Cyberatak na CEVA Logistics odciął część sprzedawców od własnego towaru

13.08.2026

Cyberatak na CEVA Logistics, międzynarodowego operatora świadczącego usługi transportowe, magazynowe i fulfillmentowe, przełożył się na poważne zakłócenia u kilku europejskich sprzedawców. Najbardziej widocznym przypadkiem jest holenderska sieć domów towarowych De Bijenkorf. Problem nie zatrzymał jej strony internetowej ani samego procesu składania zamówienia. Uderzył w miejsce, bez którego sprzedaż internetowa nie może zostać dokończona: dostęp do towaru i możliwość jego wysłania.

Jeszcze na początku zakłóceń De Bijenkorf informował klientów przede wszystkim o wydłużonym terminie realizacji. Zamówienia ze sklepu internetowego miały być wysyłane dopiero od początku września, a jako konkretny termin pojawiał się 4 września 2026 r. Sytuacja później się pogorszyła. Znaczna część produktów zaczęła być prezentowana w sklepie jako niedostępna. Sprzedaż pozostała możliwa przede wszystkim w przypadku artykułów znajdujących się w zapasach sklepów stacjonarnych.

Różnica jest zasadnicza. Opóźnienie dostawy pozostawia klientowi możliwość zakupu i pozwala sprzedawcy przyjąć zamówienie, nawet jeśli realizacja nastąpi później. Niedostępność produktu usuwa natomiast możliwość zawarcia transakcji. Ruch pozyskany z Google, kampanii w mediach społecznościowych, newsletterów czy porównywarek cen może nadal docierać do sklepu, ale klient nie kupi produktu, którego system nie pozwala dodać do koszyka.

Dla De Bijenkorf skala problemu jest szczególnie duża ze względu na rolę centralnej logistyki. Firma zatrudnia około 4,5 tys. osób, prowadzi siedem domów towarowych w Holandii oraz sklepy internetowe obsługujące rynek holenderski i flamandzki. Jej centrum dystrybucyjne w Tilburg odpowiada za przepływ towarów związany zarówno ze sprzedażą internetową, jak i działalnością sklepów stacjonarnych.

Zakłócenie nastąpiło przy tym w wymagającym okresie dla przedsiębiorstwa. De Bijenkorf podał, że w 2025 r. jego sprzedaż netto wzrosła o 2,8 proc., lecz porównanie z poprzednim okresem jest utrudnione, ponieważ rok obrotowy 2024 obejmował jedynie 11 miesięcy. W ujęciu porównywalnym wydatki klientów w 2025 r. spadły o 8,3 proc. Wynik operacyjny poprawił się z 23,8 mln do 24,7 mln euro.

W takim otoczeniu kilkutygodniowa utrata części sprzedaży internetowej uderza bezpośrednio w obrót, ale koszty nie kończą się na niezrealizowanych zamówieniach. Sprzedawca nadal ponosi wydatki na pracowników, technologię, marketing, powierzchnię handlową i utrzymanie zapasów. Jednocześnie część kapitału pozostaje zamrożona w towarze, którego nie można w normalnym trybie dostarczyć klientowi.

Jeden operator logistyczny, zupełnie różne skutki dla De Bijenkorf, Ace & Tate i Bol

Incydent dotyczący CEVA Logistics pokazuje również, dlaczego informacja o cyberataku na dużego operatora nie wystarcza do oceny ryzyka jego klientów. O skali strat decyduje architektura logistyczna konkretnego sprzedawcy: liczba magazynów, podział zapasu, możliwość obsługi zamówień z innych lokalizacji, integracje informatyczne oraz zakres procesów powierzonych zewnętrznemu partnerowi.

De Bijenkorf znalazł się w sytuacji, w której ograniczenie centralnej logistyki przełożyło się na dostępność dużej części oferty internetowej. Firma wykorzystuje zapasy sklepów stacjonarnych jako alternatywne źródło produktów. Omnichannel, czyli połączenie sprzedaży internetowej i stacjonarnej ze wspólną obsługą klienta oraz zapasów, stał się w tym przypadku rozwiązaniem awaryjnym, a nie tylko sposobem zwiększania wygody zakupów.

Inny model działania widać w Ace & Tate, marce sprzedającej okulary i soczewki kontaktowe. Problemy CEVA Logistics spowodowały ograniczenie regularnej wysyłki oprawek. Klienci mogą jednak zamawiać je z odbiorem w sklepie. Soczewki kontaktowe pozostają dostępne w standardowej dostawie.

