Valve underretter Steam Hardware-kunder om databrud

Valve underretter europæiske Steam Hardware-kunder om et databrud hos sin fragtpartner CEVA Logistics.

Databruddet eksponerede kundedata relateret til leveringer. Det eksponerede dog ikke Steam-adgangskoder, betalingskortoplysninger eller Steam Guard-koder.

Databruddet, der berører Valve, kan stadig hjælpe kriminelle med at skabe overbevisende phishing-svindel. Berørte kunder bør være forsigtige med uventede beskeder om leveringer.

Angreb ramte Steams fragtpartner

CEVA Logistics sender Steam-hardwareordrer til kunder i hele Europa. Valve oplyste, at angribere havde adgang til CEVAs systemer mellem den 29. juli og den 1. august.

Valve fik kendskab til databruddet den 7. august. Virksomheden er begyndt at underrette kunder, som kan være blevet berørt.

CEVA modtager begrænsede ordreoplysninger fra Steam for at gennemføre leveringer. Virksomheden opbevarer oplysningerne i op til 90 dage efter en ordre.

Virksomheden er en del af CMA CGM Group. Den driver omkring 1.000 lagre og håndterede 15 millioner forsendelser sidste år.

Kundernes leveringsoplysninger blev eksponeret

De stjålne data kan omfatte navne, postadresser, telefonnumre og e-mailadresser. De kan også indeholde typen og prisen på bestilt Steam-hardware.

Valve oplyste, at CEVA ikke har adgang til betalingsoplysninger eller adgangskoder til Steam-konti. Virksomheden har heller ikke adgang til Steam Guard-koder eller andre følsomme kontooplysninger.

Berørte kunder behøver derfor ikke at nulstille deres Steam-adgangskoder. De behøver heller ikke at ændre deres kontoindstillinger alene på grund af denne hændelse.

Databruddet, der berører Valve, skaber dog stadig en risiko for phishing. Stjålne ordreoplysninger kan få falske beskeder til at virke mere troværdige.

Valve advarer om phishing-beskeder

Valve advarede om, at kunder kan modtage falske e-mails, sms’er eller telefonopkald. Beskederne kan hævde at komme fra Steam, Valve eller et leveringsfirma.

Svindlere kan henvise til en adresse eller ordredetalje for at fremstå troværdige. De kan også bede kunder om at bekræfte en levering eller betale et mindre gebyr.

Andre beskeder kan føre kunder til en falsk login-side. Valve oplyste, at kunder bør betragte sådanne anmodninger som mistænkelige.

Folk bør undgå uopfordrede links og betalingsanmodninger. De bør også undgå at dele kontooplysninger via e-mail, sms eller telefon.

CEVA isolerer berørte systemer

CEVA har isoleret de berørte systemer og taget dem offline. Virksomheden har også tilkaldt eksterne efterforskere.

Valve oplyste, at virksomheden forsøger at få flere oplysninger om angrebet. Den underretter også databeskyttelsesmyndigheder i de berørte lande.

Hændelsen følger efter et separat cyberangreb, som CEVA offentliggjorde den 1. august. Det tidligere angreb forstyrrede driften på otte europæiske lagre.

Databruddet, der berører Valve, fremhæver sikkerhedsrisici i forsyningskæden. Et databrud hos en leveringspartner kan stadig eksponere kundeoplysninger.