Vai al contenuto
Il 10 agosto chi in Europa ha ordinato hardware Steam si è trovato in casella una mail di Valve: c’è stato un incidente di sicurezza presso il partner che consegna i suoi prodotti nel continente, e i dati personali dei clienti sono stati con ogni probabilità copiati. Il partner è CEVA Logistics, l’attacco è avvenuto tra il 29 luglio e il 1º agosto, e Valve dice di averlo saputo il 7.
La lista di quello che può essere uscito è la lista di quello che serve a consegnare un pacco: nome e cognome, indirizzo, CAP, città, paese, numero di telefono, l’email collegata all’account Steam, il tipo di hardware ordinato e il prezzo pagato. Restano fuori password, codici Steam Guard e dati di pagamento, perché CEVA non li ha mai avuti: per portare una scatola davanti a una porta non servono.
Novanta giorni di archivio per una consegna sola
Il numero che allarga il danno è un altro. CEVA tiene le informazioni di spedizione fino a novanta giorni dopo che l’ordine le viene assegnato, quindi nella finestra colpita non c’era solo chi aspettava il pacco a fine luglio: c’era anche chi lo aveva ricevuto a maggio e considerava la pratica chiusa da un pezzo. Valve non ha detto quante persone stia avvisando e ha fatto sapere che sta notificando le autorità di protezione dei dati dei paesi coinvolti.
Otto magazzini, e dentro non c’erano solo i giocatori
CEVA è un gigante francese della logistica per conto terzi: più di mille magazzini nel mondo e 18,3 miliardi di dollari di ricavi nell’ultimo esercizio. L’azienda ha confermato a TechCrunch l’intrusione, dicendo che l’impatto operativo riguarda otto magazzini europei e che l’indagine interna è ancora aperta. Sul resto, cioè quanti dati siano stati portati via e se ci sia stata una richiesta di riscatto, non ha risposto.
Quegli otto magazzini non spedivano solo Steam Machine. Hanno avvisato i propri clienti anche il negozio online olandese bol e la catena di grandi magazzini De Bijenkorf, e sull’incidente indaga l’autorità olandese per la protezione dei dati insieme alle forze dell’ordine.
I messaggi che arriveranno nei prossimi giorni
Nella mail Valve fa una previsione precisa, ed è la parte da conservare: arriveranno email, SMS e telefonate che citano l’ordine e l’indirizzo di casa per sembrare autentiche, e che chiederanno una piccola cifra per sdoganamento o riconsegna, oppure un accesso all’account per verificare la spedizione.
Vanno trattati tutti come falsi. Cambiare la password di Steam non serve, perché non è mai passata da lì.
Chi ha preordinato una Steam Machine ha comprato da Valve, non da un operatore logistico francese di cui non aveva mai sentito il nome e che ha tenuto il suo indirizzo di casa per tre mesi. Finché la catena delle consegne regge, la differenza non si vede. Quando si buca, l’unica azienda che scrive ai clienti è quella che quella catena l’ha scelta.
