Valve ha comenzado a avisar a clientes europeos que compraron una Steam Machine que su información personal ha sido filtrada. Esto solo afecta a usuarios que compraron la Steam Machine, ya que la filtración está ligada a CEVA Logistics, la empresa encargada de gestionar parte de sus envíos físicos en Europa. Y es que fue entre el 29 de julio y el 1 de agosto que la compañía sufrió un ciberataque. Debido a ello, la información perteneciente a sus clientes probablemente había quedado comprometida.
El incidente “no es grave”, en el sentido de que no afecta a la cuenta de Steam, ni al robo de contraseñas o información bancaria. Ahora bien, los atacantes podrían haberse llevado una cantidad considerable de datos personales y de envío. Toda la información recopilada es más que suficiente para preparar campañas de phishing extremadamente convincentes dirigidas específicamente a compradores de la Steam Machine y, probablemente, otro hardware de la compañía como Steam Controller y Steam Deck OLED.
El ataque a CEVA Logistics habría expuesto nombres, direcciones, teléfonos y pedidos de hardware de Steam
Según se informa, CEVA Logistics recibe de Valve los datos necesarios para poder preparar y entregar los pedidos de hardware realizados por clientes europeos. Además, la compañía logística puede conservar esta información hasta 90 días después de un pedido, motivo por el que Valve está contactando con todos aquellos clientes cuyos datos considera que podrían haber estado almacenados en los sistemas afectados durante el ciberataque. Los más afectados son por ende los usuarios de la Steam Machine.
La información potencialmente comprometida incluye nombre y apellidos, dirección, código postal, ciudad, país, número de teléfono y dirección de correo electrónico. Esta última puede ser especialmente delicada porque, según la comunicación enviada por Valve, puede coincidir con el correo electrónico utilizado para la propia cuenta de Steam. Los atacantes también podrían haber obtenido información relativa al tipo de producto comprado y su precio exacto.
Por el contrario, Valve recalca que CEVA Logistics no tiene acceso a los datos de pago, contraseña de Steam, códigos de Steam Guard ni otra información interna de la cuenta. Tampoco habría quedado expuesto el historial de compras digitales no relacionado con estos envíos. Por este motivo, Valve indica que el incidente por sí solo no obliga a modificar la contraseña ni la configuración de seguridad de Steam. Ahora bien, es una base de datos más repleta de información que caerá en malas manos.
Valve advierte de posibles estafas extremadamente creíbles utilizando la información ligada a la compra de la Steam Machine
Debido a toda la cantidad de información sustraída, Valve ha tenido que pronunciarse oficialmente. Toda esta información es perfecta para que el atacante conozca a las perfección a su víctima. Sabe su nombre y apellidos, dirección, teléfono, correo de electrónico de Steam e incluso qué ha comprado y cuánto ha pagado. Información más que suficiente para fabricar mensajes que parezcan auténticos. Valve ha pedido expresamente a los afectados que esperen recibir posibles intentos de fraude mediante correo electrónico, SMS o llamadas telefónicas.
Estas estafas podrían hacerse pasar por Valve, Steam o una empresa de mensajería y utilizar información real del pedido para ganar credibilidad. Por ejemplo, el atacante podría mencionar la dirección correcta de entrega y después solicitar un pequeño supuesto pago de aduanas, gastos de reenvío o confirmación de entrega, o dirigir a la víctima hacia una página falsa donde se le pida iniciar sesión con su cuenta de Steam. Valve recomienda considerar fraudulentas este tipo de comunicaciones inesperadas.
La entrada Si compraste una Steam Machine en Europa, tu información personal ha sido filtrada aparece primero en El Chapuzas Informático.
