Una brecha en la API de Steam expone los logros de 145 juegos no anunciados

Una vulnerabilidad en la interfaz de programación de aplicaciones (API) de Steam ha expuesto hoy, 9 de septiembre de 2026, los esquemas de logros de más de 145 videojuegos no anunciados o sin página pública en la tienda de Valve. La filtración ha dejado al descubierto metadatos de producciones de alto perfil, confirmando la existencia de versiones para ordenador de títulos muy esperados.

El problema se manifestó a través de plataformas externas dedicadas a la monitorización y seguimiento de estadísticas de la plataforma, como SteamDB y Exophase. Estos servicios recopilan de forma automatizada las llamadas a la API de Steamworks. Al consultar ciertos extremos (endpoints) que no contaban con los permisos de visibilidad restringidos correctamente en los servidores de Valve, las bases de datos de seguimiento indexaron listados completos de logros asociados a identificadores de aplicación (AppID) confidenciales.

Títulos de gran presupuesto entre los proyectos expuestos

Entre la lista de desarrollos afectados figuran producciones de gran envergadura. Los datos técnicos confirman la presencia y configuración interna de proyectos como Persona 6, Kingdom Hearts IV, el reinicio de Fable, Gears of War: E-Day y Silent Hill: Townfall. Asimismo, aparecen referencias a otros desarrollos como Persona 4 Revival y títulos independientes aún en fases tempranas de producción como Brazilian Drug Dealer y Penis Bird.

La carga de logros en Steamworks suele ser uno de los últimos pasos en el proceso de certificación interna antes del lanzamiento o de una presentación oficial. La presencia de estos esquemas en los servidores indica que varios de estos proyectos cuentan ya con compilaciones operativas integradas en el cliente de Steam, listas para pruebas cerradas de calidad o control de errores.

Una vulnerabilidad recurrente en la infraestructura de Valve

No es la primera vez que la arquitectura de metadatos de Valve sufre problemas de aislamiento de información. En ocasiones anteriores, fallos en la configuración de la privacidad en paquetes de depuración expusieron recuentos de jugadores y fechas de lanzamiento tentativas. En este caso específico, la brecha ha afectado a la capa de sincronización de estadísticas y logros del usuario, un componente crítico de la API que interactúa de manera constante con clientes de terceros.

Por el momento, Valve no ha publicado ningún comunicado técnico detallando el origen del fallo ni las medidas de contención aplicadas en su infraestructura. Tampoco se ha especificado si la compañía ha procedido a revocar los permisos de acceso a las llamadas afectadas o a bloquear temporalmente los métodos de consulta en Steamworks para desarrolladores.