Cyberatak na partnera Valve: dane klientów Steam Hardware mogły wyciec. Jak rozpoznać phishing

Cyberatak nie został wymierzony bezpośrednio w infrastrukturę Steam. Z dostępnych zawiadomień wynika, że incydent dotyczył CEVA Logistics, firmy obsługującej w Europie wysyłkę sprzętu Valve, takiego jak Steam Deck i inne produkty z kategorii Steam Hardware.

Według relacji VideoCardz atak trwał między 29 lipca a 1 sierpnia 2026 roku. Valve miało dowiedzieć się o zdarzeniu 7 sierpnia, a 10 sierpnia odbiorcy zaczęli udostępniać otrzymane ostrzeżenia.

W kopiach zawiadomień wysyłanych klientom wymieniono dane, które CEVA mogła przetwarzać przy realizacji zamówienia: imię i nazwisko, adres dostawy, numer telefonu, adres e-mail powiązany z kontem Steam, typ zamówionego produktu oraz jego cenę. Nie oznacza to, że każdy rekord zawierał wszystkie te pola.

Połączenie adresu, numeru telefonu, produktu i ceny jest bardzo użyteczne dla oszusta. Fałszywa wiadomość może podawać poprawny model sprzętu, przybliżoną wartość i prawdziwe dane odbiorcy. Taki kontekst zwiększa wiarygodność prośby o dopłatę do dostawy, opłatę celną, zmianę terminu albo „ponowne potwierdzenie” konta Steam.

Napastnik nie potrzebuje hasła z wycieku, jeśli przekona ofiarę do wpisania go na fałszywej stronie. Może też próbować wyłudzić kod Steam Guard, dane karty lub płatność niewielkiej kwoty. Dlatego brak haseł w znanym zakresie incydentu nie usuwa ryzyka przejęcia konta.

1. Sprawdź skrzynkę e-mail i folder spam pod kątem zawiadomienia Valve; nie klikaj linków w jego kopiach publikowanych w sieci.
2. Wejdź ręcznie do historii zamówień i zweryfikuj status sprzętu.
3. Śledź przesyłkę wyłącznie na oficjalnej stronie przewoźnika, używając własnego numeru.
4. Nie podawaj hasła ani kodu Steam Guard na stronie otwartej z wiadomości o dostawie lub cle.
5. W ustawieniach bezpieczeństwa Steam sprawdź autoryzowane urządzenia i nietypową aktywność.
6. Zachowaj zawiadomienie i zgłoś podejrzaną wiadomość przewoźnikowi, Valve oraz właściwemu zespołowi reagowania.

Nie trzeba automatycznie zmieniać hasła tylko dlatego, że adres e-mail znalazł się w danych wysyłkowych. Zmiana jest pilna, jeśli hasło było używane ponownie, zostało wpisane na podejrzanej stronie, konto pokazuje nieznane logowania albo Steam wysłał ostrzeżenie o zmianach.

1. Przerwij kontakt z fałszywą stroną i nie zatwierdzaj kolejnych komunikatów Steam Guard.
2. Z czystego urządzenia zmień hasło do Steam i do skrzynki e-mail, jeżeli było takie samo lub również zostało ujawnione.
3. Wyloguj nieznane urządzenia i przejrzyj historię aktywności konta.
4. Sprawdź metody odzyskiwania, numer telefonu i powiązane aplikacje.
5. Jeżeli podałeś dane płatnicze, skontaktuj się z bankiem i monitoruj operacje.
6. Skorzystaj z oficjalnej procedury odzyskiwania konta Steam, a nie z pomocy oferowanej w wiadomości.

Samo kliknięcie linku nie przesądza jeszcze o przejęciu konta. Ryzyko rośnie, gdy użytkownik pobrał plik, wpisał dane logowania, zatwierdził kod lub podał informacje płatnicze. Warto zapisać adres strony i czas zdarzenia, ale nie wracać do podejrzanej domeny w celu dalszego „sprawdzania”.

Nie znamy liczby osób i państw objętych zdarzeniem, pełnego zakresu pól dla konkretnego klienta ani wektora ataku. Nie ma publicznego potwierdzenia sprawcy, użytego malware czy żądania okupu. Nie znaleźliśmy również dedykowanego komunikatu w publicznym newsroomie CEVA.

Nie wiadomo także, jak długo dane znajdowały się w systemach dostępnych dla napastnika ani czy wszystkie kopie zostały już zabezpieczone. CEVA miała odizolować dotknięte środowisko i zaangażować zewnętrznych specjalistów, a Valve deklarowało zgłoszenia do organów ochrony danych. Bez końcowego raportu nie można jednak ocenić skuteczności tych działań ani pełnej skali.

Najważniejszym źródłem publicznym pozostają kopie i zrzuty zawiadomień Valve udostępnione przez odbiorców oraz relacje mediów branżowych. Dlatego artykuł rozdziela elementy potwierdzone w tych zawiadomieniach od wniosków i nadal nie opisuje incydentu jako naruszenia samej platformy Steam.