Valve ha iniziato ad avvertire alcuni clienti europei dopo un attacco informatico che ha colpito CEVA Logistics, società incaricata della distribuzione dell’hardware dell’azienda in Europa. Il problema non riguarda direttamente l’infrastruttura di Steam, ma le informazioni utilizzate dal partner logistico per gestire gli ordini e consegnare dispositivi ai clienti. Tra i dati potenzialmente compromessi figurano nomi, indirizzi, numeri di telefono, indirizzi di posta elettronica e informazioni relative ai prodotti ordinati.
La conseguenza più preoccupante potrebbe manifestarsi adesso attraverso tentativi di truffa estremamente credibili. Chi è entrato in possesso delle informazioni potrebbe infatti conoscere realmente l’indirizzo di un cliente e sapere che ha acquistato hardware Valve, utilizzando questi dettagli per inviare falsi messaggi su consegne, problemi doganali o presunte verifiche dell’ordine. Come riportato da Kotaku, Valve ha già iniziato a informare gli acquirenti potenzialmente coinvolti invitandoli a prestare particolare attenzione.
Violazione dati Steam: l’attacco ha colpito il partner europeo di Valve
L’incidente si è verificato tra il 29 luglio e il 1° agosto 2026 e ha interessato i sistemi di CEVA Logistics. Valve ha spiegato di essere stata informata il 7 agosto del fatto che alcune informazioni relative ai propri clienti fossero probabilmente state compromesse. CEVA gestisce infatti parte delle consegne dell’hardware Steam sul territorio europeo e deve necessariamente ricevere alcuni dati personali per poter completare le spedizioni.
È quindi importante distinguere questa vicenda da un attacco diretto alla piattaforma Steam. Non risultano compromessi i sistemi utilizzati per gestire librerie, credenziali o pagamenti degli utenti. Il punto debole è stato invece un fornitore esterno inserito nella catena di distribuzione fisica dell’hardware, situazione che mostra come i dati possano essere esposti anche senza che venga violata direttamente l’azienda presso la quale è stato effettuato l’acquisto.
Quali informazioni degli utenti potrebbero essere state sottratte
I dati coinvolti sono quelli necessari soprattutto per la consegna degli ordini. Valve indica tra le informazioni potenzialmente compromesse nome, indirizzo di spedizione, numero di telefono e indirizzo email. Alcune segnalazioni riportano inoltre che tra i dati accessibili potrebbero comparire informazioni sul prodotto ordinato, elemento particolarmente delicato perché può rendere ancora più convincenti eventuali messaggi fraudolenti.
CEVA può conservare le informazioni legate alle consegne fino a 90 giorni dopo l’ordine, quindi il problema non interessa necessariamente soltanto chi ha effettuato un acquisto negli ultimissimi giorni. Gli utenti europei che hanno ordinato recentemente un dispositivo Valve devono pertanto considerare con maggiore attenzione qualsiasi comunicazione anomala che faccia riferimento a una spedizione realmente avvenuta.
Password e Steam Guard non risultano coinvolti
La parte rassicurante riguarda i dati più sensibili dell’account. CEVA Logistics non dispone dell’accesso alle password Steam, ai codici Steam Guard o alle informazioni di pagamento, quindi questi elementi non risultano coinvolti nella violazione comunicata da Valve. Non ci sono quindi indicazioni che l’attacco permetta automaticamente ai responsabili di accedere agli account delle persone colpite.
Questo non significa però che il rischio sia trascurabile. Nome, indirizzo, numero di telefono e informazioni su un acquisto possono essere utilizzati proprio per convincere l’utente a consegnare volontariamente ciò che gli aggressori non sono riusciti a ottenere direttamente. Un falso messaggio può per esempio sostenere che esista un problema con una consegna e chiedere di accedere a una pagina apparentemente simile a Steam per confermare l’account.
Il rischio maggiore ora sono le false comunicazioni sulle consegne
Valve ha invitato gli utenti a prepararsi alla possibilità di ricevere email, SMS o telefonate che fingono di provenire da Steam, Valve o da un corriere. I messaggi potrebbero conoscere realmente l’indirizzo del destinatario, proprio perché questa informazione faceva parte dei dati utilizzati dal partner logistico. Potrebbero inoltre chiedere di confermare una consegna, pagare una piccola tariffa doganale o sostenere che sia necessario versare un importo per effettuare nuovamente la spedizione.
