Valve Beri Tahu Pelanggan Steam Hardware di Eropa soal Kebocoran Data

Valve, perusahaan di balik platform distribusi game Steam, memberi tahu sejumlah pelanggan Steam Hardware di Eropa mengenai insiden kebocoran data setelah sistem perusahaan logistik yang menangani pengiriman perangkat Steam diretas.

Insiden tersebut terjadi pada CEVA Logistics, mitra pengiriman Valve di Eropa. Serangan siber memungkinkan pelaku mengakses server CEVA dan memperoleh informasi yang digunakan untuk mengirimkan pesanan perangkat keras Steam kepada pelanggan.

CEVA Logistics merupakan anak perusahaan CMA CGM Group dan mengoperasikan sekitar 1.000 gudang di berbagai negara. Perusahaan tersebut menangani sekitar 15 juta pengiriman pada tahun sebelumnya dan mencatat pendapatan sekitar US$18,3 miliar pada 2025.

Serangan Berlangsung Selama Beberapa Hari

Dalam pemberitahuan kepada pelanggan, Valve mengatakan serangan terhadap CEVA Logistics berlangsung antara 29 Juli hingga 1 Agustus 2026.

Valve baru mengetahui pada 7 Agustus bahwa informasi pelanggan Steam kemungkinan telah ikut terkompromikan.

CEVA menerima sejumlah informasi dari Steam yang memang diperlukan untuk mengirimkan perangkat keras kepada pelanggan di Eropa. Karena perusahaan logistik tersebut menyimpan data pengiriman hingga 90 hari setelah pesanan diproses, Valve mengirimkan pemberitahuan kepada pelanggan yang diperkirakan terdampak.

Data yang kemungkinan diakses penyerang meliputi:

• Nama pelanggan.
• Alamat pengiriman.
• Nomor telepon.
• Alamat email.
• Jenis produk yang dipesan.
• Harga produk.

Data Akun Steam dan Informasi Pembayaran Tidak Terdampak

Valve menegaskan bahwa insiden ini tidak melibatkan informasi sensitif yang berkaitan dengan akun Steam.

CEVA tidak memiliki akses terhadap informasi pembayaran maupun kredensial akun Steam. Dengan demikian, data seperti password Steam, Steam Guard codes, serta informasi pembayaran tidak termasuk dalam informasi yang kemungkinan dicuri.

Valve juga mengatakan bahwa data terkait pembelian lain yang tidak berhubungan dengan pengiriman hardware tidak ikut terdampak.

Dengan kata lain, insiden ini terutama berkaitan dengan informasi yang digunakan untuk memenuhi pesanan perangkat keras Steam di wilayah Eropa.

Pelanggan Diminta Waspada terhadap Phishing

Meski informasi akun Steam tidak ikut terekspos, data yang dicuri tetap dapat dimanfaatkan untuk melakukan serangan lanjutan.

Valve memperingatkan bahwa pelaku dapat menggunakan nama, alamat, nomor telepon, dan email korban untuk menjalankan phishing melalui email, SMS, maupun panggilan telepon.

Serangan tersebut bahkan dapat terlihat meyakinkan karena pelaku mungkin mengetahui alamat pengiriman korban dan menggunakannya sebagai bukti palsu bahwa komunikasi mereka benar-benar berasal dari Valve atau perusahaan pengiriman.

Beberapa modus yang perlu diwaspadai antara lain meminta korban:

• Mengonfirmasi jadwal pengiriman.
• Membayar biaya bea cukai atau pengiriman ulang dalam jumlah kecil.
• Masuk ke sebuah situs untuk melakukan verifikasi pesanan.
• Memberikan informasi tambahan dengan alasan proses pengiriman.

Valve menegaskan bahwa pelanggan tidak perlu mengubah password Steam atau melakukan perubahan pada pengaturan akun hanya karena menerima pemberitahuan kebocoran data tersebut.

CEVA Mengisolasi Sistem yang Terdampak

Valve mengatakan pihaknya masih meminta CEVA Logistics untuk memberikan informasi lengkap mengenai cakupan insiden dan bagaimana data pelanggan dapat diakses.

CEVA telah mengisolasi sistem yang terdampak dan membuatnya offline. Perusahaan juga melibatkan investigator eksternal untuk membantu menyelidiki serangan tersebut.

Valve juga sedang menjalankan proses pemberitahuan kepada otoritas perlindungan data di negara-negara Eropa yang terdampak.

Serangan Sebelumnya Mengganggu Operasional Gudang Eropa

Insiden terhadap CEVA Logistics sebelumnya telah berdampak pada operasional sejumlah fasilitas perusahaan di Eropa.

Pada 1 Agustus, CEVA memberi tahu beberapa peritel Eropa mengenai serangan siber yang menyebabkan gangguan pada aktivitas di delapan gudang mereka.

Dampak terhadap sistem logistik tersebut menunjukkan bahwa serangan tidak hanya berpotensi menyebabkan gangguan operasional, tetapi juga dapat memengaruhi data pelanggan yang tersimpan dalam sistem pihak ketiga.

Bagi pelanggan Steam yang menerima pemberitahuan dari Valve, risiko utama setelah insiden ini adalah serangan social engineering dan phishing yang memanfaatkan informasi pengiriman asli. Karena itu, setiap email, SMS, atau panggilan yang meminta pembayaran maupun kredensial akun sebaiknya diperlakukan dengan sangat hati-hati, meskipun pelaku mengetahui detail pesanan atau alamat penerima.

Sumber: Valve