Una violazione dei dati subita da CEVA Logistics, partner europeo di Valve per le spedizioni, potrebbe aver esposto le informazioni personali dei clienti che hanno ordinato dispositivi Steam in Europa. La società ha avvertito gli utenti via email spiegando che tra i dati coinvolti potrebbero figurare nomi, indirizzi, numeri di telefono e indirizzi di posta elettronica. L’incidente interessa quindi informazioni sufficienti a identificare e contattare direttamente i destinatari delle consegne.
Secondo la comunicazione inviata da Valve, la violazione si è verificata tra il 29 luglio e il 1° agosto. I dati dei clienti europei sarebbero stati «probabilmente compromessi», una formulazione che segnala un rischio concreto senza definire nel dettaglio quante persone siano coinvolte. Il perimetro riguarda chi ha acquistato o prenotato hardware Steam destinato alla consegna in Europa.
L’episodio è avvenuto poche settimane dopo l’apertura delle prenotazioni per i nuovi Steam Machine e Steam Controller. CEVA conserva infatti le informazioni legate alla consegna fino a 90 giorni dopo gli ordini. Questo intervallo operativo, necessario alla gestione logistica, crea anche una finestra nella quale dati anagrafici e recapiti rimangono disponibili nei sistemi del partner incaricato della spedizione.
Il rischio immediato indicato da Valve è quello di campagne di phishing particolarmente credibili. I clienti sono stati invitati ad aspettarsi messaggi falsi via email, SMS o telefono, presentati come comunicazioni di Steam, Valve o di un corriere. Chi tenta la frode potrebbe citare l’indirizzo reale della vittima per apparire autentico e sfruttare così proprio le informazioni sottratte durante l’incidente.
Le richieste potrebbero riguardare la conferma di una consegna, il pagamento di una piccola tariffa doganale o di riconsegna, oppure l’accesso a un sito per «verificare» l’ordine. Valve ha fornito un’indicazione netta: trattare tutte queste comunicazioni come false. La disponibilità combinata di nome, indirizzo e contatti permette infatti di costruire messaggi personalizzati, più difficili da distinguere dalle normali notifiche della catena logistica.
La compromissione non avrebbe però raggiunto ulteriori dati associati agli account Steam o agli acquisti. CEVA non dispone di accesso alle informazioni di pagamento, alle password, ai codici Steam Guard o ad altri dati custoditi da Valve. La distinzione delimita l’incidente ai sistemi e alle informazioni utilizzate per la consegna, ma non elimina il pericolo che i recapiti esposti vengano usati per convincere gli utenti a cedere successivamente credenziali o denaro.
Valve ha ricordato che gestisce i problemi relativi agli account esclusivamente attraverso il proprio portale ufficiale di assistenza e che non contatta gli utenti tramite email, chat di Steam o Discord per queste procedure. Per clienti e imprese, il caso mostra come la sicurezza di un servizio digitale dipenda anche dai fornitori che intervengono nelle fasi fisiche dell’operazione. Il confine da presidiare non termina sulla piattaforma: comprende i dati condivisi con i partner e il periodo durante il quale vengono conservati.