Valve предупредила европейских покупателей Steam Machine и Steam Controller о возможных фейковых сообщениях после взлома логистического партнёра. Серверы Steam не пострадали, но у злоумышленников могли оказаться адреса, телефоны, email и детали заказов железа.
Инцидент затронул CEVA Logistics, которая помогает Valve доставлять физические устройства по Европе. Взлом произошёл 7 августа, после чего компания уведомила Valve. Текст предупреждения клиентам опубликовала Digital Foundry.
CEVA Logistics хранила данные заказов до 90 дней
Valve передаёт CEVA только ту информацию, которая нужна для доставки физических устройств Steam по Европе. Партнёр хранит эти сведения до 90 дней после заказа, поэтому Valve рассылает уведомление всем клиентам, которых компания считает потенциально затронутыми.
Пароли и платёжная информация в утечку не попали. Это хорошая новость, но расслабляться рано. Для убедительного фишинга злоумышленникам не нужен номер карты, если у них уже есть имя, адрес и ожидаемая доставка.
- Имя и фамилия: могли попасть в скомпрометированную базу
- Адрес доставки: включая страну проживания
- Телефон: потенциальная цель для SMS и звонков
- Email Steam-аккаунта: адрес для фейковых писем
- Детали покупки: сведения о заказанном Steam hardware
Valve отдельно подчеркнула, что давит на CEVA и требует полный объём информации: что именно забрали атакующие и каким способом. Компания также связывается с органами защиты данных в затронутых странах.
Фишинг может выглядеть как обычное письмо о доставке
Главный риск для клиентов — письма, SMS и звонки, которые будут выглядеть как нормальная коммуникация от Steam, Valve или службы доставки. Атакующие могут сослаться на конкретный заказ Steam Machine или Steam Controller и показать адрес клиента для правдоподобия.
Valve формулирует предупреждение жёстко: «Ожидайте фейковые сообщения — email, SMS или звонки, — которые упоминают ваш заказ железа и выглядят так, будто пришли от Steam, Valve или службы доставки».
«Они могут процитировать ваш адрес, чтобы доказать подлинность. Считайте все такие сообщения фейковыми», — предупредила Valve в письме клиентам.
Рассылка связана с активными поставками железа Valve. Steam Machines последние пару месяцев отправляют победителям предзаказной лотереи. Steam Controllers тоже продолжают отгружать, но новый заказ сейчас уходит на срок не раньше 2027 года.
