In questo articolo Indice dei contenuti 3 sezioni
Chi ha ordinato una Steam Machine in Europa nelle scorse settimane farebbe bene a diffidare di qualunque messaggio che parli della consegna, perché Valve ha avvisato i propri clienti di una violazione di dati avvenuta ai danni di un partner logistico. Nessuna password compromessa, nessun dato di pagamento finito in mani sbagliate, ma abbastanza informazioni personali da rendere credibile una raffica di tentativi di truffa nei giorni successivi.
La falla non riguarda direttamente i server di Valve. A subire l’attacco informatico è stata CEVA Logistics, l’azienda che gestisce la catena di distribuzione europea dell’hardware, dai computer da salotto fino allo Steam Controller. La comunicazione ufficiale è arrivata a Valve il 7 agosto, e da lì è partita una corsa contro il tempo per capire chi fosse effettivamente coinvolto. Un portavoce ha spiegato che l’azienda ha passato il fine settimana a mettere insieme l’elenco dei clienti a rischio, spedendo poi le email di avviso lunedì mattina.
Cosa è stato esposto e cosa invece no
Le informazioni finite fuori riguardano quasi solo la logistica delle spedizioni. Nome, Paese, indirizzo di casa, numero di telefono e indirizzo email. Nulla che permetta di entrare in un account. Valve ha ribadito che dati di pagamento, password e codici Steam Guard restano al sicuro, per il semplice motivo che CEVA non ha mai avuto accesso a quel tipo di informazioni. Di conseguenza, nessuno deve cambiare password o modificare le impostazioni del proprio profilo.
Il problema è un altro, ed è più sottile. Con nomi, indirizzi e contatti che circolano liberamente, chi vuole costruire un raggiro ha già in mano gli elementi per sembrare credibile. È esattamente lo scenario che l’azienda ha descritto nella mail inviata ai clienti coinvolti, invitando a considerare falso qualunque messaggio in arrivo.
I segnali della truffa da riconoscere
Il phishing annunciato può arrivare via email, SMS o addirittura con una telefonata, e nella quasi totalità dei casi farà riferimento all’ordine dell’hardware fingendo di provenire da Steam, da Valve o da un corriere. Il trucco più efficace, secondo l’avviso, consiste nel ripetere l’indirizzo di casa del destinatario come prova di autenticità. Da lì la richiesta tipica: confermare una consegna, pagare una piccola tassa doganale o una spesa di riconsegna, oppure accedere da qualche parte per verificare l’ordine.
Valve è stata netta su questo punto. L’assistenza di Steam gestisce le segnalazioni esclusivamente attraverso la pagina ufficiale di supporto e non contatta mai gli utenti tramite la chat interna o servizi di terze parti. Nessun dipendente chiederà mai una password o un codice Steam Guard, in nessuna circostanza.
Un quadro ancora incompleto
I dettagli tecnici dell’attacco informatico restano avvolti nel silenzio. Non si sa quante persone siano state colpite, quanti dati siano stati sottratti, né in che modo gli aggressori siano riusciti a penetrare nei sistemi di CEVA Logistics. Valve ha dichiarato di stare insistendo con il partner per ottenere il quadro completo della violazione.
In parallelo all’indagine interna dell’azienda logistica, si muovono anche le autorità dei Paesi Bassi. L’ente olandese per la protezione dei dati ha fatto sapere di aver ricevuto segnalazioni di violazione da almeno 10 aziende collegate allo stesso incidente, segno che il raggio d’azione dell’attacco va ben oltre il mondo del gaming.
C’è poi la ricaduta pratica, quella che si sente sulle spedizioni. Otto magazzini dell’azienda risultano coinvolti nelle conseguenze operative dell’attacco, con il rischio concreto di ritardi o cancellazioni sugli ordini nei giorni a venire. Chi aspetta la propria Steam Machine potrebbe quindi dover mettere in conto qualche giorno di attesa in più rispetto alle previsioni iniziali. CEVA Logistics, al momento, non ha risposto alle richieste di chiarimento.
