Fuga de Dados Steam: CEVA Logistics Confirma Ataque [2026]

A Valve passou a semana passada a avisar clientes europeus da Steam de que os seus dados pessoais podem ter sido comprometidos. A causa não esteve nos servidores da própria Steam, mas num parceiro de logística pouco conhecido do público, a CEVA Logistics, responsável por entregar hardware como o Steam Deck, o Steam Machine e o Steam Controller em toda a Europa. O ataque decorreu entre 29 de julho e 1 de agosto, mas só se tornou público a 10 de agosto, quando a TechCrunch, a BleepingComputer e a Windows Central confirmaram os detalhes junto da própria Valve e da CEVA. Esta fuga de dados Steam não expôs palavras-passe nem dados de pagamento. Ainda assim, levanta uma pergunta mais incómoda: quão seguros estão os fornecedores que tratam da logística de gigantes tecnológicos como a Valve.

O que aconteceu: a cronologia do ataque à CEVA Logistics

Segundo a BleepingComputer, os atacantes tiveram acesso aos servidores europeus da CEVA Logistics entre 29 de julho e 1 de agosto de 2026. A CEVA confirmou a intrusão às empresas clientes assim que a identificou, no dia 1 de agosto. A Valve só teve conhecimento do incidente a 7 de agosto, data em que começou a enviar avisos por email aos clientes Steam que tinham comprado hardware na Europa nos últimos meses. O caso tornou-se público a 10 de agosto, quando vários órgãos de comunicação especializados em segurança confirmaram os detalhes de forma independente.

A CEVA garante que o impacto operacional ficou limitado a oito armazéns na Europa e que nenhum outro sistema global da empresa foi afetado. Esta fuga de dados da Steam já é considerada, pela dimensão dos envolvidos, um dos casos mais relevantes do ano no setor da logística europeia. A tabela seguinte resume os principais marcos conhecidos até à data.

Data	Acontecimento
29 de julho de 2026	Atacantes obtêm acesso não autorizado aos sistemas europeus da CEVA Logistics
1 de agosto de 2026	A CEVA perde o acesso dos atacantes e confirma a intrusão às empresas clientes, incluindo a Valve
7 de agosto de 2026	A Valve identifica o incidente e começa a notificar clientes Steam na Europa por email
10 de agosto de 2026	TechCrunch, BleepingComputer e Windows Central noticiam o caso. A autoridade holandesa de proteção de dados confirma 10 participações de incidente ligadas à CEVA
13 de agosto de 2026	Continua por esclarecer o número exato de clientes Steam afetados e a identidade dos atacantes

Quem é a CEVA Logistics e porque trata das entregas da Steam

A maioria dos clientes Steam nunca tinha ouvido falar da CEVA Logistics antes desta semana, o que é normal. A empresa é uma operadora de logística contratual, não uma marca virada para o consumidor. Sedeada em Marselha, França, é uma subsidiária a 100% do grupo francês CMA CGM e opera em mais de 160 países, com cerca de mil localizações e quase 80 mil trabalhadores, segundo dados da Wikipedia e da consultora de dados laborais Revelio Labs, referentes a março de 2026. Desde 1 de julho de 2026, a empresa tem um novo CEO, Patrick Moebel, que chegou depois de liderar a FedEx Logistics.

Como acontece com muitas marcas tecnológicas, a Valve não gere a sua própria rede de distribuição física na Europa. Em vez disso, subcontrata a operadores como a CEVA para receber, armazenar e enviar produtos físicos como o Steam Deck. É um modelo comum e normalmente invisível para o utilizador final, até um incidente como este expor a dependência que a Valve tem de um único fornecedor externo para tratar dados de entrega de milhares de clientes.

Que dados foram (e não foram) comprometidos

A CEVA guarda informação de envio durante 90 dias, o que definiu quais os clientes que a Valve conseguiu identificar como potencialmente afetados. Praticamente qualquer pessoa que tenha comprado hardware Steam na Europa nesse período recebeu, ou pode ainda vir a receber, um aviso da Valve.

Dados potencialmente expostos

Nome completo
Morada, código postal e cidade
País de residência
Número de telefone
Endereço de email associado à conta Steam
Tipo e preço do hardware encomendado

Dados que continuam protegidos

A Valve foi clara num ponto: palavras-passe da Steam, códigos Steam Guard, dados de cartões de pagamento e histórico de compras não relacionadas com hardware não foram expostos através deste incidente na CEVA. Essa distinção importa, porque reduz o risco imediato de alguém invadir contas Steam diretamente. O risco real está noutro lado, como se explica mais à frente.

