Valve Cảnh báo Người mua Thiết bị Steam ở Châu Âu Sau Cuộc Tấn công Mạng của Đối tác Vận chuyển

Valve đang gửi email cho khách hàng mua thiết bị Steam trên toàn châu Âu để thông báo cho họ rằng thông tin cá nhân của họ “có thể đã bị xâm phạm” sau một cuộc tấn công mạng vào CEVA Logistics, công ty thứ ba chịu trách nhiệm vận chuyển thiết bị Steam Deck, Steam Machine và Steam Controller trên lục địa này. Các email bắt đầu được gửi vào ngày 10 tháng 8 năm 2026, và toàn bộ văn bản được sao chép bởi GamingOnLinux, một trong những trang web đã nhận được email trực tiếp.

Theo email của Valve, cuộc tấn công vào CEVA diễn ra từ ngày 29 tháng 7 năm 2026 đến ngày 1 tháng 8 năm 2026. CEVA đã thông báo cho Valve vào ngày 7 tháng 8 năm 2026 rằng thông tin khách hàng có thể đã bị lấy. Bởi vì CEVA giữ dữ liệu giao hàng trong tối đa 90 ngày sau khi đặt hàng, Valve cho biết họ đang liên hệ với mọi khách hàng mà họ có thể giả định đã bị ảnh hưởng: bất kỳ ai đã đặt mua thiết bị Steam ở châu Âu trong khoảng ba tháng qua.

Dữ liệu mà CEVA nhận từ Steam chỉ là thông tin giao hàng, và email của Valve liệt kê chính xác những gì có thể đã bị lộ: tên, địa chỉ đường phố, mã bưu chính, thành phố, quốc gia, số điện thoại, địa chỉ email liên kết với tài khoản Steam của khách hàng, và loại và giá của sản phẩm đã đặt.

Điều gì không bị lấy

Valve rõ ràng rằng sự vi phạm dừng lại ở dữ liệu giao hàng. “CEVA không có quyền truy cập vào thông tin thanh toán, mật khẩu, mã Steam Guard hoặc thông tin khác,” email cho biết, và khách hàng không cần thay đổi mật khẩu Steam hoặc chỉnh sửa cài đặt tài khoản của họ.

Rủi ro thực tế, như Valve mô tả, là các cuộc tấn công lừa đảo nhắm vào chi tiết đặt hàng thực. Email cho khách hàng biết rằng họ nên mong đợi các tin nhắn giả mạo qua email, SMS hoặc điện thoại mà tham chiếu đến đơn đặt hàng thiết bị của họ và có vẻ như đến từ Steam, Valve hoặc một công ty giao hàng — những tin nhắn có thể trích dẫn lại địa chỉ của nạn nhân, yêu cầu họ xác nhận một giao hàng, yêu cầu một khoản phí hải quan hoặc phí giao hàng lại, hoặc yêu cầu họ đăng nhập vào một nơi nào đó để “xác minh” một đơn đặt hàng. Hướng dẫn của Valve là coi tất cả chúng là giả mạo, và nó lưu ý rằng Hỗ trợ Steam chỉ hoạt động thông qua help.steampowered.com, không bao giờ qua email, Trò chuyện Steam hoặc Discord, và không bao giờ yêu cầu mật khẩu hoặc mã Steam Guard.

Cuộc tấn công vào kho hàng châu Âu của CEVA

Thông báo của Valve là sự kiện thứ hai xảy ra sau cuộc tấn công vào CEVA. Công ty hậu cần, một công ty con của tập đoàn vận chuyển Pháp CMA CGM, đã thông báo cho khách hàng bán lẻ vào ngày 1 tháng 8 năm 2026 rằng một xâm nhập mạng đang làm gián đoạn một phần của hoạt động hậu cần theo hợp đồng, với FreightWaves báo cáo rằng tám kho hàng châu Âu của họ đã bị ảnh hưởng. Các nhà bán lẻ Hà Lan Bol và De Bijenkorf đã cảnh báo khách hàng của họ về khả năng rò rỉ dữ liệu thông qua CEVA trong những ngày sau đó. Email của Valve xác nhận sự cố相同 cũng đã lấy đi dữ liệu khách hàng, và cho biết CEVA đã cô lập các hệ thống bị ảnh hưởng, đưa chúng ngoại tuyến và đưa các điều tra viên bên ngoài vào cuộc.

CEVA là một trong những nhà cung cấp hậu cần thứ ba lớn nhất thế giới, vận hành hơn 1.000 kho hàng trên toàn cầu. Valve cho biết họ vẫn đang yêu cầu công ty này cung cấp phạm vi đầy đủ của những gì đã bị lấy và cách thức thực hiện, và rằng họ đang thông báo cho các cơ quan bảo vệ dữ liệu ở các quốc gia bị ảnh hưởng — loại thông báo mà luật bảo mật châu Âu yêu cầu khi một công ty kết luận rằng dữ liệu cá nhân có thể đã rời khỏi sự kiểm soát của họ.

Điều gì xảy ra tiếp theo

Đối với khách hàng bị ảnh hưởng, không cần phải thực hiện bất kỳ hành động nào đối với tài khoản Steam của họ — hướng dẫn của Valve là cảnh giác với các cuộc tấn công lừa đảo có chủ đề đặt hàng, không phải là khắc phục. Các vấn đề đang mở vẫn còn với hai công ty: các điều tra viên bên ngoài của CEVA vẫn chưa xác định được phạm vi đầy đủ của xâm nhập, và các thông báo của Valve cho các cơ quan bảo vệ dữ liệu quốc gia trên các quốc gia châu Âu bị ảnh hưởng đang được tiến hành. Các cơ quan quản lý ở những quốc gia đó có thể mở các cuộc điều tra của riêng họ một khi được thông báo.

Sự vi phạm này xảy ra vào giữa thời kỳ thúc đẩy phần cứng rộng lớn nhất của Valve kể từ Steam Deck. Công ty tăng giá Steam Machine vào tháng 6 năm 2026, đổ lỗi cho sự thiếu hụt bộ nhớ, và đã vận chuyển Steam Controller cùng với nó. Công việc nền tảng của họ đã tiếp tục song song. Một cập nhật khách hàng Steam vào đầu tháng 8 năm 2026 đã vá hộp thoại đăng nhập khi khởi động và chuyển giao mạng. Khách hàng đang chờ giao hàng thiết bị châu Âu thông qua các kho hàng bị gián đoạn của CEVA cũng có thể thấy sự chậm trễ trong việc giao hàng do tám địa điểm bị ảnh hưởng vẫn ngoại tuyến.