Um ataque informático a oito armazéns europeus do gigante logístico CEVA Logistics transformou-se, em pouco mais de uma semana, num incidente em cadeia que já obrigou retalhistas, um banco, um clube de futebol e a Valve — a empresa por trás do Steam — a avisar clientes de que os seus dados de entrega podem ter sido copiados. Não houve exposição de palavras-passe nem de dados de pagamento, mas o material em causa (nomes, moradas, telefones, e-mails e detalhes de encomendas) é precisamente o combustível ideal para campanhas de phishing e burlas de falsa entrega.
Resposta rápida: A CEVA Logistics confirmou uma intrusão que afetou parte da sua operação de logística contratual na Europa, com impacto limitado a oito armazéns. Vários clientes da empresa — entre eles a bol, a De Bijenkorf, a Ace & Tate, o Ajax, o ING e a Valve — notificaram utilizadores de que dados de entrega podem ter sido acedidos. Se comprou hardware Steam na Europa nos últimos 90 dias ou fez encomendas nestas lojas, desconfie de mensagens que mencionem a sua encomenda e nunca pague “taxas de entrega” a partir de links recebidos por SMS ou e-mail.
O que a CEVA já admitiu — e o que continua por explicar
Em declarações ao TechCrunch, a empresa indicou que no dia 1 de agosto confirmou aos clientes afetados que uma intrusão informática estava a afetar parte das suas operações europeias de logística contratual e que, assim que o incidente foi identificado, as equipas de cibersegurança ativaram os protocolos e lançaram uma investigação que continua em curso. A mesma comunicação sublinha que o impacto operacional se limita a oito armazéns, não tendo sido afetados outros sistemas da CEVA a nível global.
A dimensão da empresa ajuda a explicar o efeito dominó. A CEVA é uma subsidiária do grupo CMA CGM, opera cerca de mil armazéns, processou 15 milhões de expedições no último ano e reportou receitas de 18,3 mil milhões de dólares em 2025, com presença em mais de 170 países e mais de 110 mil colaboradores — incluindo operações em Portugal. Segundo o relato de fontes próximas da investigação citadas pela FreightWaves, as operações em oito armazéns europeus foram perturbadas durante um fim de semana, os clientes afetados foram notificados a 1 de agosto e o caso está a ser investigado pela autoridade de proteção de dados neerlandesa e por autoridades policiais. O vetor de entrada, a eventual utilização de ransomware e o número de titulares afetados continuam por esclarecer publicamente.
Cronologia do incidente
| Data (2026) | Acontecimento |
|---|---|
| 29 de julho a 1 de agosto | Janela em que, segundo a Valve, os atacantes tiveram acesso a sistemas da CEVA |
| 1 de agosto | CEVA notifica clientes afetados da intrusão na logística contratual europeia |
| 3 de agosto | Autoridade de proteção de dados neerlandesa é informada pela bol |
| 5 de agosto | bol e De Bijenkorf comunicam aos clientes a possível fuga de dados |
| 7 de agosto | Valve toma conhecimento de que dados de clientes Steam foram provavelmente comprometidos; Ace & Tate junta-se à lista |
| 10 de agosto | Valve começa a enviar e-mails de notificação aos compradores europeus |
A cronologia da comunicação foi um dos pontos mais criticados nos Países Baixos: o ataque ocorreu a 1 de agosto, a autoridade de proteção de dados foi informada a 3 de agosto e a bol só comunicou publicamente a 5 de agosto. A retalhista justificou o intervalo com a necessidade de determinar primeiro o alcance do incidente e quem estava efetivamente afetado.
Quem foi afetado e que dados estão em causa
O denominador comum é sempre o mesmo: dados que uma marca entrega ao operador logístico para conseguir colocar a encomenda à porta do cliente.
| Organização | Dados potencialmente expostos |
|---|---|
| Valve (Steam) | Nome completo, morada, código postal, cidade, país, telefone, e-mail associado à conta Steam e tipo e preço do hardware encomendado |
| bol | Nome, morada, código postal, telefone e dados da encomenda |
| De Bijenkorf | Dados pessoais de clientes, podendo incluir endereços de e-mail e informação de produtos |
| Ace & Tate | Nomes, moradas, e-mails e telefones; em clientes empresariais, também nomes de empresa e números de IVA |
| Colaboradores da CEVA | Dados pessoais de trabalhadores e de pessoal temporário |
No caso da Valve, a empresa explicou que os atacantes tiveram acesso aos servidores da CEVA entre 29 de julho e 1 de agosto, o que lhes permitiu chegar à informação necessária para expedir encomendas de hardware a clientes Steam. A notificação detalha que os dados incluem nome completo, morada, código postal, cidade, país, telefone, e-mail associado à conta Steam e o tipo e preço do equipamento encomendado, sublinhando que não foram afetadas credenciais, palavras-passe, códigos Steam Guard nem informação de pagamento, porque a CEVA nunca teve acesso a esses dados. A janela de exposição é ampla porque a transportadora retém essa informação de entrega até 90 dias após a encomenda, motivo pelo qual a Valve optou por avisar todos os clientes que considera potencialmente abrangidos.
