Les données personnelles des clients d'European Valve ont été exposées à la suite du piratage d'un partenaire de transport

Valve a commencé à contacter les clients européens ayant acheté du matériel Steam pour les avertir qu’une cyberattaque visant son partenaire régional de livraison, CEVA Logistics, a probablement exposé leurs informations personnelles de livraison. Dans des e-mails partagés par des utilisateurs concernés sur Reddit, Valve a indiqué que l’attaque contre CEVA Logistics avait eu lieu entre le 29 juillet et le 1er août 2026. La société a déclaré avoir pris connaissance de cette probable fuite de données le 7 août.

CEVA Logistics est une entreprise dont le siège social est situé en France et qui expédie, pour le compte de Valve, du matériel Steam, notamment des Steam Machines, des manettes Steam et des Steam Deck, à des clients dans toute l’Europe. Selon Valve, CEVA conserve les informations client liées à la livraison pendant une durée maximale de 90 jours après la passation d’une commande, ce qui signifie que toute personne ayant acheté du matériel Steam en Europe au cours de cette période pourrait être concernée.

Les informations exposées comprennent les noms, adresses, pays, numéros de téléphone des clients, adresses e-mail des comptes Steam ainsi que les détails du matériel acheté. Valve a précisé que les mots de passe, les codes Steam Guard et les informations de paiement n’étaient pas stockés par CEVA et n’étaient donc pas concernés par cette violation.

Valve a averti les clients concernés de s’attendre à recevoir de faux messages par e-mail, SMS ou téléphone faisant référence à leur commande de matériel et semblant provenir de Steam, de Valve ou d’un transporteur. La société a indiqué que les escrocs pourraient citer l’adresse réelle d’un client pour paraître légitimes, puis demander des frais de douane ou de réexpédition, ou encore exiger un identifiant de connexion pour « vérifier » la commande.

Valve a précisé que tous ces messages devaient être considérés comme frauduleux, et qu’elle faisait pression sur CEVA Logistics pour connaître l’étendue exacte des données volées et les circonstances de cette violation.

Selon un article de FreightWaves repris par plusieurs médias, cette cyberattaque a touché huit centres de stockage de CEVA et entraîné des retards d’expédition dans toute l’Europe pour plusieurs clients du secteur de la vente au détail de cette entreprise de logistique, notamment les enseignes néerlandaises De Bijenkorf et Bol. CEVA Logistics a enregistré un chiffre d’affaires de 18,3 milliards de dollars l’année dernière et exploite environ 1 700 sites répartis dans 170 pays, au service de clients autres que Valve.

CEVA a indiqué qu’elle enquêtait toujours sur l’ampleur de l’attaque et qu’elle avait isolé les systèmes concernés. Valve a déclaré qu’elle prévoyait d’informer les autorités chargées de la protection des données dans les pays européens concernés à mesure que l’enquête se poursuit. Valve n’a pas révélé le nombre de clients touchés par cette violation.