Valve a confirmé que les données personnelles de clients européens ayant commandé du matériel Steam ont été exposées lors d'une cyberattaque. L'attaque a touché CEVA Logistics, le prestataire chargé d'acheminer les commandes de l'entreprise en Europe, entre le 29 juillet et le 1er août.

L'information avait d'abord circulé parmi les clients concernés sur ResetEra et Reddit, avant que Valve ne l'officialise. L'entreprise affirme n'avoir eu connaissance de l'incident que le 7 août, plusieurs jours après le début de l'attaque. Un email a ensuite été envoyé aux clients européens ayant acheté du matériel récemment pour les prévenir que leurs informations avaient probablement été compromises.

Nom, adresse et numéro de téléphone exposés

Les données concernées comprennent le nom du client, son adresse postale complète, son code postal, sa ville, son pays, son numéro de téléphone ainsi que l'adresse électronique associée à son compte Steam. Le type et le prix du matériel commandé ont également fuité. Les modèles les plus concernés seraient le Steam Deck, la Steam Machine et la manette Steam.

Valve précise en revanche qu'aucune donnée sensible liée au compte n'a été touchée : ni informations de paiement, ni mot de passe, ni code Steam Guard. CEVA n'y a d'ailleurs jamais eu accès. L'entreprise indique qu'il n'est donc pas nécessaire de modifier son mot de passe ou les paramètres de son compte.

Le mécanisme de la fuite tient à la nature même de la relation entre Valve et son transporteur. Pour acheminer le matériel, Valve transmet à CEVA les données de livraison nécessaires, celles-là mêmes que l'attaquant aurait récupérées. CEVA conserve ces informations jusqu'à 90 jours après la commande, ce qui signifie que toute personne ayant acheté un Steam Deck, un Steam Controller ou une Steam Machine au cours des trois derniers mois pourrait être concernée.

CEVA Logistics, dont le siège est en France, a confirmé qu'une partie de ses opérations logistiques sous contrat en Europe avait été touchée. Le fonctionnement d'au moins huit entrepôts européens a été perturbé, et plusieurs banques et enseignes de vente au détail recourant au même prestataire pour leurs livraisons auraient également été affectées.

De son côté, l'entreprise dit avoir isolé les systèmes touchés et les avoir mis hors ligne, et avoir fait appel à des enquêteurs externes pour déterminer l'origine de la faille.

Valve met en garde ses clients contre une possible exploitation de ces données par des escrocs se faisant passer pour Steam, l'entreprise elle-même ou une société de livraison. Les faux messages pourraient citer l'adresse réelle du destinataire pour paraître crédibles, demander de confirmer une livraison, de régler de petits frais de douane ou de redelivery, ou inviter à se connecter quelque part pour vérifier une commande.

Valve prévient ainsi, dans cet email relayé par le site Gamingonlinux, qu'il faut s'attendre à de faux messages (email, SMS ou appel) mentionnant la commande de matériel et semblant provenir de Steam, Valve ou une société de livraison, qui pourront citer l'adresse du destinataire pour paraître authentiques, et que tous ces messages doivent être considérés comme faux.

L'entreprise rappelle que son support client n'opère que via son site officiel et ne demande jamais de mot de passe ni de code Steam Guard, que ce soit par téléphone ou par email.

Valve indique avoir demandé à CEVA Logistics des informations complémentaires sur l'ampleur et les circonstances de l'incident, et continuer de faire pression sur le transporteur pour obtenir l'étendue exacte de l'attaque. Les autorités de protection des données des pays concernés ont été notifiées. Le nombre exact de clients touchés n'a pas encore été communiqué.