Valve ha confirmado que un ciberataque a CEVA Logistics, su socio de envío europeo para hardware de Steam como la Steam Deck, Steam Machine y Steam Controller, expuso datos de clientes pertenecientes a compradores de toda Europa.

La brecha ocurrió entre el 29 de julio y el 1 de agosto de 2026, y Valve afirma que tuvo conocimiento del compromiso el 7 de agosto, lo que llevó a la empresa a notificar a todos los clientes que cree que fueron afectados a través de un correo electrónico de seguridad directo.

Según la revelación de Valve, es probable que el atacante haya accedido a información relacionada con la entrega que CEVA conserva hasta noventa días después de que se realice un pedido.

Esto incluye el nombre completo del cliente, la dirección, el código postal, la ciudad, el país, el número de teléfono, la dirección de correo electrónico vinculada a su cuenta de Steam y detalles sobre el tipo y el precio del hardware pedido.

Valve ha subrayado que no se vieron afectadas las credenciales de la cuenta de Steam, las contraseñas, los códigos de Steam Guard ni la información de pago, ya que CEVA nunca tuvo acceso a esos datos en primer lugar.

Brecha de Datos de CEVA Logistics

La notificación de Valve es parte de un incidente mucho mayor que afecta a las operaciones europeas de CEVA Logistics. Informes de FreightWaves indican que el ataque interrumpió ocho almacenes de CEVA y causó retrasos en los envíos para numerosos clientes minoristas, habiéndose alertado primero de la intrusión a los clientes afectados el 1 de agosto.

El gigante holandés del comercio electrónico Bol y los grandes almacenes De Bijenkorf confirmaron la exposición de nombres, direcciones, números de teléfono, correos electrónicos, números de pedido y detalles de los artículos comprados, aunque las credenciales de pago permanecieron intactas.

Las consecuencias se han ampliado desde entonces para incluir al club de fútbol Ajax, el banco ING y la tienda de gafas Ace & Tate, todos los cuales dependen de CEVA para la gestión de pedidos y han notificado por separado a los clientes y a los reguladores, incluida la Autoridad de Protección de Datos holandesa.

Cabe destacar que este no es el primer roce de CEVA con los atacantes. Un grupo de amenazas conocido como CoinbaseCartel se atribuyó la responsabilidad de una brecha de CEVA separada y más extensa descubierta en septiembre de 2025, exfiltrando presuntamente esquemas completos de bases de datos que cubrían cuentas de clientes, costes, números de IVA y datos financieros. Sigue sin estar claro si el incidente actual está relacionado con aquel compromiso anterior o si representa una nueva intrusión.

Los investigadores de seguridad advierten que la combinación de nombres reales, direcciones particulares, números de teléfono y detalles de compra específicos crea las condiciones ideales para campañas de phishing y fraude de entrega muy convincentes, especialmente considerando la facilidad con la que las herramientas de IA generativa pueden ahora personalizar los mensajes de estafa.

Si tú eres un usuario de Steam que recibe la notificación de Valve, debes esperar un aumento de correos electrónicos falsos de entrega, reembolsos o verificación de cuentas que hagan referencia a los detalles reales de tu pedido, y debes tratar como sospechoso cualquier mensaje no solicitado que pida pagos, códigos de acceso o verificación personal.

Valve ha aconsejado a los clientes que verifiquen las comunicaciones únicamente a través de los canales oficiales de Steam y que se mantengan alerta ante posibles intentos de estafa posteriores que exploten los datos de envío filtrados.

El incidente pone de relieve una debilidad persistente en las cadenas de suministro digitales: incluso cuando un proveedor principal como Valve mantiene una seguridad interna sólida, los socios logísticos externos que gestionan el cumplimiento físico pueden convertirse en el eslabón más débil, exponiendo los datos de los clientes mucho más allá de los propios muros de la empresa afectada.