Valve ha fatto marcia indietro. A cinque settimane dall’allarme lanciato ai clienti europei di Steam Deck, Steam Machine e Steam Controller, l’azienda di Bellevue ha inviato una nuova comunicazione il 16 settembre 2026 con un messaggio ribaltato rispetto a quello di agosto: i dati personali legati agli ordini hardware non sono mai stati raggiunti dagli attaccanti. La vicenda, nata da un attacco informatico contro CEVA Logistics, il partner logistico europeo di Valve per la spedizione dell’hardware Steam, si chiude (per ora) con un dietrofront che solleva più domande di quante ne risolva su come le aziende tech comunicano le violazioni di dati ai propri utenti.
Per chi ha acquistato uno Steam Deck, una Steam Machine o un Steam Controller in Europa tra maggio e luglio 2026, la mail del 10 agosto era stata un piccolo shock: nome, indirizzo di spedizione, numero di telefono, email collegata all’account Steam e persino il tipo e il prezzo del dispositivo acquistato erano finiti, secondo Valve stessa, in mano a un attaccante che aveva violato i sistemi di CEVA tra il 29 luglio e il 1° agosto. Sei settimane dopo, la stessa Valve scrive che quel sistema specifico non è stato toccato e che “non c’è al momento alcuna indicazione che i tuoi dati siano stati accessibili all’attaccante in nessun momento durante questo incidente”.
Cosa è successo davvero: la cronologia completa
Ricostruire la sequenza degli eventi aiuta a capire perché questa vicenda sia diventata un caso di studio sulla gestione delle comunicazioni di data breach. Tutto parte da un attacco informatico contro CEVA Logistics, colosso della logistica con oltre 1.000 magazzini nel mondo, che gestisce per conto di Valve le spedizioni dell’hardware Steam nei principali mercati europei. Tra il 29 luglio e il 1° agosto 2026 ignoti sono riusciti a penetrare in una parte dell’infrastruttura di CEVA, colpendo otto magazzini europei su oltre mille totali dell’azienda.
Valve dichiara di essere venuta a conoscenza dell’incidente il 7 agosto, tre giorni dopo la fine della finestra di attacco stimata. Il 10 agosto è partita la prima comunicazione ufficiale ai clienti, indirizzata a chiunque avesse un ordine hardware rientrante nella finestra di conservazione dati di CEVA, fissata a 90 giorni. In pratica, chiunque avesse comprato uno Steam Deck OLED, una Steam Machine o un Controller tra maggio e la fine di luglio si è visto recapitare l’avviso, indipendentemente dal fatto che i propri dati fossero stati effettivamente compromessi o meno. Una scelta prudenziale, ma anche ampia: un modo per non lasciare fuori nessuno, al prezzo di generare allarme diffuso.
Poi, il 16 settembre, la seconda mail. CEVA non ha ancora chiuso la propria indagine forense interna, ma ha già ristretto il perimetro dell’attacco a un sottoinsieme dei propri sistemi. E quel sottoinsieme, secondo quanto comunicato a Valve, non includerebbe il sistema che processava gli ordini hardware Steam dei clienti che hanno ricevuto il nuovo messaggio. Un cambio di rotta significativo, arrivato sei settimane dopo l’allarme iniziale, senza che nel frattempo fosse mai stato pubblicato un numero preciso di record o clienti coinvolti.
La tabella dei fatti verificati
Per orientarsi tra le due comunicazioni di Valve, conviene mettere a confronto cosa diceva l’avviso di agosto e cosa dice l’aggiornamento di settembre.
