Valve попереджає покупців апаратного забезпечення Steam в Європі після кібератаки на партнера з доставки

Valve розсилає електронні листи покупцям апаратного забезпечення Steam по всій Європі, щоб повідомити їм, що їхні особисті дані “ймовірно були скомпрометовані” після кібератаки на CEVA Logistics, третю компанію, яка доставляє замовлення Steam Deck, Steam Machine і Steam Controller на континент. Листи почали надходити 10 серпня 2026 року, і повний текст був опублікований на сайті GamingOnLinux, одному з видань, чиї співробітники отримали листи безпосередньо.

За словами Valve, атака на CEVA тривала з 29 липня 2026 року по 1 серпня 2026 року. CEVA повідомила Valve 7 серпня 2026 року, що ймовірно були викрадені дані клієнтів. Оскільки CEVA зберігає дані про доставку до 90 днів після замовлення, Valve повідомляє про це всіх клієнтів, яких можна вважати постраждалими: всіх, хто замовив апаратне забезпечення Steam в Європі за останні три місяці.

Дані, які CEVA отримує від Steam, – це лише інформація про доставку, і лист Valve перелічує саме те, що могло бути викритим: ім’я, вулицю, поштовий індекс, місто, країну, номер телефону, адресу електронної пошти, пов’язану з обліковим записом клієнта Steam, і тип та ціну замовленого продукту.

Що не було взято

Valve явно зазначає, що порушення даних обмежується інформацією про доставку. “CEVA не має доступу до вашої інформації про оплату, паролів, кодів Steam Guard або іншої інформації”, – зазначається в листі, і клієнтам не потрібно змінювати свій пароль Steam або налаштування облікового запису.

Практичний ризик, як його описує Valve, полягає в цільовому фішингу, побудованому на реальних деталях замовлення. Лист повідомляє клієнтам, що їм слід очікувати фальшивих повідомлень електронною поштою, SMS або телефоном, які посилаються на замовлення апаратного забезпечення і видаються за повідомлення від Steam, Valve або компанії з доставки – повідомлення, які можуть цитувати власну адресу клієнта, просити підтвердити доставку, запитувати невелику митну або переплатну плату або просити клієнта увійти в систему для “підтвердження” замовлення. Інструкція Valve полягає в тому, щоб вважати всі ці повідомлення фальшивими, і зазначається, що підтримка Steam працює лише через help.steampowered.com, ніколи не через електронну пошту, Steam Chat або Discord, і ніколи не просить пароль або код Steam Guard.

Атака на європейські склади CEVA

Повідомлення Valve є другою частиною інформації про атаку на CEVA. Компанія логістики, дочірня компанія французької компанії з доставки CMA CGM, повідомила роздрібним клієнтам 1 серпня 2026 року, що кіберінцидент порушує частину її операцій з контрактною логістикою, і FreightWaves повідомляє, що вісім європейських складів були порушені. Голландські роздрібні торговці Bol і De Bijenkorf попередили своїх клієнтів про можливий витік даних через CEVA в дні, що слідували. Лист Valve підтверджує, що той самий інцидент також викрав дані клієнтів, і зазначає, що CEVA ізолювала порушені системи, вивела їх з мережі та запросила зовнішніх слідчих.

CEVA є однією з найбільших у світі компаній з логістики третіх сторін, яка експлуатує понад 1000 складів по всьому світу. Valve зазначає, що вона продовжує тиснути на компанію за повний обсяг того, що було взято і як, і що вона повідомляє органи захисту даних у постраждалих країнах – той вид повідомлення, який вимагається законом про захист даних в Європі, коли компанія приймає рішення про те, що особисті дані ймовірно залишили її контроль.

Що відбувається далі

Для постраждалих клієнтів нічого не потрібно робити з їхніми обліковими записами Steam – керівництво Valve полягає в пильності проти афер з замовленнями, а не у виправленні ситуації. Відкриті питання залишаються у двох компаній: зовнішні слідчі CEVA ще не встановили повний обсяг вторгнення, і повідомлення Valve органам захисту даних у постраждалих європейських країнах перебувають на стадії реалізації. Регулятори в цих країнах можуть відкрити свої власні розслідування після повідомлення.

Порушення даних відбувається в середині найбільшої кампанії Valve з апаратного забезпечення з часів Steam Deck. Компанія підвищила ціну на Steam Machine у червні 2026 року, звинувачуючи нестачу пам’яті, і доставляла Steam Controller поряд з ним. Робота платформи тривала паралельно. Оновлення клієнта Steam на початку серпня 2026 року виправило діалогове вікно входу в систему та мережеві передачі. Клієнти, які очікують доставки апаратного забезпечення Steam через порушені склади CEVA в Європі, також можуть побачити затримки з доставкою, поки вісім порушених об’єктів залишаються поза мережею.