CEVA Logistics ha rivelato un ulteriore livello della sua recente violazione della sicurezza, confermando che gli aggressori hanno ottenuto informazioni appartenenti a membri attuali ed ex della sua forza lavoro. Le precedenti rivelazioni riguardanti l’incidente si erano concentrate principalmente sui dati dei clienti processati da CEVA per le aziende che utilizzano i suoi servizi logistici.
In un messaggio distribuito internamente, il CEVA ha dichiarato che parti non autorizzate hanno copiato una combinazione di registri personali e di lavoro. Le informazioni potenzialmente interessate sono estese, spaziando dai contatti di base ai dati finanziari, familiari e sul posto di lavoro.
Tra i dati identificati dalla CEVA vi sono nomi di dipendenti, date di nascita, indirizzi di casa, numeri di telefono, indirizzi email, stato civile, numeri di previdenza sociale e copie di carte d’identità. Informazioni sui conti bancari, stipendi, dettagli pensionistici, contatti di emergenza, registri di assenze e appunti di singole riunioni sono stati anch’essi conservati nei sistemi interessati.
Alcuni documenti contenevano informazioni sui partner e sui figli dei dipendenti. Un informazione insolitamente specifica potenzialmente esposta erano le taglie delle scarpe dei lavoratori.
L’azienda ha chiarito che ciò non significa che tutti questi dettagli siano stati compromessi. Le categorie di informazioni esposte variano a seconda dell’individuo. La CEVA non ha ancora comunicato quanti ex e attuali dipendenti siano coinvolti.
Più account utente sono stati compromessi durante l’incidente, secondo informazioni riportate dal media olandese BNR. CEVA ha successivamente disabilitato tali account.
L’azienda ha segnalato la violazione all’autorità olandese per la protezione dei dati e ha coinvolto specialisti esterni in cybersecurity come parte delle indagini in corso.
La divulgazione dei dipendenti amplia significativamente l’impatto noto dell’incidente. CEVA era già emersa come il principale fornitore logistico dietro le notifiche di violazione dei dati emesse da diverse organizzazioni le cui informazioni sui clienti passavano attraverso i suoi sistemi.
Queste organizzazioni includono De Bijenkorf, bol, Ajax, ING, Ace & Tate, Valve e Pokémon Center. Le informazioni esposte in quei casi dipendevano da ciò che CEVA riceveva dai singoli partner per fornire servizi logistici e di consegna.
Pokémon Center, ad esempio, ha recentemente informato clienti in Germania e Regno Unito che informazioni relative ai loro ordini potrebbero essere state ottenute durante l’attacco. I registri potenzialmente interessati includevano nomi di clienti, indirizzi, indirizzi email, numeri di telefono e dettagli dei prodotti ordinati.
L’ultimo sviluppo stabilisce che gli aggressori non hanno ottenuto esclusivamente informazioni fornite alla CEVA dai suoi partner commerciali. Sono stati inoltre copiati i registri interni del personale, il che potrebbe rivelare informazioni molto più sensibili su persone che attualmente lavorano per l’azienda o che lo hanno fatto in passato.