Valve informiert Kunden nach Sicherheitsvorfall bei Zulieferer

Valve hat damit begonnen, Kunden, die Steam-Hardware in Europa gekauft haben, per E-Mail zu kontaktieren, nachdem sein Logistikpartner CEVA Logistics eine Datenpanne offengelegt hat. Das Fracht- und Versandunternehmen wickelt den Vertrieb für Valves Hardware-Sortiment ab, darunter Steam Machine und Steam Controller, und bestätigte, dass mit diesen Bestellungen verbundene Kundendaten wahrscheinlich kompromittiert wurden.

Dies ist kein Einzelfall, der auf Gamer beschränkt ist. CEVA Logistics ist einer der größten Fracht- und Versanddienstleister der Welt, und wie frühere Berichte über die Datenpanne bei CEVA Logistics gezeigt haben, reichen die Auswirkungen weit über einen einzelnen Händler hinaus. Banken, Einzelhändler und nun auch Valve mussten Kunden informieren, weil ihre Versand- und Fulfillment-Abläufe auf denselben kompromittierten Dienstleister angewiesen waren.

Warum eine Datenpanne bei einem Versandunternehmen Steam-Nutzer betrifft

Man kann leicht annehmen, dass eine Datenpanne bei einem Logistikunternehmen das Problem anderer ist. Doch CEVA Logistics verarbeitet die mit Sendungen verbundenen persönlichen Daten, die bei Käufern von Steam-Hardware Namen, Adressen und während des Bezahlvorgangs angegebene Kontaktdaten umfassen können. Wenn ein solcher Drittanbieter kompromittiert wird, bleibt die Offenlegung nicht auf das Unternehmen beschränkt, das den Angriff erlitten hat. Sie breitet sich auf jedes Unternehmen aus, auch auf Valve, das Kundendaten für die Auftragsabwicklung mit diesem Anbieter teilt.

Das ist der Kern eines Sicherheitsversagens in der Lieferkette. Valves eigene Systeme mögen völlig sicher sein, doch Kunden können trotzdem betroffen sein, weil ein Partner weiter unten in der Kette es nicht war. Die weiteren Auswirkungen der Ceva-Logistics-Datenpanne zeigen, wie eine einzelne Kompromittierung eines Anbieters über nicht verwandte Branchen hinweg kaskadieren kann – vom Bankwesen über den Einzelhandel bis zu Gaming-Hardware – einfach weil alle die Logistik an denselben Dienstleister ausgelagert hatten.

Was Valve Kunden mitteilt

Valves E-Mails richten sich an Personen, die in den letzten Monaten Steam-Hardware über europäische Kanäle bestellt haben. Das Unternehmen warnt betroffene Kunden, auf Betrugs-E-Mails oder Phishing-Versuche zu achten, die versuchen könnten, die durchgesickerten Kontaktdaten auszunutzen. Angreifer verwenden oft Daten aus Datenpannen wie Namen und Lieferadressen, um überzeugende Folge-Betrugsmaschen zu erstellen, wobei sie sich als das Unternehmen selbst, als Versandkurier oder als Support-Mitarbeiter ausgeben und zur „Verifizierung“ von Kontodaten auffordern.

Valve hat nicht darauf hingewiesen, dass Steam-Kontodaten, Passwörter oder Zahlungsinformationen Teil dieser speziellen Datenpanne waren. Die Offenlegung scheint mit Auftragsabwicklungsdaten zusammenzuhängen, die von CEVA Logistics verarbeitet wurden, und nicht mit Valves eigenen Kontosystemen. Dennoch erhöht jedes Leck persönlicher Kontaktdaten das Risiko von gezieltem Phishing, daher sollten Kunden, die eine Benachrichtigung erhalten haben, diese ernst nehmen.

Was das für Sie bedeutet

Wenn Sie kürzlich in Europa eine Steam Machine, einen Steam Controller oder andere Steam-Hardware bestellt haben, prüfen Sie Ihren Posteingang auf eine Nachricht von Valve. Auch wenn Sie keine erhalten haben, lohnt es sich, Ihre Kontosicherheit vorsorglich zu überprüfen, da Benachrichtigungen über Datenpannen manchmal schubweise eintreffen.

Das sollten Sie tun:

  • Achten Sie auf Phishing-E-Mails. Seien Sie skeptisch bei jeder Nachricht, die sich auf Ihre kürzliche Steam-Hardware-Bestellung bezieht, insbesondere wenn Sie aufgefordert werden, auf einen Link zu klicken, Zahlungsdaten zu bestätigen oder Ihr Konto zu „verifizieren“. Gehen Sie direkt auf die offizielle Valve-Website, wenn Sie Ihren Bestellstatus prüfen müssen.
  • Aktivieren Sie die Zwei-Faktor-Authentifizierung. Wenn Sie Steam Guard oder eine andere 2FA-Methode für Ihr Steam-Konto noch nicht aktiviert haben, tun Sie es jetzt. Das schafft eine zusätzliche Hürde, selbst falls Anmeldedaten in einem künftigen Vorfall offengelegt werden.
  • Aktualisieren Sie Ihr Passwort. Auch wenn diese Datenpanne offenbar keine Steam-Anmeldedaten direkt betrifft, verringert ein starkes, einzigartiges Passwort für Ihr Steam-Konto (und jedes Konto, das mit derselben E-Mail-Adresse verknüpft ist) das Risiko durch nicht damit zusammenhängende Lecks.
  • Überwachen Sie Ihre Konten. Achten Sie in Ihrem E-Mail-Konto auf ungewöhnliche Anmeldeversuche oder von Ihnen nicht angeforderte Passwort-Zurücksetzungen.
  • Ziehen Sie mehrschichtige Schutzmaßnahmen in Betracht. Die Nutzung eines VPN beim Surfen oder Online-Einkaufen verhindert nicht, dass die Server eines Zulieferers kompromittiert werden, verringert jedoch die Menge personenbezogener Daten, die beim Surfen an Dritte gelangt, und ist eine weitere Ebene der Datenschutz-Hygiene, die sich als Routine lohnt.

Das größere Bild beim Risiko in der Lieferkette

Dieser Vorfall erinnert daran, dass Datenschutz nicht bei dem Unternehmen endet, bei dem Sie kaufen. Jeder Anbieter, Versender und Zahlungsabwickler in der Kette ist ein weiterer möglicher Schwachpunkt. Wie Datenpannen wie die bei CEVA Logistics zeigen, kann ein einziger kompromittierter Zulieferer Kunden von Unternehmen betreffen, mit denen sie nie direkt interagiert haben.

Bis auf Weiteres bleiben die praktischen Schritte dieselben: Bleiben Sie wachsam gegenüber Phishing, sichern Sie Ihre Konten mit starken Passwörtern und 2FA und behandeln Sie jede unerwartete E-Mail, die sich auf einen kürzlichen Kauf bezieht, mit Vorsicht. Datenpannen in der Lieferkette entziehen sich weitgehend der Kontrolle des einzelnen Kunden, aber die Reaktion darauf nicht. Sich heute ein paar Minuten Zeit zu nehmen, um Ihre Konten abzusichern, ist die beste Verteidigung gegen alles, was als Nächstes kommt.