CEVA Logistics hat eine weitere Ebene seiner jüngsten Sicherheitsverletzung aufgedeckt und bestätigt, dass Angreifer Informationen von aktuellen und ehemaligen Mitarbeitern erhalten haben. Frühere Enthüllungen rund um den Vorfall konzentrierten sich hauptsächlich auf Kundendaten, die CEVA für Unternehmen, die seine Logistikdienstleistungen nutzen, verarbeitet hat.
In einer intern verteilten Nachricht teilte CEVA mit, dass unautorisierte Parteien eine Mischung aus persönlichen und Beschäftigungsunterlagen kopiert hätten. Die möglicherweise betroffenen Informationen sind umfangreich und reichen von grundlegenden Kontaktdaten bis hin zu Finanz-, Familien- und Arbeitsunterlagen.
Zu den von CEVA identifizierten Daten gehören Mitarbeiternamen, Geburtsdaten, Wohnadressen, Telefonnummern, E-Mail-Adressen, Familienstand, Sozialversicherungsnummern und Kopien von Ausweiskarten. Bankkontoinformationen, Gehälter, Pensionsdetails, Notfallkontakte, Abwesenheitsunterlagen und Notizen einzelner Sitzungen wurden ebenfalls in den betroffenen Systemen gespeichert.
Einige Unterlagen enthielten Informationen über die Partner und Kinder der Mitarbeiter. Eine ungewöhnlich spezifische Information, die potenziell offengelegt wurde, waren die Schuhgrößen der Arbeiter.
Das Unternehmen stellte klar, dass dies nicht bedeutet, dass bei jeder betroffenen Person all diese Details kompromittiert wurden. Die Kategorien der offengelegten Informationen unterscheiden sich je nach Person. CEVA hat bisher nicht bekannt gegeben, wie viele ehemalige und aktuelle Mitarbeiter beteiligt sind.
Mehrere Benutzerkonten wurden während des Vorfalls ebenfalls kompromittiert, wie aus Informationen des niederländischen Mediums BNR hervorgeht. CEVA hat diese Konten inzwischen deaktiviert.
Das Unternehmen meldete die Sicherheitslücke bei der niederländischen Datenschutzbehörde und holte externe Cybersicherheitsspezialisten im Rahmen der laufenden Untersuchung hinzu.
Die Mitarbeiteroffenlegung erweitert die bekannten Auswirkungen des Vorfalls erheblich. CEVA hatte sich bereits als gemeinsamer Logistikdienstleister hinter Datenpannenmeldungen etabliert, die von mehreren Organisationen herausgegeben wurden, deren Kundendaten durch deren Systeme geleitet wurden.
Zu diesen Organisationen gehören De Bijenkorf, bol, Ajax, ING, Ace & Tate, Valve und Pokémon Center. Die in diesen Fällen bereitgestellten Informationen hingen davon ab, was CEVA von einzelnen Partnern erhielt, um Logistik- und Lieferdienste bereitzustellen.
Das Pokémon Center informierte beispielsweise kürzlich Kunden in Deutschland und Großbritannien, dass während des Angriffs Informationen im Zusammenhang mit ihren Bestellungen erhalten worden sein könnten. Die potenziell betroffenen Daten umfassten Kundennamen, Adressen, E-Mail-Adressen, Telefonnummern und Details bestellter Produkte.
Die jüngste Entwicklung zeigt, dass die Angreifer nicht ausschließlich Informationen erhielten, die CEVA von seinen kommerziellen Partnern geliefert hatten. Auch interne Personalakten wurden kopiert, was potenziell deutlich sensiblere Informationen über Personen offenlegen könnte, die derzeit für das Unternehmen arbeiten oder dies in der Vergangenheit getan haben.