| Elemento | Comunicazione dell’8 agosto 2026 | Aggiornamento del 16 settembre 2026 |
|---|---|---|
| Finestra dell’attacco a CEVA | 29 luglio – 1° agosto 2026 | Confermata, invariata |
| Sistemi coinvolti | Non specificato, avviso esteso a tutti gli ordini in finestra di 90 giorni | Attacco ristretto a un sottoinsieme dei sistemi CEVA |
| Sistema ordini hardware Steam | Ritenuto potenzialmente coinvolto | Dichiarato non coinvolto per i destinatari del nuovo messaggio |
| Dati potenzialmente esposti | Nome, indirizzo, CAP, città, paese, telefono, email Steam, tipo e prezzo hardware | Nessuna indicazione di accesso effettivo ai dati |
| Password, Steam Guard, pagamenti | Esplicitamente non coinvolti (CEVA non li possiede) | Confermato, nessun cambiamento |
| Magazzini europei coinvolti | 8 su oltre 1.000 totali CEVA | Non aggiornato |
| Indagine forense CEVA | In corso | Ancora non conclusa |
Le parole di Valve, senza filtri
A differenza di molte aziende tech coinvolte in incidenti simili, Valve ha scelto di comunicare direttamente via email ai clienti, con un linguaggio piuttosto tecnico e circostanziato. Nella mail di aggiornamento datata 16 settembre, riportata da PCGuide, l’azienda scrive: “While CEVA has not yet concluded their full internal investigation, we have learned that the attack was limited to a subset of their systems” (tradotto: “Sebbene CEVA non abbia ancora concluso la propria indagine interna, abbiamo appreso che l’attacco è stato limitato a un sottoinsieme dei loro sistemi”) – Valve, comunicazione aziendale (fonte).
Il punto centrale della nuova comunicazione riguarda proprio il sistema che gestiva gli ordini: “In particular, the system that processed your Steam hardware order was not affected” (“in particolare, il sistema che ha processato il tuo ordine hardware Steam non è stato interessato”), scrive ancora Valve nello stesso messaggio (fonte). E poi la rassicurazione più diretta: “There is currently no indication that your data was accessible to the attacker at any time during this incident” (“al momento non c’è alcuna indicazione che i tuoi dati siano stati accessibili all’attaccante in qualunque momento durante questo incidente”) (fonte).
Va detto che già nella comunicazione originale dell’8 agosto Valve aveva delimitato con precisione cosa CEVA non avesse mai potuto vedere. Come riportava Help Net Security, l’azienda scriveva che “additional information related to your Steam account or other purchases was not impacted” (“ulteriori informazioni relative al tuo account Steam o ad altri acquisti non sono state coinvolte”) e che “CEVA does not have access to your payment information, passwords, Steam Guard codes or other information” (“CEVA non ha accesso alle tue informazioni di pagamento, password, codici Steam Guard o altre informazioni”) (fonte). Questo dettaglio, spesso trascurato nelle prime reazioni social all’annuncio di agosto, ha probabilmente limitato i danni reputazionali più gravi, perché escludeva fin da subito lo scenario peggiore: furto di credenziali o dati di pagamento.
Perché un fornitore di logistica ha accesso ai dati dei giocatori
Un dettaglio che l’incidente CEVA mette a nudo, forse più di ogni altro, è quanto sia esteso il perimetro di dati che un’azienda come Valve condivide con i propri fornitori logistici. Per spedire uno Steam Deck da un magazzino europeo alla porta di casa di un cliente, CEVA ha bisogno di nome, indirizzo, numero di telefono e, in questo caso, anche dell’email dell’account Steam collegato all’ordine, oltre a modello e prezzo del prodotto acquistato. Sono informazioni che, prese singolarmente, sembrano innocue, ma che aggregate compongono un profilo sufficientemente dettagliato da alimentare campagne di phishing mirato o tentativi di social engineering contro i singoli account Steam.
Il meccanismo di conservazione dati per 90 giorni, che CEVA applica per finalità operative e di tracciamento delle spedizioni, è esattamente ciò che ha ampliato la platea dei destinatari dell’avviso di agosto: chiunque avesse acquistato hardware Steam in Europa nei tre mesi precedenti l’attacco è rientrato nella comunicazione, anche se il proprio ordine specifico non transitava dal sistema poi indicato come compromesso. È un compromesso tipico della gestione prudenziale dei data breach: notificare in modo ampio per rispettare gli obblighi di trasparenza, anche a costo di generare falsi allarmi che poi vanno corretti, come accaduto qui a distanza di settimane.
Il quadro europeo delle violazioni di terze parti nel 2026
Il caso CEVA-Valve non è un episodio isolato, ma si inserisce in una tendenza che i report di settore registrano con crescente insistenza. Secondo il Verizon Data Breach Investigations Report 2026, il 48% delle violazioni analizzate ha coinvolto in qualche misura una terza parte, un balzo del 60% rispetto al dataset dell’anno precedente. IBM X-Force, nel proprio report 2026, parla di compromissioni della catena di fornitura quasi quadruplicate rispetto al 2020. Sul fronte dei costi, il report Cost of a Data Breach di IBM stima in 4,91 milioni di dollari il costo medio di una violazione originata da un fornitore terzo, contro una media globale di 4,44 milioni: un differenziale dell’11% circa, legato ai tempi più lunghi di rilevamento e contenimento quando l’incidente parte da un anello esterno alla catena di controllo diretta dell’azienda.
