El puente julio–agosto no fue un hospital ni un ministerio. Fue un 3PL. Entre el 29 de julio y el 1 de agosto, CEVA Logistics sufre una intrusión en su logística de contrato europea. El 1 de agosto avisa. La oleada pública —Valve, Bol, ING, Ajax, De Bijenkorf, Ace & Tate— llega hacia el 7–10 de agosto.
El perímetro que se ha dicho: ocho almacenes en Europa. Los clientes confirman que pueden haber salido nombres, direcciones, teléfonos, emails y detalle de pedido. Valve, con Steam de por medio, dice que no hay pagos ni contraseñas de cuentas Steam. Eso importa: el 3PL es el CRM de última milla, no el vault del juego.
Sin actor, sin ransomware declarado
Nadie ha atribuido el golpe a un grupo. Nadie ha confirmado cifrado de planta. Es un data breach de operador logístico que se propaga por la lista de clientes, no un comunicado único con un nombre de malware.
CEVA mueve mercancía de bancos, retailers y un publisher de videojuegos. Cada uno tiene su obligación de aviso. Por eso la noticia no “estalla” el día 1: estalla cuando Steam, Bol o ING empiezan a escribir a sus usuarios.
Por qué está en este archivo
Agosto iba delgado hasta Clop. CEVA es el puente. No es el incidente español que faltaba —ese sigue siendo Indra— pero sí el que enseña que el almacén subcontratado conoce tu dirección mejor que tu banco.
