Vazamento pode ter exposto dados de 89 milhões de contas da Steam

A segurança de cerca de 89 milhões de contas da plataforma de jogos Steam pode ter sido comprometida após um possível vazamento de dados. A empresa Underdark AI, especializada em cibersegurança, identificou uma publicação suspeita em um fórum da dark web. Nela, o usuário identificado como Machine1337 oferecia um pacote completo com informações das contas por US$ 5 mil, incluindo senhas temporárias enviadas por SMS, utilizadas pelo Steam Guard.

De acordo com o site BleepingComputer, entre os dados vazados estariam mensagens SMS antigas com códigos de autenticação e números de telefone associados às contas. Parte das informações seria recente, datando do início de março deste ano. Ainda não se sabe exatamente como o vazamento ocorreu, mas uma das hipóteses levantadas é a de comprometimento na cadeia de suprimentos, possivelmente envolvendo o uso indevido de APIs da Twilio — empresa de serviços de autenticação em dois fatores (2FA). No entanto, a Valve, dona do Steam, não utiliza os serviços da Twilio.

A própria Twilio negou ter sofrido qualquer invasão. Em nota enviada ao BleepingComputer, a empresa afirmou que não identificou falhas em seus sistemas, mas confirmou que está investigando o caso. A Valve, por sua vez, ainda não se pronunciou oficialmente sobre o incidente. O jornalista MellowOnline1, criador do grupo comunitário SteamSentinels, aponta que a presença de registros em tempo real dos SMS pode indicar acesso direto a sistemas internos da fornecedora de autenticação.

Enquanto não há esclarecimentos formais, os usuários são aconselhados a tomar medidas preventivas para proteger suas contas. É recomendável alterar a senha do Steam, ativar o Steam Guard (2FA), evitar clicar em links suspeitos e estar atento a tentativas de phishing por e-mail ou SMS. Em fevereiro, a plataforma já havia enfrentado outro problema de segurança: o jogo PirateFi, criado a partir de um template legítimo, escondia malware capaz de roubar dados como senhas, cookies, histórico de navegação e até códigos de autenticação.