Si vous avez commandé un Steam Deck, une Steam Machine ou une manette Steam, mauvaise nouvelle. Valve confirme qu’une cyberattaque contre CEVA Logistics, son transporteur européen, a exposé les données personnelles de ses clients. On parle des noms, des adresses et des numéros de téléphone, de quoi monter des arnaques très crédibles.
- Valve confirme qu’une cyberattaque chez CEVA Logistics a exposé les données de clients européens ayant commandé du matériel Steam.
- Les données volées incluent noms, adresses, téléphones, mails, commandes et prix payés, mais pas les mots de passe ni les paiements.
- Le risque principal est le phishing ciblé, avec de faux mails, SMS ou appels capables de citer une vraie commande Steam.
La cyberattaque a frappé CEVA Logistics entre le 29 juillet et le 1er août 2026. Un prestataire qui expédie le matériel Steam aux clients européens pour le compte de Valve. Sauf que voilà, la société derrière Steam n’est au courant de la compromission que depuis le 7 août. Soit presque une semaine après le début de l’intrusion.
Quelles données volées suite au piratage du prestataire de Valve ?
Les clients touchés ont reçu un mail d’alerte, puis certains ont partagé le message sur ResetEra et Reddit. Les données volées sont très sensibles puisqu’elles concernent les commandes :
- Noms
- Adresses postales
- Ville
- Pays
- Numéro de téléphone
- Adresse mail connecté au compte Steam
- La commande et le prix payé
CEVA conserve ces informations pendant 90 jours après une commande, alors Valve prévient tous les clients sur cette période. Mais bonne nouvelle malgré tout, vos comptes ne risquent rien.
CEVA n’a jamais eu accès aux informations de paiement, aux mots de passe ou aux codes Steam Guard. Il est donc inutile de changer son mot de passe ou de toucher aux réglages de son compte, Valve le précise dans son message.
Le phishing, principal danger derrière cette attaque
Le vrai danger ? Le phishing puisqu’un message frauduleux qui cite votre commande exacte et votre vraie adresse paraît tout de suite légitime. Valve appelle donc à la prudence face à tout mail, SMS ou appel qui mentionne votre matériel ou livraison.
Pour rappel, le support Steam n’est disponible que depuis le site officiel et ne demande jamais de mot de passe ou de code Steam Guard. Même consigne pour les messages de livraison qui réclament un paiement, tout est à considérer comme faux selon Valve. Le scénario rappelle la mésaventure des joueurs de Dofus dont les données ont fini entre les mains des pirates au printemps, avec le même risque de phishing ciblé.
Et l’affaire dépasse très largement le monde du jeu vidéo. L’attaque a perturbé au moins huit entrepôts européens de CEVA Logistics, dont le siège se trouve en France. La banque ING, le club de football de l’Ajax Amsterdam et plusieurs boutiques néerlandaises comme Bol sont aussi touchés et alertent leurs clients.
Les prestataires, nouvelle cible des piratages
Il faut dire que passer par un prestataire est une porte d’entrée idéale pour les pirates puisque Rockstar a subi une deuxième intrusion via un prestataire compromis en avril. Et ce à quelques mois de la sortie de GTA 6. Le studio a refusé de payer la rançon. En général, les prestataires sont moins bien protégés que les grosses boîtes, d’où le choix des pirates.
Bref, l’enquête continue chez CEVA et Valve réclame des précisions sur l’ampleur exacte de l’incident. Le nombre de clients touchés reste inconnu et les autorités de protection des données des pays visés ont été prévenues. En cas de doute sur un message de livraison, un seul réflexe, passer par le site officiel de Steam et rien d’autre.
Un avis, une expérience, un désaccord ? La discussion est ouverte.