概要

ビデオゲーム大手Valveは、Steam Deckなどのハードウェアを欧州の顧客に配送するパートナーであるCEVA Logisticsがサイバー攻撃を受け、顧客データが流出したことを顧客に通知した。攻撃は2026年7月29日から8月1日にかけて発生し、Valveは8月7日にこの事実を把握、その後対象顧客に通知メールを送付した。流出したのは氏名、住所、郵便番号、都市、国、電話番号、メールアドレス、購入したハードウェアの種類と価格といった情報で、攻撃から90日以内に注文した欧州の顧客が通知対象となっている。一方で、支払い情報、Steamのパスワード、Steam Guard認証コードなどのアカウント関連の機密情報へのアクセスはなかったとされ、Valveはユーザーに対しパスワード変更やアカウント設定の変更は不要と明言している。

被害の広がりと背景

今回の侵害はValve単体の問題ではなく、フランスに拠点を置き2025年に183億ドルの収益を上げた大手物流企業CEVA Logisticsへの攻撃に起因する、より広範なサプライチェーン被害の一部である。7月29日の攻撃により欧州の8つの倉庫が影響を受け、オランダの大手オンライン小売Bol、高級百貨店De Bijenkorf、サッカークラブAjax、ING銀行、眼鏡メーカーAce & Tateなど、業種を横断した複数の企業の顧客データが流出した。オランダのデータ保護当局には10の機関から被害報告が寄せられているという。攻撃の実行者や身代金要求の有無についてCEVAは情報を開示しておらず、詳細は明らかになっていない。また、この攻撃により当該地域では配送遅延や注文キャンセルも発生しており、物流網そのものにも支障が生じている。

今後の対応とユーザーへの注意喚起

Valveは今回の件について各国のデータ保護当局への通知を行うとともに、対象顧客に対してフィッシングメールやSMS、音声通話を使った詐欺への警戒を呼びかけている。攻撃者が流出した氏名や住所、注文情報を悪用し、Valveやその配送業者を装った巧妙なフィッシング詐欺を仕掛ける可能性があるためだ。今回の事案は、決済情報やアカウント認証情報そのものが直接盗まれたわけではないものの、委託先である物流企業のセキュリティ体制の脆弱性が、最終的に大手ブランドの顧客データ漏洩リスクに直結することを改めて示す事例となった。サードパーティやサプライチェーン企業への攻撃が、業界を問わず広範囲な二次被害を引き起こす構図は今後も繰り返される可能性があり、企業側には委託先を含めたセキュリティ管理の強化が求められている。