Valve varnar Steam-hårdvaruköpare i Europa efter cyberattack mot fraktbolag

Valve skickar e-post till Steam-hårdvarukunder i hela Europa för att informera dem om att deras personuppgifter “sannolikt har komprometterats” efter en cyberattack mot CEVA Logistics, det tredjepartsföretag som skickar Steam Deck, Steam Machine och Steam Controller-beställningar på kontinenten. E-postmeddelandena började anlända den 10 augusti 2026, och hela texten återgavs av GamingOnLinux, en av utgåvorna vars personal fick det direkt.

Enligt Valves e-post skedde attacken mot CEVA från den 29 juli 2026 till den 1 augusti 2026. CEVA meddelade Valve den 7 augusti 2026 att kundinformationen sannolikt hade tagits. Eftersom CEVA har leveransdata i upp till 90 dagar efter en beställning säger Valve att de kontaktar varje kund som de kan anta påverkades: alla som beställt Steam-hårdvara i Europa under de senaste tre månaderna.

De data som CEVA tar emot från Steam är endast leveransinformation, och Valves e-post listar exakt vad som kan ha exponerats: namn, gatuadress, postnummer, stad, land, telefonnummer, e-postadressen som är kopplad till kundens Steam-konto och typen och priset på den beställda produkten.

Vad som inte togs

Valve är tydligt med att intrånget stoppar vid leveransdata. “CEVA har inte tillgång till din betalningsinformation, lösenord, Steam Guard-koder eller annan information”, säger e-postmeddelandet, och kunder behöver inte ändra sitt Steam-lösenord eller röra vid sina kontoinställningar.

Den praktiska risken, som Valve beskriver den, är riktad phishing byggd på riktiga beställningsdetaljer. E-postmeddelandet ber kunderna att förvänta sig falska meddelanden via e-post, SMS eller telefon som hänvisar till deras hårdvarubeställning och verkar komma från Steam, Valve eller ett leveransföretag – meddelanden som kan citera offrets egen adress tillbaka till dem, be dem att bekräfta en leverans, begära en liten tull eller omleveransavgift eller uppmana dem att logga in någonstans för att “verifiera” en beställning. Valves instruktion är att behandla alla som falska, och de noterar att Steam Support endast opererar via help.steampowered.com, aldrig via e-post, Steam Chat eller Discord, och aldrig begär ett lösenord eller Steam Guard-kod.

Attacken mot CEVA:s europeiska lager

Valves avslöjande är den andra skoen som faller från CEVA-attacken. Logistikföretaget, ett dotterbolag till den franska shippinggruppen CMA CGM, informerade detaljhandelskunder den 1 augusti 2026 om att en cyberintrång störde en del av dess kontraktlogistikverksamhet, med FreightWaves rapporterar att åtta av dess europeiska lager påverkades. Holländska detaljhandlare Bol och De Bijenkorf varnade sina egna kunder för en möjlig dataläckage via CEVA i dagarna som följde. Valves e-post bekräftar samma incident också förde bort kunddata, och säger att CEVA har isolerat de påverkade systemen, tagit dem offline och tagit in externa utredare.

CEVA är en av världens största tredjepartslogistikleverantörer, med över 1 000 lager globalt. Valve säger att de fortfarande trycker på företaget för att få den fulla omfattningen av vad som togs och hur, och att de informerar dataskyddsmyndigheter i de påverkade länderna – den typen av avslöjande som europeisk dataskyddslagstiftning kräver när ett företag drar slutsatsen att personuppgifter sannolikt har lämnat dess kontroll.

Vad händer härnäst

För påverkade kunder behöver ingenting göras med deras Steam-konton – Valves vägledning är vaksamhet mot beställningstema-scam, inte åtgärd. De öppna punkterna ligger hos de två företagen: CEVA:s externa utredare har ännu inte etablerat den fulla omfattningen av intrånget, och Valves anmälningar till nationella dataskyddsmyndigheter i de påverkade europeiska länderna är i gång. Regulatorer i dessa länder kan öppna sina egna utredningar när de informeras.

Intrånget landar mitt i Valves bredaste hårdvaruutbud sedan Steam Deck. Företaget höjde Steam Machines pris i juni 2026, skyllde på minnesbristen, och har skickat Steam Controller bredvid. Deras plattformsarbete har fortsatt parallellt. En Steam-klientuppdatering tidigare i augusti 2026 patchade startloggningdialogen och nätverksöverföringar. Kunder som väntar på europeiska hårdvaruleveranser via CEVA:s störda lager kan också se förseningar i leveransen medan de åtta påverkade platserna förblir offline.