A resposta da Valve aos clientes Steam

Nos emails enviados a partir de 7 de agosto, a Valve disse aos clientes afetados que não precisam de alterar a palavra-passe da Steam, uma vez que as credenciais não fizeram parte da fuga. A empresa remeteu dúvidas adicionais para a página de apoio help.steampowered.com, onde também decorre uma discussão pública no fórum oficial da comunidade Steam sobre o caso.

Segundo a Windows Central, não existe, até à data, confirmação pública sobre quantos clientes foram efetivamente afetados nem sobre a forma exata como o ataque decorreu dentro dos sistemas da CEVA. A Valve optou por notificar de forma alargada, mesmo sem certezas totais sobre o alcance exato do incidente, o que é a prática recomendada em situações de fuga de dados junto de um fornecedor terceiro.

O comunicado oficial da CEVA Logistics

A CEVA emitiu uma declaração à TechCrunch a confirmar o incidente. Em tradução livre, a empresa afirmou: “A 1 de agosto, a CEVA Logistics confirmou aos clientes afetados que uma intrusão cibernética atingiu parte das suas operações de logística contratual na Europa. Assim que o incidente foi identificado, as equipas de cibersegurança da CEVA ativaram de imediato os protocolos de segurança e iniciaram uma investigação aprofundada, que continua em curso.”

A empresa acrescentou: “O impacto operacional está limitado a oito armazéns. Nenhum outro sistema global da CEVA foi afetado, e todas as restantes operações continuam sem incidentes.” A CEVA não confirmou publicamente, até à data desta análise, quantas marcas ou clientes finais foram atingidos ao todo.

Steam Deck, Steam Machine e Steam Controller: que hardware está em risco

A Windows Central confirma que compradores de Steam Machine e Steam Controller na Europa estão entre os afetados, o que sugere que qualquer produto físico da Valve distribuído através da CEVA no período em causa pode estar envolvido, incluindo o Steam Deck. A questão ganha peso porque a Valve tem, em 2026, uma das linhas de hardware mais ativas da sua história: o Steam Machine chegou às lojas europeias há poucos meses, o Steam Controller regressou ao mercado, e a empresa continua a desenvolver o headset de realidade virtual Steam Frame. Cada um destes lançamentos depende de parceiros de distribuição física como a CEVA para chegar às casas dos clientes europeus.

Para quem acompanha o histórico recente de preços e lançamentos de hardware Steam, incluindo o já testado Steam Deck OLED, este incidente soma-se a um ano em que a Valve tem estado sob escrutínio constante, entre subidas de preço, atrasos e agora um problema de segurança que não teve origem nos seus próprios sistemas.

Portugal, a União Europeia e as autoridades de proteção de dados

A CEVA e a Valve notificaram as autoridades de proteção de dados relevantes na Europa, uma obrigação prevista no artigo 33.º do RGPD sempre que exista risco para os direitos e liberdades dos titulares dos dados. Um porta-voz da autoridade holandesa de proteção de dados, Mark Schenkel, confirmou à TechCrunch que o organismo já tinha recebido comunicações de incidente de 10 organizações diferentes ligadas ao ataque à CEVA, o que mostra que o problema ultrapassa em muito a Steam. Bancos, retalhistas e outras marcas que também usam a CEVA como fornecedor de logística reportaram casos semelhantes na mesma semana.

Em Portugal, a autoridade equivalente é a CNPD, que normalmente acompanha este tipo de caso em coordenação com as restantes autoridades europeias quando o incidente atravessa fronteiras. O enquadramento nacional de resposta a incidentes tem vindo a reforçar-se, como mostra a nossa cobertura sobre a transposição da NIS2 em Portugal, que já abrange perto de 9.000 empresas e prevê coimas até 10 milhões de euros para falhas de conformidade.

Quanto pode custar: o quadro de coimas do RGPD

O artigo 83.º do RGPD estabelece dois níveis de coima. Para infrações mais graves, o limite chega aos 20 milhões de euros ou 4% do volume de negócios anual mundial, consoante o valor mais elevado. Para infrações de menor gravidade, o teto desce para 10 milhões de euros ou 2% do volume de negócios mundial. Qual dos dois níveis se aplicaria a este caso depende de uma investigação formal, que pode demorar meses a concluir.

A CEVA já vinha de um ano difícil no capítulo da conformidade. Em março de 2026, a polícia financeira italiana apreendeu 27,4 milhões de euros a duas divisões da CEVA Logistics no âmbito de uma investigação a alegada evasão fiscal e práticas laborais irregulares, segundo a Reuters. O caso não tem relação direta com o ciberataque, mas soma-se a um historial regulatório que dificilmente ajuda a empresa a argumentar boa-fé perante reguladores europeus de proteção de dados.

