Valveが、欧州でSteamの物理ハードウェアを購入した顧客に対し、配送を装う偽メールやSMS、電話への注意を呼びかけています。
欧州でハードウェア配送を担当するCEVA Logisticsがサイバー攻撃を受け、氏名や住所、注文商品の情報などが外部へ流出した可能性があるためです。
SteamアカウントのパスワードやSteam Guardコード、決済情報は今回の対象ではないとされています。一方で、住所や実際の注文内容が悪用されれば、本物らしく見える詐欺メッセージにつながるおそれがあります。
Steamハードウェアを最近購入した人にとっては、「注文内容が合っているから本物」とは限らない点が重要になりそうです。
欧州の物流パートナーCEVA Logisticsがサイバー攻撃を受ける
Valveは欧州のSteamハードウェア購入者に対し、物流パートナーであるCEVA Logisticsでセキュリティ侵害が発生したと通知しました。
報道によると、CEVA側への攻撃は2026年7月29日から8月1日にかけて発生。Valveは8月7日にCEVAから事案について知らされたとされています。
今回攻撃を受けたのは、ValveやSteamそのもののサーバーではありません。欧州でSteamの物理ハードウェア配送を支援しているCEVA側のシステムです。
CEVAは現在も調査を続けており、Valveも流出した情報の範囲や経緯について説明を求めています。また、影響を受けた可能性がある地域のデータ保護当局にも連絡しているとしています。
Steamそのものへの侵入ではないとはいえ、購入者にとって気になるのは「どんな情報が含まれていたのか」というところでしょう。
氏名や住所、注文商品の情報が流出した可能性
影響を受けた可能性がある情報には、購入者の氏名、住所、電話番号、居住国、Steamアカウントで使用しているメールアドレスなどが含まれます。
さらに、注文したハードウェアの種類や価格といった購入内容も、流出した可能性のある情報として挙げられています。
一方、CEVAはSteamアカウントのパスワードやSteam Guardコード、決済情報にはアクセスできないため、これらは今回の対象ではないとされています。Steam上にあるほかの購入履歴についても、今回の侵害による影響は確認されていません。
ここで注意したいのは、住所と実際の注文内容が組み合わさっている可能性があることです。
たとえば、自分が注文した製品や配送先の住所を正しく示されたら、つい「正規の配送連絡だろう」と感じてしまうかもしれません。Valveが今回、詐欺メッセージへの警戒を強く呼びかけている理由もそこにあります。
配送確認や少額の追加料金を求める連絡に注意
Valveが特に警告しているのは、SteamやValve、配送会社を装った偽メール、SMS、電話です。
流出した可能性のある住所や注文商品を使い、正規の案内らしく見せたうえで、配送の確認や少額の関税、再配達料金の支払いなどを求めてくる可能性があります。
注文内容を確認するためとして、偽のログインページへ誘導するケースにも注意が必要です。
こうした連絡を受けても、メッセージ内のリンクからSteamへログインしたり、支払い情報を入力したりしないようにしましょう。
住所や注文内容が正しく書かれていても、それだけで正規の連絡とは判断できません。
気になるメッセージが届いた場合は、そのメールやSMSへ直接返信したり、記載されたリンクを開いたりせず、自分で公式のSteam Supportへアクセスして確認するのが安全です。
「自分しか知らないはずの注文情報が書かれている」という状況でも、一度立ち止まって確認したいところです。
現時点で確認されている通知対象は欧州の購入者
今回、Valveから通知を受けているのは、CEVAを通じてSteamの物理ハードウェアが配送された欧州の顧客です。
CEVAは配送に関連する情報を注文後最大90日間保持しており、Valveはその範囲から影響を受けた可能性がある顧客へ通知していると説明しています。
報道ではSteam MachineやSteam Controllerなどの購入者が取り上げられていますが、CEVAは欧州におけるSteamの物理ハードウェア配送を担当しています。影響を受けた顧客の最終的な範囲については、現在も調査が続いている段階です。
また、現時点で確認されているValveの通知は欧州のSteamハードウェア購入者を対象としたものです。
日本を含む欧州以外の購入者への影響については、今回確認できた情報からは明らかになっていません。「欧州での問題だから日本は関係ない」と断定するのではなく、今後の調査や公式発表を確認しておくのがよさそうです。
まとめ
今回の事案では、SteamアカウントのパスワードやSteam Guardコード、決済情報が流出したとは報告されていません。
ただし、氏名や住所に加えて実際の注文内容まで流出していた場合、それを悪用した配送詐欺はかなり本物らしく見える可能性があります。
欧州で最近Steamの物理ハードウェアを購入した人は、配送確認や追加料金、ログインを求める連絡が届いても、その場でリンクを開かないことが大切です。
注文情報が合っていても信用せず、気になる場合は公式のSteam Supportから確認する。このひと手間を意識しておくとよいでしょう。
Sources：
