A Valve enviou um e-mail aos clientes europeus que encomendaram uma máquina a vapor ou um controlador de vapor. Um ataque cibernético à CEVA Logistics, uma empresa que envia hardware da Valve para toda a Europa, roubou os detalhes da entrega.
Tyler Graham, da CNET, relatou o aviso na segunda-feira. CEVA contou à Valve sobre a violação em 7 de agosto, e a Valve decidiu quem contatar nos dias seguintes.
Um porta-voz da Valve disse à CNET que a CEVA ainda está investigando. A empresa decidiu escrever a todos que pudesse razoavelmente acreditar terem sido afetados com base no que sabia agora.
A Valve fabrica hardware e também opera a loja. A máquina a vapor e o controlador de vapor seguem o convés a vapor, e um empreiteiro de logística transporta todos eles para a Europa.
O que aconteceu e o que não aconteceu
Os dados divulgados incluem nomes, países, endereços, números de telefone e endereços de e-mail. BleepingComputer adiciona o tipo de produto e o preço pago a essa lista.
Uma linha na declaração funciona mais que a outra. O endereço de e-mail no pedido é o mesmo que a conta Steam usa, então um golpista agora conhece a caixa de entrada importante.
Não inclui detalhes de pagamento, senhas e códigos Steam Guard. A Valve diz que a CEVA nunca teve acesso a eles.
A Valve afirma que as informações de envio permanecem com a CEVA por 90 dias após cada pedido. Essa janela determina quem é pego.
Cuidado é a parte útil
O e-mail da Valve informa aos clientes que esperem mensagens falsas sobre seus pedidos, e os destinatários as postaram no Reddit. Eles podem vir por e-mail, mensagem de texto ou telefone e parecem vir do Steam, Valve ou de um mensageiro.
E então isso mostra o ponto importante. As mensagens podem mencionar o endereço do próprio cliente, provar que são genuínas e podem exigir uma pequena taxa alfandegária ou de revenda.
“Considere tudo falso”, diz o e-mail.
A Valve diz que o suporte do Steam só resolve problemas em sua página de ajuda oficial, não por e-mail, chat do Steam ou Discord. Seus funcionários nunca pedem senha ou código Steam Guard. Ou, notas por e-mail, um mensageiro.
As contas não exigem nenhuma ação. Ninguém precisa alterar sua senha do Steam ou alterar suas configurações porque nenhuma violação foi alcançada.
Oito armazéns e um catálogo ampliado
Zach Whittaker, do TechCrunch, descobriu o ataque em 29 de julho. O anúncio da Valve coloca a data de penetração em algum lugar entre então e 1º de agosto. A CEVA confirmou isso no dia, seis dias antes da Valve.
Valve é um nome em uma longa lista. Whittaker nomeou os varejistas holandeses Boll e De Bijenkorf, o banco ING, a empresa de vidro Ace & Tate e o clube de futebol Ajax.
O lado logístico tem suas próprias desvantagens. A FreightWaves relatou interrupções em oito armazéns europeus, causando atrasos em pedidos, devoluções e reembolsos.
De acordo com o relatório de Eric Kulisch, Boll e De Bijenkorf interromperam a troca de dados com a CEVA por precaução. Os produtos nos sites afetados estão offline.
Superfície do fornecedor
A CEVA não é um pequeno fornecedor. Opera mais de 1.000 armazéns, lida com cerca de 15 milhões de remessas anualmente e registrou receitas de US$ 18,3 bilhões até 2025. É uma subsidiária do grupo de transporte marítimo CMA CGM.
Essa escala é o ponto. A penetração de um fornecedor de logística contratada chega a uma empresa desportiva, a um banco e a um clube de futebol numa semana, o que as pessoas chamam de cadeia de abastecimento digital.
O método é conhecido. Os clientes do LastPass perderam dados por meio de um fornecedor, e não do LastPass.
Os usuários do Polymarket perderam dinheiro da mesma forma. É uma violação de terceiros da mesma forma.
Ninguém sabe ainda
O número está faltando. Nem a Valve nem a CEVA disseram quantos clientes foram afetados, quantos dados restaram ou como os invasores entraram.
Nenhum atributo. Nenhum dos grupos alegou intrusão e nada divulgado até agora deu nome.
CEVA tem pouco a dizer. TechCrunch disse ao TechCrunch que o incidente afetou parte de suas operações logísticas contratuais europeias, enquanto outras operações continuaram sem incidentes.
A válvula enche um pouco mais. A CEVA isolou os sistemas afetados, colocou-os off-line e trouxe investigadores externos, e diz que a Valve ainda está pressionando o empreiteiro para obter um escopo completo.
Os reguladores vêm em seguida. A Valve está notificando a autoridade de proteção de dados em cada país afetado e nomeou a Ortana Digital GmbH em Hamburgo como seu ponto de contato para perguntas sobre o incidente.
O regulador holandês já está investigando. A polícia holandesa derrubou 800 servidores em uma operação separada no início deste ano.
Todo o resto está esperando. As pessoas que encomendaram a máquina a vapor agora têm o endereço residencial de outra pessoa arquivado, e a única válvula de segurança que podem fornecer é a desconfiança em relação à próxima mensagem definitiva sobre seu pacote.
