攻撃を受けたのは、日本ではあまり名前を聞かない物流会社でした。それなのに顧客へ通知を出したのは、ポケモンセンターであり、オランダの百貨店であり、Steamであり、銀行でした。当の物流会社は、いまも公開の場で語っていません。制度が、そう作られているからです。
物流大手CEVA Logisticsが2026年7月末にサイバー攻撃を受け、欧州8カ所の倉庫で業務が混乱した。同社はCMA CGM Group傘下で、2025年通期の売上高は183億ドル。侵入は7月29日から8月1日にかけて起き、氏名、住所、電話番号、メールアドレス、注文内容が外部に渡った可能性がある。
支払いカード情報とパスワードは含まれない。委託元のbol、De Bijenkorf、ING、Ajax、Ace & Tate、Valve、About Youが相次いで顧客に通知し、オランダ個人データ保護庁には8月12日時点で12社が届け出た。8月17日には、英独向け配送をCEVAに委託するポケモンセンターの被害が伝えられ、一部の注文がキャンセルされた。CEVA自身は公開の声明を出していない。
From: 
Beveiligingsincident bij een logistieke warehousing partner van bol
【編集部解説】
今回の一件は、被害を受けた会社の名前を聞いても、多くの読者がぴんとこないところから始まります。CEVA Logistics。日本での知名度は高くありません。ところが7月末にこの会社のシステムへ侵入があってから、オランダのEC大手も、高級百貨店も、銀行も、サッカークラブも、Steamのハードウェアを買った人も、そしてポケモンセンターで買い物をした英国とドイツの人も、それぞれ別々に「あなたの情報が外部に渡ったかもしれません」という連絡を受け取ることになりました。
一つの物流会社が止まると、互いに無関係に見える企業から、いっせいに手紙が届く。サプライチェーンという言葉が抽象的に響くとき、この光景はその中身をよく表しています。
CEVA Logisticsは、海運大手CMA CGM Group傘下の物流会社です。フランスのマルセイユに本社を置き、約11万人の従業員が170カ国以上で働いています。2025年通期の売上高は183億ドル（約2兆9000億円、1ドル＝159円換算、2026年8月18日時点）。直近の2026年第2四半期の売上高は50億ドルでした。
侵入があったのは、この会社が手がける事業のうちコントラクトロジスティクスと呼ばれる領域です。荷主から預かった在庫を倉庫で保管し、注文が入ったら梱包して発送する。EC事業者が自前で物流網を持たずに済むのは、この機能を外に委ねているからです。CEVAの説明によれば、影響は欧州の8カ所の倉庫にとどまり、航空・海上・陸上・鉄道の輸送事業は通常どおり動いていました。
外部に渡った可能性があるのは、氏名、住所、電話番号、メールアドレス、注文番号、商品コード、追跡番号、そして注文の中身です。各社の通知で確認できる範囲では、支払いカード情報、銀行口座番号、パスワードは対象に含まれていないとされています。倉庫会社が発送のために預かる情報は、そもそもその範囲だからです。Valveが顧客に伝えたところによれば、CEVAは配送に関わる情報を注文から最大90日間保持しています。
ここで、日本の読者にとって意味を持つ論点が立ち上がります。攻撃されたのはCEVAなのに、顧客に説明しているのはCEVAではない、という構図です。
これは偶然ではなく、制度がそう設計されています。EUの一般データ保護規則（GDPR）では、個人データの使い道を決める側を管理者、その指示に従って処理する側を処理者と呼びます。侵害が起きたとき、監督機関へ72時間以内に通知し、必要なら本人に知らせる義務を負うのは管理者です。処理者の義務は、遅滞なく管理者へ伝えること。つまりCEVAは、荷主である各社に伝えた時点で、規則上の役割を果たしたことになります。
日本の個人情報保護法も、実はよく似た形をしています。委託先の監督を委託元に求めるのが第25条。漏えい等が起きたときの報告と本人通知を定めるのが第26条ですが、委託先が委託元へ必要な事項を通知したときは、委託先は報告義務からも本人通知義務からも外れます。日欧のどちらで起きても、漏れた個人データについて本人へ知らせる役目は、制度上は委託元の側に置かれています。
だからこそ、実際に何が語られたかは、義務の有無ではなく各社の判断で決まります。そしてその判断は、同じ制度の下でもこれだけ振れます。