Do lado do retalho neerlandês, a bol garantiu que os seus próprios sistemas de TI não foram afetados e suspendeu a troca de dados com o parceiro, medida que teve custo operacional imediato: os produtos armazenados nas localizações afetadas foram temporariamente retirados de venda, algumas encomendas foram canceladas ou sofreram atrasos, mantendo-se operacionais os restantes centros logísticos. A De Bijenkorf encomendou uma investigação externa, bloqueou o acesso aos sistemas comprometidos e reforçou medidas de segurança, afirmando estar confiante de que números de conta bancária e palavras-passe não foram expostos. A cadeia de ótica Ace & Tate indicou que não pode excluir o acesso a nomes, moradas, e-mails e telefones, e a nomes de empresa e números de IVA no caso de clientes empresariais, garantindo que receitas óticas, dados financeiros, utilizadores e palavras-passe não foram atingidos por a CEVA não ter acesso a esses elementos. Também o clube de futebol Ajax, o banco ING e a Ace & Tate comunicaram que informação de expedição dos seus clientes foi afetada.
O incidente não ficou pelos clientes finais. Segundo uma carta interna divulgada pela imprensa especializada neerlandesa, a CEVA admitiu aos próprios trabalhadores e a pessoal temporário que os seus dados pessoais podem ter sido consultados ou copiados, referindo que foram tomadas medidas imediatas para proteger sistemas e realizar perícia forense e que o ataque foi comunicado à autoridade de proteção de dados.
A confusão da dark web: dados novos ou de um ataque anterior?
Um dos pontos mais delicados exige cautela. Vários meios noticiaram a colocação à venda de uma base de dados com informação de clientes da CEVA, mas a empresa terá indicado que esses dados provêm de um incidente anterior, de 2025, e não necessariamente do ataque de 1 de agosto de 2026 — uma distinção relevante, já que parecem estar a sobrepor-se dois casos distintos. Enquanto não houver validação independente do conjunto de dados, qualquer número de titulares afetados deve ser lido com reservas.
O que fazer se recebeu uma notificação
A Valve avisou expressamente que os clientes devem contar com mensagens falsas — por e-mail, SMS ou telefone — que mencionem a sua encomenda de hardware e aparentem vir da Steam, da Valve ou de uma empresa de entregas. É esse o risco central: com nome, morada, telefone e detalhe do produto comprado, um atacante constrói mensagens muito credíveis.
- Desconfie de qualquer mensagem que peça o pagamento de uma “taxa alfandegária” ou “reagendamento de entrega” com link incluído.
- Confirme o estado de encomendas apenas na aplicação oficial ou escrevendo o endereço do site à mão no navegador.
- Ative a autenticação multifator nas contas de comércio eletrónico e no e-mail, mesmo que as credenciais não tenham sido comprometidas.
- Nunca instale aplicações de “acompanhamento de entrega” enviadas por SMS nem forneça códigos recebidos por mensagem a quem lhe telefona.
- Guarde as notificações recebidas: podem ser úteis se precisar de apresentar queixa ou de exercer direitos junto do responsável pelo tratamento.
Porque é que isto importa em Portugal
Ainda que os avisos públicos tenham partido sobretudo de marcas neerlandesas, o alcance é europeu — a notificação da Valve dirige-se a compradores de hardware Steam na Europa, o que inclui consumidores em Portugal. Mais importante para as organizações portuguesas é a lição estrutural: uma única intrusão num prestador de fulfillment bastou para expor clientes de retalho, banca, desporto e gaming em simultâneo. É exatamente esse risco de cadeia de fornecimento que o Regime Jurídico da Cibersegurança (Decreto-Lei n.º 125/2025, que transpõe a NIS2) pretende endereçar, ao obrigar entidades abrangidas — incluindo setores como transportes e infraestruturas digitais — a gerir a segurança dos fornecedores e a notificar incidentes significativos ao CNCS/CERT.PT dentro de prazos apertados.
Do ponto de vista do RGPD, o esquema é claro: a marca que vende continua a ser responsável pelo tratamento e o operador logístico atua como subcontratante. Isso significa que a obrigação de notificar a autoridade de controlo em 72 horas e, quando há risco elevado, de comunicar aos titulares, recai sobre quem contratou o serviço — como se viu nas notificações à autoridade neerlandesa. Para PME portuguesas que externalizam armazenagem, expedição ou faturação, ficam três tarefas concretas: rever cláusulas de segurança e de notificação nos contratos de subcontratação, mapear que dados pessoais saem efetivamente da organização e exigir prazos máximos de retenção — porque, como este caso demonstra, uma janela de 90 dias de dados guardados no parceiro define diretamente o tamanho da fuga.
Perguntas frequentes
A minha conta Steam foi comprometida?
Não. A Valve indicou que não foram afetadas credenciais da conta Steam, palavras-passe, códigos Steam Guard nem informação de pagamento, porque a CEVA nunca teve acesso a esses dados. O risco principal é de phishing dirigido, com base nos dados de entrega.
Devo mudar as minhas palavras-passe?
Não é obrigatório neste caso concreto, uma vez que as credenciais não estavam no perímetro afetado. Ainda assim, ativar a autenticação multifator e usar palavras-passe únicas por serviço continua a ser a proteção mais eficaz contra o aproveitamento posterior de dados fugidos.
Como sei se fui afetado?
As empresas envolvidas estão a contactar diretamente por e-mail os clientes cujos dados possam ter sido copiados. Se não recebeu comunicação, é provável que a sua encomenda não tenha passado pelas localizações afetadas — mas confirme sempre na aplicação ou no site oficial, nunca através de links recebidos.
A minha empresa contrata logística externa. O que deve fazer já?
Rever os contratos de subcontratação à luz do RGPD, definir prazos de retenção e de notificação de incidentes, mapear que dados pessoais são partilhados e testar o plano de resposta assumindo que o incidente ocorre no fornecedor e não dentro de portas.
Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pela CEVA Logistics, pela Valve, pelas empresas afetadas e por meios especializados que acompanham o incidente.