--- title: "Valve confirma possível vazamento de dados em envios de hardware Steam" author: "Gabriela P. Torres" date: "2026-08-12 08:01:00-03" category: "Segurança & Privacidade" url: "http://desbugados.scale.press/portal/desbugados/post/2026/08/12/valve-confirma-possivel-vazamento-de-dados-em-envios-de-hardware-steam/md" --- ## Resumo - Ataque à CEVA Logistics entre 29 de julho e 1º de agosto de 2026 expôs dados de clientes europeus da Steam. - Informações vazadas incluem nomes, endereços, telefones e e-mails; dados de pagamento e senhas não foram acessados. - Valve foi notificada em 7 de agosto e alerta para golpes de phishing que usam os dados vazados para parecer legítimos. - Golpistas podem cobrar taxas alfandegárias falsas ou pedir verificação de pedido por SMS, e-mail ou telefone. - Suporte Steam não entra em contato por e-mail, Steam Chat ou Discord; comunicações oficiais ocorrem apenas via help.steampowered.com. - CEVA confirmou impacto em oito armazéns na Europa; dez organizações reportaram incidentes à autoridade holandesa. - Valve pressiona CEVA por detalhes sobre a origem da falha e planeja notificar autoridades de proteção de dados europeias. --- Entre **29 de julho e 1º de agosto de 2026**, um ataque cibernético à **[CEVA Logistics](https://www.theverge.com/games/977314/valve-steam-hardware-shipping-data-breach)**, parceira de logística da **Valve** na Europa, expôs nomes, endereços, números de telefone e e-mails de clientes que compraram hardware da Steam — como Steam Machines e Steam Controllers. A Valve, informada da falha em **7 de agosto**, confirmou o incidente e tratou de avisar os usuários: os dados vazados são exatamente o combustível que golpistas precisam para transformar um phishing genérico (golpe que usa mensagens falsas para roubar dados) em uma armadilha convincente. A boa notícia, se é que existe uma, é que informações financeiras e credenciais de conta não foram acessadas. ## O que exatamente vazou (e o que ficou de fora) A **CEVA Logistics** é a empresa responsável por entregar o hardware físico da Valve na Europa, o que significa que ela guarda, durante o processo de transporte, um pacote de informações sensíveis de compra: nome completo, endereço de entrega, telefone de contato, e-mail e detalhes do pedido. Segundo a Valve, a empresa de logística retém esses dados por até **90 dias após a entrega**, então qualquer cliente europeu que tenha comprado uma Steam Machine ou um Steam Controller nesse período pode estar na lista dos afetados. Se a pergunta é 'o que não vazou?', a resposta também vem das fontes: números de cartão, senhas e códigos Steam Guard não foram comprometidos, porque a CEVA simplesmente não tem acesso a essas informações em seus sistemas. Essa distinção é importante porque define o nível de resposta necessário. Se senhas tivessem vazado, a orientação seria trocar a senha imediatamente e revisar sessões ativas; não foi o caso. A **Valve** afirmou que os detalhes da conta Steam, senhas e códigos de autenticação permanecem seguros e não precisam ser alterados. Então, por que a empresa está tratando o caso com tanta urgência? Porque os dados que vazaram são a matéria-prima do golpe de engenharia social, a manipulação psicológica da vítima para que ela própria entregue informações, e a Valve sabe que informação pessoal real é o que separa um e-mail de phishing que vai para o spam de um que convence a vítima. ## O prato cheio para golpistas Um golpista que sabe seu endereço, seu telefone e o que você comprou não precisa mais adivinhar nada: ele pode montar uma mensagem que parece ter vindo da própria transportadora, cobrando uma taxa alfandegária inexistente ou pedindo a 'verificação' de um pedido que você realmente fez. A **Valve** alertou explicitamente para esse tipo de abordagem, que pode chegar por SMS, e-mail ou até ligação telefônica, e reforçou que o **Suporte Steam** não entra em contato com usuários por e-mail, Steam Chat ou Discord para tratar de problemas de conta. Se alguém aparecer com essa história, o caminho oficial é sempre o help.steampowered.com — e desconfiar de qualquer link que chegue por mensagem. O detalhe mais incômodo é que o vazamento não aconteceu nos servidores da Valve, mas na empresa contratada por ela. Se a lógica do ataque é 'invadir o elo mais fraco da corrente', então a corrente aqui tem um elo quebrado na **CEVA Logistics**, que confirmou que o impacto operacional do ataque ficou restrito a **oito armazéns na Europa**. A empresa afirma que isolou os sistemas afetados e está colaborando com as autoridades, mas a extensão real do estrago ainda está sendo dimensionada — e a Valve está pressionando por detalhes completos sobre a origem da falha. ## O problema é maior que a Valve O ataque à CEVA não foi um incidente isolado com um único cliente. O porta-voz da autoridade de proteção de dados da Holanda, **Mark Schenkel**, confirmou que **dez organizações** reportaram incidentes relacionados a essa invasão à agência, o que indica que a breach (termo técnico para vazamento de dados) se espalhou por vários setores que usam a CEVA como parceira logística. Isso inclui bancos, varejistas e outras empresas europeias, cada uma com seus próprios clientes afetados, e explica por que a investigação está sendo conduzida em âmbito nacional e pode ganhar contornos maiores conforme outras autoridades de proteção de dados da Europa sejam notificadas. Para a Valve, o caminho agora é duplo: internamente, cobrar da CEVA um relatório completo sobre a extensão do ataque e a origem da falha; externamente, notificar as autoridades de proteção de dados nos países europeus pertinentes, como exige a legislação local. A empresa também está em modo de comunicação ativa com os usuários, e é provável que novos detalhes surjam nos próximos dias. O caso, aliás, segue um padrão que já vimos no Discord, que em outubro de 2025 confirmou um [vazamento de dados após um ataque a um fornecedor terceirizado de suporte](https://desbugados.com.br/post/2025/10/05/discord-confirma-vazamento-de-dados-apos-ataque-a-fornecedor-terceirizado) — a diferença é que lá o alvo foi o suporte, e aqui é a logística. Se existe uma lição prática, ela é a seguinte: empresas podem ter a segurança mais rígida do mundo, mas se um fornecedor externo tem acesso a dados sensíveis, esse fornecedor vira um alvo legítimo. E o usuário final, que não tem controle sobre a escolha da transportadora, acaba sendo o elo mais exposto da corrente, justamente porque os dados dele é que circulam entre os sistemas. No caso específico da **Valve**, a boa notícia é que credenciais e pagamentos estão seguros; a má notícia é que nomes, endereços e telefones já estão em circulação, e a única defesa possível contra o uso criminoso deles é a desconfiança ativa. ## A caixa de ferramentas: o que fazer agora Para quem comprou hardware Steam na Europa recentemente, a recomendação prática é simples e direta: ignore qualquer mensagem que cobre taxas alfandegárias, peça verificação de pedido ou ofereça 'suporte técnico' por e-mail, SMS ou Discord. Se a dúvida for legítima, o caminho é abrir o site oficial da Steam manualmente (não clicar em links recebidos) e usar o canal de suporte oficial. Senhas não precisam ser trocadas, mas a atenção a ligações e mensagens com dados pessoais seus precisa ser redobrada, porque a partir de agora quem tem seu endereço e telefone pode usá-los para parecer confiável. O vazamento é real, os dados estão em circulação e o próximo passo da história será escrito pela investigação da **CEVA**; enquanto isso, a defesa mais eficiente continua sendo a boa e velha desconfiança.