A Valve está a avisar clientes europeus que compraram hardware da Steam sobre uma fuga de dados na CEVA Logistics, a empresa responsável por parte das entregas na Europa. O ataque ocorreu entre 29 de julho e 1 de agosto e pode ter exposto informações usadas no envio das encomendas.
Segundo o aviso enviado pela Valve, os dados em risco incluem nome, morada, código postal, cidade, país, número de telefone, endereço de email e informações sobre o produto comprado, incluindo o tipo e o preço. A CEVA conserva estes dados de entrega durante um período que pode chegar a 90 dias.
A investigação ainda não permite confirmar exatamente quantas pessoas foram afetadas. A Valve soube do incidente a 7 de agosto e afirma que o sistema comprometido foi desligado e isolado. A empresa está também a notificar as autoridades de proteção de dados nos países envolvidos.
Que informações ficaram de fora
A fuga não ocorreu nos sistemas da Steam, mas num parceiro logístico. Por esse motivo, a CEVA não tinha acesso às palavras-passe, códigos Steam Guard, dados de pagamento ou outras informações internas das contas, de acordo com a Valve.
Isto significa que não existe, por agora, uma indicação para alterar a palavra-passe da Steam apenas por causa deste incidente. A situação muda se o utilizador tiver aberto uma mensagem suspeita, introduzido credenciais numa página recebida por email ou reutilizar a mesma palavra-passe noutros serviços que possam ter sido comprometidos.
A Valve continua a procurar determinar quais os clientes e encomendas incluídos nos dados retirados. Quem não recebeu um aviso não deve concluir automaticamente que foi afetado, mas também deve manter atenção a contactos relacionados com entregas recentes de hardware da Steam.
O principal risco são as mensagens falsas
Os dados expostos permitem criar burlas muito convincentes. Um atacante pode enviar um email ou SMS que mencione a morada, o produto comprado ou o preço da encomenda para parecer uma comunicação verdadeira da Steam ou da transportadora.
A fraude pode pedir o pagamento de uma pequena taxa de alfândega, reentrega ou confirmação da encomenda. Também pode encaminhar a vítima para uma página falsa de início de sessão. O facto de a mensagem conhecer dados reais não prova que seja legítima.
A recomendação da Valve é tratar como falsas as mensagens inesperadas que peçam pagamentos, códigos ou credenciais. O suporte relacionado com contas funciona apenas em help.steampowered.com. A empresa não resolve problemas de conta por email, conversa da Steam ou Discord.
O que devem fazer os clientes afetados
Não siga ligações recebidas numa mensagem sobre esta fuga. Abra o navegador e escreva diretamente o endereço do suporte ou entre na aplicação Steam para consultar a conta e as compras. Se existir uma entrega em curso, confirme o estado através do canal usado originalmente para a encomenda, sem reutilizar números ou endereços enviados por desconhecidos.
Não partilhe códigos Steam Guard e não aprove pedidos de acesso que não tenha iniciado. Se já introduziu a palavra-passe numa página suspeita, altere-a imediatamente, termine sessões desconhecidas e confirme que o Steam Guard está ativo.
Também vale a pena guardar o aviso recebido e vigiar tentativas de fraude durante as próximas semanas. Nomes, moradas e detalhes de compras não permitem entrar diretamente numa conta Steam, mas dão aos burlões contexto suficiente para tornar um contacto falso muito mais credível.
Fontes: BleepingComputer · The Verge · Help Net Security · Windows Central
