Ataque à CEVA Logistics expõe dados de clientes Steam na Europa

O incidente não é uma violação da Valve ou do Steam. A Valve não teve seus servidores acessados. O que aconteceu é uma falha clássica de cadeia de suprimentos: a CEVA Logistics, empresa terceirizada responsável pela logística de entrega de hardware Steam na Europa, foi invadida. Os atacantes acessaram dados de entrega que a CEVA retém por até 90 dias após cada pedido — uma janela de retenção que, combinada com o volume de clientes corporativos da empresa, transforma qualquer comprometimento em evento multi-vítima.

A Valve confirmou o incidente diretamente em e-mail a clientes, tornando a notificação o documento primário mais robusto disponível. A CEVA confirmou o ataque à TechCrunch, mas não emitiu comunicado público formal nem apresentou detalhes técnicos sobre vetor de acesso inicial, escopo total dos dados exfiltrados ou identidade dos atacantes até o fechamento deste relatório. Essa lacuna de transparência é ela mesma informação: a investigação está em andamento e a empresa não controlou a narrativa.

Sobre atribuição: há duas alegações distintas que não devem ser confundidas. A primeira — associada ao CoinbaseCartel — refere-se a um incidente separado de setembro de 2025, cujo tamanho, leak size e conexão com o ataque de 2026 são desconhecidos. A segunda — atribuição ao grupo Qilin para o ataque de julho/agosto de 2026 — aparece em uma única fonte (femtosec.io) sem corroboração de CEVA, autoridades ou veículos com histórico sólido de apuração. Nenhuma das duas deve ser incorporada como fato estabelecido. A natureza operacional do ataque (armazéns físicos paralisados, sistemas isolados) é consistente com ransomware ou malware destrutivo, mas essa é inferência, não evidência.

O alcance é mais amplo do que o noticiário centrado na Valve sugere. Bol, De Bijenkorf, Ajax, ING, Ace & Tate e pelo menos outras cinco organizações anônimas (totalizando 10 notificações à DPA holandesa confirmadas) foram afetadas pelo mesmo incidente. A Valve é o nome de maior visibilidade midiática, mas provavelmente não é o cliente com maior volume de dados expostos. A DPA holandesa está investigando; o GDPR exige notificação em 72 horas — e ao menos no caso da Bol, o intervalo entre a notificação da CEVA (1/8) e o registro na DPA (3/8) ficou no limite legal.

O detalhe que a maioria da cobertura não perseguiu: a CEVA Logistics já havia sido alvo do CoinbaseCartel em setembro de

2025. A plataforma Ransomware.live registra aquela entrada como possivelmente duplicada, sugerindo que parte da inteligência de ameaças do setor pode ter tratado o mesmo acesso persistente como incidentes distintos. Se o acesso de 2025 nunca foi completamente remediado, o ataque de julho de 2026 pode ser uma reentrada na mesma infraestrutura, não uma nova intrusão independente. Essa hipótese não está confirmada — mas a CEVA não afirmou o contrário, e a ausência de declaração sobre remediação da falha de 2025 é uma lacuna crítica.

Clientes europeus e britânicos que compraram hardware Steam (Steam Deck, Steam Machine, Steam Controller, Valve Index) nos aproximadamente 90 dias anteriores a 29 de julho de 2026 tiveram nome completo, endereço de entrega, CEP, cidade, país, número de telefone, endereço de e-mail vinculado à conta Steam e detalhes do pedido (tipo de produto e valor pago) potencialmente exfiltrados. Dados de credenciais de conta Steam, senhas, Steam Guard e informações de pagamento não foram afetados, pois a CEVA não tinha acesso a esses dados. O número exato de registros comprometidos não foi divulgado por nenhuma das partes. A combinação de informações de entrega com valor exato da compra cria vetor imediato para phishing contextualizado e fraudes de entrega. Além da Valve, pelo menos outras nove organizações europeias foram afetadas pelo mesmo incidente, incluindo o banco ING e o varejista Bol, ampliando o universo de consumidores expostos a campanhas de engenharia social.