- Scanner un QR code de phishing transfère votre session Steam authentifiée directement à l’ordinateur du scammer en quelques secondes
- Les attaques par QR code ont bondi de 400% et représentent désormais 12% des incidents de phishing, avec 68% ciblant les utilisateurs mobiles
- Un joueur a perdu un inventaire valorisé à 60 000 dollars suite à un seul scan de QR code malveillant
Ce scénario n’a rien d’exceptionnel : c’est une variante bien rodée du piratage de compte connue sous le nom de streamjacking ou QR phishing, très active dans l’écosystème CS2 et des sites d’échange de skins. Le code que tu as scanné pour « récupérer ta récompense gratuite » ne débloquait strictement rien de ton côté. Il transférait en réalité la session authentifiée de ton compte Steam vers l’écran du scammer, qui se retrouvait connecté à ta place en quelques secondes.
L’application mobile Steam propose depuis longtemps un vrai raccourci de connexion : tu scannes un QR affiché sur l’écran de connexion pour transférer ta session sans retaper ton mot de passe ni ton code à deux facteurs. Quand tu te connectes à Steam sur un nouvel appareil, tu peux scanner un QR code affiché sur l’écran avec ton application mobile, qui transfère ta session authentifiée sans avoir à retaper un mot de passe ou un code 2FA, cette fonction pratique partant du principe que l’écran affiché est bien le tien.
Scanner un QR code généré par l’ordinateur d’un escroc revient à donner instantanément à cette machine un accès complet et authentifié à ton compte Steam.
Un exemple documenté par les chercheurs de Malwarebytes en juin 2026 montre la mécanique à l’œuvre sur une fausse page imitant FACEIT, censée vérifier ton compte CS2. Le QR code affiché apparaît flou et difficile à scanner, un défaut que les chercheurs jugent volontaire. Après quelques tentatives infructueuses, la victime finit par cliquer sur le bouton « Se connecter via Steam », plus simple d’apparence, qui ouvre lui la vraie fenêtre de connexion Steam détournée.
Une fois le compte capturé, l’histoire ne s’arrête pas à toi. Des bots automatisés présents dans les serveurs Discord CS2 envoient des messages privés non sollicités à propos de récompenses de saison ou de cadeaux surprise, avec des liens vers des pages de phishing conçues pour capturer les jetons de session en temps réel et contourner la double authentification classique. Ton propre compte, ou celui d’un ami piégé juste avant toi, devient l’appât suivant envoyé à toute la liste. La chaîne se referme sur elle-même, un contact après l’autre, chacun pensant recevoir un message authentique de son pote.
Un joueur a perdu un inventaire de 60 000 dollars en un seul scan de QR code.
Le phénomène dépasse largement le monde du gaming et des skins virtuels. En 2021, les QR codes ne représentaient que 0,8% des charges de phishing envoyées par email ; en 2025, ce chiffre avait atteint 12%. Les attaques basées sur des images intégrant un QR code ont bondi de 400% avant 2025 selon l’Anti-Phishing Working Group, avec désormais 12 à 12,4% des incidents de phishing utilisant ce type de charge encodée.
Sur mobile, le risque grimpe encore d’un cran. 68% des attaques de quishing recensées en 2025 visaient spécifiquement les utilisateurs mobiles. C’est logique : c’est justement sur ton téléphone, loin des filtres antivirus d’un poste de travail surveillé, que tournent l’appli Steam et Discord.
Environ 80% des PDF piégés contenant un QR code passent inaperçus des antivirus lors d’un premier scan sur VirusTotal.
La parade tient en une poignée de réflexes simples à retenir. Aucun joueur pro, aucun streamer légitime n’exige de scanner un QR code pour participer à un giveaway. Le seul endroit où un QR Steam a un sens, c’est l’écran de connexion officiel affiché sur ton propre appareil sur les domaines steamcommunity.com ou steampowered.com, jamais celui d’un site tiers, d’un stream ou d’un salon Discord. Si un site de skins te presse d’agir « avant expiration de l’offre », c’est précisément le genre de signal à prendre au sérieux, mais dans le mauvais sens. Aucune récompense gratuite, aussi alléchante soit-elle, ne justifie de sortir ton téléphone et de pointer l’appareil photo vers un écran inconnu.
Si le mal est déjà fait, la course contre la montre commence tout de suite. Révoquer une clé API bloque les bots qui surveillent tes échanges, mais si le pirate possède déjà ton mot de passe, il faut aussi le changer, déconnecter tous les appareils autorisés et vérifier l’email et le numéro de téléphone associés au compte. Ces gestes ne servent à rien tant qu’un malware tourne encore sur la machine, d’où l’intérêt d’un scan complet ou d’une réinstallation avant de tout reconnecter.
Reste la question judiciaire, souvent oubliée par les victimes. En France, ce type d’escroquerie expose son auteur à cinq ans d’emprisonnement et 375 000 euros d’amende, avec des peines aggravées si elle est commise en bande organisée ou via des moyens électroniques. De quoi porter plainte sans se dire que « ce n’est qu’un jeu vidéo ».
Sources : eccu.edu | uniqode.com