Valve ha comenzado a notificar a los clientes europeos que compraron alguno de sus dispositivos de hardware sobre un posible compromiso de sus datos personales tras un ciberataque sufrido por CEVA Logistics, la empresa encargada de distribuir productos como Steam Deck, Steam Controller y Steam Machine en Europa.
La compañía explicó que el incidente ocurrió entre el 29 de julio y el 1 de agosto, aunque fue recién el 7 de agosto cuando CEVA informó a Valve de que cierta información de los clientes «probablemente fue comprometida». Actualmente, la empresa logística continúa investigando el alcance total del ataque.
Según Valve, CEVA recibe información relacionada con los envíos para poder entregar los pedidos, y es precisamente esa información la que habría sido obtenida por los atacantes. Además, la empresa conserva estos datos durante 90 días después de cada compra, por lo que cualquier usuario que haya adquirido hardware de Steam en Europa durante los últimos tres meses podría verse afectado.
Entre los datos potencialmente expuestos se encuentran el nombre completo, dirección, código postal, ciudad, país, número de teléfono, correo electrónico vinculado a la cuenta de Steam, así como el producto adquirido y el importe total de la compra.
No obstante, Valve aclaró que las contraseñas de Steam, la información de pago y los códigos de Steam Guard no fueron comprometidos, ya que CEVA nunca tiene acceso a esos datos confidenciales. Por ello, la compañía asegura que no es necesario cambiar la contraseña de la cuenta ni modificar la configuración de seguridad.
Eso sí, Valve advirtió que los ciberdelincuentes podrían utilizar la información filtrada para realizar intentos de fraude mediante correos electrónicos, mensajes SMS o llamadas telefónicas. Estos mensajes podrían hacerse pasar por Steam, Valve o empresas de mensajería, e incluso mencionar datos reales del pedido o la dirección del usuario para parecer legítimos.
Finalmente, Valve afirmó que continúa presionando a CEVA para conocer exactamente qué información fue robada y cómo ocurrió el ataque. Por su parte, la empresa logística aseguró que aisló inmediatamente los sistemas afectados, los desconectó de la red y contrató investigadores externos para analizar el incidente y determinar su verdadero alcance.
