Valve, la empresa responsable de Steam, ha empezado hoy a comunicar a usuarios europeos de la plataforma que CEVA Logistics, su socio logístico, sufrió un ciberataque que dejó al descubierto datos personales asociados a pedidos de hardware.
El problema no golpeó de forma directa a los sistemas de Valve. Según explica la propia compañía, la brecha afectó a información que había sido compartida con CEVA Logistics, la firma encargada de la distribución de esos productos.
Entre los datos expuestos figuran, siempre según Valve, el nombre completo, la dirección física, el número de teléfono y el correo electrónico. La mayor inquietud no está tanto en un acceso a las cuentas como en otra cosa: que esos datos se utilicen para montar campañas de phishing mucho más creíbles contra compradores de dispositivos de Steam.
Valve señala que el incidente alcanzó a clientes que habían comprado hardware de Steam en Europa, incluidos productos como Steam Controller o Steam Machine, dentro de los 90 días anteriores al ataque. Ese periodo encaja, según la compañía, con el tiempo durante el que CEVA Logistics conserva esa información, así que no todos los compradores de hardware de etapas anteriores tendrían por qué estar afectados.
La intrusión, de acuerdo con la cronología facilitada por Valve, tuvo lugar entre el 29 de julio y el 1 de agosto de 2026. La empresa afirma que supo del problema el 7 de agosto y que, desde ese momento, puso en marcha el proceso para avisar a los usuarios que podrían haberse visto afectados.
Dentro de la gravedad del incidente, hay un matiz relevante. Valve sostiene que la información comprometida se limita a datos de contacto y de envío. También recalca que CEVA Logistics no almacenaba ni tenía acceso a datos de pago, contraseñas de Steam o códigos de Steam Guard, de modo que esos elementos no habrían quedado expuestos.
Eso rebaja el riesgo de un robo directo de cuentas o de un fraude financiero inmediato, pero no borra otro escenario bastante probable: correos, SMS o llamadas falsas que intenten hacerse pasar por Valve, por una empresa de mensajería o por el servicio técnico.
Por eso, Valve recomienda extremar la cautela ante cualquier email, mensaje de texto o llamada relacionada con un pedido, una devolución, un supuesto problema de entrega o una verificación de cuenta. Si en ese contacto se piden credenciales, códigos de seguridad o pagos inesperados, lo más sensato es asumir que se trata de un fraude.
La compañía también aconseja revisar bien la dirección del remitente, no abrir enlaces sospechosos y entrar en Steam solo desde la aplicación oficial o escribiendo manualmente la dirección web en el navegador.
Medios neerlandeses sostienen que el ataque alcanzó a ocho almacenes de CEVA Logistics en Europa y que también terminó afectando a otras empresas en Países Bajos. Entre las señaladas aparecen Bol, de Bijenkorf, AFC Ajax, ING Bank y Ace & Tate. La Autoridad de Protección de Datos de Países Bajos, según esas mismas informaciones, ya ha abierto una investigación.
El episodio vuelve a dejar claro un problema cada vez más visible en la industria del videojuego y la tecnología: una plataforma puede no sufrir una intrusión directa y aun así quedar expuesta por un eslabón débil en su cadena de suministro. Mientras tanto, Valve ya ha empezado a avisar a los usuarios afectados y asegura que está colaborando en el proceso, además de trasladar la situación a otros reguladores europeos.
