一名駭客宣稱手中握有全球最大電玩平台Steam 8,900萬用户帳號相關資料，日前在暗網上公開兜售。不過持有Steam的公司Valve否認自家系統有被駭入情形。

Bleeping Computer報導 ，一個代號Machine1337（或稱EnergyWeaponsUser）的用户在地下論壇兜售據稱是Steam用户帳號密碼等資料，共有8,900萬筆。駭客也公佈了3,000筆作為樣本。

媒體分析這些資料發現，這些資料包含一次性驗證碼的明碼文字簡訊，及Steam用户手機號碼等。

持有Steam的母公司Valve經過初步檢視後發出聲明 ，否認自家系統遭駭。該公司指出，外洩資料中的電話號碼與Steam帳號下的資料不同。前者是較舊的文字簡訊及時效僅15分鐘的一次性驗證碼，後者包含電話號碼、密碼、支付資訊及其他資料。

Valve/Steam告知用户，純文字簡訊無法作為帳號攻擊工具，而且若真的一次性驗證碼被用來驗證登入帳號，用户也會收到電子郵件或Steam訊息通知。

此外， 專門觀察Steam生態系活動的社羣MellowOnline1指稱 ，導致Steam資料外洩的不是Steam系統本身，而是Steam用來發送雙因素認證（2FA）一次性驗證碼的通訊服務Twilio。Twilio為通訊服務商，其Verify API可提供傳送2FA驗證的一次性驗證碼。

MellowOnline1解釋，外洩資料除了一次性驗證碼，還包含遞送狀態、Metadata、傳送成本（routing cost），這意味著攻擊者可以存取Twilio後台系統，這原因可能是駭入了Twilio用户帳號、取得API金鑰，或是掌握後台儀錶板（dashboard）的直接存取權。

但Twilio公司也對Bleeping Computer否認遭駭。Twilio團隊説沒有證據顯示Twilio遭駭，且該公司檢視駭客公佈的樣本後，也判斷資料並非取自Twilio的跡象。

Bleeping Computer也説無法判斷這些資料是來自2FA服務商。此外，雖然Steam方面説外洩的是較舊的文字簡訊，但Bleeping Computer分析樣本資料，也看到了不少今年3月才發送的資料。

最後Steam説用户無需變更電話號碼或密碼，但仍建議用户使用Steam驗證用的App來接收一次性驗證碼。