Valve, Avrupa'daki lojistik ortağı CEVA Logistics'e yönelik bir siber saldırı nedeniyle, Steam Machine ve Steam Controller satın alan müşterilerin kişisel bilgilerinin sızdırıldığını duyurdu. Şirket, etkilenen kullanıcılara e-posta göndererek olası dolandırıcılık girişimlerine karşı uyarılarda bulundu.

Hangi Bilgiler Sızdırıldı?

Saldırı sonucunda kullanıcıların isimleri, yaşadıkları ülkeler, açık adresleri, telefon numaraları ve e-posta adresleri saldırganların eline geçti. Ayrıca BleepingComputer'ın aktardığına göre, satın alınan ürün tipi ve ödenen tutar gibi detaylar da sızıntı kapsamında yer alıyor. Önemli bir detay olarak, siparişlerde kullanılan e-posta adreslerinin Steam hesaplarıyla aynı olması, dolandırıcıların hedef odaklı saldırılar yapmasını kolaylaştırabilir.

Güvenlik Riski ve Ödeme Bilgileri

Valve'dan yapılan açıklamaya göre, ödeme detayları, şifreler ve Steam Guard kodları sızıntıdan etkilenmedi; çünkü CEVA Logistics'in bu verilere hiçbir zaman erişimi bulunmuyordu. Ancak saldırganların, kullanıcıların kendi adreslerini referans göstererek inandırıcı sahte mesajlar gönderebileceği belirtildi. Kullanıcıların gümrük veya yeniden teslimat ücreti adı altında istenen küçük ödemelere itibar etmemeleri gerektiği vurgulandı.

Saldırının Zaman Çizelgesi ve Kapsamı

Saldırının 29 Temmuz ile 1 Ağustos tarihleri arasında gerçekleştiği tespit edildi. CEVA Logistics, durumu 1 Ağustos'ta onaylasa da Valve'a bilgi vermesi 8 Ağustos'u buldu. Sızıntı sadece Valve'ı değil; ING bankası, Ajax futbol kulübü ve Ace & Tate gibi farklı sektörlerden birçok kurumu da etkiledi. 2025 yılı için 18,3 milyar dolar gelir bildiren ve 1.000'den fazla depoya sahip olan lojistik devinin sekiz Avrupa deposunda operasyonel aksamalar yaşandığı bildirildi.

Ne anlama geliyor?

Bu olay, dijital tedarik zinciri güvenliğinin önemini ortaya koyuyor. Bir şirket kendi sistemlerini korusa bile, verilerin paylaşıldığı üçüncü taraf hizmet sağlayıcıların yaşadığı bir güvenlik açığı, doğrudan son kullanıcıyı etkileyebiliyor. Özellikle lojistik süreçlerde adres ve iletişim bilgilerinin paylaşılması zorunlu olduğundan, bu noktalar siber saldırganlar için kritik birer giriş kapısına dönüşüyor.

Sızdırılan verilerle yapılan saldırılar genellikle sosyal mühendislik yöntemlerine dayanıyor. Saldırganlar, kurbanın gerçek adresini veya satın aldığı ürünü bildikleri için kendilerini resmi bir kurum gibi tanıtarak güven kazanmaya çalışıyor. Bu yöntemle kullanıcıları sahte ödeme sayfalarına yönlendirerek kredi kartı bilgilerini ele geçirmeyi veya zararlı yazılımlar yükletmeyi hedefliyorlar.