Steamハードウェア購入者を襲ったデータ流出事件
2026年8月、SteamでPC周辺機器などのハードウェアを購入したユーザーの一部について、個人情報が外部に流出した可能性があることが明らかになりました。原因はSteamそのものではなく、ヨーロッパ向けのハードウェア配送を担う物流パートナー企業「CEVA Logistics」がサイバー攻撃を受けたことによるものです。運営元のValveは2026年8月7日、ユーザーデータが侵害された可能性を把握したと公表しました。
何が漏れて、何が漏れていないのか
今回の事案で流出した可能性がある情報は、氏名、住所、郵便番号、市区町村、国、電話番号、Steamアカウントに紐づくメールアドレス、そして購入したハードウェアの種類と価格です。一方で、決済情報（クレジットカード番号など）、Steamアカウントのパスワード、二段階認証に使われるSteam Guardコードは対象に含まれていないと説明されています。
| 漏洩の可能性がある情報 | 漏洩していない情報 |
|---|---|
| 氏名・住所・郵便番号・電話番号 | クレジットカードなどの決済情報 |
| 登録メールアドレス | Steamアカウントのパスワード |
| 購入ハードウェアの種類・価格 | Steam Guardの二段階認証コード |
影響を受ける対象者
- 過去約90日以内に欧州向けにハードウェアを注文した顧客（CEVAのデータ保持期間に基づく）
- 同じCEVA Logisticsの攻撃では、オランダの小売業者Bol、高級百貨店De Bijenkorf、サッカークラブAjax、銀行大手INGなど他企業も影響を受けたと報じられています
今後警戒すべきは「本物らしい」フィッシングメール
今回のように実際の購入履歴や住所、電話番号が漏洩した場合、最大のリスクは金銭の直接被害よりも、その情報を悪用した「なりすましフィッシング」です。攻撃者は本物の注文内容を引用することで、極めて信憑性の高いフィッシングメールやSMSを作成できます。
「ご注文いただいたハードウェアの配送に問題が発生しました。こちらからご確認ください」といった、実際の購入品名を含む巧妙なメールが届く可能性があります。差出人アドレスやリンク先URLが公式ドメインと異なっていないか、必ず確認してください。
取るべき具体的な対応
- メール本文中のリンクは直接クリックせず、ブラウザからSteam公式サイト（store.steampowered.com）に手動でアクセスしてログイン状況を確認する
- 電話やSMSで個人情報・認証コードの入力を求められても応じない
- Steamアカウントのパスワードを変更し、まだ有効化していない場合はSteam Guardの二段階認証を設定する
- 不審なメールの送信元ドメインやリンク先URLを事前に確認する習慣をつける
対策
フィッシングメールは文面が巧妙化しており、目視だけでの判別は年々難しくなっています。WEBROOTのWeb保護機能は、既知・新規のフィッシングサイトへのアクセスをクラウド上のデータベースと照合してブロックするため、うっかりリンクをクリックしてしまった場合でも被害を未然に防ぐ助けになります。
サプライチェーン経由の情報漏洩は他人事ではない
今回の事案が示すのは、自分が普段使っているサービス（この場合はSteam）自体のセキュリティが強固であっても、その先の物流・決済・サポートなど「サプライチェーン」に連なる企業が攻撃を受けることで、間接的に個人情報が漏洩しうるという現実です。こうした経路からの情報漏洩は、利用者側の対策だけでは完全には防げません。だからこそ、漏洩が起きた「後」の被害拡大を防ぐ備えが重要になります。
まとめ：漏洩を前提とした防御を
今回のSteamハードウェア購入者を巡るデータ流出は、決済情報やパスワードそのものは対象外であったものの、実在する購入履歴を悪用したフィッシング詐欺のリスクを高める事案です。心当たりのある方は、公式サイトからの直接ログインの徹底、パスワードの見直し、二段階認証の設定といった基本対策を今一度確認しましょう。WEBROOT for Gamerは軽快な動作でゲームプレイを妨げることなく、フィッシングサイトへのアクセスやマルウェアの実行をリアルタイムでブロックし、こうした二次被害のリスクを日常的に減らします。
参考文献・出典
- Valve Corporation - Steamユーザー向け公式通知（2026年8月）
- Webroot / OpenText - 「2026 Threat Report」
- Europol - 「Internet Organised Crime Threat Assessment (IOCTA) 2025」
