Sicherheitswarnung für Steam-Nutzer
Valve informiert derzeit Kunden per E-Mail über einen Datenabfluss bei dem Logistikdienstleister CEVA Logistics. Der Vorfall betrifft exklusiv Nutzer, die physische Steam-Hardware bestellt haben.
Der Zugriff auf Kundendaten erfolgte nicht direkt bei Valve, sondern in den Systemen des externen Partners. Valve nutzt CEVA Logistics für die europäische Distribution von Hardware-Produkten.
Was ist über den Vorfall bekannt?
CEVA Logistics operiert als einer der größten Logistikdienstleister weltweit mit Hauptsitz in Marseille. Das Unternehmen wickelt für Valve den Versand der Steam Deck-Modelle sowie Zubehörartikel innerhalb Europas ab.
- Der unbefugte Zugriff auf die Server von CEVA Logistics wurde nach firmeninternen Untersuchungen gemeldet.
- Valve hat als Reaktion den betroffenen Kundenkreis eingegrenzt und die Benachrichtigungen initiiert.
- Die forensische Aufarbeitung des Angriffs liegt in der Verantwortung von CEVA Logistics und den beauftragten IT-Sicherheitsexperten.
Welche Daten könnten betroffen sein?
Die abgeflossenen Datensätze umfassen Informationen, die für den physischen Versand notwendig sind. Es liegen keine Belege für einen Zugriff auf die primäre Steam-Datenbank vor.
- Vollständige Namen der Kunden.
- Versandadressen und Postleitzahlen.
- Telefonnummern sowie E-Mail-Adressen für die Sendungsverfolgung.
- Bestellnummern der Steam Deck-Käufe.
Valve und der Hardware-Markt: Kontext
Valve startete seine Hardware-Ambitionen ursprünglich mit den Steam Machines, die 2013 angekündigt wurden. Das Projekt scheiterte kommerziell, legte jedoch den technischen Grundstein für das SteamOS.
- Der Steam Controller und das Steam Link waren weitere Versuche, die Steam-Plattform in das Wohnzimmer zu bringen.
- Erst mit der Valve Index (2019) im VR-Segment gelang ein Erfolg, der die Marke als Hardware-Produzent etablierte.
- Das Steam Deck (2022) veränderte die Positionierung von Valve im Markt grundlegend.
- Mit der Steam Deck OLED-Variante folgte 2023 eine technische Überarbeitung, die den Absatz weiter steigerte.
Die Marktsituation für Handheld-PCs hat sich seit 2022 massiv verdichtet. Konkurrenten wie ASUS mit dem ROG Ally oder Lenovo mit dem Legion Go nutzen nun ebenfalls dedizierte Logistikketten, um ihre Geräte global zu verteilen.
Einordnung des Vorfalls
Datenlecks bei Logistikpartnern sind in der Branche ein bekanntes Risiko. Da Valve als Plattformbetreiber die Hardware-Produktion und den Vertrieb auslagert, entstehen Schnittstellen zu Drittanbietern wie CEVA Logistics.
- Ähnliche Vorfälle betrafen in den letzten Jahren häufig E-Commerce-Plattformen, deren Logistik-Schnittstellen (APIs) angegriffen wurden.
- Valve speichert Zahlungsdaten wie Kreditkartennummern verschlüsselt auf eigenen Servern oder über Zahlungsanbieter wie PayPal oder Adyen.
- Bei diesem Vorfall verbleiben die sensibelsten Finanzdaten nach aktuellem Kenntnisstand außerhalb der Reichweite der Angreifer.
Maßnahmen für betroffene Kunden
Empfänger der Warn-E-Mail sollten ihre Konten auf Anzeichen von Phishing-Versuchen prüfen. Angreifer nutzen gestohlene Lieferdaten oft für gezielte Betrugsnachrichten, die den Kauf von Hardware vortäuschen.
- Aktivieren Sie die Steam Guard-Zwei-Faktor-Authentifizierung, sofern dies nicht geschehen ist.
- Ignorieren Sie E-Mails, die zur Eingabe von Passwörtern auf externen Webseiten auffordern.
- Überprüfen Sie Ihre Steam-Kontoaktivitäten im Bereich "Sicherheit" auf verdächtige Logins.
Valve hat bisher keine Kompromittierung von Steam-Passwörtern oder Wallet-Guthaben gemeldet. Die Kommunikation beschränkt sich auf den Schutz vor Social-Engineering-Angriffen durch die gestohlenen Lieferdaten. Der Vorfall unterstreicht die Abhängigkeit von globalen Logistiknetzwerken bei der Skalierung von Hardware-Verkäufen.
