Un fallo del socio logístico se convierte en aviso de Valve

Entre el 29 de julio y el 1 de agosto de 2026, un ciberataque golpeó a CEVA Logistics, la empresa de transporte que Valve utiliza para entregar Steam Deck, Steam Machine y Steam Controller a clientes de toda Europa. Valve afirma haberse enterado de la intrusión el 7 de agosto, y comenzó a enviar correos a los clientes europeos afectados el 10 de agosto, más de una semana después del cierre de la ventana de ataque.

El retraso entre el ataque y el aviso no es inusual en incidentes de cadena de suministro: Valve primero tuvo que confirmar que CEVA, y no sus propios sistemas, fue el punto de entrada, y después determinar qué registros de sus clientes habían pasado por los servidores de CEVA. CEVA conserva los datos de entrega hasta 90 días después del pedido, por lo que la exposición se limita a los compradores que adquirieron hardware Steam aproximadamente en ese plazo.

Qué se expuso y qué no

El aviso de Valve enumera lo que CEVA tenía almacenado: nombre completo, dirección, código postal, ciudad, país, teléfono, el correo electrónico vinculado a la cuenta de Steam, y el tipo y precio del hardware pedido. Es información suficiente para construir un mensaje de phishing o fraude de entrega convincente y personalizado, incluso sin una sola contraseña de por medio.

Valve fue explícito sobre lo que CEVA nunca tuvo: las contraseñas de la cuenta, los códigos de Steam Guard y los datos de pago no formaban parte de la información que CEVA procesaba para enviar un paquete, así que nada de eso se expuso. Valve ha advertido a los clientes de posibles intentos de fraude posteriores por correo, SMS o teléfono que citen los detalles reales del pedido, y recomienda tratar como sospechosa cualquier petición de confirmar una dirección o pagar una tasa de reenvío.

CEVA es el encargado del tratamiento - Valve sigue siendo el responsable

Según el RGPD, la distinción entre responsable y encargado del tratamiento determina quién responde por una brecha. Valve es el responsable: decide qué datos de clientes se recopilan y por qué. CEVA es el encargado: solo conserva los datos que Valve le entregó, y solo para la única tarea que Valve le encomendó, hacer llegar una caja a una puerta. El hecho de que CEVA fuera la parte realmente atacada no traslada esa responsabilidad fuera de Valve.

Por eso es Valve, y no CEVA, quien envió el correo de notificación, y Valve afirma estar alertando a las autoridades de protección de datos de cada país de la UE donde viven clientes afectados. Un fallo de seguridad del encargado del tratamiento es, legalmente, la brecha que el responsable debe reportar, en el plazo del responsable, bajo el nombre del responsable.

El alcance va mucho más allá de Steam

Valve no es el único cliente de CEVA, y esto no es un incidente exclusivo de Steam. CEVA forma parte del grupo CMA CGM y opera al menos ocho almacenes en Europa. Minoristas como bol y De Bijenkorf en los Países Bajos han publicado sus propios avisos a clientes sobre la misma intrusión, y la cobertura del incidente describe cómo se extiende hacia bancos y otras marcas minoristas que gestionan envíos a través de CEVA.

Cada una de estas empresas está ahora en la misma posición que Valve: un proveedor que no opera, que no puede auditar en tiempo real y en el que no pudo detectar la intrusión, ha generado un incidente de datos de clientes que ahora debe explicar bajo su propio nombre a sus propios usuarios.

La lección para cualquier empresa que subcontrata su logística

Cualquier empresa que entrega nombres, direcciones o datos de pedidos a un proveedor externo de logística o distribución ha ampliado de hecho su propia superficie de ataque a los sistemas de ese proveedor, sin ampliar su propia visibilidad sobre lo bien que ese proveedor los protege. El incidente de CEVA muestra el patrón con claridad: la brecha ocurrió en julio, en una empresa de la que la mayoría de los clientes de Steam nunca habían oído hablar, y el minorista en cuyo nombre confían los clientes fue quien tuvo que explicarlo en agosto.

La respuesta práctica no es traer la distribución de vuelta a casa. Consiste en saber, antes de que un incidente lo obligue, qué proveedores conservan datos personales de clientes activos, bajo qué plazo de conservación operan, y cómo se ven las propias obligaciones de notificación el día en que uno de ellos sufra una brecha. La respuesta de Valve - escalada interna rápida, un correo directo a los clientes y contacto proactivo con las autoridades de protección de datos - debería ser el estándar que cualquier responsable pueda cumplir con poco margen, no la excepción.

Leer a continuación: Un panel policial sobre 700 extranjeros quedó abierto  |  Un complemento gratuito puede leer todos sus documentos