A falha de um parceiro logístico transforma-se num aviso da Valve

Entre 29 de julho e 1 de agosto de 2026, um ciberataque atingiu a CEVA Logistics, a empresa de transportes que a Valve utiliza para entregar o Steam Deck, a Steam Machine e o Steam Controller a clientes em toda a Europa. A Valve afirma ter tomado conhecimento da intrusão a 7 de agosto, e começou a enviar e-mails aos clientes europeus afetados a 10 de agosto, mais de uma semana após o fim da janela de ataque.

O atraso entre o ataque e a notificação não é invulgar em incidentes na cadeia de fornecimento: a Valve teve primeiro de confirmar que o ponto de entrada foi a CEVA, e não os seus próprios sistemas, e depois apurar que dados dos seus clientes tinham passado pelos servidores da CEVA. A CEVA conserva os dados de entrega até 90 dias após a encomenda, o que explica porque a exposição se limita aos compradores que adquiriram hardware Steam aproximadamente nesse período.

O que foi exposto - e o que não foi

O aviso da Valve enumera o que a CEVA guardava: nome completo, morada, código postal, cidade, país, telefone, o e-mail associado à conta Steam, bem como o tipo e o preço do hardware encomendado. É suficiente para construir uma mensagem de phishing ou de fraude de entrega convincente e personalizada, mesmo sem uma única palavra-passe.

A Valve foi explícita sobre o que a CEVA nunca teve: palavras-passe da conta, códigos Steam Guard e dados de pagamento não faziam parte dos dados que a CEVA tratava para enviar uma encomenda, pelo que nada disso foi exposto. A Valve alertou os clientes para esperarem tentativas de fraude subsequentes por e-mail, SMS ou telefone que citem dados reais da encomenda, e recomenda tratar como suspeito qualquer pedido para confirmar uma morada ou pagar uma taxa de reenvio.

A CEVA é subcontratante - a Valve continua responsável

Ao abrigo do RGPD, a distinção entre responsável pelo tratamento e subcontratante determina quem responde por uma violação. A Valve é a responsável: a empresa decide que dados de clientes são recolhidos e porquê. A CEVA é a subcontratante: a empresa guarda apenas os dados que a Valve lhe confiou, e apenas para a única tarefa para a qual a Valve a contratou - levar uma caixa até à porta. O facto de a CEVA ter sido a parte efetivamente atacada não transfere essa responsabilidade para fora da Valve.

É precisamente por isso que é a Valve, e não a CEVA, que enviou o e-mail de notificação, e a Valve afirma estar a alertar as autoridades de proteção de dados em cada país da UE onde vivem clientes afetados. Uma falha de segurança do subcontratante é, legalmente, a violação que o responsável pelo tratamento deve comunicar, segundo o calendário do responsável, sob o nome do responsável.

O alcance vai muito além de Steam

A Valve não é o único cliente da CEVA, e este não é um incidente exclusivo do Steam. A CEVA integra o grupo CMA CGM e opera pelo menos oito armazéns na Europa. Retalhistas como a bol e a De Bijenkorf, nos Países Baixos, publicaram os seus próprios avisos a clientes sobre a mesma intrusão, e as notícias sobre o incidente descrevem como se está a espalhar a bancos e a outras marcas de retalho que gerem envios através da CEVA.

Cada uma destas empresas encontra-se agora na mesma posição que a Valve: um fornecedor que não gere diretamente, que não consegue auditar em tempo real e no qual não conseguiu detetar a intrusão, gerou um incidente de dados de clientes que agora tem de explicar, sob o próprio nome, aos próprios utilizadores.

A lição para qualquer empresa que subcontrate fulfilment

Qualquer empresa que entregue nomes, moradas ou dados de encomendas a um fornecedor externo de logística ou distribuição alargou, na prática, a sua própria superfície de ataque aos sistemas desse fornecedor, sem alargar a sua própria visibilidade sobre a qualidade da proteção que esse fornecedor assegura. O incidente da CEVA mostra o padrão com clareza: a violação ocorreu em julho, numa empresa de que a maioria dos clientes Steam nunca tinha ouvido falar, e foi o retalhista em cujo nome os clientes confiam que teve de o explicar em agosto.

A resposta prática não é trazer o fulfilment de volta para dentro de casa. Consiste em saber, antes de um incidente o impor, que fornecedores guardam dados pessoais ativos de clientes, sob que período de retenção operam, e como são as próprias obrigações de notificação no dia em que um deles sofrer uma violação. A resposta da Valve - escalonamento interno rápido, um e-mail direto aos clientes e contacto proativo com as autoridades de proteção de dados - deveria ser o padrão que qualquer responsável pelo tratamento consiga cumprir num prazo curto, e não a exceção.

Leia a seguir: Um painel policial sobre 700 estrangeiros ficou aberto  |  Um suplemento gratuito pode ler todos os seus documentos