Sul fronte normativo, l’analisi annuale di DLA Piper ha calcolato che tra gennaio 2025 e gennaio 2026 in Europa sono state registrate 443 notifiche di data breach al giorno, in crescita del 22% rispetto alle 363 al giorno dell’anno precedente. Il regolamento GDPR, all’articolo 33, impone ai titolari del trattamento di notificare l’autorità di controllo entro 72 ore dalla scoperta di una violazione che comporti un rischio per i diritti e le libertà delle persone. Nel caso Valve-CEVA, la tempistica dichiarata (scoperta il 7 agosto, comunicazione ai clienti il 10 agosto) rientra in una finestra ragionevole, anche se il chiarimento definitivo è arrivato solo un mese e mezzo più tardi.
Confronto con altre violazioni nel settore videoludico
Per capire la reale portata dell’incidente CEVA, è utile confrontarlo con altri casi recenti che hanno coinvolto l’industria dei videogiochi. Il precedente più citato resta quello di Rockstar Games, dove gli attaccanti hanno rivendicato l’accesso a 78,6 milioni di record, in un incidente che secondo le ricostruzioni sarebbe partito anch’esso da un percorso legato a terze parti nella gestione dei dati. Rockstar ha definito l’accaduto come coinvolgente “una quantità limitata di informazioni aziendali non rilevanti”, una formula che ha suscitato scetticismo vista la scala del numero rivendicato dagli attaccanti.
Un altro riferimento utile è il caso Bandai Namco, dove un’intrusione avrebbe reso potenzialmente accessibili fino a 1,366 milioni di informazioni personali, un ordine di grandezza molto più contenuto rispetto a Rockstar ma comunque significativo per un publisher di quella dimensione. Rispetto a entrambi questi casi, l’incidente CEVA-Valve si distingue per due motivi: la scala dichiarata resta senza un numero ufficiale di record coinvolti (Valve non ha mai pubblicato una cifra precisa, parlando solo di “clienti che rientrano nella finestra di 90 giorni”), e soprattutto per l’esito finale, con una parziale ritrattazione che negli altri due casi non si è verificata.
Tabella comparativa: violazioni gaming a confronto nel 2026
| Azienda | Origine della violazione | Dati/record coinvolti | Esito comunicativo |
|---|---|---|---|
| Valve / CEVA Logistics | Attacco al fornitore logistico europeo | Nessuna cifra ufficiale; dati di spedizione potenzialmente esposti | Allarme ad agosto, parziale ritrattazione a settembre |
| Rockstar Games | Presunto accesso legato a terze parti | 78,6 milioni di record rivendicati dagli attaccanti | Ridimensionamento pubblico da parte dell’azienda |
| Bandai Namco | Intrusione diretta nei sistemi | Fino a 1,366 milioni di dati personali potenzialmente accessibili | Comunicazione di intrusione confermata, indagine in corso |
| Media terze parti (Verizon DBIR 2026) | Vendor/fornitori esterni | 48% delle violazioni analizzate a livello globale | Non applicabile (dato aggregato di settore) |
L’impatto sul mercato e sulla fiducia degli utenti Steam
Dal punto di vista commerciale, l’episodio arriva in un momento delicato per Valve. Steam ha chiuso il primo semestre 2026 con un fatturato record da 11,1 miliardi di dollari, il dato semestrale più alto nella storia della piattaforma, secondo quanto riportato dalle analisi di mercato citate da diverse testate specializzate. In questo contesto di crescita robusta della piattaforma software, la divisione hardware (Steam Deck, Steam Machine, Steam Controller) rappresenta comunque una vetrina strategica per Valve, soprattutto in vista del lancio di nuovi dispositivi come Steam Frame. Un incidente di sicurezza, anche se ridimensionato dopo settimane, rischia di alimentare diffidenza proprio tra i clienti più fedeli, quelli disposti ad acquistare hardware proprietario oltre alla semplice libreria di giochi digitali.
