O vazamento da Steam começou no fornecedor — e a lição vale para sua empresa

A Steam — maior loja de jogos do mundo — não foi invadida. Quem foi invadida foi a CEVA Logistics, a transportadora que entrega o hardware da Steam na Europa. Mesmo assim, foram os clientes da Steam que tiveram nome, endereço e telefone expostos, e foi a Valve (dona da plataforma) quem teve que mandar o aviso constrangedor a cada um. O ataque ocorreu entre 29 de julho e 1º de agosto de 2026; a Valve soube no dia 7 e comunicou os afetados em seguida.

O caso é uma aula sobre o risco mais subestimado da segurança corporativa: o seu perímetro não termina no seu CNPJ. Termina no último fornecedor que guarda dados seus ou dos seus clientes.

O que exatamente vazou — e por quê

A transportadora guardava o que precisava para etiquetar e entregar pacotes: nome, endereço, telefone — por até 90 dias após cada pedido. Senhas e cartões não vazaram, porque nunca estiveram lá. Ainda assim, o estrago é real: com nome, endereço e histórico de compra, o criminoso monta o golpe perfeito de “confirmação de entrega” — a própria Valve alertou que os afetados podem receber cobranças falsas de “taxa de reentrega” citando o endereço correto como prova de legitimidade.

Note o encadeamento: o dado vazado num fornecedor vira matéria-prima do phishing contra o cliente da marca. Quem responde pela confiança quebrada é a marca.

No Brasil, a LGPD já resolveu a dúvida de quem responde

A lei brasileira chama o fornecedor que trata dados por conta da empresa de operador — e o contratante, de controlador. E o artigo 42 é direto: ambos respondem pelos danos. Terceirizar o serviço não terceiriza a responsabilidade. Se a sua transportadora, seu contador online ou seu sistema de RH na nuvem vazar os dados dos seus clientes ou colaboradores, a conversa com a ANPD é sua.

As cinco perguntas para fazer aos seus fornecedores

Due diligence de terceiros não precisa começar complexa. Comece por quem guarda dado pessoal em seu nome, com cinco perguntas:

1. Quais dados meus você guarda, e por quanto tempo? (A CEVA guardava 90 dias — prazo definido é bom sinal; “guardamos tudo” é alerta.)
2. Quem, na sua equipe, acessa esses dados?
3. Você tem verificação em duas etapas e criptografia nos sistemas que os guardam?
4. Em quanto tempo você me avisa se houver incidente? (Precisa caber no seu prazo de 3 dias úteis com a ANPD.)
5. Posso auditar ou receber um atestado disso uma vez por ano?

Contrato bom com fornecedor não é o que promete que nada vai acontecer — é o que define quem faz o quê quando acontecer.

E um espelho para dentro: a sua empresa também é fornecedora de alguém. As mesmas perguntas vão chegar até você — melhor ter as respostas prontas.

Fontes

• Comunicado da Valve/Steam sobre o incidente no fornecedor terceirizado: store.steampowered.com/news
• LGPD, arts. 39 e 42 (operador, controlador e responsabilidade): planalto.gov.br
• Foto de capa: sede da Valve em Bellevue (EUA) — SounderBruce, CC BY-SA 2.0, via Wikimedia Commons