Un mail de Steam au milieu de la nuit, une connexion depuis une ville que je n’ai jamais visitée, et ce petit vertige familier : quelqu’un venait d’entrer dans mon compte avec mon mot de passe, sans que je puisse rien y faire sur le moment. Ce soir-là, j’ai découvert que Steam Guard, l’authentification à deux facteurs de Valve, n’était pas activée sur mon profil. Un simple mot de passe, aussi tordu soit-il, ne protège plus rien depuis longtemps face aux techniques de phishing actuelles.
À retenir
- Un pirate a accédé à mon compte Steam en une seule nuit sans que je puisse réagir
- L’incident coïncidait avec une rumeur de piratage massif de 89 millions de comptes en mai 2025
- La vraie leçon : il existe plusieurs niveaux de sécurité, et j’en ignorais l’existence
La faille n’était pas Steam, c’était moi
Le réflexe classique consiste à blâmer la plateforme. Mais dans l’immense majorité des cas, le problème vient d’ailleurs. Le piratage de comptes est un fléau bien connu des joueurs Steam, et la plupart des attaques passent par l’hameçonnage : un faux site qui imite Steam, un message d’un « ami » (en réalité déjà piraté) qui promet un cadeau, ou une fausse invitation à un tournoi. J’ai fini par comprendre que j’avais cliqué sur un lien reçu via un contact que je pensais fiable, un jeu gratuit à tester avant une sortie, la classique.
Le mot de passe seul, c’est une serrure sans verrou de sécurité. L’authentification à deux facteurs est une fonction de sécurité extrêmement importante qu’il faut activer sur tous ses comptes, car elle oblige à se connecter avec non seulement un mot de passe, mais un code venant d’un appareil que l’on possède. Sur Steam, ce système s’appelle Steam Guard, et Valve ne fait pas semblant : en protégeant son compte à l’aide de l’appli mobile Steam, on rend l’accès au compte extrêmement difficile pour les pirates s’ils n’ont pas le téléphone, et ce même s’ils obtiennent le mot de passe.
Un détail m’a marqué en creusant le sujet : Steam Guard n’est pas juste un code à six chiffres. Le système ajoute un verrouillage des échanges de cinq jours après n’importe quelle modification sur le compte, une friction volontaire qui laisse le temps de réagir avant qu’un objet d’inventaire ou une clé de jeu ne parte définitivement chez un inconnu. Ce délai a sauvé pas mal de bibliothèques Steam, même si certains joueurs racontent encore sur les forums communautaires avoir été piratés malgré l’authentificateur activé, preuve qu’aucune protection n’est totalement étanche face à un malware bien conçu.
Quand le doute s’est invité chez tout le monde, en mai 2025
Mon histoire personnelle a pris une tout autre dimension quand j’ai réalisé qu’elle coïncidait avec une affaire qui a secoué toute la communauté Steam. En mai 2025, une rumeur de piratage massif chez Steam a circulé, évoquant jusqu’à 89 millions de comptes potentiellement compromis, soit selon certaines estimations les deux tiers de la base d’utilisateurs. Un pirate se faisant appeler Machine1337 affirmait détenir cette base et la proposait à la vente sur un forum du dark web.
Panique justifiée ou fausse alerte ? Les enquêtes techniques qui ont suivi ont apporté une nuance importante. Il ne s’agirait pas de comptes Steam, mais de journaux de SMS envoyés dans le cadre de la double authentification, ces fameux codes éphémères à usage unique dont la durée de validité est de 15 minutes avec Steam. Valve lui-même a tenu à rassurer sa communauté : l’éditeur a précisé qu’il n’était pas nécessaire de modifier les mots de passe ou les numéros de téléphone suite à cet événement. La piste privilégiée pointait vers un prestataire tiers plutôt que vers les serveurs de Valve directement, le pirate lui-même indiquant que son trésor de guerre ne proviendrait pas d’un piratage de Steam, mais de son partenaire Twilio, un service utilisé par la plateforme pour envoyer les codes d’authentification par message.
Rassurant sur le fond, mais l’épisode a quand même révélé une faiblesse concrète des codes envoyés par SMS. Les messages SMS ne sont pas chiffrés en transit et passent par plusieurs fournisseurs avant d’arriver sur le téléphone, ce qui explique pourquoi les experts en cybersécurité recommandent désormais de privilégier l’application mobile Steam plutôt que la réception de codes par texto. C’est exactement la leçon que j’ai retenue de ma mésaventure : toutes les 2FA ne se valent pas.
Ce que j’ai changé concrètement sur mon compte
Une fois le compte récupéré, j’ai remis les choses à plat méthodiquement. L’application mobile Steam Guard s’est imposée comme la solution la plus solide, loin devant le simple code par e-mail que beaucoup activent par facilité. Activer l’authentificateur Steam Guard mobile plutôt que la simple validation par e-mail fait toute la différence entre un compte facilement piratable et un compte réellement protégé, y compris pour les objets et le portefeuille.
J’ai aussi appris à conserver précieusement mon code de récupération, cette suite de caractères qu’on nous propose à la configuration et qu’on a tendance à zapper. À l’étape de configuration, Steam fournit un code de récupération à garder précieusement, qui permet de récupérer son compte après un piratage ou une perte du téléphone. Sans lui, impossible de reprendre la main proprement si le smartphone tombe à l’eau ou se fait voler.
Le dernier réflexe, souvent oublié, concerne les clés API et les appareils autorisés. Sur les forums communautaires Steam, les habitués du support recommandent systématiquement de supprimer toutes les clés API présentes sur le compte, et de déconnecter tous les appareils qui y sont connectés via le menu Gérer Steam Guard, en retirant l’autorisation de tous les appareils avant de tout reconfigurer proprement. Une clé API oubliée, c’est une porte dérobée qu’un logiciel malveillant peut réactiver sans jamais toucher au mot de passe.
Un an après, mon compte n’a plus bougé d’un pixel sans que je le sache. Mais le vrai enseignement dépasse Steam : la même logique s’applique à n’importe quel compte contenant de la valeur, boutique en ligne, banque, ou plateforme de streaming. Le mot de passe protège contre les curieux. La double authentification protège contre ceux qui savent déjà ce qu’ils cherchent.
Sources : steamcommunity.com | generation-nt.com