In questo articolo Indice dei contenuti 2 sezioni
Valve ha avvisato nelle scorse ore i propri clienti europei di un incidente di sicurezza che non riguarda direttamente i suoi server, ma un partner esterno: CEVA Logistics, l’azienda che si occupa della distribuzione di una parte dell’hardware Steam nel continente. Il punto è delicato, perché per spedire un pacco servono dati personali, e sono proprio quelli finiti potenzialmente nelle mani sbagliate.
La cronologia ricostruita finora parla di un attacco informatico avvenuto tra il 29 luglio e il 1 agosto. Valve, però, sarebbe stata informata della compromissione dei dati soltanto il 7 agosto, quindi con qualche giorno di ritardo rispetto all’intrusione vera e propria. Da lì è partita la procedura standard in questi casi: contatto diretto agli utenti coinvolti e comunicazione dell’accaduto, mentre CEVA Logistics continua a indagare per capire con precisione quanto sia ampia la falla e quante informazioni siano state effettivamente sottratte.
Quali dati rischiano di essere finiti in giro
Per inquadrare bene la vicenda conviene partire dal ruolo dell’azienda colpita. CEVA riceve da Valve le informazioni necessarie a gestire la consegna dei dispositivi hardware, quindi tutto ciò che serve per far arrivare un pacco a destinazione. Nel catalogo rientrano prodotti come Steam Deck e la recentissima Steam Machine, ed è su questo tipo di dati personali legati alle spedizioni che si concentra la potenziale violazione.
Non si parla, quindi, di credenziali di accesso agli account Steam né di dati bancari gestiti direttamente dalla piattaforma, almeno sulla base di quanto comunicato fino a questo momento. Il perimetro riguarda il partner logistico, non l’infrastruttura del negozio digitale. Una distinzione che conta, perché cambia il tipo di rischio a cui gli utenti europei sono esposti e anche il modo in cui conviene reagire.
Perché un data breach nella logistica non è mai una questione minore
Chi tende a sottovalutare questo genere di episodi ragiona così: in fondo si tratta solo di un indirizzo e di un nome, informazioni che circolano ogni giorno tra corrieri, portinerie e citofoni. Il ragionamento però regge poco, perché la combinazione di dati personali associati a un acquisto specifico è materiale prezioso per chi costruisce truffe su misura. Sapere che una determinata persona ha ricevuto una console o un dispositivo costoso, e sapere dove abita, è un vantaggio informativo che nessuno vorrebbe regalare a un malintenzionato.
Ecco perché l’attenzione, in queste situazioni, va rivolta soprattutto alle comunicazioni che arrivano dopo. Le email o i messaggi che citano una spedizione, un problema di consegna o un rimborso da richiedere sono lo schema classico. In caso di dubbi, il canale sicuro resta sempre quello ufficiale, senza passare da link ricevuti via posta elettronica.
Sul fronte delle responsabilità, la palla è per ora nel campo di CEVA Logistics, che sta ancora lavorando per definire la portata dell’incidente. Valve, dal suo lato, ha scelto la strada della trasparenza immediata verso i clienti coinvolti, senza attendere la chiusura delle verifiche interne del partner. Una mossa che, va detto, non è così scontata in un settore dove capita spesso di scoprire le violazioni mesi dopo, quando i dati sono già in circolazione da un pezzo.
Resta il fatto che l’attacco informatico si è consumato in una finestra di pochi giorni tra la fine di luglio e i primi giorni di agosto, e che il conteggio esatto delle informazioni sottratte non è ancora disponibile. Gli utenti europei che hanno acquistato hardware Steam e non hanno ricevuto alcuna comunicazione, al momento, non rientrano nell’elenco delle persone contattate da Valve.
