Valve varoittaa Steam-laitteiden ostajia Euroopassa jäljittämättömän hyökkäyksen jälkeen

Valve lähettää sähköpostia Steam-laitteiden asiakkaille Euroopassa kertoakseen, että heidän henkilökohtaiset tiedonsa “luultavasti menevät” sen jälkeen, kun kolmannen osapuolen yritys CEVA Logistics, joka toimittaa Steam Deck-, Steam Machine- ja Steam Controller -tilaukset mantereella, joutui kyberhyökkäyksen kohteeksi. Sähköpostit alkoivat saapua 10. elokuuta 2026, ja koko teksti julkaistiin GamingOnLinuxissa, yhdessä niistä julkaisuista, joiden henkilöstö sai sen suoraan.

Valven sähköpostin mukaan CEVA:ta kohdannut hyökkäys kesti 29. heinäkuuta 2026 – 1. elokuuta 2026. CEVA ilmoitti Valvelle 7. elokuuta 2026, että asiakastietoja oli luultavasti viety. Koska CEVA:lla on toimitustietoja enintään 90 päivää tilauksesta, Valve ottaa yhteyttä jokaiseen asiakkaaseen, jota voidaan olettaa vaikuttaneen: kaikki, jotka ovat tilanneet Steam-laitteita Euroopassa noin kolmen viime kuukauden aikana.

CEVA:lle Steamista saadut tiedot ovat ainoastaan toimitustietoja, ja Valven sähköposti luo tarkalleen sen, mitä saatetaan paljastaa: nimi, kadun osoite, postinumero, kaupunki, maa, puhelinnumero, asiakkaan Steam-tiliin liittyvä sähköpostiosoite ja tilatun tuotteen tyyppi ja hinta.

Mitä ei otettu

Valve on selvä siinä, että tietoturvaongelma rajoittuu toimitustietoihin. “CEVA:lla ei ole pääsyä maksutietoihisi, salasanoihisi, Steam Guard -koodeihisi tai muihin tietoihisi”, sähköposti toteaa, ja asiakkaiden ei tarvitse muuttaa Steam-salasanaansa tai koskea tiliensä asetuksiin.

Käytännön riski, niin kuin Valve sen esittää, on kohdennettu kalastelu, joka perustuu oikeisiin tilaustietoihin. Sähköposti kertoo asiakkaille, että heidän tulisi odottaa väärää viestiä sähköpostitse, SMS:llä tai puhelimitse, jotka viittaavat heidän laitteidensa tilaukseen ja näyttävät tulevan Steamilta, Valvelta tai toimitusyhtiöltä – viestejä, jotka voivat siteerata uhrin osoitteen, pyytää toimituksen vahvistamista, pyytää pientä tullimaksua tai toimitusmaksua tai pyytää kirjautumista jonnekin “vahvistamaan” tilauksen. Valven ohje on kohdella kaikkia näitä viestejä vääränä, ja se toteaa, että Steam-tuki toimii ainoastaan osoitteessa help.steampowered.com, ei koskaan sähköpostitse, Steam Chatissä tai Discordissa, eikä koskaan pyydä salasanaa tai Steam Guard -koodia.

Hyökkäys CEVA:n eurooppalaisiin varastoihin

Valven ilmoitus on toinen askel CEVA:n hyökkäyksen seurauksena. Logistiikkayritys, joka on ranskalaisen laivayhtiön CMA CGM:n tytäryhtiö, ilmoitti vähittäisasiakkailleen 1. elokuuta 2026, että kyberturvallisuusloukkaus oli häirinnyt osaa sen sopimuslogistiikkaa, ja FreightWavesin mukaan kahdeksan sen eurooppalaista varastoa oli vaikuttunut. Hollantilaiset vähittäiskauppiaat Bol ja De Bijenkorf varoittivat omia asiakkaitaan mahdollisesta tietovuodosta CEVA:n kautta seuraavina päivinä. Valven sähköposti vahvistaa saman tapahtuman myös vienyt asiakastietoja, ja sanoo CEVA:n eristäneen vaikuttuneet järjestelmät, ottaneen ne pois käytöstä ja tuoneen ulkopuoliset tutkijat.

CEVA on yksi maailman suurimmista kolmannen osapuolen logistiikkatoimijoista, jolla on yli 1 000 varastoa maailmanlaajuisesti. Valve sanoo, että se painostaa yhä yritystä kertomaan, mitä kaikkea on viety ja miten, ja että se ilmoittaa tietosuojaviranomaisille vaikuttuneissa maissa — sellaisen ilmoituksen, jota eurooppalainen tietosuojalaki edellyttää, kun yritys on päättänyt, että henkilökohtaiset tiedot ovat todennäköisesti poistuneet sen hallinnasta.

Mitä tapahtuu seuraavaksi

Vaikuttuneille asiakkaille ei tarvitse tehdä mitään heidän Steam-tileihinsä — Valven ohje on valppaus tilausaiheisia huijauksia vastaan, ei korjaustoimenpiteitä. Avoinna olevat asiat ovat kahden yrityksen kanssa: CEVA:n ulkopuoliset tutkijat eivät ole vielä selvittäneet hyökkäyksen täyttä laajuutta, ja Valven ilmoitukset kansallisten tietosuojaviranomaisten kanssa vaikuttuneissa eurooppalaisissa maissa ovat menossa. Sääntelijät näissä maissa voivat avata omat tutkimuksensa, kun heidät on ilmoitettu.

Tietoturvaongelma osuu Valven laajimman laitteiden markkinointikampanjan keskelle sitten Steam Deckin. Yritys korotti Steam Machine -hinnan kesäkuussa 2026 ja syytti muistipulaa, ja se on toimittanut Steam Controlleria sen rinnalla. Sen alustatyö on jatkunut rinnakkain. Steam-asiakasohjelman päivitys aiemmin elokuussa 2026 korjasi kirjautumisvalikon ja verkkosiirrot. Asiakkaat, jotka odottavat eurooppalaisten laitteiden toimituksia CEVA:n häirittyjen varastojen kautta, saattavat myös nähdä toimitusviiveitä, kun kahdeksan vaikuttunutta sivustoa on edelleen pois käytöstä.