A Valve começou a notificar clientes europeus de hardware do Steam nesta segunda-feira após descobrir que sua parceira de logística, a CEVA Logistics, sofreu um ataque cibernético. Entre 29 de julho e 1º de agosto de 2026, criminosos acessaram sistemas da transportadora, que é responsável por enviar dispositivos físicos — como o Steam Deck — a compradores na Europa. A empresa tomou conhecimento do problema em 7 de agosto e, desde então, tenta dimensionar exatamente o que foi levado.
O dado mais sensível vazado envolve justamente o que a CEVA precisa para fazer uma entrega: nome completo, endereço, código postal, cidade, país, telefone e e-mail vinculado à conta Steam. Também vazou o tipo e o preço do hardware comprado. Por outro lado, a Valve fez questão de tranquilizar os afetados: a transportadora não tinha acesso a dados de pagamento, senhas ou códigos do Steam Guard, e a conta Steam em si não foi comprometida.
Um detalhe que aumenta a gravidade é a janela de exposição. A CEVA mantém as informações de remessa por até 90 dias após um pedido, o que significa que qualquer pessoa que comprou hardware nos últimos três meses pode estar na lista de notificados. Não é um vazamento pequeno: a Valve está contatando todos os clientes cujos dados caíram nessa janela.
O risco real agora é o golpe. A própria Valve alertou que os criminosos têm material suficiente para fazer engenharia social de alta qualidade. Eles podem citar o endereço da vítima para 'provar' que são legítimos, pedir o pagamento de uma suposta taxa alfandegária ou de reentrega, ou convidar a pessoa a 'verificar' o pedido em um site falso. E-mail, SMS e telefonemas podem imitar a Steam, a Valve ou uma empresa de entregas.
Este incidente ilustra um problema estrutural do comércio eletrônico: a segurança de uma transação depende de todos os elos da cadeia. A Valve pode ter criptografia de ponta e autenticação robusta na sua plataforma, mas o dado físico de entrega passa por uma terceirizada cujo perímetro é mais vulnerável. É o mesmo raciocínio de ataques a provedores de nuvem ou a sistemas de RH: o atacante procura o elo mais fraco, não o mais difícil.
Para quem foi notificado, a recomendação é direta: não clique em links de e-mails ou mensagens que referenciem o pedido, não pague taxas por canais não oficiais e desconfie de qualquer pessoa que cite seu endereço para ganhar confiança. A Valve afirma que nenhuma mudança de senha é necessária, mas uma camada extra de ceticismo em mensagens de 'entrega' não faz mal.
O episódio também levanta uma questão mais ampla sobre a terceirização logística em escala. Quando um gigante como a Valve confia dados de clientes a uma parceira de transporte, quem responde pela privacidade quando essa parceira falha? A notificação é apenas o primeiro passo — o desdobramento regulatório na Europa, sob o GDPR, pode trazer consequências que vão além de e-mails de alerta.
Do ponto de vista operacional, o caso também revela uma fragilidade comum na cadeia de suprimentos: o dado de entrega costuma ser tratado como se fosse menos sensível do que o dado de pagamento, quando, na prática, é ele que viabiliza fraudes físicas e digitais. Um atacante com nome, endereço e telefone em mãos pode interceptar entregas, abrir contas em nome da vítima ou engenharia social com familiares. Por isso, especialistas em segurança recomendam tratar dados de envio com o mesmo cuidado de credenciais de acesso, monitorando ativamente qualquer comunicação não solicitada que mencione compras recentes.
Fontes: The Verge, Help Net Security, Cybersecurity News
✓ Fontes independentes cruzadas e verificadas antes da publicação
