A Valve começou a notificar clientes europeus que compraram hardware Steam, incluindo os dispositivos Steam Machine e Steam Controller, de que as suas informações pessoais podem ter sido expostas após um ciberataque que atingiu a CEVA Logistics, o parceiro regional de envios da empresa. A violação de dados do hardware Steam não afetou diretamente os sistemas da Valve, mas sublinha um problema recorrente de privacidade: os fornecedores que gerem os seus dados nos bastidores são frequentemente o elo mais fraco.
O que aconteceu na CEVA Logistics
De acordo com o comunicado da Valve, a CEVA Logistics, que gere a entrega de encomendas de hardware Steam em toda a Europa, sofreu um ciberataque que expôs os dados de envio dos clientes. Isso inclui normalmente nomes, moradas e informações de contacto associadas às encomendas de hardware — o tipo de dados necessários para fazer uma encomenda chegar de um armazém a uma porta. A Valve afirma que estas informações foram "provavelmente comprometidas" e enviou proativamente um e-mail aos compradores afetados para garantir que compreendem o risco, em vez de esperar que a situação se tornasse pública por outros canais.
Não se trata de uma violação das contas Steam, dos dados de pagamento ou da atividade de jogo. Trata-se de uma violação de um fornecedor de logística terceiro de que a Valve depende para processar encomendas de hardware físico. Esta distinção é importante, mas não torna a exposição inofensiva. Os dados de envio são precisamente o tipo de informação que os burlões usam para criar tentativas de phishing convincentes e personalizadas.
Porque é que uma violação logística continua a ser um problema de privacidade
O aviso da Valve é um lembrete útil de que as empresas partilham rotineiramente os dados dos clientes com fornecedores externos: processadores de pagamento, transportadoras, plataformas de apoio ao cliente e ferramentas de marketing. Cada um desses terceiros torna-se um ponto de falha separado, e os clientes raramente têm visibilidade sobre que fornecedores detêm as suas informações ou quão bem esses fornecedores as protegem.
A Valve avisou especificamente que os clientes devem estar atentos a e-mails ou mensagens fraudulentas que mencionem os detalhes das suas encomendas, uma vez que os atacantes que obtiveram dados de envio podem usá-los para fazer com que as comunicações fraudulentas pareçam legítimas. Uma mensagem que mencione o seu nome verdadeiro, número de encomenda e morada de entrega é muito mais convincente do que uma tentativa genérica de phishing, e é exatamente por isso que violações logísticas como esta são valiosas para os criminosos, mesmo quando não há dados financeiros envolvidos.
Este tipo de incidente alimenta também uma conversa mais ampla que está a decorrer em toda a Europa sobre a forma como os dados pessoais são recolhidos, partilhados e protegidos. Os reguladores têm-se concentrado cada vez mais nas práticas de tratamento de dados associadas à verificação de idade e à identidade digital, como se viu no relatório da UE sobre verificação de idade que levantou bandeiras vermelhas de privacidade no início deste ano. Quer se trate de um esquema governamental de verificação ou do parceiro de envios de uma empresa privada, a questão subjacente é a mesma: cada parte adicional que toca nos seus dados é mais uma oportunidade para que estes vazem.
O que isto significa para si
Se comprou hardware Steam para entrega na Europa, trate qualquer e-mail inesperado que faça referência à sua encomenda como suspeito até poder verificá-lo diretamente através dos canais oficiais da Valve. Não clique em links nem descarregue anexos de mensagens não solicitadas, mesmo que pareçam mencionar detalhes reais da encomenda. Os atacantes com acesso a dados de envio podem fazer com que os e-mails de phishing pareçam muito mais credíveis do que o habitual, pelo que verificar o endereço de e-mail real do remetente e procurar inconsistências ortográficas ou de formatação é um bom primeiro passo.
Também vale a pena lembrar que esta violação não comprometeu diretamente as suas credenciais de início de sessão do Steam nem as suas informações de pagamento. Ainda assim, ativar a autenticação de dois fatores na sua conta Steam e usar uma palavra-passe única são precauções sensatas sempre que uma empresa com a qual fez negócios reporta um incidente de segurança, independentemente do sistema que foi realmente afetado.
De forma mais ampla, este incidente é um bom momento para pensar na quantidade de dados pessoais que muda de mãos quando faz uma compra online e no pouco controlo que normalmente tem sobre os fornecedores que um retalhista escolhe para trabalhar. Essa falta de transparência faz parte de um padrão mais amplo que se desenrola no cenário de privacidade em evolução na Europa, desde os debates sobre a repressão das VPN na Europa e o que significa para a privacidade até ao escrutínio contínuo de propostas próximas da vigilância, abordado na reportagem sobre controlo de conversas, lei de segurança online e encriptação sob ataque.
Medidas práticas
Se encomendou hardware Steam para entrega na Europa, verifique a sua caixa de entrada de e-mail para um aviso oficial da Valve e leia-o com atenção, em vez de o ignorar. Seja cético em relação a quaisquer e-mails de seguimento que aleguem ser sobre a sua entrega, especialmente aqueles que pedem para clicar num link, confirmar dados de pagamento ou fornecer informações pessoais adicionais. Denuncie mensagens suspeitas em vez de interagir com elas e considere monitorizar as suas contas de e-mail e financeiras para detetar atividades incomuns nas semanas seguintes a um aviso de violação.
A violação de dados do hardware Steam é um lembrete de que a sua exposição de privacidade depende frequentemente de empresas com as quais nunca interagiu diretamente. Manter-se alerta a comunicações inesperadas, verificar os remetentes antes de clicar em algo e manter as suas contas principais protegidas com autenticação forte são hábitos simples que contribuem muito para limitar os danos quando os sistemas de um fornecedor terceiro falham.
