La symbiose entre l'arnaque « Steam » et «API » : Tromperie, négligence et responsabilité

1. Introduction : Une symbiose entre négligence délibérée et calculée

Steam a toujours accepté sans sourciller toutes les évolutions, y compris les réglementations et les changements (par exemple, les blocages ou interdictions d'échange après un changement de pseudo). Il s'agit là de mesures imposées, mais elles sont inefficaces et incomplètes. Valve n’a aucune réelle volonté de lutter contre ce phénomène, car l’entreprise comprend que sa plateforme dépend à la fois des arnaques et des jeux d’argent, ainsi que du reste de l’économie souterraine que Steam a favorisée, laissée se développer et permis de perdurer pendant de nombreuses années. Il ne s’agit pas d’une attaque contre Steam ; il s’agit d’une symbiose — mutuellement bénéfique et comprise par les deux parties prenantes de cette symbiose.

La célèbre arnaque dite «API» (communément appelée «échange d’offres» ou «remplacement d’offres») existe depuis longtemps. Le phishing s'est toujours appuyé sur le remplacement de session. Sous sa forme persistante, il est apparu vers le printemps 2019 (auparavant, il existait sous forme de phishing classique, qui a fini par évoluer vers un remplacement avec des durées limitées à 1, 4 ou 8 heures). Au printemps 2019, tous les outils actifs sur le marché de l’escroquerie rendaient la session piratée « mobile ». C’est ainsi qu’elle a connu son apogée. Selon nos estimations les plus prudentes, cela a permis le vol d’au moins 10 millions de dollars, voire davantage. Mais il faut comprendre que, d’une manière générale, cela favorise la prolifération des cybercriminels. Steam protège les escrocs en jouant le jeu selon lequel « les skins n’ont aucune valeur ». L’introduction du blocage des échanges est intervenue après que le mécanisme d’échange d’offres fut déjà bien établi. Le délai de blocage des échanges de 7 jours, sans limite, a été ajouté brusquement et sans raison. Ce n’est pas une mesure anti-arnaque ; c’est de la réglementation.

Expliquons comment fonctionne l'échange d'offres, et pourquoi Steam et ses tentatives de lutte contre l'arnaque sont un véritable cirque (et l'ont toujours été).

2. Le plan d'action 2017-2018 : cinq algorithmes privés

Pour comprendre l’ampleur de l’opération, on peut se pencher sur les groupes privés d’escrocs qui ont opéré de 2017 au printemps 2018. Au cours de cette période, les développeurs ont conçu cinq algorithmes opérationnels distincts pour la méthode d’échange d’offres. Cette mise à jour privée comprenait les cinq algorithmes : le bot du panel se connectait au compte de l'utilisateur et fonctionnait selon l'un des cinq algorithmes ci-dessous, en contournant l'authentification à deux facteurs (2FA) grâce à la validation Guard. Les escrocs pouvaient configurer ces paramètres (jeux à envoyer, filtre de prix minimum des offres, etc.) directement depuis leur panneau d'administration.

Annexe technique : variantes de substitution d’offres et évolution du panneau

Algorithme n° 1 : l'échange classique

• Vérifie l'offre : provient-elle d'un site de trading ? Si oui, le programme effectue les actions ci-dessous.
• Annule l'offre émise par le bot de trading officiel.
• Analyse le pseudo, l'avatar et le message commercial provenant du compte officiel du bot, puis les attribue tous au compte du bot de l'escroc.
• Envoie exactement la même offre, mais depuis le compte de l'arnaqueur, avec les mêmes articles, le même pseudonyme et le même avatar.

