Valve advarer Steam-hardwarekunder i Europa efter cyberangreb på shipping-partner

Valve sender en email til Steam-hardwarekunder i hele Europa for at fortælle dem, at deres personlige oplysninger “sandsynligvis er blevet kompromitteret” efter et cyberangreb på CEVA Logistics, det tredjepartsfirma, der sender Steam Deck, Steam Machine og Steam Controller-ordrer på kontinentet. Emailerne begyndte at ankomme den 10. august 2026, og den fulde tekst blev gengivet af GamingOnLinux, en af de medier, hvis personale modtog den direkte.

Ifølge Valves email fandt angrebet på CEVA sted fra den 29. juli 2026 til den 1. august 2026. CEVA fortalte Valve den 7. august 2026, at kundeinformation sandsynligvis var blevet stjålet. Da CEVA har leveringsdata for op til 90 dage efter en ordre, siger Valve, at de kontakter alle kunder, de kan antage var berørt: alle, der har bestilt Steam-hardware i Europa i løbet af de seneste tre måneder.

De data, som CEVA modtager fra Steam, er kun leveringsinformation, og Valves email nævner præcis, hvad der kan være blevet eksponeret: navn, gadeadresse, postnummer, by, land, telefonnummer, den emailadresse, der er knyttet til kundens Steam-konto, og typen og prisen på den bestilte vare.

Hvad der ikke blev taget

Valve er eksplicit om, at bruddet stopper ved leveringsdata. “CEVA har ikke adgang til din betalingsinformation, passwords, Steam Guard-koder eller andre oplysninger,” lyder det i emailen, og kunderne behøver ikke at ændre deres Steam-adgangskode eller ændre på deres kontoindstillinger.

Den praktiske risiko, som Valve fremstiller den, er målrettet phishing bygget på virkelige ordredetaljer. Emailen fortæller kunderne, at de skal forvente falske meddelelser via email, SMS eller telefon, der henviser til deres hardware-ordre og ser ud til at komme fra Steam, Valve eller et leveringsfirma – meddelelser, der kan citerer ofrets egen adresse tilbage til dem, bede dem bekræfte en levering, anmode om en lille told- eller genleveringsgebyr eller bede dem logge ind et sted for at “verificere” en ordre. Valves instruks er at behandle alle disse som falske, og det bemærkes, at Steam Support kun opererer gennem help.steampowered.com, aldrig via email, Steam Chat eller Discord, og aldrig beder om en adgangskode eller Steam Guard-kode.

Angrebet på CEVA’s europæiske lagerhuse

Valves åbenbarelse er den anden sko, der falder fra CEVA-angrebet. Logistikfirmaet, der er en datterselskab af det franske shipping-selskab CMA CGM, underrettede detailkunder den 1. august 2026 om, at en cyber-intrusion forstyrrede en del af deres kontrakt-logistik-operation, og FreightWaves rapporterede, at otte af deres europæiske lagerhuse var berørt. Hollandske detailhandlere som Bol og De Bijenkorf advarede deres egne kunder om en mulig data-lækage gennem CEVA i dagene, der fulgte. Valves email bekræfter det samme incident også medførte, at kundedata blev stjålet, og siger, at CEVA har isoleret de berørte systemer, taget dem offline og indkaldt eksterne undersøgere.

CEVA er en af verdens største tredjeparts-logistikudbydere, der driver over 1.000 lagerhuse globalt. Valve siger, at de stadig presser på firmaet for at få den fulde omfang af, hvad der blev taget og hvordan, og at de underretter datatilsynsmyndighederne i de berørte lande – den slags åbenbarelse, der kræves af europæisk privatlivslovgivning, når et firma konkluderer, at personlige data sandsynligvis har forladt deres kontrol.

Hvad sker herefter

For berørte kunder behøver intet at gøres ved deres Steam-konti – Valves vejledning er vigilans mod ordre-tema-scams, ikke remediering. De åbne punkter ligger hos de to firmaer: CEVA’s eksterne undersøgere har endnu ikke fastlagt den fulde omfang af intrusionen, og Valves underretninger til nationale datatilsynsmyndigheder i de berørte europæiske lande er i gang. Tilsynsmyndighederne i disse lande kan åbne deres egne undersøgelser, når de er underrettet.

Bruddet rammer midt i Valves bredeste hardware-push siden Steam Deck. Firmaet hævede Steam Machines prisen i juni 2026, skyldte det på manglen på hukommelse, og har sendt Steam Controller sammen med det. Deres platformarbejde er fortsat parallelt. En Steam-klientopdatering tidligere i august 2026 fik bugnet startup-login-dialog og netværks-overførsler. Kunder, der venter på europæiske hardware-leverancer gennem CEVA’s forstyrrede lagerhuse, kan også opleve forsinkelser i forsendelsen, mens de otte berørte steder forbliver offline.