Ace & Tate ma 85 sklepów w dziewięciu państwach i zatrudnia ponad 650 osób. Sieć stacjonarna zapewnia więc dodatkową warstwę odporności operacyjnej. Gdy centralny proces wysyłki określonej grupy produktów przestaje działać, część popytu można skierować do placówek. Sprzedawca działający wyłącznie w internecie i utrzymujący cały zapas u jednego operatora nie ma takiej możliwości.

Wśród klientów CEVA znajduje się również Bol, jeden z największych marketplace w Holandii i Belgii, należący do grupy Ahold Delhaize. W jego przypadku nie pojawiły się informacje o zakłóceniach porównywalnych ze skalą problemów De Bijenkorf. Ten kontrast dobrze pokazuje ograniczenia prostego podejścia do dywersyfikacji dostawców. Sama współpraca z operatorem dotkniętym incydentem nie przesądza o zatrzymaniu sprzedaży. Znaczenie ma to, jaka część operacji jest od niego zależna i czy przedsiębiorstwo posiada inne kanały realizacji zamówień.

Fulfillment, czyli kompleksowa obsługa magazynowania, kompletowania, pakowania i wysyłki zamówień przez zewnętrznego operatora, daje sklepom internetowym możliwość szybkiego zwiększania skali bez budowy własnego zaplecza magazynowego. Jednocześnie przenosi część ryzyka poza organizację sprzedawcy. Towar nadal należy do sklepu, lecz fizyczny dostęp do niego i możliwość realizacji zamówienia zależą od systemów partnera.

Jeżeli operator ze względów bezpieczeństwa odłącza system zarządzania magazynem, ogranicza dostęp do infrastruktury lub izoluje część sieci, tysiące sztuk towaru mogą fizycznie znajdować się na regałach i jednocześnie pozostawać niedostępne dla e-commerce. Nie trzeba utracić ani jednej paczki, aby zapas przestał generować sprzedaż.

Cyberatak na operatora logistycznego staje się jednocześnie problemem sprzedażowym i problemem danych klientów

Operator fulfillmentu nie otrzymuje wyłącznie informacji o liczbie produktów do wysłania. Do prawidłowej realizacji zamówienia potrzebuje między innymi danych odbiorcy, adresu dostawy, numeru telefonu oraz informacji pozwalających przyporządkować paczkę do konkretnego zamówienia. Z tego powodu cyberatak na firmę logistyczną może stać się również incydentem dotyczącym danych osobowych klientów sklepu.

W przypadku De Bijenkorf pojawiła się informacja, że naruszenie mogło objąć takie dane jak imiona i nazwiska, adresy, numery telefonów oraz informacje związane z zamówieniami. Według informacji przekazywanych klientom hasła i dane płatnicze nie zostały objęte incydentem według ówczesnego stanu wiedzy.

Brak danych karty płatniczej nie eliminuje ryzyka po stronie konsumenta. Połączenie nazwiska, telefonu, adresu oraz informacji o zakupie może zostać wykorzystane do przygotowania wiarygodnej próby phishingu, czyli podszywania się pod sklep, kuriera lub inną zaufaną firmę w celu wyłudzenia danych albo pieniędzy. Oszust znający sklep, w którym klient rzeczywiście dokonał zakupu, ma znacznie lepszy punkt wyjścia niż nadawca przypadkowej wiadomości.

Dla sprzedawców działających w Unii Europejskiej pojawia się również kwestia RODO, czyli ogólnego rozporządzenia o ochronie danych określającego zasady przetwarzania i zabezpieczania danych osobowych. W typowym modelu sklep pozostaje administratorem danych klienta, natomiast część dostawców przetwarza dane w jego imieniu w zakresie niezbędnym do świadczenia swoich usług. Konkretne obowiązki po incydencie zależą od charakteru naruszenia, zakresu danych oraz podziału odpowiedzialności wynikającego z rzeczywistych ról stron i zawartych umów.

Sprzedawca nie powinien więc traktować cyberbezpieczeństwa operatora logistycznego jako wyłącznie wewnętrznej sprawy dostawcy. Potrzebuje procedury uzyskania informacji o zakresie incydentu, grupach dotkniętych danych, czasie naruszenia i działaniach ograniczających skutki. Bez tych informacji trudno przeprowadzić własną ocenę ryzyka oraz prawidłowo obsłużyć obowiązki dotyczące ochrony danych.

Drugim obszarem strat jest marketing. Jeżeli sklep nadal prowadzi kampanię płatną na produkty, których fulfillment został zatrzymany, budżet reklamowy może generować wejścia na karty niedostępnego asortymentu. Automatyczne kampanie produktowe dodatkowo wymagają szybkiej synchronizacji rzeczywistej dostępności. Kilkugodzinne opóźnienie aktualizacji jest problemem technicznym. Przy awarii liczonej w dniach prowadzi już do systematycznego finansowania ruchu, którego sklep nie może zamienić w sprzedaż.