Algorithme n° 2 : Échange différé

• Vérifie l'offre : provient-elle d'un site de trading ? Si oui, le programme effectue les actions ci-dessous.
• Cela n'annule pas immédiatement l'offre du bot officiel, mais attend que l'utilisateur l'accepte sur son ordinateur (et non sur son téléphone).
• Une fois que l'utilisateur l'a acceptée (sur son ordinateur), le bot annule l'offre officielle.
• Analyse le pseudo, l'avatar et le message d'échange provenant du compte officiel du bot, puis les attribue au compte de l'escroc.
• Envoie exactement la même offre depuis le compte de l'arnaqueur, avec les mêmes articles, le même pseudonyme et le même avatar.
• Accepte l'offre (provenant du bot de l'escroc) sur l'ordinateur.
• En conséquence, l'utilisateur valide la transaction sur son application mobile, pensant qu'elle provient du bot officiel, alors qu'en réalité, elle émane de l'escroc.

Algorithme n° 3 : détournement des données sortantes

• L'utilisateur envoie une offre en utilisant le lien de transaction du bot de l'escroc, puis se rend sur son application mobile pour la confirmer.
• Le bot de l'escroc annule l'offre de l'utilisateur.
• Envoie une offre depuis le compte de l'utilisateur, comprenant tous ses objets (les jeux éligibles peuvent être sélectionnés dans le panneau d'administration), vers le lien d'échange du bot de l'arnaqueur.
• L'utilisateur confirme ensuite cette transaction modifiée depuis son application mobile.

Algorithme n° 4 : Échanges bidirectionnels

• Offres reçues :
  • Lorsqu'une offre est envoyée à l'utilisateur pour lui demander uniquement ses objets, l'échange a lieu lorsque l'utilisateur l'accepte sur son téléphone (après l'avoir acceptée sur son ordinateur) [à l'aide de l'algorithme n° 2].
  • Lorsqu'une offre est envoyée à l'utilisateur concernant à la fois ses articles et ceux de la contrepartie, l'échange a lieu lorsque l'utilisateur l'accepte sur son téléphone (après l'avoir acceptée sur son ordinateur).
• Offres en cours :
  • Lorsque l'utilisateur envoie à quelqu'un une offre contenant ses propres articles, l'échange est effectué au moment où il s'apprête à la confirmer sur son application mobile. La vérification de la confirmation mobile de l'utilisateur par le bot s'effectue via l'acceptation automatique de l'échange.

Algorithme n° 5 : « Inventory Sweeper »

• Identique à l'algorithme n° 4, à la différence près que, lors de l'échange d'offres sortantes, il ajoute d'abord les objets de l'utilisateur qui faisaient déjà partie de l'échange, puis ajoute l'inventaire complet des jeux sélectionnés en dessous. Les jeux pouvant faire l'objet d'un vidage peuvent être sélectionnés dans le panneau d'administration (CS, DOTA, H1Z1, PUBG).

3. Infrastructure du Scam Panel et fonctionnalités d'administration

Les réseaux frauduleux fonctionnent comme des entreprises SaaS légitimes. Leurs tableaux de bord d'administration intègrent des fonctionnalités robustes et multithread, conçues pour permettre une exfiltration et un contrôle rapides :

• Tableau détaillé des journaux affichant les SteamID actifs en cours d'échange : « SteamID », « Inventaire ($) », « Temps restant avant l'expiration de la session d'échange », « Offres échangées », « Algorithme opérationnel », « Filtre de prix », « Heure de début de la session d'échange », « Remarque », « Actions ».
• Fonctionnalités de gestion des utilisateurs: mettre en pause, reprendre, supprimer, mettre à jour le lien de transaction.
• Filtre de seuil de prix minimum en USD (les offres dont la valeur totale des objets est inférieure à ce seuil ne seront pas échangées, ce qui évite de perdre du temps avec des objets de faible valeur). Cette option est accessible dans l'onglet « Paramètres ». Les prix pour CS, DOTA, H1Z1 et PUBG sont mis à jour quotidiennement entre 5 h et 7 h du matin.
• Mises à jour manuelles des liens commerciaux si l'utilisateur modifie son URL de trading.
• Contrôle des bots d'offres (démarrer, arrêter, redémarrer).
• Navigateur Steam intégré (module payant).
• Et bien d'autres fonctionnalités encore...

