Chi ha acquistato hardware Valve in Europa negli ultimi mesi dovrebbe controllare la propria casella email e diffidare delle prossime comunicazioni sulla consegna. Un attacco informatico contro CEVA Logistics, il partner incaricato di spedire i prodotti Steam nel continente, potrebbe aver esposto i dati personali dei clienti. L’attacco hacker si è verificato tra il 29 luglio e il 1° agosto 2026. Valve sostiene di aver saputo il 7 agosto che alcune informazioni erano state probabilmente rubate e ha iniziato ad avvisare gli utenti coinvolti. Come riportato da Video Games Chronicle, l’indagine è ancora in corso e non conosciamo il numero complessivo dei clienti interessati.
CEVA riceve da Valve le informazioni per completare le spedizioni e le conserva fino a 90 giorni dopo l’ordine. Gli hacker potrebbero avere ottenuto nome e cognome, indirizzo completo e nazione. Nell’archivio erano presenti anche telefono, email, tipo di prodotto acquistato e prezzo pagato.
Valve definisce i dati come “probabilmente compromessi”, poiché il partner logistico non ha ancora concluso gli accertamenti. L’azienda ha comunque deciso di informare subito chi potrebbe essere rimasto coinvolto.
L’attacco non ha colpito direttamente l’infrastruttura di Steam. CEVA non dispone delle password degli account o dei codici Steam Guard. Neppure i dati di pagamento risultano coinvolti. Valve rassicura quindi indicando che non è necessario cambiare password del proprio account su Steam, a meno che l’utente non l’abbia già inserita in una pagina sospetta.
Il rischio concreto è il phishing sulla consegna
Non avendo potuto recuperare le password degli account, è possibile che gli hacker vogliano sfruttare numeri di telefono ed email per tentativi di frode. Un messaggio ricevuto via email o SMS potrebbe ad esempio fare riferimento ad un hardware acquistato (ad esempio Steam Deck), il prezzo e l’indirizzo di destinazione, dando l’impressione di provenire davvero da Valve o dal corriere. La richiesta potrebbe riguardare una piccola somma per sbloccare la consegna oppure una falsa spesa doganale. Eventuali link falsi potrebbero magari portare a una versione copia di Steam creata per rubare la password. Essenzialmente il furto iniziale non comprende le credenziali, ma offre agli hacker tutto il necessario per provare a farsele consegnare dall’utente.
Chi riceve l’avviso dovrebbe stare quindi molto attento ad email, SMS e telefonate collegate all’ordine, anche quando contengono informazioni corrette. Per verificare un problema conviene aprire direttamente il client oppure digitare nel browser l’indirizzo reale di Steam, evitando i link arrivati tramite messaggio. Ovviamente l’assistenza e i corrieri non hanno motivo di chiedere un codice Steam Guard, quindi non consegnatelo in nessun caso qualora ve lo richiedessero.
CEVA avrebbe isolato i sistemi interessati e coinvolto investigatori esterni. Sono in corso anche le comunicazioni alle autorità competenti per la protezione dei dati. Mancano ancora una spiegazione dell’attacco, la conferma definitiva di ogni campo sottratto e il numero di utenti coinvolti. La responsabilità comunque ricade direttamente sul fornitore, che non è riuscito a proteggere in modo adeguato i dati in proprio possesso. Nonostante questo, è chiaro che dal punto di vista del cliente i dati sono usciti da un partner scelto direttamente da Valve per completare un acquisto su Steam. Affidare le consegne a un partner non solleva dalla necessità di verificare come le informazioni vengano protette.
Resta inoltre da chiarire perché tutti quei dati fossero conservati per un massimo di 90 giorni e quali misure di sicurezza fossero state imposte. Ritardi, resi e contestazioni giustificano la conservazione di alcune informazioni; non spiegano automaticamente la presenza dell’intero archivio per tutto il periodo.
Non esiste al momento un’emergenza generale per gli account Steam, ma c’è senza dubbio un rischio concreto per i clienti avvisati da Valve. Qualunque richiesta relativa a dogana, consegna o verifica dell’ordine va controllata attraverso i canali ufficiali, senza usare recapiti e collegamenti contenuti nel messaggio ricevuto.