Steam nie został zhakowany, ale dane części klientów Valve mogły wypłynąć przez partnera

Dane adresowe, numery telefonów i informacje o zakupionym sprzęcie mogły trafić w ręce cyberprzestępców po ataku na partnera logistycznego Valve. Firma ostrzega europejskich klientów, że przejęte informacje mogą zostać wykorzystane do wyjątkowo wiarygodnych prób phishingu.

Pierwsze ostrzeżenia zaczęli publikować użytkownicy Reddita. Jeden z nich udostępnił treść wiadomości otrzymanej od Valve, z której wynika, że między 29 lipca a 1 sierpnia 2026 roku celem cyberataku padła firma CEVA Logistics. To zewnętrzny partner obsługujący dostawy fizycznego sprzętu Valve do klientów w Europie. Valve miało dowiedzieć się 7 sierpnia, że wśród przejętych informacji prawdopodobnie znalazły się również dane klientów Steam.

To istotne rozróżnienie: nie doszło do włamania do samego Steam ani infrastruktury Valve. Problem pojawił się po stronie przedsiębiorstwa logistycznego, któremu Valve przekazywało informacje potrzebne do realizacji wysyłek.

Hakerzy mogli dostać wyjątkowo użyteczny zestaw danych

CEVA przechowuje dane związane z dostawami przez okres do 90 dni po realizacji zamówienia. Dlatego Valve wysyła ostrzeżenia do klientów, w przypadku których zakłada, że informacje mogły znajdować się w zaatakowanych systemach.

Powiązane:Nowość na Steamie: wojenny shooter z bitwami dla 100 graczy i i symulator polskiego majstra

Zakres potencjalnie przejętych informacji jest dość szeroki. Obejmuje imię i nazwisko, pełny adres wraz z kodem pocztowym i miastem, kraj, numer telefonu, adres e-mail używany również na koncie Steam, a także rodzaj zamówionego sprzętu oraz jego cenę.

Ta ostatnia informacja może okazać się szczególnie problematyczna. Oszust nie musi bowiem wysyłać przypadkowej wiadomości o „problemie z kontem Steam”. Może znać nazwisko ofiary, jej adres, numer telefonu oraz wiedzieć, że niedawno kupiła konkretny sprzęt Valve za określoną kwotę.

Samo Valve właśnie przed takim scenariuszem ostrzega. Firma spodziewa się prób phishingu prowadzonego przez e-mail, SMS-y oraz telefon. Przestępcy mogą podszywać się pod Valve albo firmę kurierską, przywoływać prawdziwy adres klienta i żądać np. niewielkiej dopłaty za ponowną dostawę lub opłatę celną.

Fakty vs. mity odnośnie wycieku danych ze Steam/ Źródło: Własne

Hasła i dane kart nie wyciekły

Jest też dobra wiadomość. CEVA nie miała dostępu do danych płatniczych klientów, haseł do Steam, kodów Steam Guard ani pozostałych informacji związanych bezpośrednio z zabezpieczeniami kont. Valve podkreśla więc, że osoby, które otrzymały ostrzeżenie, nie muszą zmieniać hasła ani ustawień konta z powodu tego incydentu.

Firma przypomina jednocześnie, że Steam Support nie kontaktuje się z użytkownikami przez Discord, Steam Chat czy zwykłe wiadomości e-mail w celu rozwiązywania problemów z kontem i nigdy nie prosi o przekazanie hasła lub kodu Steam Guard.

Skala całego ataku może zresztą wykraczać poza klientów Valve. CEVA Logistics współpracuje z wieloma europejskimi przedsiębiorstwami. W Holandii o potencjalnym wycieku danych klientów informowały wcześniej m.in. Bol i De Bijenkorf. Według RTL Nieuws incydent dotknął systemów związanych z ośmioma europejskimi centrami dystrybucyjnymi CEVA.

CEVA odizolowała zaatakowane systemy i zaangażowała zewnętrznych specjalistów do zbadania incydentu. Valve naciska natomiast na swojego partnera w sprawie ustalenia pełnego zakresu przejętych danych oraz rozpoczęło proces informowania odpowiednich organów ochrony danych w dotkniętych państwach.

Na Reddicie pojawiają się już liczne relacje osób, które otrzymały wiadomość. Część z nich kupowała Steam Controllery, inni Steam Machine. Największy niepokój wzbudza właśnie połączenie danych kontaktowych z informacją o kosztownym zakupie sprzętu – zestaw, który może ułatwić przygotowanie znacznie bardziej przekonujących oszustw niż typowy masowy spam.

Więcej:18-latek sprzedał swoją grę ponad 6700 razy na Steam. Byłby teraz milionerem, gdyby 99,9% kupujących nie dokonało zwrotu

• Steam
• hakerzy
• gaming