Persoonsgegevens van klanten van European Valve zijn blootgesteld door een hack bij een verzendpartner

Valve is begonnen contact op te nemen met Europese klanten die Steam-hardware hebben aangeschaft, om hen te waarschuwen dat hun persoonlijke bezorggegevens waarschijnlijk zijn blootgesteld als gevolg van een cyberaanval op zijn regionale verzendpartner, CEVA Logistics. In e-mails die door getroffen gebruikers op Reddit zijn gedeeld, verklaarde Valve dat de aanval op CEVA Logistics plaatsvond tussen 29 juli en 1 augustus 2026. Het bedrijf verklaarde op 7 augustus kennis te hebben genomen van het vermoedelijke datalek.

CEVA Logistics is het in Frankrijk gevestigde bedrijf dat namens Valve Steam-hardware, waaronder Steam Machines, Steam Controllers en Steam Deck-apparaten, naar klanten in heel Europa verzendt. Volgens Valve bewaart CEVA verzendgerelateerde klantgegevens tot 90 dagen na het plaatsen van een bestelling, wat betekent dat iedereen die binnen die periode Steam-hardware in Europa heeft gekocht, mogelijk is getroffen.

De gelekte gegevens omvatten namen, adressen, landen, telefoonnummers, e-mailadressen van Steam-accounts en details over de aangeschafte hardware. Valve verklaarde dat wachtwoorden, Steam Guard-codes en betalingsgegevens niet door CEVA werden opgeslagen en geen deel uitmaakten van het datalek.

Valve heeft getroffen klanten gewaarschuwd dat zij valse berichten kunnen verwachten via e-mail, sms of telefoon, waarin wordt verwezen naar hun hardwarebestelling en die afkomstig lijken te zijn van Steam, Valve of een bezorgbedrijf. Het bedrijf verklaarde dat oplichters mogelijk het echte adres van een klant aanhalen om een legitieme indruk te wekken, waarna zij om douanekosten of herbezorgingskosten vragen, of om inloggegevens verzoeken om de bestelling te „verifiëren“.

Valve verklaarde dat al dergelijke berichten als frauduleus moeten worden beschouwd en dat het bij CEVA Logistics aandringt op volledige openheid over welke gegevens precies zijn gestolen en hoe het datalek heeft kunnen plaatsvinden.

Volgens berichtgeving van FreightWaves, die door meerdere media wordt aangehaald, trof de cyberaanval acht magazijnhubs van CEVA en veroorzaakte dit verzendvertragingen in heel Europa voor verschillende retailklanten van het logistieke bedrijf, waaronder de Nederlandse retailers De Bijenkorf en Bol. CEVA Logistics rapporteerde vorig jaar een omzet van 18,3 miljard dollar en exploiteert ongeveer 1.700 vestigingen in 170 landen, waarbij het bedrijf ook andere klanten dan Valve bedient.

CEVA verklaarde dat het onderzoek naar de omvang van de aanval nog gaande is en dat de getroffen systemen zijn geïsoleerd. Valve heeft aangegeven van plan te zijn de gegevensbeschermingsautoriteiten in de betreffende Europese landen op de hoogte te stellen naarmate het onderzoek vordert. Valve heeft niet bekendgemaakt hoeveel klanten door het datalek zijn getroffen.