Le pack spécial « maFile » dédié au phishing

Il existe également un pack distinct ciblant les fichiers maFiles (fichiers Mobile Authenticator). Le principe de base consiste à récupérer un code SMS, à attendre la fin d'un délai de 2 jours, à vider les skins, puis à prendre entièrement le contrôle du compte.

La victime s'identifie sur un site de hameçonnage à l'aide de son nom d'utilisateur et de son mot de passe (validés en temps réel). Ensuite, une invite de saisie d'un code SMS s'affiche (à la place de Steam Guard), indiquant les deux derniers chiffres du numéro de téléphone auquel le SMS a été envoyé. Une fois qu'un code SMS valide est saisi, le panneau d'administration génère automatiquement un maFile. Grâce à ce fichier, les escrocs peuvent générer des codes d'authentification à deux facteurs (2FA) Steam Guard et accepter directement des échanges. Cependant, ce maFile nouvellement généré est soumis à une restriction d'échange de deux jours (mise en attente) : tout échange lancé au cours des deux premiers jours suivant la création du maFile est mis en attente pendant 48 heures et peut être annulé par le propriétaire.

Une fois que le nouveau fichier « maFile » est généré dans le panneau de contrôle de l'escroc, l'ancienne application d'authentification mobile de la victime commence à générer des codes invalides, même si, pour la victime, l'application semble fonctionner tout à fait normalement. Le texte du SMS que l'utilisateur reçoit est le suivant : « Le code permettant de désactiver ou de déplacer l'Authenticator est le suivant : 13204 ». Le tableau de bord d'administration propose également des options permettant de télécharger le maFile, de vérifier sa validité, de générer des codes d'authentification à deux facteurs (à l'instar de Steam Desktop Authenticator - SDA), de lancer une offre contenant tous les objets de l'inventaire d'un simple clic, ou d'exécuter une offre automatique avec un délai de suspension de 2 jours immédiatement après la génération du maFile. De plus, avec une licence de contournement automatique du phishing, le tableau de bord débloque les fonctionnalités de « phishing automatique » et de détournement de compte en un clic. Pour plus de commodité, un compte à rebours visuel indique la durée restante du délai de suspension juste à côté du maFile.

3b. Méthodes opérationnelles

1) Lutter contre le vol de peau :

• Exfiltration différée : Attendez deux jours après la génération du fichier maFile, puis envoyez une offre d'échange vers votre compte de destination (un simple clic sur un bouton du panneau d'administration suffit pour envoyer tous les skins vers le lien d'échange cible). Conditions requises pour la réussite de l'opération : la victime ne doit pas modifier son numéro de téléphone ni son mot de passe pendant ces deux jours (car cela invaliderait le fichier maFile dans le panneau d'administration).
• Offre automatique immédiate : Envoyez une offre automatique contenant tous les objets de l'inventaire vers le lien d'échange cible dès la génération du fichier maFile. N'acceptez pas cette offre immédiatement afin que les objets ne disparaissent pas prématurément du compte de la victime. Attendez simplement 2 jours, puis acceptez-la. Avec cette méthode, le fait de changer de mot de passe ou d’associer un nouvel authentificateur mobile n’empêchera pas la transaction ; toutefois, si la victime met à jour son authentificateur, le délai de suspension est réinitialisé, ce qui nécessite un nouveau délai d’attente de 2 jours. Conditions de réussite : la victime ne doit pas annuler manuellement l’offre d’échange en attente pendant le délai de suspension de 48 heures.

