Bei einem Cyberangriff auf Valves europäischen Versandpartner CEVA Logistics sind die Lieferdaten von Steam-Hardware-Kunden abgeflossen. Valve hat betroffene Käufer am Montag per Rundmail gewarnt, die unter anderem auf Reddit zu sehen ist. Hintergrund ist ein Angriff auf mindestens acht europäische Lager des Logistik-Dienstleisters aus Frankreich.

Der Angriff lief laut der Mail zwischen dem 29. Juli und dem 1. August, Valve selbst habe erst am 7. August davon erfahren. Der Mail zufolge könnten die Angreifer Namen, Adressen, Land, Telefonnummern und die mit dem Steam-Konto verknüpften E-Mail-Adressen erbeutet haben. Auch Angaben zu Typ und Preis des bestellten Geräts sollen aus den Daten hervorgehen. Dagegen soll das Datenpaket keinerlei Zahlungsdaten, Passwörter und Steam-Guard-Codes umfassen. Einen Grund, das Steam-Passwort zu ändern, sieht Valve daher nicht.

CEVA Logistics organisiert für Valve den Versand Steam-Hardware wie die Steam Machine und das Steam Deck in Europa. Die für die Zustellung nötigen Kundendaten bekomme CEVA von Steam und behalte sie bis zu 90 Tage nach der Bestellung, heißt es in der Warnmail von Valve. Welche Produkte konkret betroffen seien, sagt Valve nicht. Grundsätzlich könnte es Käufer von allen Hardware-Produkten von Valve treffen – also Steam Deck, Steam Controller und Steam Machine. Die VR-Brille Steam Frame hat weiterhin keinen Verkaufstermin.

Betrugsversuche erwartet

Valve rechnet nach dem Cyberangriff auf CEVA mit Betrugsversuchen: Kunden sollten grundsätzlich davon ausgehen, dass E-Mails, SMS und Anrufe zu ihrer Hardware-Bestellung betrügerischer Natur sind. Laut Valve könnten solche Fake-Nachrichten etwa die Bestätigung einer Lieferung, eine Zoll- oder Zustellgebühr oder ein Login zur „Verifizierung“ der Bestellung verlangen. Der offizielle Steam-Support frage nie nach Passwort oder Steam-Guard-Code, erinnert Valve.

Den Vorfall will Valve den Datenschutzbehörden der betroffenen Länder melden. CEVA selbst habe die betroffenen Systeme vorerst abgeschaltet und bekomme Unterstützung externer Security-Berater. Valve ist längst nicht das einzige betroffene Unternehmen: Nach dem Angriff haben unter anderem auch die Bank ING, der Fußballklub Ajax Amsterdam und die Brillenkette Ace & Tate Datendiebstahl gemeldet, berichtet TechCrunch.

(dahe)