Valve、ハードウェア購入者にデータ侵害を通知

ビデオゲームパブリッシャーでデジタル配信大手のValveは、出荷業務を委託しているCEVA Logisticsがハッキング被害に遭ったことを受け、欧州のSteamハードウェア購入者に対し、顧客データが盗まれたことを通知しています。

CEVA Logisticsは世界第3位の海運会社であるCMA CGMグループの完全子会社で、1,000カ所の倉庫を運営し、昨年は1,500万件の出荷を手掛け、2025年の売上高は183億ドルに上ります。

ソーシャルメディア上の多くの報告によると、影響を受けたValve顧客は本日早く、データ侵害を知らせる通知メールを受け取り始めたとのことです。

これらのメールの中でValveは、攻撃者が7月29日から8月1日の間にCEVA Logisticsのサーバーにアクセスし、Steam顧客へのハードウェア注文の配送に必要な情報を入手できる状態にあったと説明しています。

Valveは次のように述べています。「2026年7月29日から2026年8月1日の間に、Steamのハードウェアを欧州の顧客に配送している会社であるCEVA Logisticsがサイバー攻撃を受けました。CEVAは現在もこの攻撃について調査を続けていますが、Valveが8月7日に把握した通り、お客様を含むSteam顧客に関する特定の情報が漏えいした可能性が高いと考えられます」

「CEVAは、欧州の顧客に物理的なハードウェアを配送するため、Steamから配送に関わる特定の情報を受け取っています。CEVAによると、これらが攻撃者に盗まれた可能性が高い情報とのことです。CEVAは注文後最大90日間この情報を保持しているため、影響を受けたと考えられるすべてのお客様に本メッセージをお送りしています」

盗まれたデータには、影響を受けた個人の氏名、住所、電話番号、メールアドレス、注文した製品の種類と価格が含まれています。

ただしValveは、CEVAが支払い情報やパスワード、Steam Guardコード、その他の機微情報にアクセスできないため、Steamアカウントやその他の購入に関連する追加情報への影響はなかったと付け加えています。

同社はまた、影響を受けたSteam顧客に対し、今回盗まれた情報を悪用し、SteamやValve、配送業者になりすましたメールやSMS、音声によるフィッシング攻撃の標的となる可能性があると警告しています。

「これらのなりすまし攻撃者は、本物であることを装うためにお客様の住所を伝えてくる場合があります。配送の確認を求めたり、少額の関税や再配達手数料の支払いを求めたり、注文内容の『確認』のためどこかへのサインインを求めたりするかもしれません。これらはすべて偽物だと考えてください。Steamのパスワードを変更する必要はなく、アカウント設定に対して何かをする必要もありません」と付け加えています。

「私たちはCEVAに対し、何が、どのように盗まれたのかについて全容の開示を強く求めており、貴国を含む影響を受けた各国のデータ保護当局への通知も進めています。CEVAは影響を受けたシステムを隔離し、すべてオフラインにした上で外部調査会社を投入しました」

今回のValveの公表は、CEVA Logisticsが8月1日に複数の欧州小売業者に対し、サイバー攻撃により欧州の8カ所の倉庫で業務が中断したと伝えていたことを受けたものです。

BleepingComputerが本日早くValveの広報担当者にコメントを求めたところ、すぐには対応できないとのことでした。