Il cedimento di un partner logistico diventa un avviso di Valve
Tra il 29 luglio e il 1 agosto 2026, un attacco informatico ha colpito CEVA Logistics, l'azienda di spedizioni che Valve utilizza per consegnare Steam Deck, Steam Machine e Steam Controller ai clienti in tutta Europa. Valve dichiara di aver appreso dell'intrusione il 7 agosto, e ha iniziato a inviare email ai clienti europei coinvolti il 10 agosto, oltre una settimana dopo la fine della finestra d'attacco.
Il ritardo tra attacco e notifica non è insolito negli incidenti di filiera: Valve ha dovuto prima accertare che il punto d'ingresso fosse CEVA e non i propri sistemi, poi stabilire quali dati dei propri clienti fossero transitati sui server di CEVA. CEVA conserva i dati di consegna fino a 90 giorni dopo l'ordine, motivo per cui l'esposizione riguarda gli acquirenti che hanno comprato hardware Steam circa in quel periodo.
Cosa è stato esposto, e cosa no
L'avviso di Valve elenca ciò che CEVA custodiva: nome completo, indirizzo, codice postale, città, paese, telefono, l'indirizzo email collegato all'account Steam, oltre a tipo e prezzo dell'hardware ordinato. È abbastanza per costruire un messaggio di phishing o di truffa sulla consegna convincente e personalizzato, anche senza una sola password.
Valve è stata esplicita su ciò che CEVA non ha mai avuto: password dell'account, codici Steam Guard e dati di pagamento non facevano parte dei dati che CEVA trattava per spedire un pacco, quindi nulla di tutto ciò è stato esposto. Valve ha avvertito i clienti di aspettarsi tentativi di truffa successivi via email, SMS o telefono che citano dettagli reali dell'ordine, e consiglia di trattare come sospetta qualsiasi richiesta di confermare un indirizzo o pagare una tassa di riconsegna.
CEVA è responsabile del trattamento - Valve resta titolare
Secondo il RGPD, la distinzione tra titolare e responsabile del trattamento stabilisce chi risponde di una violazione. Valve è il titolare: decide quali dati dei clienti raccogliere e perché. CEVA è il responsabile: custodisce solo i dati che Valve le ha affidato, e solo per l'unico compito per cui Valve l'ha incaricata, portare una scatola fino alla porta. Il fatto che CEVA sia stata la parte effettivamente attaccata non sposta questa responsabilità lontano da Valve.
Proprio per questo è Valve, non CEVA, ad aver inviato l'email di notifica, e Valve dichiara di stare allertando le autorità di protezione dati in ogni paese UE dove vivono clienti coinvolti. Un cedimento di sicurezza del responsabile del trattamento è, legalmente, la violazione che il titolare deve segnalare, secondo i tempi del titolare, sotto il nome del titolare.
Il raggio d'impatto va ben oltre Steam
Valve non è l'unico cliente di CEVA, e questo non è un incidente esclusivo di Steam. CEVA fa parte del gruppo CMA CGM e gestisce almeno otto magazzini in Europa. Rivenditori come bol e De Bijenkorf nei Paesi Bassi hanno pubblicato propri avvisi ai clienti sulla stessa intrusione, e le notizie sull'incidente descrivono come si stia estendendo a banche e ad altri marchi retail che gestiscono spedizioni tramite CEVA.
Ognuna di queste aziende si trova ora nella stessa posizione di Valve: un fornitore che non gestisce direttamente, che non può controllare in tempo reale e nel quale non poteva rilevare l'intrusione, ha generato un incidente sui dati dei clienti che ora deve spiegare, sotto il proprio nome, ai propri utenti.
La lezione per ogni azienda che esternalizza il fulfillment
Ogni azienda che consegna nomi, indirizzi o dati d'ordine a un fornitore esterno di logistica o fulfillment ha di fatto ampliato la propria superficie d'attacco ai sistemi di quel fornitore, senza ampliare la propria visibilità su quanto bene quel fornitore li protegga. L'incidente CEVA mostra chiaramente lo schema: la violazione è avvenuta a luglio, presso un'azienda di cui la maggior parte dei clienti Steam non aveva mai sentito parlare, e il rivenditore di cui i clienti si fidano è stato quello che ha dovuto spiegarlo ad agosto.
La risposta pratica non è riportare il fulfillment in casa. Consiste nel sapere, prima che un incidente lo imponga, quali fornitori custodiscono dati personali attivi dei clienti, con quale periodo di conservazione operano, e come appaiono i propri obblighi di notifica il giorno in cui uno di loro viene violato. La risposta di Valve - rapida escalation interna, un'email diretta ai clienti e contatto proattivo con le autorità di protezione dati - dovrebbe essere lo standard che ogni titolare può rispettare in tempi brevi, non l'eccezione.
Da leggere ora: Un cruscotto di polizia su 700 stranieri era aperto | Un componente gratuito può leggere ogni vostro documento