innovaTopiaは今年7月、ちょうど鏡写しの事件を追っていました。ニチレイへの不正アクセスです。
ニチレイは7月13日、自社サイトで不正アクセスによるシステム障害の発生を公表しました。検知したのも同じ日です。冷凍物流が止まったことで、KFCをはじめとする委託元の業務に影響が及びました。翌14日、日本ケンタッキー・フライド・チキンは食材配送を委託する物流会社でのシステム障害を発表します。公表された文面に委託先の社名はなく、それがニチレイであることは報道機関の取材によって明らかになりました。
構図を並べると、向きがちょうど逆になっています。
日本では、攻撃を受けた委託先が即日名乗り、委託元は社名を伏せました。欧州では、委託元が次々に名乗り、攻撃を受けた委託先は公開の場でまだ語っていません。bolは8月5日、De Bijenkorfも同日、Valveは顧客へ直接メールを送り、About Youは8月14日に公表しました。オランダ個人データ保護庁への届出は、8月12日時点で12社に達しています。一方でCEVAの側から出ているのは、TechCrunchの取材に広報担当者が答えた内容だけです。
どちらが正しいという話ではありません。制度は両方を許しています。ただ、利用者の手元に届く情報の量と早さは、この選択で決まります。
実務として見習うべき動きも、はっきり出ています。
bolがCEVAから連絡を受けたのは8月1日。オランダ個人データ保護庁への届出は8月3日でした。日付の上では、GDPRが定める72時間の枠に収まっています。さらにbolは、パートナーとのデータ連携を直ちに止め、該当する商品をオンライン販売から取り下げました。侵害の範囲が確定する前に、まず流れを止める判断です。
Valveの顧客通知も、参考になる書き方をしています。同社は、盗まれた情報を使ったフィッシングが来ることを具体的に予告しました。Steam、Valve、あるいは配送業者を装ったメール、SMS、電話が届くこと。本物らしさを示すために、相手が住所を言い当ててくること。配送の確認や、少額の通関料・再配達料の支払いを求めてくること。
ここは日本の読者にもそのまま役立ちます。住所や注文内容を知っている相手からの連絡は、それだけで信用の根拠になりません。発送に関わる情報が漏れたあとに警戒すべきなのは、「あなたの荷物」を語る連絡です。
ポケモンセンターは、この連鎖のいちばん新しい一点として現れました。CEVAは、PokemonCenter.comの英国とドイツ向け配送を担っていました。同社が顧客に伝えたところによれば、7月30日に始まった攻撃で、氏名、住所、電話番号、メールアドレス、注文内容が外部に渡った可能性があります。支払いカード情報については、そもそもCEVAが預かっていません。一部の注文はキャンセルされました。
公式のサポートページで案内されているのは、いまのところ英国向けの配送遅延です（8月14日更新）。漏洩の事実は、対象となった顧客に個別のメールで届けられています。発送に関わる情報を扱う会社が増えるほど、一人の買い物客が「どこから漏れたのか」をたどる距離は長くなります。ポケモンセンターで買った人が、CEVAという社名に行き着くまでの道のりが、それを示しています。
なお攻撃の開始日については、7月29日とする説明（CEVAがTechCrunchに答えた内容、およびValveの顧客通知）と、7月30日とする説明（ポケモンセンターの顧客通知）があり、1日の幅があります。
もう一つ、慎重に読む必要のある動きがあります。
オランダのRTL Nieuwsは8月6日、CEVAの顧客データベースがダークウェブで売りに出ていると報じました。これに対しCEVAは、売られているのは2025年の別の攻撃で得られたデータであり、今回の件とは無関係で、bolやDe Bijenkorfの直近の顧客データは出回っていないと説明しています。同じ報道は、CEVAが2026年5月初旬にも攻撃を受けていたと伝えています。
現時点で、この二つの説明を突き合わせて判断する材料は公開されていません。同一の事案として語るには早く、無関係と断じるにも早い。ここは両方を置いたまま、続報を待つのが誠実な扱いだと考えます。
最後に、少し長い時間軸で見ておきます。
ECの利便性は、注文から玄関先までを他社に委ねることで成り立っています。売る会社、決済する会社、倉庫を持つ会社、運ぶ会社。役割を分けたぶんだけ効率は上がり、そのぶん、個人の住所と名前が置かれる場所も増えました。今回の件で名前が挙がった企業は、業種も国もばらばらです。共通していたのは、同じ倉庫を使っていたという一点だけでした。
