Корпорация Valve опубликовала полное заявление о произошедшем сбое с 25 на 26 декабря.

Что случилось.

25 декабря произошла ошибка конфигурации, в результате которой некоторые пользователи могли видеть страницы магазина Steam от лица других пользователей. Между 22:50 и 00:20 по московскому времени, страница магазина, которая содержала личную информацию, ответила на запросы 34 тысячам пользователей.

Содержание этих запросов было разным, но некоторые страницы содержали платежные адреса, 4 последние цифры телефонного номера Steam Guard, историю покупок, 2 последние цифры кредитной карты и/или адреса электронной почты.

Эти кэшированные запросы НЕ содержали полные номера кредитных карт, пользовательские пароли или другую информацию, позволяющую другим лицам зайти в ваш аккаунт или произвести покупку.

Если вы не заходили в магазин Steam в раздел «Об аккаунте» или в корзину в этот временной промежуток, то ваша информация не была показана другим пользователям.

В настоящее время, корпорация Valve работает с партнером по веб-кэшированию чтобы узнать, чья информация была показана третьим лицам. В случае, если вашу информацию увидел другой человек, Valve с вами свяжется.

Так как никто не мог выполнять любые несанкционированные действия на аккаунтах, других мер по обеспечению безопасности не потребуется.

Как это случилось.

В Рождественское утро (по тихоокеанскому времени), магазин Steam стал целью DoS-атаки, которая стала причиной невозможности отображения страниц пользователям. Атака на магазин Steam, как и Steam в целом, — это обычные явления, над которыми корпорация Valve всегда работает. Во время Рождественской атаки, трафик на магазин Steam возрос на 2000%, не включая сам трафик распродажи Steam.

В ответ на атаку были применены правила кэширования, управляемые партнером по вэб-кэшированию, чтобы снизить воздействие на серверы магазина Steam и продолжить принимать трафик настоящих пользователей Steam.

Во время второй волны атаки, вторая конфигурация кэширования была неправильно применена для авторизованных пользователей Steam. Ошибка в конфигурации стала генерировать страницы одних пользователей другим. Из-за некорректных запросов пользователи могли видеть другие языки и чужих людей в разделе «Об аккаунте».

Как только ошибка была выявлена, магазин Steam был отключен, а в это время была применена новая конфигурация кэширования. Магазин Steam оставался отключенным до тех пор, пока не были проверены все конфигурации кэшей.

Мы продолжим работать с нашим партнером по вэб-кэшированию для идентификации пользователей, чья информация была отображена третьим лицам, а также улучшим процесс, используемый в применении правил кэширования.

Мы приносим свои извинения всем, чьи личные данные были показаны другим лицам из-за этой ошибки, а также за работу магазина Steam.