Wielka europejska wpadka Valve’a. Dane nabywców konsol i akcesoriów Steam mogły wyciec – i to nie jest „mały incydent”.
Valve ma za sobą wyjątkowo nieprzyjemny poranek. Firma rozesłała do europejskich klientów maile, w których informuje o naruszeniu bezpieczeństwa danych. Problem leży po stronie zewnętrznego partnera logistycznego – CEVA Logistics – który obsługuje wysyłkę sprzętu Valve’a na terenie Europy. I to właśnie tam doszło do wycieku danych osobowych klientów.
Incydent miał miejsce między 29 lipca a 1 sierpnia. To moment, w którym Valve dopiero co zaczął przyjmować rezerwacje na nowe urządzenia: Steam Machine oraz Steam Controller. CEVA przechowuje dane związane z dostawami choćby przez 90 dni, więc w praktyce oznacza to, iż każdy europejski klient, który zamówił sprzęt Valve’a w ostatnich tygodniach, może znajdować się w grupie ryzyka.
Co dokładnie wyciekło?
Valve informuje, iż „prawdopodobnie” doszło do ujawnienia danych takich jak imię i nazwisko, adres dostawy, numer telefonu oraz adres e‑mail. To zestaw informacji, który sam w sobie nie pozwala na przejęcie konta Steam, ale jest wystarczająco atrakcyjny dla cyberprzestępców, by rozpocząć kampanię phishingową.
Steam MachineWarto podkreślić: CEVA nie posiada dostępu do danych płatniczych, haseł, kodów Steam Guard ani żadnych informacji związanych z logowaniem. To nie jest wyciek, który pozwala komuś wejść na twoje konto i kupić sobie Baldur’s Gate 3 na twój koszt. Ale pozwala komuś zadzwonić do ciebie, podać twój adres i przekonać cię, iż jest „z działu dostaw firmy Valve”.
Valve ostrzega: spodziewajcie się fałszywych wiadomości
W mailu do klientów Valve pisze wprost: „Traktuj wszystkie takie wiadomości jako fałszywe.”
Firma przewiduje, iż przestępcy będą podszywać się pod Steam, Valve lub firmy kurierskie. Mogą prosić o dopłatę „za odprawę celną”, „ponowną dostawę”, „potwierdzenie zamówienia” albo o zalogowanie się na spreparowaną stronę. Oszuści będą mogli cytować twój prawdziwy adres, by uwiarygodnić swoje działania.
CEVA to globalny gigant logistyczny, obsługujący wysyłki dla wielu dużych firm technologicznych. To nie jest mały podwykonawca z lokalnego rynku. Incydent z końca lipca pokazuje jednak, iż choćby duzi gracze potrafią zaliczyć spektakularną wpadkę.
Nie klikaj w linki z SMS‑ów dotyczących rzekomych dopłat. Nie podawaj danych przez telefon. Nie loguj się na strony, które „wyglądają jak Steam”, ale nie są help.steampowered.com. Valve podkreśla, iż nie kontaktuje się z użytkownikami przez e-mail, Discord ani czat Steam w sprawach związanych z kontem. Należy jak najszybciej to zapamiętać.