Va anche detto che la reazione della community, per quanto emersa nelle discussioni online, non ha assunto i toni di una crisi reputazionale acuta. Diversi utenti hanno apprezzato la trasparenza relativa di Valve, che ha comunicato due volte con dettagli tecnici precisi invece di limitarsi a un comunicato generico. Resta però il nodo temporale: sei settimane tra il primo allarme e la rassicurazione finale sono un lasso di tempo lungo per chi, nel frattempo, ha dovuto vivere con il dubbio che il proprio indirizzo di casa e il proprio numero di telefono fossero in mano a un attaccante sconosciuto.
Cosa dovrebbero fare ora i clienti coinvolti
Per chi ha ricevuto la mail di agosto e non ha ancora ricevuto l’aggiornamento di settembre, la raccomandazione pratica resta quella di trattare con cautela eventuali comunicazioni che sembrano provenire da Valve o da Steam Support, verificando sempre il dominio del mittente e non cliccando su link non richiesti. Anche se le password e i codici Steam Guard non risultano coinvolti in nessuna delle due comunicazioni, l’esposizione di nome, indirizzo e numero di telefono resta un vettore utilizzabile per attacchi di phishing mirato (spear phishing), in cui l’attaccante usa dettagli reali per aumentare la credibilità del messaggio fraudolento.
Attivare l’autenticazione a due fattori tramite l’app Steam Mobile, diffidare di richieste di reset password non richieste e segnalare a Steam Support qualsiasi comunicazione sospetta restano le contromisure più efficaci, indipendentemente dall’esito finale dell’indagine di CEVA. Chi ha ricevuto entrambe le comunicazioni e rientra nel gruppo per cui Valve ha escluso l’accesso ai dati può ragionevolmente considerare chiuso il capitolo, fermo restando che l’indagine forense di CEVA non è ancora formalmente conclusa.
Il contesto storico: come Valve ha gestito incidenti precedenti
Valve non è nuova a incidenti di sicurezza di portata variabile nel corso della sua storia, ma il caso CEVA rappresenta uno dei pochi episodi in cui l’azienda ha comunicato direttamente e in modo dettagliato via email ai clienti coinvolti, anziché limitarsi a un post sul blog di Steam o a una nota generica. Questo approccio più granulare, seppur imperfetto nella tempistica del chiarimento finale, segna una discontinuità rispetto alla prassi più diffusa nel settore, dove spesso le aziende preferiscono comunicati brevi e generici che minimizzano i dettagli tecnici. Il fatto che l’aggiornamento di settembre sia arrivato spontaneamente, senza essere sollecitato da una fuga di notizie o da una richiesta di un’autorità di controllo, va probabilmente letto come un tentativo di Valve di consolidare la fiducia dei clienti europei attraverso la trasparenza proattiva, anche a costo di ammettere che la prima comunicazione era eccessivamente cautelativa.
Le prospettive: cosa aspettarsi nei prossimi mesi
Guardando avanti, si possono formulare alcune previsioni ragionevoli sull’evoluzione del caso e sulle sue ricadute più ampie.
- CEVA Logistics dovrebbe pubblicare, o comunicare a Valve, i risultati definitivi della propria indagine forense entro la fine del 2026, chiarendo se altri clienti europei restano in una condizione di incertezza analoga a quella vissuta tra agosto e settembre.
- È probabile che Valve introduca controlli contrattuali più stringenti sui fornitori logistici terzi, magari limitando la quantità di dati condivisi con CEVA e altri partner di spedizione a livello globale, sulla scia di quanto già fatto da altre aziende tech dopo incidenti simili.
- Il trend delle violazioni legate a fornitori terzi, già al 48% secondo Verizon DBIR 2026, continuerà probabilmente a crescere nel 2027, spingendo le autorità di controllo europee a rafforzare i requisiti di due diligence sui fornitori nella prossima revisione delle linee guida GDPR.
- Altri produttori di hardware gaming (Sony, Microsoft, Nintendo) potrebbero rivedere i propri accordi di data retention con i partner logistici europei per limitare l’esposizione a incidenti analoghi, soprattutto in vista del lancio di nuovi dispositivi hardware nel 2027.
