Entre 29 de julho e 1º de agosto de 2026, um ataque cibernético à CEVA Logistics, parceira de logística da Valve na Europa, expôs nomes, endereços, números de telefone e e-mails de clientes que compraram hardware da Steam — como Steam Machines e Steam Controllers. A Valve, informada da falha em 7 de agosto, confirmou o incidente e tratou de avisar os usuários: os dados vazados são exatamente o combustível que golpistas precisam para transformar um phishing genérico (golpe que usa mensagens falsas para roubar dados) em uma armadilha convincente. A boa notícia, se é que existe uma, é que informações financeiras e credenciais de conta não foram acessadas.

O que exatamente vazou (e o que ficou de fora)

A CEVA Logistics é a empresa responsável por entregar o hardware físico da Valve na Europa, o que significa que ela guarda, durante o processo de transporte, um pacote de informações sensíveis de compra: nome completo, endereço de entrega, telefone de contato, e-mail e detalhes do pedido. Segundo a Valve, a empresa de logística retém esses dados por até 90 dias após a entrega, então qualquer cliente europeu que tenha comprado uma Steam Machine ou um Steam Controller nesse período pode estar na lista dos afetados. Se a pergunta é 'o que não vazou?', a resposta também vem das fontes: números de cartão, senhas e códigos Steam Guard não foram comprometidos, porque a CEVA simplesmente não tem acesso a essas informações em seus sistemas.

Essa distinção é importante porque define o nível de resposta necessário. Se senhas tivessem vazado, a orientação seria trocar a senha imediatamente e revisar sessões ativas; não foi o caso. A Valve afirmou que os detalhes da conta Steam, senhas e códigos de autenticação permanecem seguros e não precisam ser alterados. Então, por que a empresa está tratando o caso com tanta urgência? Porque os dados que vazaram são a matéria-prima do golpe de engenharia social, a manipulação psicológica da vítima para que ela própria entregue informações, e a Valve sabe que informação pessoal real é o que separa um e-mail de phishing que vai para o spam de um que convence a vítima.

O prato cheio para golpistas

Um golpista que sabe seu endereço, seu telefone e o que você comprou não precisa mais adivinhar nada: ele pode montar uma mensagem que parece ter vindo da própria transportadora, cobrando uma taxa alfandegária inexistente ou pedindo a 'verificação' de um pedido que você realmente fez. A Valve alertou explicitamente para esse tipo de abordagem, que pode chegar por SMS, e-mail ou até ligação telefônica, e reforçou que o Suporte Steam não entra em contato com usuários por e-mail, Steam Chat ou Discord para tratar de problemas de conta. Se alguém aparecer com essa história, o caminho oficial é sempre o help.steampowered.com — e desconfiar de qualquer link que chegue por mensagem.

O detalhe mais incômodo é que o vazamento não aconteceu nos servidores da Valve, mas na empresa contratada por ela. Se a lógica do ataque é 'invadir o elo mais fraco da corrente', então a corrente aqui tem um elo quebrado na CEVA Logistics, que confirmou que o impacto operacional do ataque ficou restrito a oito armazéns na Europa. A empresa afirma que isolou os sistemas afetados e está colaborando com as autoridades, mas a extensão real do estrago ainda está sendo dimensionada — e a Valve está pressionando por detalhes completos sobre a origem da falha.

O problema é maior que a Valve

O ataque à CEVA não foi um incidente isolado com um único cliente. O porta-voz da autoridade de proteção de dados da Holanda, Mark Schenkel, confirmou que dez organizações reportaram incidentes relacionados a essa invasão à agência, o que indica que a breach (termo técnico para vazamento de dados) se espalhou por vários setores que usam a CEVA como parceira logística. Isso inclui bancos, varejistas e outras empresas europeias, cada uma com seus próprios clientes afetados, e explica por que a investigação está sendo conduzida em âmbito nacional e pode ganhar contornos maiores conforme outras autoridades de proteção de dados da Europa sejam notificadas.

Para a Valve, o caminho agora é duplo: internamente, cobrar da CEVA um relatório completo sobre a extensão do ataque e a origem da falha; externamente, notificar as autoridades de proteção de dados nos países europeus pertinentes, como exige a legislação local. A empresa também está em modo de comunicação ativa com os usuários, e é provável que novos detalhes surjam nos próximos dias. O caso, aliás, segue um padrão que já vimos no Discord, que em outubro de 2025 confirmou um vazamento de dados após um ataque a um fornecedor terceirizado de suporte — a diferença é que lá o alvo foi o suporte, e aqui é a logística.

Se existe uma lição prática, ela é a seguinte: empresas podem ter a segurança mais rígida do mundo, mas se um fornecedor externo tem acesso a dados sensíveis, esse fornecedor vira um alvo legítimo. E o usuário final, que não tem controle sobre a escolha da transportadora, acaba sendo o elo mais exposto da corrente, justamente porque os dados dele é que circulam entre os sistemas. No caso específico da Valve, a boa notícia é que credenciais e pagamentos estão seguros; a má notícia é que nomes, endereços e telefones já estão em circulação, e a única defesa possível contra o uso criminoso deles é a desconfiança ativa.

A caixa de ferramentas: o que fazer agora

Para quem comprou hardware Steam na Europa recentemente, a recomendação prática é simples e direta: ignore qualquer mensagem que cobre taxas alfandegárias, peça verificação de pedido ou ofereça 'suporte técnico' por e-mail, SMS ou Discord. Se a dúvida for legítima, o caminho é abrir o site oficial da Steam manualmente (não clicar em links recebidos) e usar o canal de suporte oficial. Senhas não precisam ser trocadas, mas a atenção a ligações e mensagens com dados pessoais seus precisa ser redobrada, porque a partir de agora quem tem seu endereço e telefone pode usá-los para parecer confiável. O vazamento é real, os dados estão em circulação e o próximo passo da história será escrito pela investigação da CEVA; enquanto isso, a defesa mais eficiente continua sendo a boa e velha desconfiança.