פרצת אבטחה ב-Valve: מידע אישי של לקוחות Steam באירופה נחשף במתקפת סייבר על חברת השילוח CEVA Logistics

ההודעה של Valve ראויה לציון גם במה שהיא מכילה וגם במה שהיא לא: פרטי תשלום, פרטי חשבון Steam וסיסמאות לא נפגעו. אבל המידע שנחשף הוא בעל ערך רב עבור קמפיינים של הנדסה חברתית ודיוג (פישינג), ו-Valve הזהירה במפורש את הלקוחות להישאר ערניים .

מתי ואיך התרחשה הפרצה

המתקפה על מערכות CEVA Logistics התרחשה בין 29 ביולי ל-1 באוגוסט 2026 . Valve נודע על האירוע ב-7 באוגוסט 2026 ומיד החלה ליצור קשר עם לקוחות שנפגעו, שרכשו חומרת Steam – כולל Steam Deck, Steam Machine ו-Steam Controller – למשלוח באירופה .

CEVA Logistics, חברת שילוח ולוגיסטיקה גלובלית, שומרת מידע על משלוחים עד 90 יום לאחר ביצוע ההזמנה. המשמעות היא שכל לקוח אירופאי שהזמין חומרת Steam מסוף אפריל 2026 בערך נכנס לחלון החשיפה .

איזה מידע אישי של לקוחות נחשף

על פי הודעת האבטחה של Valve, ההאקרים ככל הנראה ניגשו לשרתי CEVA וגנבו את הקטגוריות הבאות של מידע הקשור להזמנות חומרה :

• שמות מלאים
• כתובות מגורים (כתובות למשלוח, כולל רחוב, מיקוד, עיר ומדינה)
• מספרי טלפון
• כתובות דוא"ל
• פרטי הזמנה, כולל סוג החומרה שנרכשה ומחיר הקנייה

מה לא נפגע

Valve הצהירה במפורש כי הפרצה לא חשפה את הפרטים הבאים, אותם היא אינה משתפת עם חברות השילוח :

• פרטי תשלום – מספרי כרטיסי אשראי, פרטי חשבון בנק או מידע פיננסי אחר
• פרטי חשבון Steam – סיסמאות, קודי Steam Guard או נתוני אימות דו-שלבי
• מידע על הספרייה הדיגיטלית – רכישות משחקים, היסטוריית משחק או הגדרות חשבון

Valte אמרה ללקוחות שנפגעו כי אין צורך לשנות סיסמאות או הגדרות חשבון כתוצאה מאירוע זה .

מתקפת שרשרת אספקה רחבה יותר

פרצת האבטחה ב-CEVA Logistics לא הוגבלה ל-Valve. על פי דיווח של TechCrunch, אותה מתקפת סייבר פגעה גם בקמעונאים ובנקים אירופאים רבים שהסתמכו על CEVA לשירותי לוגיסטיקה . CEVA היא ענקית שילוח ולוגיסטיקה גלובלית, והאירוע מתואר כמתקפת שרשרת אספקה (supply chain attack) עם אפקט דומינו שפגעה בארגונים במגזרים שונים .

הנחיות נגד דיוג (פישינג) ללקוחות שנפגעו

ההודעה של Valve כללה אזהרות ספציפיות לגבי הסיכון להתקפות דיוג עוקבות. המידע הגנוב – שמות, כתובות, מספרי טלפון, כתובות דוא"ל ופרטי הזמנה – נותן לתוקפים את כל מה שהם צריכים כדי ליצור הודעות מרמה משכנעות שייראו כאילו הן מגיעות מ-Valve, מחברת שילוח או מגורם מהימן אחר .

Valve המליצה ללקוחות לנקוט באמצעי הזהירות הבאים :

• היו ערניים להודעות דיוג בדוא"ל, שיחות טלפון או הודעות טקסט מכל מי שמתיימר להיות Valve או קשור לאירוע
• זכרו ש-Valve לעולם לא תבקש מידע רגיש – כגון סיסמאות, פרטי תשלום או קודי Steam Guard – באמצעות דוא"ל, טלפון או הודעה
• התייחסו לכל תקשורת לא רצויה שמזכירה את הפרצה כחשודה
• אל תלחצו על קישורים ואל תפתחו קבצים מצורפים משולחים לא מוכרים או לא צפויים

איך להגן על עצמכם אם ייתכן שנפגעתם

אם רכשתם חומרת Steam למשלוח באירופה בין סוף אפריל לתחילת אוגוסט 2026, ייתכן שהמידע שלכם נמצא בידי תוקפים. מעבר להנחיות של Valve נגד דיוג, מומחי אבטחה ממליצים:

• הפעילו אימות דו-שלבי בחשבון Steam שלכם (שנותר ללא פגע בפרצה זו, אבל זהו נוהג טוב באופן כללי)
• עקבו אחר הודעות SMS או שיחות טלפון חשודות שמזכירות את הזמנת חומרת Steam שלכם
• דווחו על כל ניסיון דיוג חשוד שמתחזה ל-Valve או ל-CEVA לרשויות המתאימות

היקף הפרצה המלא עדיין נמצא בחקירה על ידי צוות אבטחת הסייבר של CEVA . Valve מסרה כי תמשיך לעדכן לקוחות שנפגעו ככל שיהיה מידע נוסף זמין .