Osobní údaje zákazníků Steamu unikly: Co víme o útoku na přepravního partnera CEVA Logistics

Oznámení Valvu je pozoruhodné tím, co obsahuje, ale také tím, co neobsahuje: platební informace, přihlašovací údaje k účtu Steam ani hesla nebyly napadeny. Odcizená data jsou však velmi cenná pro sociální inženýrství a phishingové kampaně. Valve proto zákazníky výslovně varovalo před zvýšenou ostražitostí .

Kdy a jak k útoku došlo

Kybernetický útok na systémy CEVA Logistics proběhl mezi 29. červencem a 1. srpnem 2026 . Valve se o kompromitaci dozvědělo 7. srpna 2026 a okamžitě začalo kontaktovat postižené zákazníky, kteří si objednali hardware Steam s doručením v Evropě .

Společnost CEVA Logistics, globální přepravní a logistická firma, uchovávala údaje o doručení zákazníkům až 90 dní po zadání objednávky. To znamená, že v ohrožení jsou všichni evropští zákazníci, kteří si objednali hardware Steam přibližně od konce dubna 2026 dále .

Jaké údaje byly odcizeny

Podle bezpečnostního oznámení Valvu útočníci pravděpodobně získali přístup k serverům CEVA a ukradli následující kategorie informací o dotčených objednávkách hardwaru :

• Celá jména
• Domácí adresy (doručovací adresy včetně ulice, PSČ, města a země)
• Telefonní čísla
• E-mailové adresy
• Podrobnosti o objednávce, včetně typu zakoupeného hardwaru a kupní ceny

Co nebylo napadeno

Valve výslovně uvedlo, že únik se netýkal následujících údajů, které se svými přepravními partnery nikdy nesdílí :

• Platební informace – čísla kreditních karet, údaje o bankovních účtech ani jiná finanční data
• Přihlašovací údaje k účtu Steam – hesla, kódy Steam Guard ani data dvoufaktorového ověřování
• Informace z digitální knihovny – nákupy her, historii hraní ani nastavení účtu

Valve postiženým zákazníkům sdělilo, že v důsledku tohoto incidentu není nutné měnit hesla ani nastavení účtu .

Širší útok na dodavatelský řetězec

Únik dat u CEVA Logistics se netýkal pouze Valvu. Podle zprávy TechCrunch stejný kybernetický útok zasáhl také několik evropských maloobchodníků a bank, které využívaly služeb CEVA . CEVA je globální logistický gigant a incident je popisován jako dominový efekt útoku na dodavatelský řetězec, který postihl organizace v několika odvětvích .

Ochrana před phishingem pro postižené zákazníky

Oznámení Valvu obsahovalo konkrétní varování před rizikem následných phishingových útoků. Odcizená data – jména, adresy, telefonní čísla, e-mailové adresy a podrobnosti o objednávkách – poskytují útočníkům vše, co potřebují k vytvoření věrohodných podvodných zpráv, které se tváří jako zprávy od Valvu, přepravní společnosti nebo jiné důvěryhodné entity .

Valve zákazníkům doporučilo následující opatření :

• Buďte obezřetní vůči phishingovým e-mailům, telefonátům nebo textovým zprávám od kohokoli, kdo se vydává za Valve nebo se odvolává na tento incident
• Pamatujte, že Valve nikdy nebude žádat o citlivé informace – jako jsou hesla, platební údaje nebo kódy Steam Guard – prostřednictvím e-mailu, telefonu ani textové zprávy
• Veškerou nevyžádanou komunikaci odkazující na tento únik považujte za potenciálně podvodnou
• Neklikejte na odkazy ani neotvírejte přílohy od neznámých nebo neočekávaných odesílatelů

Jak se chránit, pokud byste mohli být postiženi

Pokud jste si objednali hardware Steam s doručením v Evropě mezi koncem dubna a začátkem srpna 2026, vaše informace mohou být v rukou útočníků. Kromě dodržování phishingových pokynů Valvu odborníci na bezpečnost doporučují:

• Povolte dvoufaktorové ověřování na svém účtu Steam (tento útok se ho sice netýká, ale je to obecně dobrá praxe)
• Sledujte podezřelé SMS zprávy nebo telefonáty, které se odvolávají na vaši objednávku hardwaru Steam
• Nahlaste jakékoli podezřelé phishingové pokusy, které se vydávají za Valve nebo CEVA, příslušným orgánům

Plný rozsah útoku je stále předmětem vyšetřování bezpečnostního týmu CEVA . Valve uvedlo, že bude postižené zákazníky nadále informovat, jakmile budou k dispozici další informace .