Steam 하드웨어 배송 정보, 물류사가 유출시켰다

유럽에 거주하면서 Steam Deck 같은 하드웨어 제품을 구매한 적이 있다면, 앞으로 몇 주간 메일함과 문자메시지를 좀 더 유심히 살펴봐야 할 것 같다. 계정 도용 문제가 아니라, 배송 정보 유출 문제다.

Valve는 최근 일부 유럽 고객들에게 메일을 보내, Steam 하드웨어 제품의 유럽 배송을 담당하는 물류업체 CEVA Logistics가 7월 29일부터 8월 1일 사이 데이터 유출 공격을 당했다고 알렸다. Valve는 8월 7일에야 이 공격으로 일부 고객의 개인정보가 유출되었을 "가능성이 높다"는 사실을 확인했으며, 유출된 정보에는 이름, 주소, 전화번호, 이메일, 주문 세부정보가 포함된다.

중요한 부분은, Valve가 CEVA는 고객의 결제 정보, 비밀번호, Steam Guard 인증 코드에 접근할 권한이 애초에 없었다고 강조했다는 점이다. 따라서 영향을 받은 이용자들은 Steam 비밀번호나 계정 설정을 변경할 필요가 없다. 다시 말해, 이번 유출 사고는 물류 쪽에서 발생한 것이지 Steam 계정 시스템 자체가 뚫린 것은 아니라는 뜻이다.

하지만 데이터 자체가 유출된 것만으로도 사기 행각을 벌이기에는 충분하다. Valve는 메일에서 직접적으로, 앞으로 Steam, Valve 혹은 물류업체를 사칭한 이메일, 문자메시지, 전화가 올 수 있다고 경고했다. 이런 메시지들은 실제 하드웨어 주문 내역을 언급하며, 유출된 주소나 주문 정보를 이용해 신뢰를 얻은 뒤 "통관 수수료"나 "재배송 수수료"를 요구하거나, 특정 페이지에 로그인해서 "주문을 인증"하라고 유도할 수 있다. 이런 메시지가 실제 본인의 주문 정보와 맞아떨어져 보인다면, 일반적인 사기 메시지보다 훨씬 구분하기 어려울 수 있다.

Valve는 현재 CEVA에 유출 범위와 발생 경위에 대한 전체적인 내용을 요청하고 있으며, 영향을 받은 국가들의 개인정보보호 감독기관에도 통보하고 있는 중이라고 밝혔다. 다만 영향을 받은 이용자 수나 구체적인 통지 범위는 공개하지 않았다.