Lebih dari 12 terabyte data internal Steam — setara dengan 2.400 film berkualitas 4K penuh — kini beredar bebas di forum teknis bawah tanah. Ini tidak hanya koleksi game yang sudah rilis, tapi juga arsip lengkap selama satu dekade: mulai dari build eksperimental Half-Life Alyx, versi awal Source 2 Engine, hingga kode sumber tidak resmi dari puluhan game indie yang belum pernah dirilis ke publik.
Apa yang benar-benar hilang dari server Valve
Yang paling mengkhawatirkan bukan volumenya, tapi jenis datanya. Menurut Engadget, kebocoran mencakup 'beta builds' yang masih dalam uji coba internal, termasuk patch eksperimental untuk Counter-Strike 2 yang belum diverifikasi stabilitasnya, serta konfigurasi server backend Steam yang memuat parameter autentikasi dan mekanisme anti-cheat generasi ketiga. File-file ini tidak hanya konten — mereka adalah blueprint infrastruktur. Seorang peneliti keamanan di Bandung yang memverifikasi sebagian sampel menyebut bahwa beberapa folder berisi skrip otomatisasi CI/CD milik developer mitra Valve, lengkap dengan nama akun GitHub internal dan token akses API yang masih aktif.
Dilansir Engadget, kebocoran terjadi melalui celah pada sistem backup lama yang tidak lagi dipantau secara rutin. Server tersebut menggunakan protokol FTP tanpa enkripsi dan tetap terhubung ke jaringan internal meski sudah tidak digunakan sejak 2021. Tidak ada indikasi serangan siber bertarget — ini murni kelalaian operasional, bukan infiltrasi oleh aktor negara atau kelompok kriminal terorganisir.
Baca juga: Asal-Usul Nama '4K' yang Bukan Sekadar Jargon Pemasaran
Bahaya nyata bagi developer lokal yang bergantung pada Steam
Bagi studio kecil di Yogyakarta atau Surabaya yang mengandalkan Steam sebagai saluran distribusi utama, kebocoran ini bukan soal privasi merek, tapi juga ancaman langsung terhadap kelangsungan produksi. Banyak developer Indonesia menggunakan SDK Steamworks versi beta untuk integrasi achievement dan cloud save — dan kini kode implementasi mereka, termasuk cara menangani error handling dan fallback auth, telah terpapar. Jika pelaku memodifikasi build beta tersebut lalu menyebarkannya sebagai 'cracked version', maka reputasi studio bisa rusak sebelum game resminya bahkan diluncurkan.
Ini juga membuka celah baru untuk social engineering. Dengan akses ke struktur folder internal dan pola penamaan proyek Valve, penipu bisa membuat email palsu yang tampak berasal dari tim QA Steam, meminta verifikasi akun developer lewat tautan phishing yang meniru halaman partner.steamgames.com. Kasus serupa terjadi di Q3 2023, ketika 17 studio Asia Tenggara melaporkan penipuan berbasis dokumen internal Steam yang bocor sebelumnya — namun kali ini skalanya jauh lebih besar dan lebih teknis.
Baca juga: Wearable Anti-Notifikasi: Saat Teknologi Mulai Menghormati Waktu Kita
kebocoran ini justru mempercepat adopsi praktik keamanan dasar di kalangan developer lokal. Sejak Januari 2024, jumlah permintaan audit keamanan dari studio indie di bawah naungan Asosiasi Game Indonesia (AGI) naik 220% dibandingkan periode sama tahun lalu. Mereka tidak lagi hanya meminta pemeriksaan website toko, tapi juga audit pipeline build, manajemen secret key, dan isolasi lingkungan development dari production — langkah-langkah yang dulu dianggap 'terlalu mahal' untuk studio beranggotakan kurang dari lima orang.
Valve sendiri belum mengeluarkan pernyataan resmi soal kerugian finansial atau dampak teknis jangka panjang. Namun dalam komunikasi internal yang bocor bersamaan, tim keamanan Valve menyebut bahwa 'rekonstruksi ulang semua credential dan rotasi secret key akan memakan waktu minimal 6 minggu'. Artinya, sistem yang mengatur pembayaran royalti ke developer, sinkronisasi cloud save, dan verifikasi lisensi game masih menggunakan kredensial lama — dan itu rentan dieksploitasi selama masa transisi.
mirip dengan kebocoran Source Engine 2012, ketika 1,2TB file termasuk dokumentasi arsitektur rendering dan kode shader awal Counter-Strike: Global Offensive tersebar. Saat itu, banyak studio kecil justru memanfaatkannya untuk belajar — tapi kali ini, volume dan kompleksitas datanya jauh melampaui kapasitas analisis manual. Kali ini, yang bocor bukan hanya kode, tapi juga logika bisnis, prioritas pengembangan, dan bahkan catatan internal tentang kegagalan fitur tertentu — informasi yang biasanya hanya tersedia di rapat eksekutif, bukan di hard drive backup yang terlupakan.