밸브, 스팀 하드웨어 구매자 정보 유출 확인 — 물류사 CEVA 해킹이 원인

밸브가 스팀 하드웨어를 주문했던 유럽 지역 고객들에게 개인정보가 노출됐을 수 있다는 통지를 보내기 시작했다. 원인은 밸브 자체가 아니라, 유럽 지역 스팀 하드웨어 배송을 담당해 온 물류 기업 CEVA 로지스틱스를 겨냥한 사이버 공격이다.

7월 29일~8월 1일 공격, 8월 7일 인지

유출 사실은 레세테라와 레딧에 피해 고객들이 밸브의 통지 메일 화면을 올리면서 알려졌다.

메일에 따르면 CEVA에 대한 공격은 7월 29일부터 8월 1일 사이에 일어났고, 밸브가 이를 인지한 시점은 8월 7일이다.

CEVA가 배송 관련 데이터를 주문 후 최대 90일간 보관하는 구조라, 밸브는 그 기간에 걸치는 모든 주문자를 대상으로 통지를 진행하고 있다.

노출된 정보는 이름, 도로명 주소, 우편번호, 도시, 국가, 전화번호, 스팀 계정에 연결된 이메일 주소, 그리고 주문한 하드웨어의 종류와 가격이다.

영향을 받은 대상은 주로 스팀덱, 스팀 머신, 스팀 컨트롤러 구매자로 추정된다.

반대로 결제 정보, 비밀번호, 스팀 가드 코드를 비롯한 계정 데이터는 이번 유출에 포함되지 않았다는 것이 밸브의 설명이다. 회사는 비밀번호나 계정 설정을 바꿀 필요는 없다고 안내했다.

가장 실질적인 위험은 피싱이다. 밸브는 이메일과 문자, 전화로 주문 내역을 언급하는 접근이 있을 수 있다고 경고했다.

특히 위험한 부분은 공격자가 실제 주소를 알고 있다는 점이다. 진짜 배송지와 주문한 제품명을 그대로 인용하며 접근하면 가짜라는 것을 알아채기가 훨씬 어려워진다.

밸브는 스팀 지원이 오직 help.steampowered.com을 통해서만 운영되며, 어떤 경우에도 비밀번호나 스팀 가드 코드를 요구하지 않는다는 점을 다시 강조했다.

CEVA도 테크크런치에 침해 사실을 확인했다. 프랑스에 본사를 둔 이 물류 대기업은 이번 공격이 유럽 계약 물류 사업 일부에 영향을 미쳤으며, 최소 8개 유럽 창고의 운영에 지장이 생겼다고 밝혔다.

영향은 밸브에만 국한되지 않는다. CEVA에 배송을 맡긴 여러 은행과 소매업체도 함께 피해를 입은 것으로 전해진다.

밸브는 유출 범위와 경위에 대한 추가 설명을 CEVA에 요구하고 있으며, 관련 국가의 데이터 보호 당국에도 통지를 진행 중이다. 정확한 피해 규모는 아직 공개되지 않았다.

이번 사건은 플랫폼 자체의 보안이 아니라 협력사를 통한 유출이라는 점에서 시사점이 있다. 이용자가 직접 통제할 수 없는 경로에서 정보가 새어 나갈 수 있다는 뜻이기 때문이다.

이 포스팅은 쿠팡 파트너스 활동의 일환으로, 이에 따른 일정액의 수수료를 제공받습니다.