La défaillance d'un prestataire logistique devient une alerte Valve
Entre le 29 juillet et le 1er août 2026, une cyberattaque a touché CEVA Logistics, l'entreprise de transport que Valve utilise pour livrer Steam Deck, Steam Machine et Steam Controller aux clients dans toute l'Europe. Valve déclare avoir appris l'intrusion le 7 août, et a commencé à envoyer des emails aux clients européens concernés le 10 août, plus d'une semaine après la fin de la fenêtre d'attaque.
Le délai entre l'attaque et la notification n'est pas rare dans les incidents de chaîne d'approvisionnement: Valve a d'abord dû établir que le point d'entrée était CEVA et non ses propres systèmes, puis déterminer quelles données de ses clients avaient transité par les serveurs de CEVA. CEVA conserve les données de livraison jusqu'à 90 jours après la commande, ce qui explique pourquoi l'exposition se limite aux acheteurs ayant commandé du matériel Steam à peu près durant cette période.
Ce qui a été exposé, et ce qui ne l'a pas été
L'alerte de Valve énumère ce que CEVA détenait: nom complet, adresse, code postal, ville, pays, téléphone, l'adresse email liée au compte Steam, ainsi que le type et le prix du matériel commandé. C'est suffisant pour construire un message de phishing ou d'arnaque à la livraison convaincant et personnalisé, même sans le moindre mot de passe.
Valve a été explicite sur ce que CEVA n'a jamais eu: mots de passe du compte, codes Steam Guard et données de paiement ne faisaient pas partie des données que CEVA traitait pour expédier un colis, donc rien de tout cela n'a été exposé. Valve a averti les clients de s'attendre à des tentatives d'arnaque ultérieures par email, SMS ou téléphone citant de vrais détails de commande, et recommande de traiter comme suspecte toute demande de confirmer une adresse ou de payer des frais de réexpédition.
CEVA est sous-traitant - Valve reste responsable du traitement
Selon le RGPD, la distinction entre responsable et sous-traitant détermine qui répond d'une violation. Valve est le responsable du traitement: l'entreprise décide quelles données clients sont collectées et pourquoi. CEVA est le sous-traitant: l'entreprise ne détient que les données que Valve lui a confiées, et uniquement pour la seule tâche pour laquelle Valve l'a mandatée, faire parvenir un colis jusqu'à une porte. Le fait que CEVA ait été la partie effectivement attaquée ne déplace pas cette responsabilité loin de Valve.
C'est précisément pour cela que c'est Valve, et non CEVA, qui a envoyé l'email de notification, et Valve déclare alerter les autorités de protection des données de chaque pays de l'UE où vivent des clients concernés. Une défaillance de sécurité du sous-traitant est, juridiquement, la violation que le responsable du traitement doit signaler, selon le calendrier du responsable, sous le nom du responsable.
L'impact dépasse largement Steam
Valve n'est pas le seul client de CEVA, et ce n'est pas un incident propre à Steam. CEVA fait partie du groupe CMA CGM et exploite au moins huit entrepôts en Europe. Des enseignes comme bol et De Bijenkorf aux Pays-Bas ont publié leurs propres alertes clients sur la même intrusion, et les articles sur l'incident décrivent comment il se propage vers des banques et d'autres enseignes qui acheminent leurs envois via CEVA.
Chacune de ces entreprises se trouve désormais dans la même situation que Valve: un prestataire qu'elle n'exploite pas elle-même, qu'elle ne peut pas auditer en temps réel et dans lequel elle n'a pas pu détecter l'intrusion, a généré un incident de données clients qu'elle doit maintenant expliquer, sous son propre nom, à ses propres utilisateurs.
La leçon pour toute entreprise qui externalise sa logistique
Toute entreprise qui transmet noms, adresses ou données de commande à un prestataire externe de logistique ou de distribution a de fait étendu sa propre surface d'attaque aux systèmes de ce prestataire, sans étendre sa propre visibilité sur la qualité de la protection qu'il assure. L'incident CEVA illustre clairement ce schéma: la violation s'est produite en juillet, chez une entreprise dont la plupart des clients Steam n'avaient jamais entendu parler, et c'est l'enseigne en qui les clients ont confiance qui a dû l'expliquer en août.
La réponse pratique n'est pas de rapatrier la distribution en interne. Elle consiste à savoir, avant qu'un incident ne l'impose, quels prestataires détiennent des données personnelles actives de clients, sous quel délai de conservation ils opèrent, et à quoi ressemblent ses propres obligations de notification le jour où l'un d'eux subit une violation. La réponse de Valve - escalade interne rapide, email direct aux clients et contact proactif avec les autorités de protection des données - devrait être la norme que tout responsable du traitement peut respecter dans un délai court, pas l'exception.
À lire ensuite: Un tableau de bord policier sur 700 étrangers restait ouvert | Un module gratuit peut lire chacun de vos documents
