Valve avverte: il corriere europeo di Steam finisce nel mirino degli hacker, dati dei clienti a rischio

Valve ha iniziato a inviare e-mail di notifica ai clienti europei che negli ultimi mesi hanno acquistato hardware a marchio Steam: un attacco informatico ai danni di CEVA Logistics, il corriere che gestisce le consegne fisiche di Steam Deck, Steam Machine e Steam Controller nel Vecchio Continente, ha esposto dati personali degli acquirenti. L'azienda ha appreso della violazione il 7 agosto, mentre l'intrusione nei sistemi del partner logistico risale a qualche giorno prima.

Gli aggressori hanno avuto accesso ai server di CEVA tra il 29 luglio e il 1° agosto 2026, una finestra sufficiente a sottrarre le informazioni necessarie per spedire gli ordini hardware ai clienti Steam in Europa. Il corriere conserva questi dati fino a 90 giorni dopo la consegna, ed è per questo che Valve ha esteso l'avviso a tutti gli utenti che rientrano in quel periodo.

CEVA Logistics è una controllata al 100% del gruppo CMA CGM, terza compagnia di trasporto marittimo containerizzato al mondo: gestisce circa 1.000 magazzini, ha movimentato 15 milioni di spedizioni nel 2025 e ha chiuso l'anno con ricavi per 18,3 miliardi di dollari. Già il 1° agosto, CEVA aveva avvertito diversi rivenditori europei che l'attacco aveva mandato in tilt le operazioni di otto magazzini nel continente.

Nomi, indirizzi e ordini: cosa è finito nelle mani degli hacker

I dati sottratti comprendono nome, indirizzo di spedizione, numero di telefono ed email dei clienti, insieme al tipo e al prezzo dell'hardware ordinato. Valve precisa che CEVA non ha mai avuto accesso a informazioni di pagamento, password, codici Steam Guard o altri dettagli legati all'account: il corriere riceve solo i dati strettamente necessari alla consegna fisica del prodotto.

Chi ha ricevuto la notifica non deve quindi modificare la password di Steam né intervenire sulle impostazioni dell'account. Il rischio reale, spiega l'azienda, riguarda piuttosto i tentativi di phishing mirato: con indirizzo, numero di telefono e dettagli dell'ordine in mano, i malintenzionati possono costruire messaggi via email, SMS o telefonata molto più credibili del solito, magari citando l'indirizzo esatto del destinatario per sembrare legittimi.

Valve avverte che questi finti operatori potrebbero chiedere di confermare una consegna, pagare una piccola somma per dazi doganali o costi di riconsegna, oppure effettuare il login su un portale fasullo per "verificare" l'ordine. La linea da tenere, secondo l'azienda, è netta: ogni richiesta di questo tipo va considerata una truffa, indipendentemente da quanto sembri informata su dettagli reali della spedizione.

Sul fronte indagini, Valve dichiara di essere in contatto con CEVA per ottenere l'estensione esatta della violazione e le modalità con cui è avvenuta, e di aver avviato le notifiche alle autorità di protezione dati dei Paesi europei coinvolti. Il corriere, dal canto suo, ha isolato i sistemi compromessi e affidato l'indagine a investigatori esterni, ma non ha ancora fornito un quadro completo dell'accaduto.