la Determinazione ACN 127437/2026, con la scadenza di ottobre 2026 ormai vicina.
Previsioni: cosa aspettarsi nei prossimi mesi
- Altri marchi che usano CEVA come fornitore logistico in Europa dovrebbero emettere notifiche di data breach nelle prossime settimane, seguendo lo schema già visto con Valve, Pokémon Center e Bol.
- È probabile che l’Agenzia per la Cybersicurezza Nazionale valuti CEVA alla luce della nuova definizione di “fornitore rilevante”, con la scadenza di ottobre 2026 come banco di prova per l’enforcement NIS2 in Italia.
- Il totale cumulato delle sanzioni GDPR in Europa dovrebbe superare i 7,5-8 miliardi di euro entro la fine del 2026, mantenendo il ritmo di circa 1,2 miliardi l’anno registrato nel 2024 e nel 2025.
- Le prime sanzioni concrete legate a DORA per il settore finanziario sono attese tra la seconda metà del 2026 e l’inizio del 2027, concentrate su lacune nel Registro delle Informazioni e nella gestione dei fornitori critici.
- Ci si può aspettare un aumento delle richieste di audit di sicurezza indipendenti sui fornitori logistici da parte dei grandi clienti retail e gaming, come conseguenza diretta del caso CEVA.
Domande frequenti
Cos’è successo esattamente a CEVA Logistics?
Tra il 29 luglio e il 1° agosto 2026 CEVA Logistics, divisione logistica del gruppo CMA CGM, ha subito un’intrusione informatica che ha colpito otto magazzini europei, causando ritardi nelle spedizioni ed esponendo dati personali dei clienti di alcuni brand che usano CEVA come fornitore.
Quali dati sono stati esposti nel breach?
Nomi, indirizzi, numeri di telefono, email e dettagli sugli ordini. Secondo le notifiche di Valve e Pokémon Center, non risultano coinvolti dati di pagamento, password o codici di autenticazione, perché CEVA non aveva accesso a queste informazioni.
Steam è stato hackerato direttamente?
No. Valve ha chiarito che l’attacco ha colpito CEVA, il suo spedizioniere hardware in Europa, non i sistemi Steam. Gli account e le credenziali degli utenti non risultano compromessi.
Chi è responsabile dell’attacco?
A metà agosto 2026 nessun gruppo criminale aveva rivendicato l’attacco e CEVA non aveva confermato il vettore d’ingresso utilizzato dagli attaccanti. L’incidente non è stato formalmente attribuito.
Cosa rischia CEVA a livello legale?
In base al GDPR e, per il mercato italiano, alla nuova cornice NIS2 sui “fornitori rilevanti”, CEVA potrebbe affrontare obblighi di notifica alle autorità di protezione dati nei paesi coinvolti e, in caso di carenze accertate nella gestione della sicurezza, sanzioni fino al 2% del fatturato globale per le entità essenziali secondo NIS2.
Come si collega il caso CEVA alla direttiva NIS2?
NIS2 impone esplicitamente la gestione del rischio lungo la catena di fornitura. Il caso CEVA, fornitore terzo che diventa punto di rottura per brand terzi, è lo scenario tipico che la normativa vuole prevenire attraverso mappatura dei fornitori critici e obblighi contrattuali di sicurezza.
Quanto costa in media un data breach nel 2026?
Secondo IBM, il costo medio globale nel 2026 è di 4,99 milioni di dollari, in crescita del 12% sull’anno precedente. In Italia, l’ultimo dato disponibile, relativo al 2024, indica una media di 3,31 milioni di euro, con un aggravio di quasi 180.000 euro quando l’incidente coinvolge la catena di fornitura.
Cosa devono fare i clienti coinvolti nelle notifiche?
Prestare attenzione a email o SMS sospetti che sfruttano i dati sottratti per sembrare credibili, verificare direttamente sui canali ufficiali dei brand coinvolti, e non cliccare su link di recupero account o conferma ordini ricevuti in modo non richiesto.
Copertura correlata
- Italia Sotto Ransomware: 15 Vittime in 7 Giorni
- GDPR 2026: 7,1 Miliardi di Sanzioni in Europa
- Unit 42 2026: l’89% delle violazioni parte dall’identità
- Coinbase: 69.461 clienti esposti in un data breach
- France Titres violata: 19 milioni di identità esposte
- CISA KEV: le vulnerabilità sfruttate attivamente nel 2026
