Valve warnt Europa: Steam-Hardware-Käufer von Logistik-Datenleck getroffen

Wer bei uns in der Region in den letzten zwei Jahren Hardware aus dem Ausland bestellt hat, kennt das Muster. Eine SMS behauptet, das Paket hänge fest, eine kleine Gebühr sei fällig, hier der Link. Man verdreht die Augen, löscht sie, macht weiter. Ab dieser Woche sollten viele Steam-Hardware-Käufer in Europa allerdings zweimal hinschauen - denn wer ihnen so eine Nachricht schickt, weiß möglicherweise tatsächlich, was sie bestellt und was sie bezahlt haben.

Valve hat Kundinnen und Kunden der Steam Machine und des Steam Controllers in Europa informiert, dass es bei CEVA Logistics, dem Partner für den Hardwareversand auf dem Kontinent, einen Einbruch gab. Valves eigene Server blieben unangetastet. Der Angriff soll Berichten zufolge um den Monatswechsel stattgefunden haben, und Valve sagt, es sei am 7. August darüber informiert worden, dass wahrscheinlich auf Kundendaten zugegriffen wurde.

Was betroffen ist: vollständiger Name, Straße und Hausnummer, Postleitzahl, Stadt und Land, Telefonnummer, die mit dem Steam-Konto verknüpfte E-Mail-Adresse sowie Typ und Preis der bestellten Hardware. Was nicht betroffen ist: Steam-Passwörter, Steam-Guard-Codes, Zahlungsdaten und alles zu anderen Einkäufen. Valve war da deutlich, und das zählt - mit diesen Daten räumt niemand direkt eure Karte leer.

Warum "nur Versanddaten" die übelste Sorte langweiliges Leck ist

Der Grund, warum ich das hier nicht abtue, ist das letzte Feld. Typ und Preis der bestellten Hardware. Eine generische Phishing-Nachricht, die ins Blaue rät, dass man auf ein Paket wartet, funktioniert vielleicht bei einem von hundert. Eine Nachricht, die einen beim Namen nennt, die eigene Straße zitiert und genau das Gerät erwähnt, auf das man wartet, samt ungefährem Preis - die wird geklickt. Valve selbst sagt den Leuten, sie sollen mit gefälschten Mails, SMS und Anrufen im Namen von Steam, Valve oder einem Zusteller rechnen, meist mit der Aufforderung, eine Lieferung zu bestätigen, eine kleine Zoll- oder Neuzustellgebühr zu zahlen oder sich irgendwo einzuloggen, um die Bestellung zu "bestätigen".

Diese letzte Variante ist die gefährliche. Nichts aus dem Leck gefährdet für sich genommen das Konto, aber eine überzeugende gefälschte Login-Seite plus ein Mensch in Eile erledigen den Job, den das Leck begonnen hat. Und wer eine Steam Machine bestellt, hat per Definition eine Bibliothek, die sich zu stehlen lohnt.

Erwähnenswert ist außerdem, dass Valve bei Weitem nicht das einzige Opfer ist. Berichte verbinden denselben CEVA-Vorfall mit einer Bank, einem Fußballklub und einem Händler - was etwas Unangenehmes darüber verrät, wie viel des europäischen Paketverkehrs über eine Handvoll Logistiker läuft. Den Shop kann man sich aussuchen. Wer die Kiste trägt, nicht.

Der praktische Teil, und er ist kurz. Nichts, was ihr bei Valve kauft, verlangt jemals eine Nachzahlung per SMS. Nachrichten über Zustellgebühren mit Zahlungslink sind grundsätzlich Betrug - und innerhalb der EU fällt bei einer EU-internen Sendung ohnehin kein Zoll an, egal wie amtlich die Nachricht aussieht. Wenn irgendetwas nach Steam-Support riecht: nicht auf den Link, sondern den Steam-Client öffnen oder die Adresse selbst eintippen. Und wer den mobilen Authenticator vor sich herschiebt, hat diese Woche einen richtig guten Anlass, damit aufzuhören.

Die Ironie: Die Hardware selbst bleibt der langsame Teil dieser Geschichte. Leute warten hier seit Monaten auf diese Geräte - und die erste Nachricht, die sie zu ihrer Bestellung bekommen, könnte gut eine gefälschte sein.

Bild: Liam Dawe/GamingOnLinux, PNG version by VulcanSphere / CC BY-SA 4.0, source: https://commons.wikimedia.org/wiki/File:Steam_Deck_(front).png