Votre étiquette d'expédition vient de devenir une fuite de données. Le 1er août, Ceva Logistics — un géant du fret de 18,3 milliards de dollars opérant plus de 1 000 entrepôts dans le monde — a confirmé avoir été victime d'une cyberattaque. Le piratage, qui a débuté le 29 juillet, n'a pas seulement touché Ceva. Il s'est propagé directement à travers sa base clients : ING, Bol.com, De Bijenkorf, Ajax, Ace & Tate et, plus particulièrement, Valve Corporation. Si vous avez acheté un Steam Deck ou une Steam Machine, vos données d'expédition se trouvaient dans le rayon d'impact.
Ce n'est pas une histoire de cambriolage d'entrepôt. C'est un signal d'alarme sur la sécurité de la chaîne logistique pour chaque entreprise qui expédie des biens physiques.
L'attaque a compromis les opérations de huit entrepôts européens. Ceva se décrit comme un « prestataire logistique de quatrième partie » — ce qui, dans le jargon du secteur, signifie « nous touchons à tout ». Ils ne se contentent pas de déplacer des cartons. Ils s'intègrent aux systèmes de commande des détaillants, gèrent le traitement des retours et, dans de nombreux cas, détiennent les clés des données d'identité clients directement liées aux adresses d'expédition.
L'Autorité néerlandaise de protection des données a reçu au moins 10 notifications de violation de la part d'entreprises touchées en aval, confirmant que le rayon d'impact s'étendait bien au-delà des murs de Ceva. Ryan Fisher, porte-parole de Ceva, a reconnu l'incident mais est resté discret sur les détails — chose typique d'une enquête en cours.
C'est là que cela devient personnel. Valve — l'entreprise derrière Steam, la plus grande plateforme de jeux PC au monde — figurait parmi les clients touchés de Ceva. Le 7 août, Valve a informé les acheteurs de Steam Deck et Steam Machine que leurs données d'expédition (nom, adresse, numéro de téléphone) avaient été exposées lors de la faille Ceva. Valve conserve les données d'expédition pendant 90 jours, ce qui signifie que les acheteurs récents de matériel étaient pleinement concernés.
C'est le schéma d'attaque de chaîne logistique qui empêche les équipes de cybersécurité de dormir. Vous n'avez pas besoin de pirater Valve — vous piratez leur partenaire logistique, et les données vous tombent dans les mains.
La faille Ceva n'est pas une histoire de jeux vidéo. C'est une histoire bancaire. Une histoire de distribution. Une histoire de luxe. Ceva compte ING parmi ses partenaires logistiques. Si les kits de bienvenue, les envois de cartes ou les livraisons d'équipement d'une banque transitent par un prestataire logistique compromis, c'est un incident de données réglementé qui ne demande qu'à se produire.
Le même schéma s'applique à De Bijenkorf (distribution haut de gamme) et Ace & Tate (lunetterie en vente directe). Chaque étiquette d'expédition représente un lien entre une personne réelle et son adresse physique. Entre de mauvaises mains, c'est un kit de démarrage pour l'ingénierie sociale.
Si votre organisation expédie quoi que ce soit — matériel informatique, cartes, appareils, contrats, kits de bienvenue — votre périmètre de sécurité s'étend jusqu'à votre prestataire logistique. Point final. La tendance réglementaire va déjà dans ce sens : l'implication de l'autorité néerlandaise de protection des données indique que les régulateurs européens considèrent les failles logistiques comme des incidents de confidentialité au titre du RGPD.
L'empreinte de Ceva va bien au-delà de la distribution grand public. Avec 18,3 milliards de dollars de chiffre d'affaires et une présence dans plus de 170 pays, ils transportent des composants pour les chaînes logistiques de l'automobile, de l'aérospatiale, de la santé et de l'énergie. Une faille de cette envergure ne concerne pas seulement les adresses divulguées — elle concerne ce que l'on peut déduire de ces adresses. Les schémas d'expédition révèlent les relations fournisseurs, les mouvements de stocks et des renseignements concurrentiels que les acteurs de l'espionnage industriel paieraient cher pour obtenir.
La faille Ceva n'est pas un incident isolé. C'est le dernier épisode d'un schéma croissant d'attaques de chaîne logistique qui exploitent le maillon le plus faible — les partenaires en qui vous avez confiance mais que vous auditez rarement.
La question que chaque équipe de sécurité devrait se poser maintenant n'est pas « Avons-nous été piratés ? » — mais « Lequel de nos partenaires logistiques nous exposerait comme Ceva a exposé Valve ? »
Ce que cela signifie pour votre organisation
Voici la vérité inconfortable : vous ne pouvez pas sécuriser ce que vous ne pouvez pas voir. Et la plupart des organisations ne peuvent pas voir au-delà du quai de chargement de leur prestataire logistique.
Commencez par ce plan d'action en trois étapes :
- Cartographiez votre arbre de dépendances logistiques. Quels prestataires touchent vos données clients ? Détiennent-ils des noms, adresses, numéros de téléphone ou informations de paiement ? Si la réponse est « nous ne sommes pas sûrs », c'est votre premier risque.
- Minimisez l'exposition des données. Vos prestataires logistiques ont-ils besoin de profils clients complets, ou peuvent-ils fonctionner avec de simples étiquettes d'expédition et numéros de suivi ? Chaque champ de données inutile que vous partagez avec un tiers devient sa responsabilité en cas de faille — et la vôtre.
- Exigez des attestations de sécurité. Demandez des rapports SOC 2 Type II, la certification ISO 27001 ou leur équivalent. Si un prestataire résiste, faites remonter aux achats. La sécurité de la chaîne logistique est une question contractuelle, pas seulement technique.
Et une chose supplémentaire : élaborez un plan de réponse aux failles fournisseurs. Lorsque votre partenaire logistique sera piraté (pas si — quand), vous devriez déjà savoir : qui est notifié en interne, comment les clients seront contactés, quelles données ont été exposées et quelles sont vos obligations de notification auprès des autorités de protection des données. L'implication de l'autorité néerlandaise dans l'affaire Ceva signifie qu'ils surveillent — et qu'ils traitent les failles logistiques comme des incidents de confidentialité.
La faille Ceva n'est pas une histoire de cybersécurité. C'est une histoire de continuité d'activité. C'est une histoire de conformité réglementaire. Et surtout, c'est une histoire de confiance — plus précisément, de la confiance que vous avez accordée à des partenaires que vous n'avez jamais audités.
Valve n'a pas été piratée. C'est Ceva qui l'a été. Et ce sont les clients de Valve qui reçoivent les lettres de notification de violation. Voilà la réalité de la sécurité de la chaîne logistique en 2026.