Valve upozorava Europu: kupci Steam hardvera upali u curenje podataka

Svatko tko je kod nas u zadnje dvije godine naručio nešto hardvera iz inozemstva zna kako to ide. Stigne SMS da vam paket stoji, treba platiti sitnicu, evo linka. Zakolutate očima, obrišete, idete dalje. Od ovog tjedna dobar dio kupaca Steam hardvera po Europi ipak bi trebao dvaput razmisliti - jer onaj tko im šalje takvu poruku možda stvarno zna što su naručili i koliko su platili.

Valve je obavijestio kupce Steam Machinea i Steam Controllera u Europi da je CEVA Logistics, partner koji im razvozi hardver po kontinentu, doživio proboj. Valveovi serveri nisu dirani. Upad se prema izvještajima dogodio na prijelazu mjeseca, a Valve kaže da je 7. kolovoza obaviješten kako je vjerojatno pristupljeno podacima kupaca.

Što je u hrpi: puno ime i prezime, ulica i kućni broj, poštanski broj, grad i država, broj telefona, e-mail adresa vezana uz Steam račun te vrsta i cijena naručenog hardvera. Što nije: Steam lozinke, Steam Guard kodovi, podaci o plaćanju i bilo što o vašim ostalim kupnjama. Valve je oko toga bio jasan i to je važno - nitko vam s ovim podacima ne prazni karticu izravno.

Zašto su "samo podaci o dostavi" najgora vrsta dosadnog curenja

Razlog zašto ovo ne odmahujem rukom je ono zadnje polje. Vrsta i cijena naručenog hardvera. Generička phishing poruka koja nagađa da čekate paket upali možda jednom u sto pokušaja. Poruka koja vas oslovi imenom, navede vašu ulicu i spomene točno onaj uređaj koji čekate i otprilike koliko je koštao - ta se klikne. Valve i sam poručuje ljudima da očekuju lažne mailove, poruke i pozive u ime Steama, Valvea ili dostavne službe, obično sa zahtjevom da potvrde dostavu, plate malu carinsku ili ponovnu dostavnu pristojbu ili se negdje prijave kako bi "potvrdili" narudžbu.

Ta zadnja varijanta je opasna. Ništa od procurjelog samo po sebi ne ugrožava račun, ali uvjerljiva lažna stranica za prijavu plus čovjek koji se žuri dovrše posao koji je curenje započelo. A ljudi koji naručuju Steam Machine su po definiciji ljudi s knjižnicom koju se isplati ukrasti.

Vrijedi spomenuti i da Valve nije jedina žrtva. Isti incident kod CEVA-e izvještaji povezuju s jednom bankom, jednim nogometnim klubom i jednim trgovcem, što govori nešto neugodno o tome koliko europskog toka paketa prolazi kroz šačicu logističkih tvrtki. Trgovinu možete birati. Tko će vam nositi kutiju - ne možete.

Praktični dio, i kratak je. Ništa što kupite od Valvea neće nikad tražiti naknadnu uplatu putem SMS-a. Poruke o dostavnoj pristojbi s linkom za plaćanje su prevara po defaultu - a unutar EU na pošiljku iz EU ionako nema carine, ma koliko poruka izgledala službeno. Ako vam stigne bilo što što miriše na Steam podršku, nemojte na link: otvorite Steam klijent ili sami utipkajte adresu. I ako ste odgađali mobilni autentifikator, ovo je stvarno dobar tjedan da prestanete odgađati.

Ironija je da je sam hardver i dalje spori dio ove priče. Ljudi kod nas mjesecima čekaju te uređaje, a prva poruka koju dobiju o svojoj narudžbi mogla bi lako biti - lažna.

Slika: Liam Dawe/GamingOnLinux, PNG version by VulcanSphere / CC BY-SA 4.0, source: https://commons.wikimedia.org/wiki/File:Steam_Deck_(front).png