Valve advierte: un ciberataque ha expuesto los datos de múltiples clientes de Steam

Valve acaba de emitir un comunicado informando a sus clientes de que CEVA Logistics, la empresa de transporte que se encarga del envío del hardware de Steam (como Steam Machine o Steam Deck) a los clientes europeos, sufrió un ciberataque entre el 29 de julio y el 1 de agosto de 2026. Si bien el ataque todavía está siendo investigado, la compañía ha confirmado que es "muy probable" que determinada información sobre los clientes de Valve se haya visto comprometida.

El ataque y los datos comprometidos

Según se explica en el comunicado, los datos que se podrían haber visto comprometidos son aquellos relacionados con la entrega de los paquetes, la cual se conservan en CEVA durante un máximo de 90 días después del pedido. De este modo, los datos que los atacantes podrían haber robado son exactamente los siguientes:

• Nombre
• Dirección, incluidos el código postal y la ciudad
• País
• Número de teléfono
• Dirección de correo electrónico (la que usa tu cuenta de Steam)
• Tipo y precio del producto solicitado

Lo único "bueno" de esto es que los piratas informáticos nos han podido tener acceso a datos tan sensibles como nuestras contraseñas de Steam, información de pago o los códigos de Steam Guard. Eso sí, Valve advierte que es muy posible que en los próximos días recibamos mensajes falsos por correo electrónico, por texto o por teléfono en los que se mencione nuestro pedido de hardware y que parezcan venir tanto de Steam como de Valve o una empresa de transporte.

Cómo diferenciar estafas de mensajes legítimos

Para ayudarnos a diferenciar estafas de mensajes legítimos, Valve nos recuerda las tres siguientes cosas:

• El equipo de Soporte de Steam solo gestiona los problemas con cuentas a través de https://help.steampowered.com/. Nunca por correo electrónico, ni por Steam Chat, ni tampoco por Discord. Quienes se pongan en contacto contigo por un método distinto afirmando que son parte del equipo de Soporte de Steam, no lo son.
• Las únicas páginas auténticas para iniciar sesión en Steam son store.steampowered.com, www.steampowered.com, steamcommunity.com y help.steampowered.com. Teclea la dirección tú en lugar de hacer clic en un enlace que te envíe alguien.
• El equipo de Soporte de Steam nunca te pedirá tu contraseña de Steam ni el código de Steam Guard. Y tampoco lo haría una empresa de transporte.

El plan de acción de Valve

Finalmente, Valve ha comunicado que actualmente está apremiando a CEVA para que determine el alcance completo del ataque y cómo se hizo para así poder iniciar el proceso de notificar a las autoridades sobre protección de datos en los países afectados. Mientras tanto, CEVA ha aislado los sistemas afectados, los ha desconectado y ha contratado a investigadores externos.

Os recordamos que esto solo afecta a aquellos clientes que hayan realizado recientemente un pedido de hardware en Steam. Si tus datos han sido expuestos, deberías haber recibido ya un correo electrónico de Steam notificándote de ello.