Valve advarer Steam-hardwarekunder i Europa etter shipping-partnerens cyberangrep

Valve sender e-post til Steam-hardwarekunder over hele Europa for å fortelle dem at deres personlige detaljer “sannsynligvis er kompromittert” etter en cyberangrep mot CEVA Logistics, det tredjepartselskapet som sender Steam Deck, Steam Machine og Steam Controller-bestillinger på kontinentet. E-postene begynte å ankomme 10. august 2026, og full tekst ble gjengitt av GamingOnLinux, ett av utgivelsene hvis ansatte mottok den direkte.

Ifølge Valves e-post var angrepet mot CEVA fra 29. juli 2026 til 1. august 2026. CEVA fortalte Valve 7. august 2026 at kundens informasjon sannsynligvis var tatt. Fordi CEVA har leveringsdata for opptil 90 dager etter en bestilling, sier Valve at de kontakter alle kunder de kan anta var berørt: alle som bestilte Steam-hardware i Europa i løpet av de siste tre månedene.

De dataene CEVA mottar fra Steam er kun leveringsinformasjon, og Valves e-post listar eksakt hva som kan ha blitt eksponert: navn, gateadresse, postnummer, by, land, telefonnummer, e-postadressen koblet til kundens Steam-konto og type og pris på produktet som ble bestilt.

Hva som ikke ble tatt

Valve er eksplisitt om at bruddet stopper ved shipping-data. “CEVA har ikke tilgang til dine betalingsinformasjon, passord, Steam Guard-koder eller andre informasjon”, sier e-posten, og kundene trenger ikke å endre sitt Steam-passord eller røre ved kontoinnstillingene sine.

Den praktiske risikoen, som Valve rammer det, er målrettet phishing bygget på virkelige bestillingsdetaljer. E-posten forteller kundene å forvente falske meldinger via e-post, SMS eller telefon som henviser til deres hardware-bestilling og ser ut til å komme fra Steam, Valve eller et leveringsselskap — meldinger som kan sitere kundens egen adresse tilbake til dem, be dem bekrefte en levering, be om en liten toll eller leveringsgebyr eller be dem å logge inn et sted for å “bekrefte” en bestilling. Valves instruksjon er å behandle alle som falske, og de noterer at Steam Support kun opererer gjennom help.steampowered.com, aldri via e-post, Steam Chat eller Discord, og aldri ber om passord eller Steam Guard-kode.

Angrepet på CEVA’s europeiske lagerhus

Valves åpenhet er den andre skoen som faller fra CEVA-angrepet. Logistikk-selskapet, et datterselskap av det franske shipping-selskapet CMA CGM, informerte detaljhandelskunder 1. august 2026 om at en cyber-intrusjon forstyrte en del av deres kontrakt-logistikk-operasjon, med FreightWaves rapportering at åtte av deres europeiske lagerhus var berørt. Hollandske detaljhandlere Bol og De Bijenkorf advarte sine egne kunder om en mulig datalekkasje gjennom CEVA i dagene som fulgte. Valves e-post bekrefter det samme hendelsen også tok med seg kundens data, og sier at CEVA har isolert de berørte systemene, tatt dem offline og brakt inn eksterne etterforskere.

CEVA er en av verdens største tredjepartslogistikk-leverandører, med over 1 000 lagerhus globalt. Valve sier at de fortsatt presser på selskapet for å få fullt omfang av hva som ble tatt og hvordan, og at de varsler datasikkerhetsmyndighetene i de berørte landene — den typen åpenhet som europeisk personvernlov krever når et selskap konkluderer at personlige data sannsynligvis har forlatt deres kontroll.

Hva skjer neste

For berørte kunder, trenger ingenting å gjøres med deres Steam-kontoer — Valves veiledning er å være våken mot bestillings-tema-svindel, ikke å rette opp. De åpne punktene ligger hos de to selskapene: CEVA’s eksterne etterforskere har ennå ikke etablert fullt omfang av intrusjonen, og Valves varslinger til nasjonale datasikkerhetsmyndigheter i de berørte europeiske landene er i gang. Regulatorer i disse landene kan åpne sine egne undersøkelser når de blir varslet.

Bruddet lander midt i Valves største hardware-pusj siden Steam Deck. Selskapet økte Steam Machines prisen i juni 2026, og skyldte på minne-mangelen, og har levert Steam Controller sammen med det. Deres plattform-arbeid har fortsatt parallelt. En Steam-klientoppdatering tidligere i august 2026 fikset oppstart-innloggingsdialogen og nettverksoverføringer. Kunder som venter på europeiske hardware-leveringer gjennom CEVA’s forstyrrede lagerhus kan også se forsinkelser i leveringene mens de åtte berørte stedene forblir offline.