Dochodzi do tego obsługa klienta. Informacja o przesunięciu dostawy o kilka tygodni zwiększa liczbę zapytań, rezygnacji i zwrotów środków. Każda taka sprawa zużywa czas zespołu, a w przypadku dużej liczby zamówień może wymagać dodatkowej obsady infolinii lub działu obsługi. Awaria logistyczna zaczyna więc obciążać działy, które technicznie nie mają żadnego związku z zaatakowaną infrastrukturą.

Polski sprzedawca cross-border może mieć ten sam problem bez ani jednego zainfekowanego komputera

Dla polskich firm sprzedających w Niemczech i innych państwach UE przypadek CEVA jest szczególnie istotny ze względu na popularność zewnętrznego fulfillmentu w ekspansji zagranicznej. Lokalny magazyn pozwala skrócić czas dostawy i uprościć obsługę zwrotów, ale jednocześnie tworzy zależność od infrastruktury znajdującej się poza bezpośrednią kontrolą sprzedawcy.

Przykładem może być polska marka odzieżowa, która rozwija własny sklep na rynku niemieckim. Firma przechowuje cały zapas przeznaczony dla klientów z Niemiec w jednym centrum fulfillmentowym, zintegrowanym z platformą sklepową oraz systemem ERP, czyli systemem informatycznym służącym między innymi do zarządzania zamówieniami, stanami magazynowymi, sprzedażą i finansami.

W normalnych warunkach taki układ jest efektywny. Zamówienie złożone przez klienta trafia automatycznie do operatora, magazyn kompletuje paczkę, generuje etykietę i przekazuje przesyłkę przewoźnikowi. Informacja o wysyłce wraca do sklepu bez ręcznej pracy pracownika.

Jeżeli system magazynowy operatora zostanie odłączony wskutek cyberataku, ten sam poziom integracji zaczyna działać przeciwko sprzedawcy. ERP może pokazywać zapas, sklep może przyjmować ruch, kampanie reklamowe mogą generować kliknięcia, a towary mogą fizycznie leżeć w magazynie pod Berlinem lub Hamburgiem. Brakuje jednak sprawnego mechanizmu pozwalającego ustalić lokalizację produktu, skompletować zamówienie, wydrukować właściwą etykietę i potwierdzić wysyłkę.

Jeżeli marka sprzedaje dziennie 500 zamówień ze średnią wartością koszyka 80 euro, jeden dzień pełnego zatrzymania odpowiada 40 tys. euro wartości zamówień, których realizacja jest zagrożona. Siedem dni daje 280 tys. euro. Nie jest to automatycznie strata księgowa w tej wysokości, ponieważ część klientów może poczekać albo kupić później. Liczby pokazują jednak skalę ekspozycji biznesowej, którą firma powinna znać jeszcze przed wyborem operatora.

Inny scenariusz dotyczy polskiego sprzedawcy działającego równolegle na marketplace i we własnym sklepie. Część zapasu utrzymuje on we własnym magazynie w Polsce, a część w zewnętrznym centrum logistycznym bliżej klientów zachodnioeuropejskich. Awaria drugiego obiektu nadal zwiększy koszty i pogorszy terminy dostaw, ale nie musi całkowicie zatrzymać sprzedaży. Firma może przesunąć wybrane zamówienia do polskiego magazynu, ograniczyć dostępność części produktów albo zmienić obszar geograficzny obsługiwany przez poszczególne lokalizacje.

Taka redundancja nie jest darmowa. Rozdzielenie zapasu zwiększa jego złożoność i może prowadzić do sytuacji, w której jeden magazyn ma nadwyżkę produktu, a drugi notuje braki. Dochodzą koszty integracji, transportu między magazynami oraz utrzymywania zapasu bezpieczeństwa. Alternatywą jest jednak ryzyko utraty całego kanału sprzedaży w chwili, gdy pojedynczy partner logistyczny przestanie działać.

Szczególnej uwagi wymagają marketplace, ponieważ opóźnienie logistyczne może wpływać nie tylko na pojedynczą transakcję. Platformy monitorują wskaźniki związane z terminowością realizacji, anulowaniem zamówień oraz jakością obsługi. Sprzedawca powinien wiedzieć, jak postępować z ofertami i deklarowanym terminem wysyłki natychmiast po utracie możliwości realizacji zamówień. Pozostawienie aktywnej sprzedaży tylko po to, aby zachować obrót, może szybko stworzyć większy problem w postaci kumulacji zamówień, których firma nie jest w stanie wysłać.

