Steamハードの欧州配送業者に不正アクセス、購入者の氏名・住所などが流出の恐れ

届いたメールに自分の住所がそのまま書かれていたら、たいていの人は「本物だ」と思ってしまう。今回いちばん厄介なのは、まさにそこにゃ。

欧州でSteamのハードウェアを配送している物流大手CEVA Logisticsが不正アクセスを受け、Steamハードを買った人の配送情報が持ち出された可能性がある。Valveは影響を受けたとみられる購入者への通知を8月10日から始めている。対象は欧州でSteam Deck・Steam Machine・Steam Controllerといったハードを購入した人で、日本を含むアジア地域は別の流通経路になっている。

侵入は7月29日から8月1日、Valveが把握したのは8月7日

時系列を並べると、事態の見え方が少し変わってくる。攻撃があったのは7月29日から8月1日にかけて。CEVAは8月1日の時点で、欧州のコントラクトロジスティクス事業の一部に侵入があったことを取引先へ伝えている。そこからValveが「Steam購入者の情報が持ち出された可能性が高い」と知らされたのが8月7日、購入者本人への通知が8月10日。つまり侵入から通知まで、10日以上の間が空いている。

持ち出された可能性があるのは、荷物を届けるためにValveからCEVAへ渡っていた情報だね。具体的には氏名、番地を含む住所、郵便番号、市区、国、電話番号、Steamアカウントに紐づいたメールアドレス、そして注文したハードの種類と金額。CEVA側はこれを注文から最長90日間保持する運用になっていた。ここ3か月ほどの間に欧州でハードを買った人が、ちょうどその窓に入る計算になる。

一方で、無事だったものもはっきりしている。決済情報、パスワード、Steam Guardのコード、その他のアカウント情報はCEVA側がそもそも持っていない。だからパスワードを変えたりアカウント設定をいじったりする必要はない、というのがValveの説明にゃ。ここは落ち着いていい部分だと思う。

CEVAは影響を受けたシステムを隔離してオフラインにし、外部の調査会社を入れて調べている最中。Valveは「何がどう持ち出されたのか、全容を出すようCEVAに求めている」としていて、影響を受けた各国のデータ保護当局への届け出も進めているという。

氏名や住所の流出で、本物を装う偽連絡に注意

流出したのが「氏名・住所・電話番号・メールアドレス・注文したハードと金額」という組み合わせなのが、地味に一番タチが悪い。配送業者やメーカーを名乗る偽メッセージを作るのに、これ以上ないくらい都合のいい材料が揃ってしまっている。

Valveの通知でも、そこは強めに書かれている。SteamやValve、配送業者を名乗って、注文したハードの話を持ち出してくるメール・SMS・電話が来ることを想定しておくこと。相手はこちらの住所を読み上げて「本物である証拠」に使ってくるかもしれない。配達の確認を求めたり、少額の関税・再配達料の支払いを促したり、注文の「確認」のためにどこかへサインインさせようとしたり——手口はいくつも考えられるけど、Valveの言い方はシンプルで、そういう連絡は全部偽物として扱え、というもの。

覚えておくと役に立つ線引きが2つある。ひとつは窓口。Steamのサポートはメールやチャット、Discordで個別に問題を処理したりしない。やり取りはSteamサポートのページ上で完結する仕組みになっているので、それ以外の経路で話しかけてくる「サポート」は、その時点で怪しいと判断していい。もうひとつはリンク。届いたメールのリンクを踏むのではなく、ストアのアドレスを自分で打ち込んで開く。パスワードとSteam Guardのコードは、誰に対しても渡さない。基本的な話だけど、住所を言い当てられた直後は判断が鈍りやすいから、先に決めておくと強い。

なお、Valveから通知が届いたからといって、その人の情報が確実に盗まれたと決まったわけでもない。影響を受けた可能性がある範囲を広めに取って連絡している、という書き方になっている。

日本のハード購入はKOMODO経由、影響はValveだけの話でもない

日本から見たときの位置関係も整理しておきたい。日本・韓国・台湾・香港のSteamハードはValveの正規ディストリビューターであるKOMODOが扱っていて、購入も出荷もKOMODO STATIONを通る。Steam Controllerが5月5日に17,800円で、Steam Machineが6月23日に189,980円からという形で国内販売が始まったのも、この経路にゃ。今回名前が挙がっているCEVAは欧州向けの配送を担っていた相手なので、国内で買った人がそのまま対象になる話ではない。欧州に住んでいる、あるいは欧州の住所へ発送してもらった心当たりがある人だけが確認すればいい、と考えるのが実態に近いと思う。

そしてもうひとつ。この一件、ゲーム業界の話として閉じていない。CEVAは世界規模で倉庫網を持つ物流企業で、今回の攻撃では欧州の8か所の倉庫の稼働に影響が出て、在庫を預けていた小売各社の出荷が遅れた。顧客データの流出を認めた企業にはオランダの大手通販や百貨店、銀行、アイウェアブランド、さらにはサッカークラブまで並んでいる。オランダのデータ保護当局には、この件で10の組織から報告が上がっている状態にゃ。

Steamのアカウントそのものは無傷でも、荷物を運んでもらうために預けた情報は別の会社の手元にある。ハードを買うという行為が、どこまで自分の情報を歩かせているのか——今回はその配線が、あまり嬉しくない形で表に出てきた格好だね。CEVAの調査はまだ続いていて、何がどれだけ持ち出されたのかの全容は出ていない。報告した組織の数が10で止まる保証も、いまのところない。