Valveが、欧州でSteamハードウェアを購入した一部顧客に対し、配送に使われた個人情報がサイバー攻撃によって流出した可能性があると通知しました。
影響した可能性があるのは、氏名や配送先住所、電話番号、注文商品などです。一方、Steamのパスワードや決済情報、Steam Guardコードは対象に含まれていないと説明されています。
アカウントそのものが侵害されたとは確認されていませんが、住所と注文内容を組み合わせた詐欺には注意が必要です。
この記事では、判明している攻撃の時期や対象となる情報、Valveが注意を呼びかけている詐欺の手口について整理します。
欧州の配送業者CEVAが7月29日から8月1日に攻撃を受ける
VGCの報道とValveからの通知メールを公開した利用者の投稿によると、サイバー攻撃を受けたのは、欧州でSteamハードウェアの配送を担当するCEVA Logisticsです。
攻撃が発生した期間は2026年7月29日から8月1日まで。Valveは8月7日、Steam利用者に関する一部の情報が侵害された可能性が高いとの報告を受けたとしています。
今回確認できた情報では、ValveやSteamのアカウントシステム自体が侵害されたとは説明されていません。問題となっているのは、商品の配送に必要な情報としてValveからCEVAへ渡されていたデータです。
CEVAは影響を受けたシステムを隔離し、外部の調査担当者を交えて被害範囲を確認しています。ValveもCEVAに対して流出範囲や攻撃方法の詳細を求めているほか、影響を受けた国のデータ保護当局への通知を進めています。
流出した情報の全容や攻撃方法は、記事公開時点でも調査中です。現段階では、Steamアカウントへの侵入というより、配送のために預けられていた個人情報が問題になっていると考えると分かりやすいでしょう。
氏名や住所、注文商品などが流出した可能性
Valveからの通知では、次の情報が侵害された可能性があるとされています。
- 氏名
- 住所、郵便番号、市区町村
- 国名
- 電話番号
- Steamアカウントで使用しているメールアドレス
- 注文した商品の種類と価格
CEVAは注文後、これらの配送関連情報を最長90日間保持すると説明されています。そのためValveは、影響したと推定される顧客へ通知を送っています。
Valveは、CEVAから「攻撃者が持ち出した可能性が高い情報」として報告を受け、対象となる顧客に連絡しています。ただし、対象人数や国別の被害規模など、侵害の全容はまだ明らかになっていません。
氏名や住所だけでなく、何をいくらで購入したのかまで含まれる可能性がある点は押さえておきたいところです。こうした情報は、もっともらしい配送連絡を装う材料にもなります。
パスワードや決済情報は対象外と説明
一方、Steamのパスワードや決済情報、Steam Guardコードは今回の侵害対象に含まれていないとValveは説明しています。
CEVAはこれらの情報へアクセスできないためです。
Valveの案内では、今回の通知だけを理由にSteamのパスワードを変更したり、アカウント設定を変更したりする必要はないとされています。
アカウントそのものが侵害されたわけではない点は、ひとまず押さえておきたいポイントです。ただし、それで何も気にしなくていいというわけではありません。
住所や注文商品、価格を知っている人物から連絡が届けば、本物の配送連絡だと思ってしまう可能性があります。注文内容を示されたとしても、それだけで相手が正規の事業者だと判断しないことが大切です。
配送確認や再配達料金を装う詐欺に注意
Valveが特に注意を呼びかけているのが、SteamやValve、配送会社を装ったメール、SMS、電話です。
想定されるのは、配送先住所や注文商品を示して信用させたうえで、税関手数料や再配達料金などの少額決済を求めたり、注文確認を理由に偽のログインページへ誘導したりする手口です。
金額が小さいと「これくらいなら」と支払ってしまいそうですが、実際の注文情報を知っていることと、相手が正規の事業者であることは別です。
通知を受け取った人は、メッセージ内のリンクをそのまま開かず、Steamサポートの公式ページへ自分でアクセスして確認しましょう。
SteamサポートがパスワードやSteam Guardコードを尋ねることはなく、配送業者がこれらを求めることもありません。
今回確認した情報源では、影響対象は欧州で配送されるSteamハードウェアの顧客とされています。日本の購入者への影響や、日本向けの通知については確認できていません。
まとめ
今回の件で気をつけたいのは、Steamアカウントへの直接的な侵入よりも、実際の住所や注文内容を知っている相手から届く、もっともらしい連絡です。
欧州でSteamハードウェアを購入し、Valveから通知を受け取った人は、配送関連のメールやSMSをいつも以上に慎重に確認したほうがよいでしょう。少額の支払いやログインを求められても、メッセージ内のリンクから手続きを進めず、公式ページから確認しましょう。
現時点で日本の購入者への影響は確認されていませんが、CEVAによる調査はまだ続いています。Steamハードウェアを購入した人は、Valveからの案内を確認しつつ、注文情報を使った不審なメールやSMSには警戒しておきたいところです。
