Valve meldet Datenleck nach Angriff auf Logistikpartner

Was ist passiert

Valve, der Gigant der Spielebranche, hat eine Benachrichtigung über ein Datenleck an seine Steam-Hardware-Kunden in Europa herausgegeben. In E-Mails an die Nutzer stellte das Unternehmen klar, dass das Leck nicht von seinen eigenen Systemen ausging, sondern von einem Cyberangriff auf seinen Logistikpartner CEVA Logistics, der die Versandoperationen abwickelt. Dieser Vorfall verdeutlicht, wie eine Schwachstelle in der Lieferkette die Daten von Tausenden von Kunden gefährden kann, selbst wenn das Hauptunternehmen unversehrt bleibt.

Laut den von Valve versendeten Benachrichtigungs-E-Mails fand der Angriff zwischen dem 29. Juli und dem 1. August 2026 statt. In diesem Zeitraum drangen Cyberkriminelle in die Server von CEVA Logistics ein und erlangten Zugriff auf Kundeninformationen, die für den Versand von Steam-Hardware-Bestellungen erforderlich sind. Valve gab an, am 7. August von der Situation erfahren und sofort mit der Benachrichtigung der betroffenen Kunden begonnen zu haben. Das Unternehmen betonte, dass es diese Benachrichtigung an alle potenziell betroffenen Kunden gesendet hat, da CEVA Bestellinformationen bis zu 90 Tage aufbewahrt.

Das angegriffene Unternehmen, CEVA Logistics, ist ein bedeutendes globales Logistikunternehmen. Als Tochtergesellschaft der CMA CGM Group, der drittgrößten Reederei der Welt, betreibt CEVA über 1.000 Lagerhäuser und wickelte im Jahr 2025 15 Millionen Sendungen ab, was zu einem Umsatz von 18,3 Milliarden US-Dollar führte. Der Angriff auf einen so großen Betrieb unterstreicht die Schwere des Vorfalls und das weitreichende Ausmaß seiner potenziellen Auswirkungen.

Welche Daten wurden kompromittiert

Laut der Erklärung von Valve beziehen sich die von den Angreifern kompromittierten Daten direkt auf die Lieferung von Bestellungen. Diese Daten enthalten sensible Informationen, die Risiken für die physische Sicherheit und die digitale Identität der Kunden darstellen könnten. Die von der Verletzung betroffenen Datentypen sind:

• Vollständiger Name: Grundlegende Informationen, die zur Personalisierung von Phishing-Angriffen verwendet werden.
• Lieferadresse: Informationen zum physischen Standort, wie z. B. die Privat- oder Geschäftsadresse der Kunden.
• Telefonnummer: Kann für Phishing-Angriffe per SMS oder Sprachanruf (Smishing/Vishing) verwendet werden.
• E-Mail-Adresse: Das Hauptziel für gezielte Phishing-Angriffe (Spear-Phishing).
• Art und Preis des bestellten Produkts: Informationen, die Angreifer nutzen können, um betrügerische Anfragen zu Liefer- oder Zollgebühren überzeugender zu gestalten.

Valve bot an dieser Stelle eine wichtige Beruhigung. Das Unternehmen erklärte, dass CEVA Logistics keinen Zugriff auf Zahlungsinformationen, Steam-Kontopasswörter, Steam-Guard-Codes oder andere sensible Kontodaten der Kunden hat. Das bedeutet zwar, dass Angreifer Steam-Konten nicht direkt übernehmen oder Finanzbetrug begehen können, aber es ist wichtig, sich daran zu erinnern, dass die gestohlenen persönlichen Informationen für Phishing-Kampagnen äußerst wertvoll sind.

Wie der Angriff geschah

Nach den vorliegenden Informationen zielte der Cyberangriff nicht auf die Infrastruktur von Valve selbst, sondern auf CEVA Logistics, das den Hardware-Versand für Valve in Europa verwaltet. Die Angreifer erlangten zwischen dem 29. Juli und dem 1. August 2026 unbefugten Zugriff auf die Server von CEVA. Technische Details wie die ausgenutzte Schwachstelle, die verantwortliche Cyberkriminalitätsgruppe oder ob Ransomware im Spiel war, wurden bisher nicht veröffentlicht.

