CEVA Logistics 2026 : rançongiciel et données clients

Ce qui s'est passé

• 29 juillet au 1er août 2026 : rançongiciel sur les systèmes de huit entrepôts européens. Le transport aérien, maritime, routier et ferroviaire continue ; l'entreposage et la logistique contractuelle sont touchés (retards, commandes bloquées, annulations).
• Données exfiltrées : coordonnées des clients finaux, détails de commandes et numéros de TVA d'entreprises. Selon les informations publiées, ni carte bancaire ni mot de passe.
• Suites : plaintes collectives aux États-Unis, dont une au nom d'employés qui évoque l'exposition de numéros de sécurité sociale et de coordonnées bancaires. Le groupe CoinbaseCartel est cité dans au moins une procédure, sans confirmation officielle.

La faille côté clients : trop de données chez le prestataire

Les marques touchées n'ont pas été piratées. Leurs clients sont exposés parce que leurs données se trouvaient chez un prestataire. Trois faiblesses aggravent ce risque.

1. Le partage en excès

L'intégration envoie au logisticien la commande complète, l'historique d'achat, le numéro de TVA, parfois des notes internes, alors qu'une adresse de livraison, un téléphone et une liste d'articles suffisent pour expédier.

2. Des clés d'intégration trop puissantes

La clé d'API fournie au prestataire pour lire les commandes permet aussi de lister tous les clients, de modifier des adresses ou d'accéder à d'autres ressources. Si le prestataire est compromis, l'attaquant hérite de ces droits chez vous. Les mêmes principes valent pour les webhooks, décrits dans notre article sur la signature des webhooks.

3. Aucune détection d'un tiers compromis

Personne ne surveille le comportement de la clé du prestataire : volume d'appels, heures, adresses IP. Un usage anormal passe inaperçu jusqu'à la publication des données. Vous apprenez alors l'incident par la presse ou par vos propres clients, sans pouvoir dire quelles données sont parties.

Le principe général est développé dans notre article sur les attaques supply chain.

Pourquoi c'est votre problème

Pour vos clients, la marque responsable est la vôtre. Les obligations aussi : au sens du RGPD, le prestataire est en général votre sous-traitant, et c'est à vous de choisir des sous-traitants qui présentent des garanties suffisantes et de notifier la violation.

Les failles côté prestataire

Le vecteur n'étant pas confirmé, on ne peut pas dire laquelle a joué ici. Les rançongiciels actuels reposent toutefois sur des prérequis connus : accès distants sans MFA, équipements exposés non corrigés, comptes à privilèges trop nombreux, réseau à plat entre bureautique et systèmes d'exploitation, sauvegardes accessibles depuis le réseau compromis. Les méthodes des groupes actifs sont décrites dans notre panorama des rançongiciels en 2026.

Comment le tester chez vous

Si vous confiez des données à un prestataire :

1. Listez les champs envoyés à chaque prestataire (logistique, paie, archivage, support) en lisant les charges utiles réelles des appels d'API ou des fichiers déposés, et comparez avec le strict nécessaire.
2. Testez les droits de chaque clé d'intégration : avec la clé du prestataire, appelez les routes de liste, de modification et d'export. Tout ce qui répond au-delà du besoin est à restreindre.
3. Vérifiez la révocation : combien de temps faut-il pour désactiver la clé d'un prestataire compromis, et qui peut le faire un dimanche ?
4. Mesurez la détection : simulez avec une clé de test un volume d'appels dix fois supérieur à la normale, depuis une adresse inhabituelle. Une alerte remonte-t-elle ?
5. Relisez le contrat : délai de notification d'incident, droit d'audit, suppression des données en fin de contrat.

Si vous êtes le prestataire :

1. Vérifiez la MFA sur tous les accès distants et comptes à privilèges.
2. Croisez vos équipements exposés avec le catalogue KEV de la CISA.
3. Testez la restauration d'une sauvegarde isolée du réseau principal.
4. Vérifiez la séparation entre le réseau bureautique et les systèmes d'entrepôt.

Agents IA et l'attaque CEVA Logistics : ce qui change

Les plateformes logistiques et e-commerce déploient des agents IA pour suivre les commandes, répondre aux clients et traiter les exceptions. Ces agents reçoivent souvent la même clé d'intégration large que le prestataire, et lisent des contenus externes (e-mails de transporteurs, documents de livraison). Une injection de prompt dans un bon de livraison ou un e-mail peut lui faire lister des commandes, modifier une adresse de livraison ou exporter des coordonnées. Donnez à l'agent une clé limitée aux commandes de la conversation en cours, et soumettez toute modification d'adresse à une validation.

Pour vérifier ce qu'un agent branché sur vos commandes peut faire une fois manipulé, le Red Team Agent Express teste ces scénarios en cinq jours.