Brecha en CEVA Logistics expone datos de compradores europeos de hardware Steam
Brecha en CEVA Logistics expone datos de compradores europeos de hardware Steam
Valve comenzó a notificar a compradores europeos de hardware Steam después de que un ataque contra su socio logístico CEVA expusiera información utilizada para realizar entregas. Los datos afectados incluyen nombres, direcciones, teléfonos, correos electrónicos y detalles de los productos enviados.
Una brecha en la cadena logística de Valve
Valve notificó el 10 de agosto a clientes europeos que información vinculada con pedidos de hardware Steam probablemente fue obtenida durante un ciberataque contra CEVA Logistics. CEVA es el proveedor encargado de distribuir estos equipos en Europa y conserva datos de entrega durante un periodo limitado para completar las operaciones logísticas.
De acuerdo con la notificación remitida a los afectados, los atacantes tuvieron acceso a servidores de CEVA entre el 29 de julio y el 1 de agosto. Valve fue informada el 7 de agosto y decidió advertir a los clientes cuyos pedidos podían encontrarse dentro del conjunto comprometido.
- La exposición afecta pedidos físicos gestionados por CEVA en Europa.
- Valve indicó que está notificando a las autoridades de protección de datos correspondientes.
- CEVA aisló los sistemas afectados y contrató investigadores externos.
Qué información quedó expuesta
La información potencialmente sustraída incluye nombre, dirección de entrega, número telefónico, correo electrónico y el tipo y precio de los productos pedidos. Estos datos pueden ser suficientes para construir campañas de phishing altamente creíbles relacionadas con entregas, aduanas, pagos pendientes o supuestos problemas de verificación.
CEVA no recibe las credenciales de Steam ni los datos empleados para proteger la cuenta. Valve precisó que el incidente no comprometió contraseñas, códigos de Steam Guard, información de pago ni compras ajenas a los envíos gestionados por el proveedor logístico.
- La dirección real puede utilizarse como elemento de persuasión en mensajes fraudulentos.
- Los atacantes podrían hacerse pasar por Valve, Steam, CEVA u otra empresa de mensajería.
- La ausencia de contraseñas robadas no elimina el riesgo de ingeniería social.
Riesgo empresarial de los datos compartidos con terceros
El incidente muestra cómo un proveedor necesario para cumplir una función operativa puede ampliar el radio de exposición de una empresa. Los datos compartidos con un socio de logística siguen siendo información personal y deben protegerse con controles equivalentes a los aplicados dentro de la organización que los recopila.
La gestión del riesgo debe considerar cuánto tiempo retiene el proveedor los datos, qué sistemas los procesan, cómo se supervisa el acceso y qué obligaciones de comunicación existen cuando ocurre una intrusión.
Recomendaciones para afectados y empresas
Valve advirtió que sus canales legítimos de soporte no solicitarán pagos ni credenciales mediante correos, chats o plataformas comunitarias. Cualquier supuesto cobro de aduana, reentrega o confirmación debería verificarse directamente desde el portal oficial.
- No abrir enlaces incluidos en mensajes inesperados sobre entregas o pagos pendientes.
- Ingresar manualmente a help.steampowered.com para verificar cualquier comunicación relacionada con Steam.
- Desconfiar de quien utilice la dirección o los detalles del pedido como prueba de legitimidad.
- Bloquear y reportar intentos de phishing por correo, SMS o llamadas telefónicas.
- Revisar los contratos con operadores logísticos para limitar retención, acceso y reutilización de datos.
- Incluir proveedores de entrega y atención al cliente en los ejercicios de respuesta a brechas.
Fuentes y referencias
Esta publicación es una síntesis original. Consulte las fuentes primarias para información técnica completa y actualizaciones.
- 1
- 2BleepingComputer — Valve notifies Steam hardware customers of a data breach ↗prensa especializada
- 3
¿Esta amenaza puede afectar a su empresa?
ENERIT puede ayudarle a evaluar exposición, priorizar remediaciones y fortalecer su operación de ciberseguridad.
Hablar con un especialista