La presenza di dati corretti non deve quindi essere interpretata come una prova dell’autenticità del messaggio. È proprio questa la caratteristica che può rendere l’attacco particolarmente insidioso: una comunicazione contenente nome, indirizzo e riferimento a un prodotto realmente acquistato risulta inevitabilmente più convincente di una classica email generica inviata indiscriminatamente a migliaia di persone.
Steam Machine e Steam Controller rendono l’incidente ancora più delicato
Il momento è particolarmente significativo perché Valve sta espandendo nuovamente la propria offerta hardware e molti utenti europei stanno seguendo con interesse prodotti come Steam Machine e Steam Controller, oltre alla famiglia Steam Deck. La presenza di ordini reali e attese per nuovi dispositivi può rendere più facile costruire messaggi che sembrano perfettamente coerenti con ciò che il cliente sta aspettando.
Un messaggio che sostiene l’esistenza di un problema con l’indirizzo, un blocco della consegna oppure un pagamento aggiuntivo può quindi arrivare nel momento esatto in cui l’utente si aspetta realmente informazioni sul proprio hardware. Questo rende fondamentale non utilizzare direttamente i collegamenti ricevuti attraverso comunicazioni sospette, anche quando alcuni dei dati personali contenuti risultano corretti.
Valve chiarisce come riconoscere una possibile truffa
La società ha ricordato che i problemi relativi agli account vengono gestiti attraverso Steam Support e che non vengono richieste password o codici Steam Guard tramite email, chat di Steam o Discord. Una comunicazione che chiede di inserire credenziali, fornire codici di autenticazione oppure effettuare pagamenti attraverso collegamenti ricevuti via messaggio deve quindi essere considerata sospetta.
Il consiglio pratico è verificare autonomamente la situazione dell’account o dell’ordine utilizzando i canali ufficiali, invece di partire dal collegamento contenuto nel messaggio ricevuto. In questo modo anche una comunicazione costruita utilizzando dati realmente sottratti perde gran parte della propria efficacia, perché non può portare direttamente l’utente verso un sito controllato dai truffatori.
Non è Steam ad essere stato violato direttamente
L’episodio può facilmente generare confusione perché coinvolge clienti Steam, ma l’attacco ha colpito CEVA Logistics e non direttamente Valve o la piattaforma Steam. Questa distinzione è fondamentale anche per comprendere perché password, Steam Guard e pagamenti non risultino coinvolti: il partner logistico non ha bisogno di queste informazioni per spedire un dispositivo e quindi non le possiede.
La vicenda dimostra però quanto sia complessa la protezione dei dati quando un acquisto coinvolge più società. Anche se l’ordine viene effettuato attraverso Valve, alcune informazioni devono inevitabilmente passare alla società incaricata di consegnare materialmente il prodotto. L’incidente di CEVA mostra quindi come un attacco a un singolo anello della catena possa avere conseguenze anche sui clienti di numerose altre aziende.
Gli utenti europei che hanno acquistato hardware Valve devono fare attenzione
Valve sta contattando direttamente i clienti considerati potenzialmente coinvolti, ma nelle prossime settimane l’aspetto da osservare maggiormente saranno eventuali messaggi sospetti collegati a ordini e consegne. Il fatto che i responsabili possano possedere informazioni personali reali rende meno efficace affidarsi soltanto all’aspetto del messaggio per stabilire se sia autentico.
La violazione dati Steam non ha quindi compromesso direttamente password, codici Steam Guard o informazioni di pagamento, ma ha comunque esposto dati sufficienti per rendere più sofisticati i tentativi di frode. Per chi ha acquistato recentemente hardware Valve in Europa, soprattutto attraverso consegne gestite da CEVA, il rischio principale non è l’accesso automatico all’account Steam: è essere convinti a fornire personalmente ai truffatori proprio quei dati sensibili che l’attacco iniziale non è riuscito a ottenere.