Peringatan Valve untuk Pembeli Perangkat Keras Steam di Eropa Setelah Serangan Siber terhadap Mitra Pengiriman

Valve mengirim email kepada pelanggan perangkat keras Steam di seluruh Eropa untuk memberitahu mereka bahwa detail pribadi mereka “mungkin telah dikompromikan” setelah serangan siber menyerang CEVA Logistics, perusahaan pihak ketiga yang mengirimkan pesanan Steam Deck, Steam Machine, dan Steam Controller di benua tersebut. Email tersebut mulai dikirim pada 10 Agustus 2026, dan teks lengkapnya dipublikasikan oleh GamingOnLinux, salah satu outlet yang menerima email tersebut secara langsung.

Menurut email Valve, serangan terhadap CEVA berlangsung dari 29 Juli 2026 hingga 1 Agustus 2026. CEVA memberitahu Valve pada 7 Agustus 2026 bahwa informasi pelanggan mungkin telah diambil. Karena CEVA menyimpan data pengiriman hingga 90 hari setelah pesanan, Valve mengatakan bahwa mereka menghubungi setiap pelanggan yang dapat diasumsikan terkena dampak: siapa saja yang memesan perangkat keras Steam di Eropa dalam tiga bulan terakhir.

Data yang diterima CEVA dari Steam hanya berupa informasi pengiriman, dan email Valve menyebutkan secara eksplisit apa yang mungkin telah terungkap: nama, alamat jalan, kode pos, kota, negara, nomor telepon, alamat email yang terkait dengan akun Steam pelanggan, dan jenis serta harga produk yang dipesan.

Apa yang Tidak Diambil

Valve secara eksplisit menyatakan bahwa pelanggaran keamanan tersebut berhenti pada data pengiriman. “CEVA tidak memiliki akses ke informasi pembayaran, kata sandi, kode Steam Guard, atau informasi lainnya,” demikian email tersebut, dan pelanggan tidak perlu mengubah kata sandi Steam atau mengubah pengaturan akun mereka.

Risiko praktis, seperti yang dijelaskan oleh Valve, adalah penipuan yang ditargetkan yang dibangun berdasarkan detail pesanan yang sebenarnya. Email tersebut memberitahu pelanggan untuk mengharapkan pesan palsu melalui email, SMS, atau telepon yang merujuk pada pesanan perangkat keras mereka dan tampaknya berasal dari Steam, Valve, atau perusahaan pengiriman — pesan yang dapat mengutip alamat pelanggan sendiri, meminta konfirmasi pengiriman, meminta biaya pengiriman ulang, atau mendorong mereka untuk masuk ke suatu tempat untuk “memverifikasi” pesanan. Instruksi Valve adalah untuk menganggap semua pesan tersebut sebagai palsu, dan perusahaan tersebut mencatat bahwa Steam Support hanya beroperasi melalui help.steampowered.com, tidak pernah melalui email, Steam Chat, atau Discord, dan tidak pernah meminta kata sandi atau kode Steam Guard.

Serangan terhadap Gudang Eropa CEVA

Pengungkapan Valve adalah yang kedua dari serangan CEVA. Perusahaan logistik tersebut, yang merupakan anak perusahaan dari grup pengiriman Prancis CMA CGM, menginformasikan pelanggan ritel pada 1 Agustus 2026 bahwa pelanggaran siber mengganggu sebagian dari operasi logistik kontraknya, dengan FreightWaves melaporkan bahwa delapan gudang Eropa mereka terkena dampak. Ritel Belanda Bol dan De Bijenkorf memperingatkan pelanggan mereka tentang kemungkinan kebocoran data melalui CEVA dalam beberapa hari setelahnya. Email Valve mengkonfirmasi bahwa insiden yang sama juga membawa data pelanggan, dan mengatakan bahwa CEVA telah mengisolasi sistem yang terkena, mematikan sistem tersebut, dan membawa penyelidik dari luar.

CEVA adalah salah satu penyedia logistik pihak ketiga terbesar di dunia, mengoperasikan lebih dari 1.000 gudang secara global. Valve mengatakan bahwa mereka masih mendesak perusahaan tersebut untuk memahami sepenuhnya apa yang diambil dan bagaimana, dan bahwa mereka menginformasikan otoritas perlindungan data di negara-negara yang terkena dampak — jenis pengungkapan yang diharuskan oleh hukum privasi Eropa setelah sebuah perusahaan menyimpulkan bahwa data pribadi mungkin telah meninggalkan kendali mereka.

Apa yang Terjadi Selanjutnya

Bagi pelanggan yang terkena dampak, tidak ada yang perlu dilakukan pada akun Steam mereka — panduan Valve adalah untuk waspada terhadap penipuan yang terkait dengan pesanan, bukan untuk memperbaiki. Masalah yang terbuka ada pada dua perusahaan tersebut: penyelidik luar CEVA belum menetapkan sepenuhnya cakupan pelanggaran tersebut, dan pemberitahuan Valve kepada otoritas perlindungan data nasional di seluruh negara Eropa yang terkena dampak sedang berlangsung. Regulator di negara-negara tersebut dapat membuka penyelidikan mereka sendiri setelah diberitahu.

Pelanggaran keamanan tersebut terjadi di tengah-tengah upaya perangkat keras Valve yang paling luas sejak Steam Deck. Perusahaan menaikkan harga Steam Machine pada Juni 2026, menyalahkan kekurangan memori, dan telah mengirimkan Steam Controller bersama dengan itu. Pekerjaan platform mereka terus berlangsung secara paralel. Pembaruan klien Steam pada awal Agustus 2026 memperbaiki dialog login startup dan transfer jaringan. Pelanggan yang menunggu pengiriman perangkat keras Eropa melalui gudang CEVA yang terganggu mungkin juga mengalami keterlambatan pengiriman yang terkait sementara delapan situs yang terkena dampak tetap offline.