私たちの多くは、個人情報をほとんど含まないフィッシングメールにはある程度警戒心を持っています。「あなたのアカウントは停止されました」といった型どおりのメッセージは、たいてい一目でゴミ箱行きになるでしょう。しかし、あなたの本名や住所が記載され、先月購入した特定の商品まで言及してくるフィッシングメールだったらどうでしょうか。どんなに疑い深い人であっても、それは説得力を持ってしまいます。
今週、欧州のSteamハードウェア購入者たちが直面したのは、まさにそうした状況でした。8月10日、Steamゲーミングプラットフォームおよびハードウェアを手がけるValveは、サイバー攻撃によって氏名、自宅住所、電話番号、Steamのメールアドレス、そしてハードウェア注文の詳細が流出したと顧客に警告しました。
ハッキングされたのはValve自身ではありません。侵害を受けたのは、Steamストアからのハードウェア配送を手がける配送パートナーのCEVA Logisticsです。パスワードや決済情報には影響がありませんでした。
何が盗まれたのか
攻撃が行われた期間は2026年7月29日から8月1日までです。Valveは8月7日にこの件を把握し、その3日後から顧客への通知を開始しました。CEVAは配送データを出荷後およそ90日間保持しているため、過去3カ月間に欧州でSteam Deck、Steam Controller、Steam Machineを受け取った人は誰でも影響を受けている可能性があります。
流出した可能性がある情報は以下の通りです。
- 氏名
- 番地、郵便番号、市区町村
- 国名
- 電話番号
- 顧客のSteamアカウントに紐づくメールアドレス
- 注文したハードウェアの種類と価格
正確な件数はまだ確認されていません。ValveもCEVAも、影響を受けた顧客記録の件数については明らかにしていません。オランダの小売業者BolおよびDe Bijenkorfは、8月1日に同じCEVAのインシデントについて通知を受けたと報じられており、両社は自社の顧客にも注意を呼びかけています。
配送データが詐欺師にとって価値を持つ理由
詐欺師は、あなたの実際の注文内容や配送先住所を引き合いに出したメール、テキストメッセージ、あるいは電話をかけてきたうえで、少額の関税や再配達料金の支払い、配送確認、あるいは注文確認のためのログインを求めてくることがあります。
この種のデータは、すでにオンライン上で広く取引されています。Malwarebytesの研究者たちは、2026年の最初の6カ月間だけでダークウェブ上に7,500件を超える侵害データセット、合計84億件を超えるレコードが存在することを発見しました。
Valveにとって初めてのセキュリティインシデントではない
Valve自身のシステムが侵害されたわけではありませんが、だからといって影響が深刻化しないとは限りません。
2025年5月には、Machine1337と名乗る脅威アクターが、8,900万件のSteamユーザー記録に見えるデータセットを5,000ドルで販売しようとしました。しかし実際のデータは、期限切れの二要素認証コードを含む古いSMSメッセージであり、Valveが提携したことは一度もないと主張するサードパーティの仲介業者を経由して流出したものであることが判明しました。
とはいえ、Valveは過去に直接的な侵害を経験したこともあります。2011年11月には、ユーザー名、メールアドレス、暗号化されたクレジットカード情報を含む3,500万人分の記録が流出する事件が発生しました。
影響を受けた購入者が取るべき対応
Valveは顧客宛のメールの中で、最近のSteamハードウェア注文に言及するメッセージはすべて偽物だと考えるよう呼びかけています。これはメール、SMS、電話のいずれにも当てはまり、たとえ住所を正確に言い当てていたとしても油断はできません。
Steamサポートがメール、Steamチャット、Discordを通じてユーザーに連絡することは一切なく、アカウントに関する問題はすべてヘルプページ経由でのみ対応しています。
そのため、慌ててパスワードを再設定する必要はありませんが、強力かつ他と使い回していないパスワードを使用し、Steam Guardの二要素認証を有効にしておくに越したことはありません。それよりも、最近のSteamハードウェアの配送について触れる不審なメール、テキストメッセージ、電話には、たとえ本物の顧客しか知り得ないはずの詳細情報が含まれていたとしても、常に疑いの目を向けることが重要です。
