Valve advierte a los compradores de hardware de Steam en Europa después del ciberataque a su socio de envíos

Valve está enviando correos electrónicos a los clientes de hardware de Steam en toda Europa para informarles que sus datos personales “probablemente fueron comprometidos” después de que un ciberataque golpeara a CEVA Logistics, la empresa de terceros que envía pedidos de Steam Deck, Steam Machine y Steam Controller en el continente. Los correos electrónicos comenzaron a llegar el 10 de agosto de 2026, y el texto completo fue reproducido por GamingOnLinux, una de las publicaciones cuyo personal lo recibió directamente.

Según el correo electrónico de Valve, el ataque a CEVA se produjo del 29 de julio de 2026 al 1 de agosto de 2026. CEVA informó a Valve el 7 de agosto de 2026 que es probable que se hayan obtenido datos de clientes. Dado que CEVA tiene datos de entrega durante un máximo de 90 días después de un pedido, Valve dice que está contactando a todos los clientes que pueden haber sido afectados: cualquier persona que haya pedido hardware de Steam en Europa en aproximadamente los últimos tres meses.

Los datos que CEVA recibe de Steam son solo información de entrega, y el correo electrónico de Valve enumera exactamente qué puede haber sido expuesto: nombre, dirección de la calle, código postal, ciudad, país, número de teléfono, la dirección de correo electrónico asociada a la cuenta de Steam del cliente y el tipo y precio del producto pedido.

Qué no se llevó

Valve es explícito en que el problema se detiene en los datos de envío. “CEVA no tiene acceso a su información de pago, contraseñas, códigos de Steam Guard o cualquier otra información”, establece el correo electrónico, y los clientes no necesitan cambiar su contraseña de Steam ni tocar su configuración de cuenta.

El riesgo práctico, como lo describe Valve, es el phishing dirigido construido sobre detalles de pedidos reales. El correo electrónico les dice a los clientes que esperen mensajes falsos por correo electrónico, SMS o teléfono que hagan referencia a su pedido de hardware y parezcan provenir de Steam, Valve o una empresa de entrega — mensajes que pueden citar la dirección del cliente, pedir que confirme una entrega, solicitar una pequeña tarifa de aduanas o redelivery, o empujarlo a iniciar sesión en algún lugar para “verificar” un pedido. La instrucción de Valve es tratarlos a todos como falsos, y observa que el Soporte de Steam solo opera a través de help.steampowered.com, nunca por correo electrónico, Chat de Steam o Discord, y nunca solicita una contraseña o código de Steam Guard.

El ataque a los almacenes europeos de CEVA

La divulgación de Valve es el segundo acontecimiento que se produce a partir del ataque a CEVA. La empresa de logística, una filial del grupo de envíos francés CMA CGM, informó a los clientes minoristas el 1 de agosto de 2026 que una intrusión cibernética estaba interrumpiendo parte de su operación de logística de contrato, con FreightWaves informando que ocho de sus almacenes europeos se vieron afectados. Los minoristas holandeses Bol y De Bijenkorf advirtieron a sus propios clientes sobre una posible fuga de datos a través de CEVA en los días siguientes. El correo electrónico de Valve confirma el mismo incidente también se llevó los datos de los clientes, y dice que CEVA ha aislado los sistemas afectados, los ha sacado de línea y ha traído a investigadores externos.

CEVA es uno de los proveedores de logística de terceros más grandes del mundo, operando más de 1.000 almacenes en todo el mundo. Valve dice que todavía está presionando a la empresa para que revele el alcance completo de lo que se llevó y cómo, y que está notificando a las autoridades de protección de datos en los países afectados — el tipo de divulgación que requiere la ley de privacidad europea una vez que una empresa concluye que es probable que los datos personales hayan salido de su control.

Qué sucede a continuación

Para los clientes afectados, no es necesario hacer nada con sus cuentas de Steam — la orientación de Valve es la vigilancia contra estafas con temas de pedidos, no la remediación. Los elementos abiertos se encuentran con las dos empresas: los investigadores externos de CEVA aún no han establecido el alcance completo de la intrusión, y las notificaciones de Valve a las autoridades nacionales de protección de datos en los países europeos afectados están en curso. Los reguladores en esos países pueden abrir sus propias investigaciones una vez notificados.

La violación de datos aterriza en medio del impulso de hardware más amplio de Valve desde el Steam Deck. La empresa aumentó el precio de la Steam Machine en junio de 2026, culpando a la escasez de memoria, y ha estado enviendo el controlador de Steam junto con ella. Su trabajo en la plataforma ha continuado en paralelo. Una actualización del cliente de Steam a principios de agosto de 2026 corrigió el diálogo de inicio de sesión y las transferencias de red. Los clientes que esperan entregas de hardware europeas a través de los almacenes de CEVA pueden ver retrasos en el envío mientras los ocho sitios afectados permanecen fuera de línea.