Valve avverte gli acquirenti di hardware Steam in Europa dopo l’attacco informatico al partner di spedizione

Valve sta inviando email ai clienti di hardware Steam in tutta Europa per informarli che i loro dati personali “sono probabilmente stati compromessi” dopo un attacco informatico ai danni di CEVA Logistics, l’azienda terzista che spedisce gli ordini di Steam Deck, Steam Machine e Steam Controller nel continente. Le email sono iniziate ad arrivare il 10 agosto 2026 e il testo completo è stato riprodotto da GamingOnLinux, una delle testate che ha ricevuto direttamente l’email.

Secondo l’email di Valve, l’attacco a CEVA è avvenuto dal 29 luglio 2026 al 1 agosto 2026. CEVA ha informato Valve il 7 agosto 2026 che le informazioni dei clienti erano probabilmente state rubate. Poiché CEVA conserva i dati di consegna per un massimo di 90 giorni dopo un ordine, Valve sta contattando tutti i clienti che potrebbero essere stati coinvolti: chiunque abbia ordinato hardware Steam in Europa negli ultimi tre mesi.

I dati che CEVA riceve da Steam sono solo informazioni di consegna e l’email di Valve elenca esattamente cosa potrebbe essere stato esposto: nome, indirizzo, codice postale, città, paese, numero di telefono, l’indirizzo email associato all’account Steam del cliente e il tipo e il prezzo del prodotto ordinato.

Cosa non è stato preso

Valve è esplicita nel dire che la violazione si ferma ai dati di spedizione. “CEVA non ha accesso alle tue informazioni di pagamento, password, codici Steam Guard o altre informazioni”, afferma l’email, e i clienti non devono cambiare la password di Steam o toccare le impostazioni del loro account.

Il rischio pratico, come lo descrive Valve, è costituito da attacchi di phishing mirati costruiti su dettagli reali degli ordini. L’email avverte i clienti di aspettarsi messaggi falsi via email, SMS o telefono che facciano riferimento al loro ordine di hardware e sembrino provenire da Steam, Valve o una società di consegna — messaggi che possono citare l’indirizzo della vittima, chiedere di confermare una consegna, richiedere una piccola tassa doganale o di ridistribuzione, o spingere a effettuare l’accesso in qualche luogo per “verificare” un ordine. Le istruzioni di Valve sono di trattare tutti questi messaggi come falsi e nota che Steam Support opera solo attraverso help.steampowered.com, mai via email, Steam Chat o Discord, e mai chiede una password o un codice Steam Guard.

L’attacco ai magazzini europei di CEVA

La divulgazione di Valve è la seconda conseguenza dell’attacco a CEVA. L’azienda logistica, una sussidiaria del gruppo di spedizione francese CMA CGM, ha informato i clienti al dettaglio il 1 agosto 2026 che un’intrusione informatica stava disturbando parte della sua operazione di logistica contrattuale, con FreightWaves che riporta che otto dei suoi magazzini europei erano stati colpiti. I rivenditori olandesi Bol e De Bijenkorf hanno avvertito i propri clienti di una possibile fuoriuscita di dati attraverso CEVA nei giorni successivi. L’email di Valve conferma che lo stesso incidente ha anche portato via dati dei clienti e afferma che CEVA ha isolato i sistemi interessati, li ha messi offline e ha fatto intervenire investigatori esterni.

CEVA è uno dei più grandi fornitori di logistica terzista al mondo, con oltre 1.000 magazzini in tutto il pianeta. Valve afferma di stare ancora cercando di ottenere da CEVA l’intero ambito di ciò che è stato preso e come, e che sta notificando le autorità di protezione dei dati nei paesi interessati — il tipo di divulgazione richiesta dalla legge sulla privacy europea una volta che un’azienda conclude che i dati personali sono probabilmente usciti dal suo controllo.

Cosa succede dopo

Per i clienti interessati, non c’è nulla da fare sui loro account Steam — la guida di Valve è la vigilanza contro gli scam a tema ordine, non la rimediazione. Gli elementi aperti sono con le due aziende: gli investigatori esterni di CEVA non hanno ancora stabilito l’intero ambito dell’intrusione e le notifiche di Valve alle autorità di protezione dei dati nazionali nei paesi europei interessati sono in corso. I regolatori in quei paesi possono aprire le loro indagini una volta notificati.

La violazione si verifica a metà della più ampia spinta hardware di Valve dalla Steam Deck. L’azienda ha aumentato il prezzo della Steam Machine a giugno 2026, adducendo a causa la scarsità di memoria, e ha spedito il controller Steam insieme. Il suo lavoro sulla piattaforma è continuato in parallelo. Un aggiornamento del client Steam all’inizio di agosto 2026 ha risolto il dialogo di accesso all’avvio e i trasferimenti di rete. I clienti che aspettano la consegna di hardware europei attraverso i magazzini di CEVA interessati potrebbero anche vedere ritardi nella spedizione mentre gli otto siti interessati rimangono offline.