Valve vahvistaa Steam-tietomurron liittyvän toimituskumppaniin
Valve on alkanut ilmoittaa asiakkaille tietomurrosta, joka ei tapahtunut sen omilla palvelimilla, vaan iski kolmannen osapuolen yritykseen, joka vastaa Steam-laitteistojen toimituksista. Tapaus muistuttaa siitä, että yritykset, joilla on vahvatkin sisäiset tietoturvakäytännöt, ovat yhä alttiita niiden toimittajien ja logistiikkakumppanien kautta, joihin ne luottavat toimittaakseen fyysisiä tuotteita, kuten Steam Deckejä, Steam Machine -laitteita tai Valve Index -kuulokkeita, asiakkaiden käsiin.
Tietomurtoa koskevien raporttien mukaan vaarantunut yritys vastasi Steam-laitteistotilauksiin liittyvien lähetysten käsittelystä. Tuohon toimittajaan kohdistuneen kyberhyökkäyksen seurauksena asiakastietoja varastettiin, minkä vuoksi Valve aloitti suorat ilmoitukset asianosaisille käyttäjille. Vaikka Valve ei itse hallinnoinut murretuksi joutuneita järjestelmiä, se on nyt se osapuoli, joka hoitaa asiakasviestinnän ja luottamuksen palauttamisen, sillä kyseessä on Valven brändi ja asiakkaiden luottamus.
Mitä tietoja paljastui ja mitä ei
Yksi tärkeimmistä yksityiskohdista Valven tiedonannossa on se, mitä todellisuudessa vietiin. Valve tarkensi, että vuotaneet tiedot koostuivat vanhentuneista kertakäyttöisistä tekstikoodeista ja korosti, ettei näitä tietoja ollut yhdistetty Steam-tileihin, salasanoihin eikä maksutietoihin. Erolla on suuri merkitys kaikille, jotka yrittävät arvioida omaa todellista riskitasoaan.
Jos tietomurto olisi koskenut maksukorttien numeroita tai tilitietoja, se vaatisi välittömiä toimia, kuten salasanojen vaihtamista tai tiliotteiden tarkkaa seuraamista. Murto, joka rajoittuu toimitukseen liittyviin vanhentuneisiin vahvistuskoodeihin, on suppeampi ongelma, mutta silti kyse on henkilötiedoista, joiden paljastumista asiakkaat eivät odottaneet tilatessaan laitteistoa luotettavalta yritykseltä. Minkä tahansa varastetun henkilötiedon, jopa vähäpätöiseltä vaikuttavien vanhojen kertakäyttökoodien, olemassaolo on silti yksityisyydensuojan pettäminen, josta asiakkailla on oikeus saada tieto ja johon heillä on syytä suhtautua huolestuneesti.
Miksi kolmannen osapuolen toimittajat pysyvät heikkona lenkkinä
Tämä tapaus noudattaa kaavaa, joka on käynyt yhä tutummaksi eri toimialoilla. Organisaatiot investoivat voimakkaasti omien verkkojensa suojaamiseen, mutta toimittajat, alihankkijat ja logistiikkakumppanit, joista ne ovat riippuvaisia, eivät useinkaan joudu saman tarkan tarkastelun kohteeksi, vaikka ne käsittelevät arkaluonteisia asiakastietoja rutiininomaisten toimintojen, kuten tilausten käsittelyn tai lähettämisen yhteydessä.
Terveydenhuollossa on nähty vastaavia dynamiikkoja. ChipSoft-kiristyshaittaohjelmahyökkäys, joka paljasti hollantilaisten potilastietoja osoitti, miten yhden ohjelmistotoimittajan tietomurto voi levitä laajalle ja vaikuttaa suureen joukkoon ihmisiä, joilla ei koskaan ollut suoraa suhdetta murretun yrityksen kanssa. Kriittinen infrastruktuuri on kohdannut vastaavaa altistumista, kuten kävi ilmi, kun tutkijat löysivät yli 4 000 suojaamatonta vesijärjestelmien ohjausyksikköä internetiin kytkettyinä ilman riittävää suojausta. Yhdistävä tekijä kaikissa tapauksissa on se, ettei riski pysähdy yrityksen omaan palomuuriin. Se ulottuu jokaiseen kumppaniin, alihankkijaan ja toimittajaan ketjussa.
Pelaajille ja laitteistojen ostajille opetus on samankaltainen. Tuotteen tilaaminen luottamaltasi yritykseltä ei takaa, että jokainen toimituksen vaihe – varastoinnista lähetykseen ja toimitustodistukseen – hoidetaan samantasoisella tietoturvahuolellisuudella.
Mitä tämä tarkoittaa sinulle
Jos olet ostanut Steam-laitteistoa ja saanut ilmoituksen Valvelta, käytännöllinen riski vaikuttaa tähän mennessä paljastuneiden tietojen perusteella rajalliselta: vanhoja kertakäyttöisiä koodeja salasanojen tai maksutietojen sijaan. Se ei silti ole syy sivuuttaa ilmoitusta täysin. Mikä tahansa henkilötietoja sisältävä murto voi olla ponnahduslauta huijareille, jotka toteuttavat tietojenkalastelukampanjoita, sillä hyökkääjät käyttävät usein osittaista tietoa yhdestä murrosta tehdäkseen seuranneista huijausviesteistä tai -tekstareista vakuuttavampia.
Suhtaudu varoen kaikkiin ei-toivottuihin viesteihin, jotka viittaavat aiempaan Steam-laitteistotilaukseen, toimitukseen tai tiliasiaan – erityisesti sellaisiin, joissa kehotetaan klikkaamaan linkkiä, syöttämään vahvistuskoodi tai vahvistamaan henkilötietoja. Aidot Valvelta tulevat tiedustelut tästä murrosta eivät pyydä sinua luovuttamaan Steam-salasanaasi tai maksutietojasi vastauksena.
Käytännön toimenpiteet
Asiakkaiden, joita tämä Steam-tietomurto koskee, kannattaa ryhtyä muutamaan yksinkertaiseen varotoimeen. Tarkasta ensin Valve-sähköposti huolellisesti ja varmista, että se vastaa oman laitteistotilauksesi tietoja. Toiseksi, vältä klikkaamasta linkkejä odottamattomissa jatkoviesteissä, joiden väitetään liittyvän tietomurtoon, ja käy sen sijaan Valven virallisilla kanavilla suoraan, jos sinulla on huolenaiheita. Kolmanneksi, pidä silmällä tietojenkalasteluyrityksiä, joissa viitataan lähetys- tai toimitushäiriöihin, sillä murretut tiedot – jopa rajatut sellaiset – voivat edesauttaa vakuuttavampia petosyrityksiä tulevien viikkojen aikana. Harkitse lopuksi lisäsuojausten, kuten kaksivaiheisen tunnistautumisen, käyttöönottoa, jos se ei ole vielä käytössäsi, sillä kerroksellinen turvallisuus auttaa rajoittamaan vahinkoja murroista, joihin et voi vaikuttaa – tapahtuivatpa ne Valvella, toimituskumppanilla tai missä tahansa muussa käyttämässäsi palvelussa.