そしてこの事件には、時期の巡り合わせがありました。EUのNIS2指令をオランダが国内法に落とし込んだ「Cyberbeveiligingswet（サイバーセキュリティ法）」が施行されたのは、2026年8月15日です。7月7日に上院を通過し、8月15日に動き出しました。CEVAへの侵入が特定されたのが8月1日ですから、法律が効き始める2週間前に、この国で十数社分の顧客通知が連鎖したことになります。
NIS2は、加盟国に2024年10月17日までの国内法化を求めていました。オランダを含む多くの国がこの期限に間に合わず、欧州委員会は2025年5月、19カ国に理由付き意見を送っています。対象分野には運輸や郵便・宅配が含まれ、一定の規模を超える企業が義務を負います。規模はEUの企業区分に沿って、従業員数や売上高などから判定されます。倉庫と配送を担う会社が、電力や医療と同じ枠組みで語られるようになった、ということです。今回のように一社の倉庫システムが十数社の顧客通知を同時に発生させる事例は、その線引きの妥当性を、施行の直前に実地で示した形になりました。
そして日本にとっては、ニチレイの一件からひと月あまりで、同じ構図の事件を海の向こうで見ることになりました。委託先が名乗るのか、委託元が名乗るのか。法律はどちらも許していて、決めているのは各社の姿勢です。利用者の側に立ったとき、どちらの景色のほうが見通しがよかったのか。答えは、これから同じ立場に置かれる会社が、それぞれ出していくことになります。
【関連記事】
ニチレイ不正アクセスでKFC全店に影響──冷凍物流システム障害が示すサプライチェーンの急所
冷凍物流の停止がKFC全店にまで及んだ事例。攻撃を受けた委託先が、検知したその日のうちに自ら公表した経緯を追っている記事。
【解説】ニチレイ、攻撃者が「盗んだ」とするデータ公開─約10日で戻せた業務と、戻らない情報
攻撃者が公開したデータをもとに、復旧した業務と戻らない情報とを整理した解説記事。委託先名の公表可否についても論じている。
日産が Oracle PeopleSoft 経由でデータ侵害公表｜ShinyHunters のゼロデイ攻撃、4カ国の従業員に影響
第三者が提供するシステムを経由して従業員データが流出した事例。委託先を経由した侵害という点で、今回の事案と構図が重なる。
【編集部後記】
もう一つ、目に留まった動きがあります。ドイツのAbout Youは、被害を明らかにするのとほぼ同じ時期に、物流を別の拠点へ移したと伝えられました。
倉庫は積み替えられます。けれど、いちど外へ出た住所と名前は戻せません。移せるものと移せないものの差が、この種の事件でいちばん厄介なところだと思います。次に同じことが起きたとき、あなたのもとへ知らせが届くかどうかは、買った店がどう判断するかにかかっています。
【用語解説】
コントラクトロジスティクス
荷主から在庫を預かり、保管・梱包・出荷までを請け負う物流事業の形態。EC事業者が自前の倉庫網を持たずに販売できるのは、この機能を外部に委ねているからである。倉庫や在庫管理、流通加工まで含み、EC向けの発送代行に限らない。
管理者と処理者
GDPRにおける役割の区分。個人データの使い道と方法を決める側が管理者（controller）、その指示に従ってデータを扱う側が処理者（processor）。今回の事案では、荷主である小売各社が管理者、倉庫を運営するCEVAが処理者にあたる。
GDPR（一般データ保護規則）
EUの個人データ保護規則。2018年施行。侵害が起きた場合、管理者は原則72時間以内に監督機関へ通知し（第33条）、本人の権利利益に高いリスクが生じるときは本人にも通知する（第34条）。処理者の義務は、遅滞なく管理者へ伝えることに置かれている。
個人情報保護法 第25条・第26条
日本の個人情報保護法のうち、第25条が委託先の監督、第26条が漏えい等の報告および本人への通知を定める。委託先が委託元へ必要な事項を通知したときは、委託先は報告義務と本人通知義務の主体から外れる。
NIS2指令
EUのサイバーセキュリティ指令。2022年成立。加盟国に2024年10月17日までの国内法化を求めた。エネルギーや医療と並んで運輸、郵便・宅配などが対象分野に含まれ、一定の規模を超える企業がリスク管理とインシデント報告の義務を負う。
Cyberbeveiligingswet
