Steamハード購入者は要注意、配送データが物流業者から流出していた

もしヨーロッパに住んでいて、Steam Deckなどのハードウェアを購入したことがあるなら、これから数週間はメールやSMSに少し気を配ったほうがいい。ただしアカウントが乗っ取られたわけではなく、荷物の配送データに問題が起きた話だ。

Valveは最近、欧州の一部顧客に向けてメールを送り、Steamハードウェア製品を欧州へ配送している物流会社CEVA Logisticsが、7月29日から8月1日の間にデータ漏洩攻撃を受けていたことを通知した。Valveがこの攻撃を確認したのは8月7日で、「おそらく」一部顧客の個人情報が流出したとしている。流出した情報には氏名、住所、電話番号、メールアドレス、注文内容などが含まれるという。

ここで重要なのは、Valveが強調している点だ。CEVAは顧客の決済情報、パスワード、Steam Guardの認証コードにはそもそもアクセス権限を持っていない。そのため、影響を受けたユーザーがSteamのパスワードやアカウント設定を変更する必要はないという。つまり今回の漏洩は物流側で発生したものであり、Steamのアカウントシステム自体が突破されたわけではない。

とはいえ、個人情報が外部に漏れた事実だけでも、詐欺行為につながる十分な材料になる。Valveはメールの中で、今後SteamやValve、あるいは物流会社を名乗る不審なメール、SMS、電話がユーザーに届く可能性があると直接警告している。こうした連絡では実際のハードウェア注文情報に触れ、流出した住所や注文詳細を利用して信用を得ようとし、「関税」や「再配送料」の支払いを要求したり、「注文確認」を名目に特定のページへログインさせようとする恐れがある。こうしたメッセージが本物の注文情報と一致しているように見える場合、通常の詐欺メッセージよりも見分けるのが難しくなる。

Valveは現在、CEVAに対して漏洩の全容や発生の経緯について追加調査を求めており、同時に影響を受けた各国のデータ保護当局にも報告しているという。なお、影響を受けたユーザーの総数や具体的な通知範囲については本文中で明らかにされていない。