個人情報があまり含まれていないフィッシングメールについては、ほとんどの人が見分けがつきます。「アカウントが停止されました」といった定型的なメッセージは、たいていすぐに削除します。しかし、実名と住所が使われ、先月購入した特定の商品に言及しているフィッシングメールはどうでしょうか？最も疑り深い人でも、こうしたメールには騙されてしまう可能性があります。
これは、今週ヨーロッパのSteamハードウェア購入者が直面した状況でもある。SteamゲームプラットフォームとSteamハードウェアを運営するValve社は8月10日、サイバー攻撃により顧客の氏名、住所、電話番号、Steamメールアドレス、ハードウェア注文の詳細が漏洩したと顧客に警告した。
ハッキングされたのはValve社自体ではなく、ゲームストアからのハードウェア配送を担う配送パートナーであるCEVA Logistics社だった。パスワードや支払い情報は盗まれていない。
何が盗まれたのか
攻撃期間は2026年7月29日から8月1日まででした。Valveは8月7日にこの事実を把握し、3日後に顧客への通知を開始しました。CEVAは出荷後約90日間配送データを保管しているため、過去3ヶ月間にヨーロッパでSteam Deck、Steam Controller、またはSteam Machineを受け取った人は誰でも影響を受ける可能性があります。
漏洩する可能性のある情報には以下が含まれる。
- 名称
- 番地、郵便番号、都市名
- 国名
- 電話番号
- 顧客のSteamアカウントにリンクされたメールアドレス
- 注文したハードウェアの種類と価格
正確な数字はまだ確認されていない。ValveもCEVAも、どれだけの顧客記録が影響を受けたかについては明らかにしていない。オランダの小売業者であるBolとDe Bijenkorfは、8月1日に同じCEVAの事件について知らされ、自社の顧客に警告を発したと報じられている。
配送データが詐欺師にとって価値がある理由
詐欺師は、あなたの実際の注文と配送先住所に言及したメール、テキストメッセージ、または電話をかけてきて、少額の関税や再配達料金の支払いを求めたり、配送の確認を求めたり、注文を「確認」するためにログインするよう要求したりすることがあります。
詐欺か、それとも本物か？ Scam Guardが見極めます。
このようなデータはすでにオンラインで広く取引されている。 Malwarebytes 研究者たちは、2026年上半期にダークウェブ上で、84億件以上の記録を含む7,500件以上の侵害されたデータセットを発見した。
Valveにとって初めてのセキュリティインシデントではない
Valve自身のシステムは侵害されなかったものの、その影響が深刻にならないとは限らない。
2025年5月、Machine1337と名乗る攻撃者が、8900万件のSteamユーザー記録と思われるデータセットを5000ドルで販売しようとした。しかし、そのデータは有効期限切れの二段階認証コードを含む古いSMSメッセージであることが判明し、Valve社が提携したことのない第三者機関を経由して送信されていた。
しかし、Valveは過去に直接的な情報漏洩被害に遭っている。2011年11月には、ユーザー名、メールアドレス、暗号化されたクレジットカード情報など、3500万人のユーザー記録が流出した。
影響を受けた購入者が取るべき行動
Valveは顧客宛てのメールで、最近のSteamハードウェア注文に関するメッセージはすべて偽物だと考えるようアドバイスしている。これはメール、SMS、電話など、たとえ住所が正しく記載されていても関係ない。
Steamサポートは、メール、Steamチャット、Discordを通じてユーザーに連絡することは決してなく、アカウントの問題はヘルプページを通じてのみ対応します。
パスワードを急いでリセットする必要はありませんが、強力で固有のパスワードを設定し、Steam Guardの二段階認証を有効にしておくことは決して無駄ではありません。それよりも、Steamハードウェアの配送に関する不審なメール、テキストメッセージ、電話には注意してください。たとえ、実際の顧客しか知り得ないような詳細情報が含まれていてもです。
何かおかしいと感じたら？クリックする前に確認してください。
Malwarebytes Guardを使えば、不審なリンク、テキスト、スクリーンショットを即座に分析できます。
すべてのデバイス向けの「Malwarebytes Premium 」 iOS Android向け「Malwarebytes でご利用いただけます。
