Wyciek CEVA dotyka nabywców Steam w Europie

Awaria u partnera logistycznego staje się zgłoszeniem Valve

Między 29 lipca a 1 sierpnia 2026 roku cyberatak dotknął CEVA Logistics, firmę spedycyjną, której Valve używa do dostarczania Steam Deck, Steam Machine i Steam Controller klientom w całej Europie. Valve twierdzi, że o włamaniu dowiedziało się 7 sierpnia, i zaczęło wysyłać e-maile do dotkniętych klientów europejskich 10 sierpnia, ponad tydzień po zakończeniu okna ataku.

Opóźnienie między atakiem a powiadomieniem nie jest niczym niezwykłym w incydentach łańcucha dostaw: Valve musiało najpierw ustalić, że punktem wejścia była CEVA, a nie własne systemy, a następnie określić, które dane klientów przeszły przez serwery CEVA. CEVA przechowuje dane dostawy przez okres do 90 dni od złożenia zamówienia, co wyjaśnia, dlaczego ekspozycja ogranicza się do nabywców, którzy kupili sprzęt Steam mniej więcej w tym okresie.

Co zostało ujawnione, a co nie

Zgłoszenie Valve wymienia, co przechowywała CEVA: pełne imię i nazwisko, adres, kod pocztowy, miasto, kraj, numer telefonu, adres e-mail powiązany z kontem Steam oraz rodzaj i cenę zamówionego sprzętu. To wystarczy, by stworzyć przekonującą, spersonalizowaną wiadomość phishingową lub oszustwo związane z dostawą, nawet bez jednego hasła.

Valve wyraźnie określiło, czego CEVA nigdy nie miała: hasła do konta, kody Steam Guard i dane płatnicze nie były częścią danych, które CEVA przetwarzała w celu wysyłki paczki, więc nic z tego nie zostało ujawnione. Valve ostrzegło klientów, by spodziewali się kolejnych prób oszustwa e-mailem, SMS-em lub telefonicznie, powołujących się na prawdziwe szczegóły zamówienia, i zaleca traktowanie każdej prośby o potwierdzenie adresu lub opłatę za ponowną dostawę jako podejrzanej.

CEVA jest podmiotem przetwarzającym - Valve pozostaje administratorem

Zgodnie z RODO to rozróżnienie między administratorem a podmiotem przetwarzającym decyduje, kto odpowiada za naruszenie. Valve jest administratorem: firma decyduje, jakie dane klientów są zbierane i dlaczego. CEVA jest podmiotem przetwarzającym: firma przechowuje wyłącznie dane, które powierzył jej Valve, i wyłącznie do jednego zadania, do którego Valve ją zatrudniło - dostarczenia paczki pod drzwi. Fakt, że to CEVA była stroną faktycznie zaatakowaną, nie przenosi tej odpowiedzialności z Valve.

Właśnie dlatego to Valve, a nie CEVA, wysłało e-mail z powiadomieniem, a Valve twierdzi, że powiadamia organy ochrony danych w każdym kraju UE, w którym mieszkają dotknięci klienci. Awaria bezpieczeństwa u podmiotu przetwarzającego jest prawnie naruszeniem, które administrator musi zgłosić - według harmonogramu administratora, pod nazwą administratora.

Zasięg wykracza daleko poza Steam

Valve nie jest jedynym klientem CEVA, a to nie jest incydent dotyczący wyłącznie Steam. CEVA należy do grupy CMA CGM i prowadzi co najmniej osiem magazynów w Europie. Sprzedawcy detaliczni tacy jak bol i De Bijenkorf w Holandii opublikowali własne ostrzeżenia dla klientów o tym samym włamaniu, a doniesienia o incydencie opisują, jak rozprzestrzenia się on na banki i inne marki detaliczne, które wysyłają towary za pośrednictwem CEVA.

Każda z tych firm znajduje się teraz w tej samej sytuacji co Valve: dostawca, którego nie prowadzi samodzielnie, którego nie może audytować w czasie rzeczywistym i w którym nie mogła sama wykryć włamania, wywołał incydent związany z danymi klientów, który teraz musi wyjaśnić pod własną nazwą własnym użytkownikom.

Lekcja dla każdej firmy zlecającej fulfillment na zewnątrz

Każda firma, która przekazuje imiona i nazwiska, adresy lub dane zamówień zewnętrznemu dostawcy logistyki lub fulfillmentu, faktycznie rozszerzyła własną powierzchnię ataku na systemy tego dostawcy, nie rozszerzając przy tym własnego wglądu w to, jak dobrze ten dostawca je chroni. Incydent CEVA pokazuje ten wzorzec wyraźnie: naruszenie miało miejsce w lipcu, w firmie, o której większość klientów Steam nigdy nie słyszała, a to sprzedawca, któremu klienci ufają, musiał to wyjaśnić w sierpniu.

Praktyczna odpowiedź nie jest przenoszeniem fulfillmentu z powrotem do wewnątrz firmy. Polega ona na tym, by wiedzieć, zanim incydent wymusi to pytanie, którzy dostawcy przechowują aktywne dane osobowe klientów, w jakim okresie retencji działają i jak wyglądają własne obowiązki zgłoszeniowe w dniu, gdy jeden z nich zostanie zaatakowany. Reakcja Valve - szybka eskalacja wewnętrzna, bezpośredni e-mail do klientów i proaktywny kontakt z organami ochrony danych - powinna być standardem, który każdy administrator może spełnić w krótkim czasie, a nie wyjątkiem.

Czytaj dalej: Policyjny panel o 700 cudzoziemcach stał otworem  |  Darmowy dodatek może czytać każdy twój dokument