Wyciek danych klientów Steam w Europie. Valve ostrzega przed oszustami

Valve ostrzega klientów z Europy przed skutkami cyberataku wymierzonego w CEVA Logistics, czyli zewnętrzną firmę odpowiadającą za wysyłkę sprzętu Steam na rynek europejski.

W wyniku incydentu trwającego od 29 lipca do 1 sierpnia 2026 roku atakujący mogli uzyskać dostęp do danych związanych z zamówieniami urządzeń, a informacje te mogą teraz zostać wykorzystane między innymi do przygotowania znacznie bardziej wiarygodnych wiadomości phishingowych.

Valve miało dowiedzieć się 7 sierpnia, że podczas ataku prawdopodobnie doszło do naruszenia danych klientów, przy czym zakres informacji wynika z tego, jakie dane CEVA Logistics musi posiadać, aby realizować dostawy fizycznych produktów. Wśród potencjalnie ujawnionych informacji znajdują się imię i nazwisko klienta, adres wraz z kodem pocztowym i miejscowością, kraj, numer telefonu, adres e-mail powiązany z kontem Steam, a także rodzaj oraz cena zamówionego urządzenia.

W wyniku incydentu trwającego od 29 lipca do 1 sierpnia 2026 roku atakujący mogli uzyskać dostęp do danych związanych z zamówieniami urządzeń, a informacje te mogą teraz zostać wykorzystane między innymi do przygotowania znacznie bardziej wiarygodnych wiadomości phishingowych.

Incydent nie obejmuje jednak wszystkich użytkowników Steam, ponieważ według przekazanych informacji zagrożeni są klienci, którzy składali zamówienia na sprzęt w okresie około 90 dni przed atakiem, czyli w czasie odpowiadającym okresowi przechowywania danych przez CEVA. Valve podkreśla również, iż firma logistyczna nie miała dostępu do danych płatniczych, haseł Steam, kodów Steam Guard ani innych informacji pozwalających bezpośrednio zalogować się na konto użytkownika.

To właśnie brak danych uwierzytelniających ogranicza bezpośrednie zagrożenie dla kont Steam, ale jednocześnie ujawnione informacje mogą wystarczyć do przeprowadzenia przekonującego ataku socjotechnicznego, ponieważ oszust może znać nie tylko imię i adres ofiary, lecz także wiedzieć, jaki sprzęt kupiła i ile za niego zapłaciła. Valve ostrzega więc przed wiadomościami e-mail, SMS-ami oraz telefonami, w których przestępcy mogą podszywać się pod firmę kurierską lub obsługę Steam i prosić o potwierdzenie zamówienia, niewielką dopłatę za dostawę lub cło albo zalogowanie się na fałszywej stronie.

Co robić?

Valve zaznacza, że osoby objęte incydentem nie muszą zmieniać haseł ani ustawień konta, ponieważ dane logowania nie zostały przejęte. Natomiast należy zachować szczególną ostrożność wobec każdej wiadomości odnoszącej się do niedawnego zamówienia sprzętu. W porównaniu z naruszeniem obejmującym hasła czy dane kart płatniczych skala bezpośredniego ryzyka jest mniejsza, ale szczegółowe dane dotyczące dostawy mogą zwiększyć skuteczność phishingu.

Potencjalne zagrożenie

Ujawnione informacje mogą pozwolić przestępcom przygotować różne formy oszustw, które będą wyglądały znacznie wiarygodniej niż typowy masowy phishing. Na szczęście nie ma obecnie informacji wskazujących na przejęcie danych umożliwiających bezpośrednie włamanie na konto Steam.