Co powinien zrobić sprzedawca z Polski, zanim awaria operatora zatrzyma sprzedaż

Pierwszym zadaniem jest ustalenie rzeczywistej zależności firmy od każdego zewnętrznego partnera. Sam rejestr dostawców niewiele mówi. Sprzedawca powinien wiedzieć, które procesy przestaną działać po niedostępności konkretnej firmy przez 24 godziny, trzy dni, tydzień oraz kilka tygodni. Operator odpowiedzialny za 100 proc. wysyłek ma zupełnie inny profil ryzyka niż przewoźnik obsługujący 15 proc. paczek.

Taka analiza powinna objąć również technologię. Interfejs API, czyli mechanizm pozwalający systemom informatycznym automatycznie wymieniać dane, może łączyć sklep z ERP, systemem zarządzania magazynem operatora, marketplace i przewoźnikiem. Sprzedawca potrzebuje odpowiedzi na proste pytanie: co można zrobić ręcznie, gdy automatyczna wymiana danych przestanie działać?

Jeżeli odpowiedź brzmi „nic”, firma nie ma procedury awaryjnej.

Warto przygotować minimalny proces pozwalający wyeksportować zamówienia, przekazać je alternatywnym kanałem, utworzyć przesyłki i ponownie zsynchronizować statusy po przywróceniu integracji. Nie każdy operator będzie w stanie wykonywać takie działania podczas poważnego cyberincydentu, ale brak uzgodnionej procedury praktycznie wyklucza możliwość szybkiego przejścia na obsługę ręczną.

Drugim obszarem jest zapas bezpieczeństwa. Nie każda firma potrzebuje dwóch pełnych magazynów z identycznym asortymentem. Dla produktów odpowiadających za największą część obrotu uzasadnione może być jednak utrzymywanie części sztuk w innej lokalizacji. W razie awarii sprzedawca zachowuje wtedy możliwość realizacji najbardziej wartościowej części sprzedaży, nawet kosztem droższej wysyłki.

Umowa z operatorem logistycznym powinna być analizowana również pod kątem incydentów bezpieczeństwa i ciągłości działania, a nie wyłącznie stawek za magazynowanie, kompletację i paczkę. Znaczenie mają zasady informowania o awarii, procedury odtwarzania systemów, kopie zapasowe, sposób postępowania z danymi klientów oraz możliwość odzyskania lub przeniesienia zapasu. Parametry SLA, czyli uzgodnionego poziomu świadczenia usługi, powinny odpowiadać procesom, których zatrzymanie rzeczywiście wpływa na sprzedaż.

Sprzedawca potrzebuje również gotowego mechanizmu ograniczenia kampanii reklamowych. Jeżeli określona część asortymentu staje się niedostępna, informacja powinna możliwie szybko trafić do sklepu, porównywarek, systemów reklamowych i marketplace. W przeciwnym razie firma płaci za pozyskanie klientów do produktów, których nie może dostarczyć.

Procedura kryzysowa powinna obejmować zwroty. Jest to szczególnie ważne w sprzedaży cross-border, gdzie klient może mieć już wygenerowaną etykietę zwrotną prowadzącą do centrum logistycznego objętego zakłóceniem. Sprzedawca musi ustalić, czy zwroty nadal mogą być przyjmowane, gdzie mają zostać przekierowane oraz jak obsłużyć zwrot pieniędzy, jeśli fizyczna kontrola zwróconego produktu będzie opóźniona.

Koszt takiego zabezpieczenia łatwo uznać za zbędny w okresie, w którym logistyka działa bez zakłóceń. Bardziej użytecznym wskaźnikiem przy podejmowaniu decyzji jest koszt jednego dnia niedostępności fulfillmentu. Firma realizująca 100 tys. euro sprzedaży dziennie ma inną ekonomię redundancji niż sklep osiągający taki obrót miesięcznie.

Cyberatak na CEVA Logistics pokazał, że odporność e-commerce nie kończy się na zabezpieczeniu panelu administracyjnego sklepu, kont pracowników i systemu ERP. Łańcuch sprzedaży jest tak odporny, jak procesy potrzebne do przyjęcia zamówienia, znalezienia towaru, spakowania go, wysłania oraz obsłużenia zwrotu. De Bijenkorf ma działający sklep internetowy, klientów i fizyczny zapas, a mimo tego przez zakłócenia u partnera logistycznego znaczna część asortymentu przestała być normalnie dostępna w sprzedaży.

Dla polskiego sprzedawcy wybierającego fulfillment w Niemczech, Holandii czy innym państwie UE cena obsługi paczki powinna więc być tylko jednym z parametrów wyboru partnera. Równie konkretnej wyceny wymaga scenariusz, w którym przez siedem lub kilkanaście dni z magazynu nie można wysłać żadnego zamówienia. Dopiero zestawienie obu kwot pokazuje rzeczywisty koszt modelu logistycznego.