CEVA Logistics gab bekannt, dass es nach der Entdeckung des Angriffs die betroffenen Systeme isoliert, offline genommen und externe, unabhängige Cybersicherheitsexperten zur Untersuchung des Vorfalls hinzugezogen hat. Es ist bekannt, dass CEVA am 1. August auch seine anderen Einzelhandelspartner in Europa über einen Cyberangriff informiert hat, der seine Operationen beeinträchtigte. Dies deutet darauf hin, dass die Auswirkungen des Angriffs möglicherweise nicht auf die Kunden von Valve beschränkt sind. Während die Untersuchung andauert, werden weitere Details über den vollen Umfang und die Methode des Angriffs erwartet.

Wer ist betroffen

Direkt von dem Datenleck betroffen sind Steam-Kunden mit Wohnsitz in Europa, die physische Hardware von Valve bestellt haben, wie das Steam Deck oder den Valve Index. Valve gab an, die Benachrichtigungen in der Annahme versendet zu haben, dass alle Kunden, die in den letzten drei Monaten eine Bestellung aufgegeben oder erhalten haben, potenziell gefährdet sind, aufgrund der 90-tägigen Datenaufbewahrungsrichtlinie von CEVA. Wenn Sie kürzlich Steam-Hardware an eine Adresse in Europa bestellt haben, könnten Sie von diesem Leck betroffen sein.

Was Sie tun können

Valve hat klare Warnungen und Empfehlungen für betroffene Kunden herausgegeben. Mit Ihren durchgesickerten Informationen könnten Phishing-Angriffe gegen Sie gestartet werden. Daher ist es von entscheidender Bedeutung, die folgenden Schritte zu beachten:

• Seien Sie bei jeder Kommunikation skeptisch: Seien Sie äußerst vorsichtig bei jedem, der Sie per E-Mail, SMS oder Telefon kontaktiert und behauptet, von Valve, Steam oder einem Versandunternehmen (CEVA, DHL, UPS usw.) zu sein.
• Fallen Sie nicht auf Verifizierungstricks herein: Angreifer könnten Ihre Adresse oder das von Ihnen bestellte Produkt nennen, um Ihr Vertrauen zu gewinnen. Das bedeutet nicht, dass sie legitim sind; sie besitzen diese Informationen bereits.
• Achten Sie auf gefälschte Anfragen: Sie könnten Nachrichten mit Aufforderungen erhalten, die „Lieferung zu bestätigen“, eine „kleine Zollgebühr zu zahlen“, eine „Gebühr für eine erneute Zustellung zu zahlen“ oder sich irgendwo anzumelden, um Ihre Bestellung zu „verifizieren“. Behandeln Sie alle als Fälschungen.
• Sie müssen Ihr Passwort nicht ändern: Valve hat ausdrücklich darauf hingewiesen, dass dieses Leck Ihre Steam-Kontoinformationen nicht betroffen hat, sodass Sie Ihr Steam-Passwort oder Ihre Kontoeinstellungen nicht ändern müssen.
• Nutzen Sie offizielle Kanäle: Wenn Sie Zweifel an Ihrer Bestellung haben, klicken Sie nicht auf Links in erhaltenen E-Mails. Gehen Sie stattdessen direkt auf die offizielle Steam-Website, indem Sie die Adresse in Ihren Browser eingeben, sich anmelden und dort Ihren Bestellstatus überprüfen.

Was das Unternehmen sagt

Valve hat signalisiert, dass es den Vorfall sehr ernst nimmt und einen transparenten Kommunikationsprozess führt. In der E-Mail an die Kunden erklärte das Unternehmen: „Wir drängen bei CEVA auf den vollen Umfang dessen, was entwendet wurde und wie, und wir sind dabei, die Datenschutzbehörden in den betroffenen Ländern, einschließlich Ihres, zu benachrichtigen.“ Das Unternehmen bestätigte auch, dass CEVA die betroffenen Systeme isoliert hat und mit externen Ermittlern zusammenarbeitet.

Es wurde auch berichtet, dass die Nachrichtenquelle BleepingComputer Valve um einen zusätzlichen Kommentar gebeten, aber zum Zeitpunkt der Veröffentlichung keine Antwort erhalten hatte. CEVA Logistics erklärte, dass die Untersuchung andauert und man daran arbeitet, den normalen Betrieb wiederherzustellen.

Quelle

https://www.bleepingcomputer.com/news/security/valve-notifies-steam-hardware-customers-of-a-data-breach/