NIS2指令をオランダが国内法に落とし込んだ法律。2026年7月7日に上院を通過し、8月15日に施行された。対象となる組織には、体制整備の義務と、当局への登録・報告の義務が生じる。
ダークウェブ
通常の検索エンジンからは到達できず、専用のソフトウェアを介してのみ接続できるネットワーク領域。匿名性が高く、窃取された個人データの取引に使われることがある。
フィッシング
実在する企業や配送業者を装って連絡を取り、認証情報や決済情報を引き出そうとする手口。氏名や住所、注文内容が漏れた場合、それらを会話に織り込むことで本物らしさを装う手法が使われる。
【参考リンク】
CEVA Logistics（外部）
CMA CGM Group傘下の物流大手。契約物流と航空・海上・陸上・鉄道の輸送を170カ国以上で展開し、従業員は約11万人にのぼる。
CMA CGM Group（外部）
CEVA Logisticsの親会社にあたるフランスの海運大手。四半期ごとの決算で、物流部門の売上高と主な動きを公表している。
bol「Beveiligingsincident bij een logistieke warehousing partner van bol」（外部）
今回のインシデントについてbolが出した公式の告知。漏洩の対象となったデータ項目と、オランダ当局への届出日が記載されている。
Pokémon Center Support「Known Issues」（外部）
ポケモンセンターが既知の不具合を掲示する公式ページ。英国向けの注文について、処理と発送に遅延が生じていると案内されている。
個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」（外部）
個人情報保護法のガイドライン通則編。委託先の監督と、漏えい等が起きたときの報告・本人への通知についての考え方が示されている。
NCSC「Cyberbeveiligingswet (NIS2)」（外部）
オランダの国家サイバーセキュリティセンター。NIS2を国内法化したCyberbeveiligingswetの内容と義務を解説している。
Autoriteit Persoonsgegevens（外部）
オランダの個人データ保護監督機関。GDPRに基づく漏えいの届出を受理し、事業者への調査と指導にあたる。今回は12社の届出を確認した。
ニチレイ「不正アクセスによるシステム障害の発生について」（外部）
ニチレイが2026年7月13日に公表した、不正アクセスによるシステム障害についての第一報。障害を検知した当日に出されたもの。
【参考記事】
A data breach at shipping giant Ceva Logistics is rippling across banks, retailers, Steam gamers, and beyond（外部）
CEVAへの侵入が欧州8カ所の倉庫に及び、銀行や小売、Steam利用者にまで波及した経緯を、最初に広く整理した記事である。
Twaalf meldingen bij Autoriteit Persoonsgegevens na datalek CEVA（外部）
オランダ個人データ保護庁への届出が12社に達したことを、当局への確認をもとに報じた記事。8月12日時点での数字とされる。
Valve notifies Steam hardware customers of a data breach（外部）
Valveの顧客通知を詳報。CEVAが配送に関わる情報を最大90日保持することと、フィッシングへの具体的な警告に触れている。
Pokémon Center data breach exposes customer info, cancels some orders（外部）
ポケモンセンターが英国とドイツの顧客へ送った通知の内容と、一部の注文がキャンセルされるに至った経緯を詳しく報じている記事。
Cyberattack on logistics giant Ceva hits retailers and Steam customers across Europe（外部）
影響を受けた企業の広がりと、盗まれたデータの項目を整理した記事。CEVAが問い合わせに応じていないことについても触れている。
Ceva Logistics Operations Disrupted by Cyberattack（外部）
BolとDe Bijenkorfの説明を引用し、支払情報やパスワード、ログイン情報が含まれていない点を確認している記事である。
