Una filtración de 12 TB expone una década de builds internos de Steam desde un endpoint público de Valve
El volcado cubre prácticamente todos los títulos publicados en Steam entre 2003 y 2013, incluidos prototipos y versiones de prueba nunca vistas. Investigadores señalan que el contenido estaba accesible sin autenticación.
Un archivo de más de 12 terabytes con contenido asociado a prácticamente todos los títulos disponibles en Steam entre 2003 y 2013 comenzó a circular este fin de semana a través de un tracker de BitTorrent. El material se comercializa como un volcado «tan completo como sea posible» de los servidores de contenido de la arquitectura Steam2, hoy retirada.
Qué contiene el volcado
La colección incluye miles de depots que representan aparentemente cada versión de cada juego subido a los servidores Steam2 durante ese período. Además de las compilaciones de lanzamiento público, el archivo abarca versiones preliminares, prototipos y builds de prueba nunca difundidas, tanto de títulos publicados por Valve como por editoras terceras. Entre los hallazgos reportados figuran contenido descartado de Portal 2 y elementos vinculados a Half-Life 2: Episode 3.
El corte abrupto en 2013 tiene explicación técnica: ese año Valve migró su sistema de distribución de contenido de Steam2 al actual SteamPipe. El cambio sustituyó un formato propietario de distribución de archivos por árboles HTTP estándar, eliminó cuellos de botella de aprobación de actualizaciones y permitió descargas diferenciales de parches.
El origen: exposición, no intrusión
El aspecto técnicamente relevante del caso está en cómo se obtuvo el material. Gabe Follower, analista de larga trayectoria en el ecosistema Valve, afirmó en redes sociales haber «verificado que todo lo del Steam2 Teraleak fue obtenido mediante un endpoint de API públicamente accesible». El streamer y analista hispanohablante Scolcer coincidió: el contenido «estaba ahí para que todo el mundo lo descargara. Sin contraseñas. Nada. Oculto a plena vista, pero sin ninguna protección».
Queda por determinar si ese endpoint fue consultado recientemente o si el archivo consolida material descargado antes de la transición de 2013 y conservado en colecciones privadas. Moderadores de la comunidad Valve Cut Content se inclinan por la segunda hipótesis.
Lectura de Tabuga Intelligence
El caso ilustra una categoría de riesgo que las auditorías tradicionales rara vez cubren: la infraestructura heredada que deja de mantenerse pero no se apaga. Steam2 dejó de ser el sistema de producción hace trece años; su superficie de exposición siguió activa y sin controles de autenticación durante todo ese tiempo.
Para cualquier organización con historial de migraciones de plataforma —banca con core bancarios sustituidos, aseguradoras con sistemas de pólizas legados, entidades públicas con portales reemplazados— la pregunta operativa es directa: ¿qué endpoints del sistema anterior siguen respondiendo? El inventario de activos digitales que no incluye la infraestructura desmantelada es un inventario incompleto.
Fuente: Ars Technica, 30 de agosto de 2026.