Não é a primeira vez: a CEVA e o grupo CoinbaseCartel

Este não terá sido o primeiro incidente de segurança a atingir a CEVA Logistics. Rastreadores públicos de fugas de dados registam que, em setembro de 2025, a empresa foi listada no site de divulgação de um grupo de extorsão conhecido como CoinbaseCartel, que alegou ter exfiltrado ficheiros internos da CEVA. Esse episódio é distinto do ataque de julho e agosto de 2026 que afetou a Steam, e não há, até à data, qualquer ligação confirmada entre os dois casos.

Quanto à autoria do ataque mais recente, o site especializado SecurityAffairs escreveu que, até ao momento da sua reportagem, nenhum grupo de ransomware tinha reivindicado a responsabilidade pelo incidente. Isso pode mudar nas próximas semanas, à medida que mais detalhes forem conhecidos.

Comparação: as maiores fugas de dados no setor gaming e tecnológico em 2026

Colocado ao lado de outras fugas de dados noticiadas este ano, o incidente CEVA-Steam destaca-se menos pelo volume de registos, que continua por confirmar, e mais pelo modelo de ataque: um fornecedor terceiro que serve dezenas de marcas ao mesmo tempo. A tabela seguinte compara alguns dos casos mais relevantes de 2026.

Empresa	Dados afetados	Vetor do ataque
CEVA Logistics (Steam/Valve)	Não confirmado (dados de entrega de clientes de hardware Steam)	Fornecedor terceiro de logística
Rockstar Games	78,6 milhões de registos	Grupo ShinyHunters
Telus Digital	1 petabyte de dados, 28 empresas clientes	Grupo ShinyHunters, fornecedor terceiro
Odido	6,39 milhões de afetados	Extorsão com resgate de 1 milhão de euros

O padrão que salta à vista é a repetição de fornecedores terceiros como ponto de entrada. Tanto a CEVA como o caso da Telus Digital mostram como um único fornecedor comprometido pode expor clientes de marcas completamente distintas entre si, de bancos a retalhistas a empresas de jogos, sem que nenhuma dessas marcas tenha falhado diretamente na proteção dos seus próprios sistemas.

O risco da cadeia de fornecimento: quando o alvo não é quem é atacado

O caso CEVA junta-se a uma tendência que a nossa cobertura de segurança tem vindo a documentar ao longo de 2026: ataques que não visam diretamente a marca final, mas sim um fornecedor com acesso a dados de múltiplos clientes. Vimos um padrão semelhante no caso TeamPCP, que comprometeu ferramentas usadas por várias equipas de desenvolvimento em simultâneo. O relatório de Investigações de Fugas de Dados da Verizon já tinha identificado que uma parcela relevante das fugas em 2026 tem origem em vulnerabilidades por explorar, muitas delas em sistemas de terceiros e não nos das próprias vítimas finais.

Para a Valve, o episódio expõe um risco que poucos utilizadores consideram: escolher um jogo na Steam é uma decisão digital, mas comprar hardware físico obriga a empresa a confiar os dados desses clientes a operadoras de armazém e transporte, sujeitas às mesmas falhas de segurança que qualquer outra empresa de tecnologia. Nenhuma quantidade de cuidado nos servidores da própria Steam evita este tipo de exposição indireta.

Reação da comunidade Steam e impacto no mercado

A reação à fuga de dados Steam nos fóruns oficiais e em comunidades como o r/Steam misturou preocupação com pedidos de mais transparência sobre o número real de afetados. Vários utilizadores notaram que a janela de retenção de 90 dias da CEVA definiu, de forma um tanto arbitrária, quem recebeu aviso e quem não recebeu, mesmo que compras mais antigas possam também ter passado pelos mesmos armazéns em risco.

Em termos de mercado, a Valve continua a ser uma empresa privada, pelo que o incidente não teve reflexo imediato em cotações bolsistas. O impacto mais provável é reputacional e operacional: custos de resposta ao incidente, possível revisão de contrato com a CEVA e, a prazo, maior escrutínio sobre como a empresa escolhe parceiros de logística para sustentar a sua expansão em hardware físico, justamente numa altura em que tenta consolidar o Steam Machine e o Steam Controller como alternativas de peso às consolas tradicionais.

Como proteger-se se comprou hardware Steam na Europa

Quem comprou um Steam Deck, Steam Machine ou Steam Controller na Europa nos últimos meses deve assumir que o nome, morada e email associados a essa compra podem estar em circulação. O maior risco não é o acesso direto à conta Steam, mas sim tentativas de phishing que usem esses dados para parecerem mais credíveis.

