Valve nega rapporti di una fuga di dati Steam

Valve si è difesa oggi contro i presunti rapporti di una massiccia violazione dei dati su Steam. L'azienda ha insistito sul fatto che nessuno dei suoi sistemi era stato violato e che nessun account, password o dati personali erano stati rubati. Tuttavia, l'editore di Steam Games ha confermato che gli hacker hanno accesso a vecchi messaggi di testo contenenti informazioni limitate.

Un attore della minaccia ha rivelato su un post LinkedIn di detenere oltre 89 milioni di record di utenti Steam con codici di accesso univoco. L'attore della minaccia, che ha usato gli alias Machine1337 o EnergyWeaponsUser, ha pubblicizzato le informazioni rubate, presumibilmente estratte da Steam, e le ha offerte per 5000 dollari.

Valve nega la violazione dopo la fuga di codici 2FA

Il giornalista di giochi indipendenti MellowOnline1, creatore del gruppo SteamSentinels Community, suggerito che l'incidente era una compromissione della catena di approvvigionamento che coinvolgeva Twilio. Ha rivelato prove tecniche nella fuga che mostrano voci di registro SMS in tempo reale dai sistemi di Twilio. Crede che l'abuso abbia compromesso l'account Admin o le chiavi API. 

Yo, gamers! Vi state impensando per quella fuga di dati di 89M account Steam? Rilassatevi, @Valve dice che non è un gran problema. Solo vecchi SMS 2FA e numeri di telefono, niente password o carte. Analizziamo questo pasticcio #Steam #Gaming #CyberSec #NoPanicZone pic.twitter.com/XoRgPgWIBP

— Jamal Allenjawi (@Lengo213) Maggio 15, 2025

Twilio, un provider cloud di API per l'invio di SMS, chiamate vocali e messaggi 2FA utilizzati da Steam per l'autenticazione degli utenti, ha riconosciuto la situazione e ha confermato che stava indagando sull'incidente. Un portavoce di Twilio ha affermato che l'azienda prende la questione sul serio. Ha aggiunto che sta esaminando il presunto incidente e fornirà maggiori informazioni quando saranno disponibili.

deposito complementare comunicato da Valve ha rivelato che l'azienda stava ancora scavando per trovare la fonte della fuga. Secondo Valve, qualsiasi messaggio SMS è crittografato in transito e instradato attraverso più fornitori sulla strada verso il telefono dell'utente.

Valve ha affermato che tutti i codici in possesso dell'hacker erano già scaduti e che nessuno dei file includeva dettagli di pagamento o collegamenti diretti con i numeri di telefono degli account Steam. I dati consistevano in vecchi messaggi di testo contenenti codici monouso validi solo per 15 minuti. Valve ha dichiarato che non si trattava di una violazione dei sistemi Steam.

Lo Steam Publisher ha aggiunto che nessuna altra informazione sull'account, password, informazioni di pagamento o dati personali erano nella cache. Twilio ha contattato successivamente per chiarire che non c'erano prove che suggerissero che i suoi sistemi fossero stati violati. Il portavoce dell'azienda ha detto che Twilio aveva esaminato un campione dei dati trovati online e non aveva trovato alcuna indicazione che fossero stati ottenuti da loro.

Valve raccomanda l'uso di Steam Mobile Authenticator

Steam ha ricordato agli utenti di trattare con cautela i codici SMS per modificare la loro email Steam o la password. Gli utenti riceveranno questi codici via email o tramite il sistema di messaggistica sicura di Steam ogni volta che richiedono un cambio di password. 

Secondo Valve, gli utenti non hanno bisogno di cambiare le loro password o numeri di telefono, ma li incoraggia ad abilitare Steam Mobile Authenticator per una protezione più forte. Valve ha rivelato che lo strumento Steam Mobile Authenticator invia messaggi direttamente all'app mobile Steam, evitando app di terze parti.

Il team di sicurezza di Valve sta indagando sui messaggi storici trovati online per determinare come sono stati esposti e prevenire futuri verificarsi. Gli utenti di Steam possono controllare regolarmente la sicurezza del loro account tramite il ufficiale link per tenersi aggiornati con i record. 

Comunità online come Underdark.ai  credono che le implicazioni siano gravi, citando il ruolo di Steam come piattaforma di gioco e un tesoro di dati personali e finanziari legati agli utenti in tutto il mondo. Un post LinkedIn di Underdark.ai ha rivelato la possibilità che la verifica della violazione possa risultare in un phishing diffuso. Il post ha aggiunto che il takeover di account e attacchi mirati in tutta la comunità di gioco potrebbero anche emergere. 

Steam gli utenti possono proteggere i loro account abilitando l'autenticazione a due fattori (2FA). Il post ha continuato a esortare gli utenti a monitorare le loro email per attività sospette e a cambiare le loro password Steam. Come ha rivelato il post, gli utenti dovrebbero essere consapevoli dei tentativi di phishing mascherati da promozioni di giochi o messaggi di supporto.