פריצה לחברת השילוח CEVA Logistics חושפת מידע לקוחות Steam, ING ואחרות

מתקפת סייבר על CEVA Logistics, אחת מחברות השילוח הגדולות באירופה, הובילה לחשיפת מידע אישי של לקוחות שהזמינו מוצרים אצל כמה חברות שונות שמסתמכות עליה למשלוחים — ובהן Valve, מפעילת פלטפורמת המשחקים Steam. האירוע ממחיש כמה מתקפת שרשרת אספקה בודדת יכולה להתפשט לארגונים ולקוחות רבים בבת אחת, גם כשהארגונים עצמם לא נפרצו ישירות.

הפרטים

לפי הדיווחים, תוקפים חדרו לשרתי CEVA Logistics בין 29 ביולי ל-1 באוגוסט 2026. Valve גילתה על האירוע ב-7 באוגוסט, ובתאריך 10 באוגוסט שלחה הודעות ללקוחות שרכשו מוצרי חומרה (Steam Deck, Steam Machine, Steam Controller) שנשלחו אליהם באירופה דרך CEVA בתקופה הרלוונטית. המידע שנחשף כולל שם מלא, כתובת, מיקוד, עיר, מדינה, מספר טלפון, כתובת האימייל המקושרת לחשבון Steam, וסוג ומחיר הפריט שהוזמן — נתונים ש-CEVA שומרת עד 90 יום לאחר ביצוע ההזמנה. Valve הדגישה שפרטי התחברות, סיסמאות, קודי Steam Guard ואמצעי תשלום לא נחשפו, מכיוון ש-CEVA כלל לא מחזיקה גישה אליהם.

ההשלכות של הפריצה חורגות הרבה מעבר ל-Valve: בין הארגונים הנוספים שהודיעו ללקוחותיהם על חשיפת מידע בעקבות אותה מתקפה נמנים הבנק ההולנדי ING, קמעונאית המשקפיים Ace & Tate ומועדון הכדורגל ההולנדי Ajax — כולם משתמשים בשירותי CEVA למשלוחים. חלק מהחברות כבר עדכנו את רשות הגנת המידע ההולנדית בנוגע לאירוע.

נקודות לשים לב

אם קיבלתם הודעה מ-Valve או מארגון אחר שמשתמש ב-CEVA Logistics על חשיפת מידע — התייחסו בחשד מוגבר להודעות אימייל, SMS או שיחות טלפון הבאות שמזכירות הזמנה או משלוח, גם אם הן מצטטות בחזרה את הכתובת שלכם או פרטי ההזמנה — זה בדיוק המידע שדלף.
אין צורך לשנות סיסמה או הגדרות חשבון Steam בעקבות האירוע — פרטי ההתחברות ואמצעי התשלום לא נחשפו, לפי Valve.
אם הארגון שלכם משתמש בשירותי CEVA Logistics, או בכל ספק שילוח ולוגיסטיקה חיצוני, לצורך משלוח מוצרים ללקוחות — בדקו מול הספק אם הוא נפגע מהאירוע, ומהו טווח הזמן והנתונים שנחשפו.
האירוע הוא תזכורת לסיכון שבריכוז נתוני לקוחות אצל ספקי לוגיסטיקה חיצוניים: גם ארגון שמערכות ה-IT שלו לא נפרצו ישירות עלול לחשוף לקוחות דרך שרשרת האספקה.
אל תסיקו מהאירוע שמדובר בפריצה ל-Valve או ל-Steam עצמם — ההדלפה מקורה בספק חיצוני, ועד כה אין עדות שהתוקפים חדרו למערכות הפנימיות של Valve.