Sinais de phishing a que deve estar atento

A Valve foi direta num ponto: nem a Steam nem qualquer empresa de transporte legítima pedem a palavra-passe ou o código Steam Guard por email, chat ou telefone. Qualquer mensagem que peça isso deve ser tratada como suspeita, independentemente de parecer vir da Valve, da CEVA ou de uma transportadora.

Antes de clicar em qualquer link relacionado com este caso, confirme:
1. O dominio do remetente e steampowered.com, steamcommunity.com ou help.steampowered.com?
2. O email pede a palavra-passe ou o codigo Steam Guard? Isso nunca e legitimo.
3. Existe pressao para agir "com urgencia" ou "no prazo de 24 horas"? E um sinal classico de phishing.
4. Em caso de duvida, aceda diretamente a help.steampowered.com pelo browser, sem clicar em links do email.

O que esperar a seguir: previsões para os próximos meses

Com base no que se sabe até agora, há alguns desenvolvimentos plausíveis para as próximas semanas e meses.

Mais empresas devem confirmar exposição. Com 10 organizações já a reportar incidentes ligados à CEVA junto da autoridade holandesa, é provável que surjam mais marcas a admitir clientes afetados nas próximas semanas.
Abertura de processos formais de averiguação. Dada a dimensão do incidente e o número de países envolvidos, não seria surpreendente ver uma ou mais autoridades europeias de proteção de dados abrir um processo formal contra a CEVA nos próximos 12 a 18 meses.
Aumento de tentativas de phishing. É expectável um pico de campanhas de phishing dirigidas a compradores recentes de hardware Steam na Europa, replicando o padrão visto noutras fugas de dados de retalho em 2026.
Auditorias mais apertadas a fornecedores terceiros. Empresas de tecnologia e de jogos com operações físicas na Europa tendem a rever contratos e cláusulas de segurança com parceiros de logística depois de um caso com esta visibilidade.
Possível diversificação de fornecedores pela Valve. Não seria incomum a Valve equacionar reduzir a dependência de um único parceiro de distribuição física na Europa, especialmente enquanto continua a expandir a gama de hardware Steam.

Perguntas frequentes sobre a fuga de dados Steam

O que é exatamente a fuga de dados Steam ligada à CEVA Logistics?
É um incidente de segurança na CEVA Logistics, o parceiro de logística da Valve na Europa, que pode ter exposto dados pessoais de clientes que compraram hardware Steam entre finais de julho e a data da compra mais recente dentro da janela de retenção de 90 dias da CEVA.

As minhas credenciais Steam, incluindo a palavra-passe, foram roubadas?
Não, segundo a Valve. Palavras-passe e códigos Steam Guard não fizeram parte dos dados expostos através da CEVA. O risco está nos dados de entrega, não no acesso à conta.

Que dados pessoais podem ter sido expostos?
Nome, morada, código postal, cidade, país, número de telefone, email associado à conta Steam e o tipo e preço do hardware encomendado.

Comprei um Steam Deck ou Steam Machine recentemente. Estou em risco?
Se a compra e entrega ocorreram na Europa dentro do período coberto pela janela de retenção de dados da CEVA, é prudente assumir que os seus dados de entrega podem ter sido incluídos, mesmo sem confirmação individual da Valve.

A Valve vai notificar todos os clientes afetados?
A Valve diz estar a notificar por email os clientes que identificou como potencialmente afetados. Quem tiver dúvidas sobre o seu caso específico deve consultar diretamente help.steampowered.com.

Que devo fazer se receber um email sobre este incidente?
Confirme o domínio do remetente, não introduza a palavra-passe ou o código Steam Guard em nenhum formulário ligado ao email, e aceda à página de apoio da Steam diretamente pelo browser em vez de clicar em links.

Pode a CEVA Logistics ser multada ao abrigo do RGPD?
É possível. O artigo 83.º do RGPD prevê coimas até 20 milhões de euros ou 4% do volume de negócios mundial para infrações graves, mas qualquer coima depende do resultado de uma investigação formal por parte das autoridades competentes.

Isto afeta utilizadores da Steam fora da Europa?
Com base na informação disponível até agora, o incidente está circunscrito a operações europeias da CEVA Logistics e a clientes que receberam hardware Steam através desses armazéns. Não há indicação de que clientes fora da Europa tenham sido afetados por este caso específico.

CEVA Hackeada: Dados Steam Expostos em 8 Armazéns [2026]