Vegyünk egy nagy levegőt, orron be, szájon ki: nem a Steam rendszerét érte kibertámadás. A probléma a CEVA Logisticsnél történt, annál a logisztikai vállalatnál, amely a Valve fizikai hardvereinek európai kiszállításában vesz részt. A Valve már értesíti azokat a vásárlókat, akiknek az adatai érintettek lehetnek. A Tom's Hardware beszámolója szerint a támadás július 29. és augusztus 1. között történt, a Valve pedig augusztus 7-én értesült arról, hogy Steam-vásárlók adatait is megszerezhették a támadók. A CEVA legfeljebb 90 napig tárolja a hardverrendelések teljesítéséhez szükséges adatokat, ezért a Valve most minden olyan ügyfelet értesít, akiről feltételezhető, hogy érintett lehet.
Ez a gyakorlatban meglehetősen részletes adatcsomagot jelenthet. Illetéktelenekhez kerülhetett a vásárló neve, utcai címe, irányítószáma és települése, országa, telefonszáma, a Steam-fiókjához tartozó e-mail-címe, valamint a megrendelt termék típusa és ára. Fizetési információk, jelszavak és Steam Guard-kódok ugyanakkor nem voltak a CEVA birtokában, így ezek a Valve szerint nem érintettek. Más Steam-vásárlásokhoz vagy magához a Steam-fiókhoz kapcsolódó további adatok sem kerültek ki.
Ez azért különösen kellemetlen időzítés, mert a Valve hardveres kínálata az utóbbi időben jelentősen kibővült. A Steam Controller, a Steam Machine és a Steam Frame bemutatásakor is írtunk róla, hogy az új eszközök az Európai Unióban is elérhetővé válnak, a Steam Machine kiszállításainál pedig jelenleg akkora a torlódás, hogy egyes vásárlók még hónapokat várhatnak a saját gépükre.
És éppen itt jön a támadás legnagyobb veszélye. A megszerzett adatokkal jóval hihetőbb célzott adathalász üzenetek készíthetők. Egy csaló nem pusztán azt tudhatja, hogy az áldozat Steamet használ, hanem akár azt is, hogy milyen hardvert, milyen áron és milyen címre rendelt. Emiatt egy hamis futárértesítés vagy Valve üzenetnek álcázott levél első pillantásra kifejezetten meggyőző lehet. A Steam nevével visszaélő adathalász kampányok egyébként korántsem új jelenségek, most viszont a támadók kezébe kerülhetett információk lényegesen pontosabb pozicionálást tesznek lehetővé.
A Valve ezért arra számít, hogy az érintettek Steamnek, Valve-nak vagy valamelyik futárszolgálatnak álcázott e-maileket, SMS-eket vagy akár telefonhívásokat kaphatnak. A csalók például egy újrakézbesítési vagy vámkezelési díj befizetését kérhetik, illetve egy hamis oldalra terelhetik az áldozatot, ahol bejelentkezést kérnek. Még az sem bizonyít semmit, ha az üzenet feladója pontosan ismeri a vásárló címét vagy rendelésének részleteit.
A Valve szerint az érintetteknek emiatt önmagában nem szükséges Steam-jelszót változtatniuk vagy módosítaniuk a fiókbeállításaikat. Ha mégis gyanús üzenet érkezik, ne az abban található linket használjuk: a Steam Supportot közvetlenül érdemes megnyitni. A Valve arra is emlékeztet, hogy a Steam támogatása soha nem kér jelszót vagy Steam Guard-kódot, és természetesen egy futárszolgálatnak sincs szüksége ezekre. A CEVA az érintett rendszereket elkülönítette és leállította, külső szakértőket vont be a vizsgálatba. A Valve eközben további információkat kér partnerétől arról, pontosan milyen adatokhoz férhettek hozzá a támadók, és megkezdte az érintett országok adatvédelmi hatóságainak értesítését is.
