Valve comenzó a notificar a clientes europeos cuyos datos de entrega podrían haber quedado comprometidos tras un ataque a CEVA Logistics.
Valve comenzó a enviar notificaciones a determinados usuarios de Steam en Europa luego de confirmar que un ciberataque contra CEVA Logistics, empresa encargada de realizar los envíos de hardware de Steam en la región, podría haber comprometido información personal relacionada con sus pedidos.
De acuerdo con la comunicación enviada a los clientes afectados, el ataque ocurrió entre el 29 de julio y el 1 de agosto de 2026. Valve tomó conocimiento del incidente el 7 de agosto y, tras recibir información de CEVA Logistics, determinó que ciertos datos de compradores de hardware probablemente habían quedado en manos de los atacantes.
El incidente afecta específicamente a la información que CEVA Logistics recibe de Steam para poder realizar las entregas. La empresa conserva esos datos durante un período de hasta 90 días después de cada pedido, motivo por el cual Valve está notificando a los usuarios que podrían haber estado dentro del alcance del ataque.
Qué información pudo haber quedado expuesta
Según la notificación enviada por Valve, los datos potencialmente comprometidos están relacionados con la compra y entrega de hardware de Steam. Entre ellos se encuentran:
- Nombre del comprador.
- Dirección completa, incluyendo calle, ciudad y código postal.
- País.
- Número de teléfono.
- Dirección de correo electrónico utilizada en la cuenta de Steam.
- Tipo de producto adquirido.
- Precio del producto comprado.
La compañía aclaró que el incidente no habría afectado información adicional de las cuentas de Steam ni otros pedidos realizados por los usuarios.
En particular, CEVA Logistics no tiene acceso a información de pago, contraseñas, códigos de Steam Guard ni otros datos utilizados para acceder o proteger las cuentas de Steam. Por ese motivo, Valve indicó que los usuarios afectados no necesitan cambiar sus contraseñas ni modificar la configuración de seguridad de sus cuentas como consecuencia directa de este incidente.
El principal riesgo ahora está relacionado con posibles intentos de fraude utilizando la información obtenida durante el ataque.
Valve advierte sobre posibles estafas
Valve pidió a los usuarios estar especialmente atentos a correos electrónicos, mensajes SMS y llamadas telefónicas que hagan referencia a sus compras de hardware.
Los atacantes podrían utilizar datos reales, como el nombre o la dirección del destinatario, para hacer que una comunicación falsa parezca legítima. Entre los posibles engaños se encuentran solicitudes para confirmar una entrega, pagar pequeños cargos de aduana o reenvío, o iniciar sesión en una página para supuestamente verificar un pedido.
La compañía recomienda considerar como fraudulentos este tipo de mensajes y evitar acceder a enlaces recibidos por esos medios.
Valve también recordó tres reglas para identificar comunicaciones legítimas de Steam:
- Steam Support gestiona los problemas relacionados con las cuentas exclusivamente a través de sus canales oficiales y no mediante correo electrónico, Steam Chat o Discord.
- Las páginas legítimas de inicio de sesión de Steam utilizan los dominios oficiales de Steam, por lo que se recomienda escribir la dirección manualmente en lugar de acceder mediante enlaces enviados por terceros.
- Steam Support nunca solicita una contraseña ni un código de Steam Guard. Lo mismo aplica para las empresas de mensajería.
CEVA Logistics investiga el alcance del ataque
Por el momento, CEVA Logistics continúa investigando qué información fue sustraída y de qué manera se produjo el acceso no autorizado.
Según la comunicación de Valve, la empresa logística aisló los sistemas afectados, los desconectó y recurrió a investigadores externos para analizar el incidente.
Valve, por su parte, señaló que está solicitando a CEVA Logistics información más precisa sobre el alcance de la filtración y sobre los datos que efectivamente fueron obtenidos por los atacantes. La compañía también inició el proceso de notificación a las autoridades de protección de datos de los países afectados.
El incidente se produce en un momento particularmente importante para Valve, que durante 2026 está ampliando considerablemente su catálogo de hardware con el lanzamiento de Steam Controller, Steam Machine y Steam Frame.
La compañía había anunciado originalmente que los tres dispositivos llegarían durante 2026, y en las últimas semanas se acumularon señales de que Steam Frame se encuentra cada vez más cerca de su lanzamiento. Entre ellas se encuentran avances en componentes de software necesarios para ejecutar juegos de Android y aplicaciones x86 sobre su hardware basado en ARM.
Por ahora, no existe información que vincule el incidente de CEVA Logistics con un retraso en Steam Frame. El ataque sí representa un problema adicional para la infraestructura de distribución de Valve, especialmente mientras la compañía prepara una nueva etapa de expansión de sus dispositivos físicos.
Los usuarios que hayan recibido la notificación de Valve pueden comunicarse con la compañía a través de Steam Support para realizar consultas específicas sobre el incidente. Valve también habilitó un contacto adicional gestionado por Artana Digital GmbH, con sede en Hamburgo, Alemania, para atender preguntas relacionadas con la filtración.
