Valve 确认 Steam 数据泄露与物流合作伙伴有关
Valve 已开始通知客户有关一起数据泄露事件，该事件并非源自其自身服务器，而是发生在负责 Steam 硬件配送的第三方公司。这一事件提醒我们，即使是内部安全实践良好的公司，仍然会通过其依赖的供应商和物流合作伙伴而暴露风险，因为他们需要依靠这些伙伴将实体产品（如 Steam Deck、Steam Machine 或 Valve Index 头戴设备）送到客户手中。
根据有关该泄露事件的报道，被攻破的公司负责处理 Steam 硬件订单相关的货运工作。针对该供应商的网络攻击导致客户数据被盗，促使 Valve 向受影响的用户发出直接通知。尽管 Valve 本身并未运营被入侵的系统，但由于此事涉及 Valve 的品牌和客户信任，目前由该公司负责进行客户沟通和安抚。
哪些数据被泄露，哪些没有被泄露
Valve 披露信息中一个较为重要的细节是实际被窃取的内容。Valve 明确表示，泄露的数据由过时的一次性短信验证码组成，并强调这些信息与 Steam 账户、密码或财务细节无关。对于试图评估自身实际风险水平的人来说，这一区分至关重要。
涉及支付卡号或账户凭证的泄露会要求立即采取行动，例如更改密码或密切关注银行账单。而仅限于配送流程中过时验证码的泄露，问题范围则较窄，不过它仍然涉及客户个人数据，这些数据是客户在向一家受信任的公司订购硬件时，根本没有预料到会被泄露的。任何个人信息的被盗，即便是看似风险较低的旧一次性验证码，也依然代表着隐私保护的失效，客户有权知晓并对此感到担忧。
为何第三方供应商频频成为薄弱环节
这一事件符合一个在各行业中日益常见的模式。组织在保护自身网络安全上投入巨资，但它们所依赖的供应商、承包商和物流提供商往往没有受到同等程度的审查，尽管这些伙伴在日常运营（如订单履行或发货）中也会处理敏感的客户数据。
医疗保健行业也出现了类似的情况。ChipSoft 勒索软件攻击导致荷兰患者数据泄露 表明，单个软件供应商被攻破会如何波及大量与该被侵入公司并无直接关系的人。关键基础设施同样面临类似的暴露风险，例如 研究人员发现超过 4,000 个暴露在互联网上且缺乏足够保护的水务系统控制器。在每一个案例中，共同的脉络是，风险并不会止步于一家公司自身的防火墙，而是会延伸到链条中的每一个合作伙伴、承包商和供应商。
对于玩家和硬件购买者来说，启示是类似的。从一家你信任的公司订购产品，并不能保证从仓储、运输到配送确认等履约流程的每个环节，都能得到同样程度的安全审慎对待。
这对你意味着什么
如果你购买过 Steam 硬件并收到了 Valve 的通知，根据目前已披露的信息，实际风险似乎有限：泄露的是过时的一次性验证码，而非密码或支付信息。不过，这并非完全忽视该通知的理由。任何涉及个人数据的泄露都可能成为骗子进行网络钓鱼活动的跳板，因为攻击者经常利用某次泄露事件中的部分信息，使后续的诈骗邮件或短信看起来更具说服力。
对所有提及最近 Steam 硬件订单、货运或账户问题的未经请求的消息保持警惕，特别是那些要求你点击链接、输入验证码或确认个人详细信息的消息。Valve 就此次泄露事件发出的官方沟通，不会要求你在回复中交出 Steam 密码或支付信息。
可操作的应对措施
受此次 Steam 数据泄露影响的客户应采取一些简单的预防措施。首先，仔细核对 Valve 发出的任何通知邮件，确认其与你自身硬件订单的详细信息相符。其次，不要点击声称与此次泄露相关的意外后续消息中的链接；如有疑虑，请直接访问 Valve 的官方渠道。第三，留意那些提及货运或配送问题的钓鱼尝试，因为泄露的数据，哪怕是有限的数据，也可能在接下来几周内助长更具说服力的社会工程攻击。最后，如果你尚未启用，请考虑开启额外的账户保护措施，如双重认证，因为分层安全有助于限制你无法控制的泄露事件所造成的损害，无论泄露发生在 Valve、物流合作伙伴还是你所依赖的任何其他服务上。
