Steam měl problémy, ukazoval lidem data jiných uživatelů

• Aktualizace 31.12.: Steam zveřejnil doplňující informace k problémům

Vánoční období přineslo problémy herní službě Steam. Stál za nimi zřejmě příliš velký zájem lidí o hry a slevy, ale mluví se také o možném DDoS útoku. Vedle nedostupnosti a zásadního zpomalení ale službu postihlo něco podstatně horšího: řada uživatelů se po otevření Steamu dostala k údajům někoho jiného.

Místo jejich knihovny a detailů o vlastním účtu viděli hry a údaje cizího uživatele. Firma Valve na vzniklé problémy zareagovala krátkodobým vypnutím služby a následnou opravou. Nyní se snaží uklidňovat, že se vlastně nic závažného nestalo. Celé to ujišťování se tak trochu míjí účinkem, pokud je pravdou, že se někdo cizí mohl dostat k dodacím adresám i e-mailům.

Problém se Steamem byl v cache, tedy vyrovnávací paměti používané pro urychlení přístupu k informacím. Některým uživatelům se zobrazovaly informace někoho jiného, uložené právě v cache a chybně poskytnuté jinému uživateli. Valve uvádí, že k chybě došlo vinou změny v konfiguraci. Dodávají k tomu, že žádné skutečně citlivé informace (což by mohla například být i čísla platebních karet) se tímto způsobem k nikomu cizímu dostat nemohly.

Pokud používáte Steam, je možná vhodný čas si preventivně nastavit nové silné heslo. Případně doplnit dvoufaktorové ověření, pokud ho ještě nemáte.

Aktualizace 31.12. – Steam na blogu zveřejnil podrobnější informace o tom, co se stalo. Zobrazením stránek s citlivými údaji bylo podle něj postiženo asi 34 tisíc uživatelských účtů. Jiní uživatelé mohli vidět jejich poštovní adresu, poslední čtyři číslice telefonního čísla, historii nákupů, poslední dvě číslice z čísla platební karty nebo e-mailovou adresu. Podle Steamu se nezobrazovala plná čísla kreditek, hesla ani žádné jiné údaje, se kterými by se někdo mohl přihlásit k cizímu účtu.

Příčinou problémů byl podle Valve DoS útok, který se navíc trefil do povánočního nárůstu provozu (až o 2000 % oproti průměru). Jeden z cachovacích mechanismů, který měl pomoci zmírnit dopady DoS útoku, obsahoval chybu, která vyústila v zobrazování stránek cizím uživatelům.