Valve предупреждает покупателей Steam-аппаратуры в Европе после кибератаки на партнера по доставке

Valve отправляет электронные письма покупателям аппаратуры Steam по всей Европе, чтобы сообщить им, что их личные данные “вероятно были скомпрометированы” после кибератаки на CEVA Logistics, третьей компании, которая доставляет заказы на Steam Deck, Steam Machine и Steam Controller на континенте. Электронные письма начали поступать 10 августа 2026 года, и полный текст был опубликован на GamingOnLinux, одном из изданий, сотрудники которого получили его напрямую.

Согласно электронному письму Valve, атака на CEVA произошла с 29 июля 2026 года по 1 августа 2026 года. CEVA сообщила Valve 7 августа 2026 года, что информация о клиентах, вероятно, была украдена. Поскольку CEVA хранит данные о доставке в течение до 90 дней после заказа, Valve говорит, что она связывается со всеми клиентами, которые, по ее мнению, могли быть затронуты: все, кто заказывал аппаратуру Steam в Европе примерно за последние три месяца.

Данные, которые CEVA получает от Steam, представляют собой только информацию о доставке, и электронное письмо Valve перечисляет именно то, что может быть раскрыто: имя, уличный адрес, почтовый индекс, город, страна, номер телефона, адрес электронной почты, связанный с учетной записью Steam клиента, и тип и цена заказанного продукта.

Что не было взято

Valve явно заявляет, что утечка данных ограничивается информацией о доставке. “CEVA не имеет доступа к вашей информации о платеже, паролям, кодам Steam Guard или другой информации”, – говорится в электронном письме, и клиентам не нужно менять пароль Steam или изменять настройки учетной записи.

Практический риск, как его представляет Valve, заключается в том, что злоумышленники могут использовать реальные данные о заказах для создания целевых фишинговых атак. Электронное письмо предупреждает клиентов о том, что они могут получить фальшивые сообщения по электронной почте, SMS или телефону, которые ссылаются на их заказ аппаратуры и кажутся исходящими от Steam, Valve или компании по доставке – сообщениями, которые могут цитировать адрес жертвы, просить подтвердить доставку, запросить небольшую таможенную или пересыльную плату или побуждать их войти куда-то, чтобы “подтвердить” заказ. Valve инструктирует клиентов считать все эти сообщения фальшивыми и отмечает, что поддержка Steam работает только через help.steampowered.com, никогда не по электронной почте, чату Steam или Discord, и никогда не запрашивает пароль или код Steam Guard.

Атака на европейские склады CEVA

Раскрытие информации от Valve является вторым шагом после атаки на CEVA. Компания логистики, дочерняя компания французской группы CMA CGM, сообщила розничным клиентам 1 августа 2026 года, что кибер-вторжение нарушило часть ее контрактной логистической деятельности, и FreightWaves сообщил, что восемь ее европейских складов были затронуты. Голландские ритейлеры Bol и De Bijenkorf предупредили своих клиентов о возможной утечке данных через CEVA в последующие дни. Электронное письмо Valve подтверждает тот же инцидент и говорит, что CEVA изолировала затронутые системы, отключила их и привлекла внешних следователей.

CEVA является одной из крупнейших в мире третьих компаний по логистике, эксплуатирующей более 1 000 складов по всему миру. Valve говорит, что она продолжает добиваться от компании полного раскрытия того, что было взято и как, и что она уведомляет органы по защите данных в пострадавших странах – тот вид раскрытия, который требует европейское законодательство о защите конфиденциальности, когда компания заключает, что личные данные, вероятно, покинули ее контроль.

Что происходит дальше

Для пострадавших клиентов ничего не нужно делать с их учетными записями Steam – руководство Valve заключается в бдительности против заказных мошенничеств, а не в исправлении ситуации. Открытые вопросы находятся у двух компаний: внешние следователи CEVA еще не установили полный объем вторжения, и уведомления Valve национальным органам по защите данных в пострадавших европейских странах находятся в процессе. Регуляторы в этих странах могут открыть свои собственные расследования после получения уведомления.

Утечка данных происходит в середине самого широкого запуска аппаратуры Steam. Компания увеличила цену на Steam Machine в июне 2026 года, обвинив нехватку памяти, и поставляет Steam Controller вместе с ним. Работа платформы продолжалась параллельно. Обновление клиента Steam в начале августа 2026 года исправило диалоговое окно входа в систему и сетевые передачи. Клиенты, ожидающие доставки европейской аппаратуры через нарушенные склады CEVA, также могут столкнуться с задержками доставки, пока восемь пострадавших объектов остаются离线.