- Non è escluso che qualche associazione di consumatori europea chieda chiarimenti formali a Valve sulla tempistica delle due comunicazioni, vista la distanza di sei settimane tra l’allarme e la rassicurazione, un intervallo che alcuni osservatori giudicano eccessivo per un’azienda delle dimensioni di Valve.
Le lezioni per chi gestisce dati di terze parti
Al di là del caso specifico, la vicenda CEVA-Valve offre alcuni spunti pratici per chi si occupa di sicurezza informatica e gestione dei fornitori nelle aziende tecnologiche. Primo: la finestra di conservazione dati di un fornitore esterno (in questo caso 90 giorni) determina direttamente l’ampiezza della platea da notificare in caso di incidente, indipendentemente dalla reale portata tecnica della compromissione. Secondo: comunicare con cautela e ampiezza in una prima fase, per poi restringere il perimetro una volta completate le verifiche forensi, è una strategia difendibile sul piano legale ma comporta un costo reputazionale che va gestito con annunci successivi chiari e tempestivi. Terzo: la segmentazione dei sistemi lato fornitore (nel caso CEVA, l’aver isolato il sistema di elaborazione ordini hardware Steam dal resto dell’infrastruttura compromessa) è ciò che ha permesso, alla fine, di escludere lo scenario peggiore per un sottoinsieme di clienti.
Per le aziende italiane ed europee che si affidano a fornitori logistici o di servizi esterni per la gestione di dati personali di clienti, il caso rappresenta un promemoria concreto sull’importanza di clausole contrattuali chiare in materia di notifica degli incidenti, tempi di risposta e limitazione dei dati condivisi al minimo necessario (il principio di minimizzazione previsto dall’articolo 5 del GDPR). Anche fornitori di grandi dimensioni e apparentemente solidi, come CEVA Logistics con oltre mille magazzini nel mondo, possono diventare il punto debole della catena.
Domande frequenti
Cos’è successo esattamente nell’incidente CEVA Logistics-Valve?
Tra il 29 luglio e il 1° agosto 2026 un attacco informatico ha colpito CEVA Logistics, il partner che gestisce le spedizioni europee dell’hardware Steam per conto di Valve. L’attacco ha coinvolto otto magazzini europei su oltre mille totali dell’azienda.
I miei dati Steam sono stati rubati?
Secondo l’aggiornamento di Valve del 16 settembre 2026, per i clienti che hanno ricevuto la nuova comunicazione non ci sono indicazioni che i dati siano stati effettivamente accessibili all’attaccante. Il sistema che processava gli ordini hardware Steam non risulterebbe tra quelli colpiti.
Password e dati di pagamento sono a rischio?
No. Valve ha chiarito fin dalla prima comunicazione che CEVA non ha mai avuto accesso a password, codici Steam Guard o informazioni di pagamento degli utenti, dati che restano gestiti esclusivamente dai sistemi Steam.
Perché Valve ha cambiato versione a distanza di sei settimane?
Perché CEVA ha continuato l’indagine forense interna dopo la prima comunicazione, restringendo progressivamente il perimetro dell’attacco e individuando quali sistemi specifici fossero effettivamente coinvolti.
Quali dati erano potenzialmente esposti secondo l’avviso originale?
Nome, indirizzo di spedizione, CAP, città, paese, numero di telefono, email collegata all’account Steam, oltre al tipo e al prezzo dell’hardware acquistato.
Quanti clienti sono stati coinvolti in totale?
Valve non ha mai pubblicato un numero ufficiale. La comunicazione ha riguardato tutti i clienti europei con un ordine hardware Steam rientrante nella finestra di conservazione dati di 90 giorni di CEVA, indicativamente tra maggio e luglio 2026.
Cosa devo fare se ho ricevuto la mail di agosto ma non quella di settembre?
È consigliabile attendere ulteriori comunicazioni da Valve, mantenere attiva l’autenticazione a due fattori sull’account Steam e diffidare di eventuali richieste di reset password o messaggi sospetti che citano l’incidente.
Questo incidente è collegato ad altre violazioni recenti nel settore gaming?
Non direttamente, ma si inserisce nello stesso trend di attacchi rivolti a fornitori terzi che ha coinvolto anche altri publisher del settore, come dimostrano i casi Rockstar Games e Bandai Namco nel corso del 2026.