2) Lutte contre l'usurpation de compte (hameçonnage) :

• Vente directe sur compte : Vendre le compte préchargé avec son maFile. Une fois le maFile généré, la victime est bien moins susceptible de se douter d’une manœuvre frauduleuse par rapport au phishing traditionnel, qui déclenche souvent un verrouillage immédiat du compte par « Red Sign ». Par conséquent, les escrocs disposent d’un délai plus long pour revendre le compte sur les marchés. Cependant, il existe toujours un risque que la victime tente de se connecter depuis un nouveau navigateur ou un nouvel ordinateur et régénère le maFile sur son téléphone, ou réinitialise son mot de passe.
• Auto-Phishing (nécessite une licence de phishing) : Une fois le fichier maFile capturé, le compte est automatiquement mis en file d'attente pour un retrait automatisé des identifiants et verrouillé par une exclusion de la communauté. Le hameçonnage associé à la génération d'un fichier maFile cible et extrait uniquement le Steam Guard mobile.
• Hameçonnage en un clic (nécessite une licence d'hameçonnage) : Applique une exclusion de la communauté et déclenche la suppression automatique des identifiants sur commande.

De plus, ce bot peut être intégré au système d'analyse des cookies d'OPSkins (sous réserve de licence) et à la vérification par authentification à deux facteurs (2FA). Le backend est multithread et capable de traiter un nombre incalculable de comptes par seconde.

4. L'anatomie de la tromperie

Comment cette arnaque se déroule-t-elle concrètement ? Un jeune reçoit un lien sur Steam (le domaine peut se faire passer pour un tournoi, un airdrop ou un site d’échange de skins). La page comporte un bouton d’autorisation et des interfaces de connexion très sophistiquées : une fausse fenêtre contextuelle de type « navigateur dans le navigateur » qui affiche littéralement le « domaine officiel de Steam » (en utilisant about:blank des astuces ou des fenêtres personnalisées pour masquer l'URL réelle de l'hameçonnage). Ou bien, au lieu d'une superposition visuelle de fenêtre, il ouvre en plein écran une page de connexion Steam parfaitement clonée, hébergée sur un domaine falsifié. L'enfant s'identifie directement en saisissant son nom d'utilisateur, son mot de passe et son code Steam Guard. Et c'est tout. Il ne se passe rien : soit le site de hameçonnage le redirige vers une autre page, soit il affiche simplement à nouveau le formulaire de connexion.

4a. Mais que s'est-il réellement passé en coulisses ?

Sur le serveur de l'attaquant, une session active est lancée immédiatement après l'authentification, ce qui revient à établir une session de compte disposant de tous les droits d'accès. Le script demande alors immédiatement une clé d'APIation pour le compte (via steamcommunity.com/dev/apikey). Les escrocs ont ensuite intégré des navigateurs « headless » au cœur même des sessions actives, ainsi que des outils d'automatisation permettant notamment l'envoi massif de spams et la clôture de tickets d'assistance.

Pour mener à bien cette opération, les escrocs ont besoin de comptes « bots » prêts à l’emploi, dotés de droits de trading actifs et sans aucune restriction imposée par la communauté. Il s’agit de comptes créés automatiquement en masse (crédités d’exactement 5 $, et laissés en attente pendant 14 jours pour débloquer les fonctions de trading). Oui, ils sont créés de manière entièrement automatique à l’aide d’un logiciel d’enregistrement. Steam, bien sûr, repère et détecte ces inscriptions (même via des proxys) ; la plateforme est parfaitement consciente des schémas d’activité générés par les logiciels : des comptes crédités d’exactement 5 $ pour lever la limite, dont les fonds restent totalement intacts. Une fois achetés, ces comptes sont intégrés au panneau de contrôle de l’arnaque. À partir de là, l’attaque s’effectue presque exclusivement via des requêtes API brutes. La seule exception concerne la vente des objets volés : en général, les fraudeurs accèdent manuellement au navigateur, mettent les skins en vente, transfèrent les fonds et encaissent les gains (bien que certains prétendent avoir mis en place une automatisation complète de bout en bout, dans laquelle un bot serait censé mettre les skins en vente, exécuter les ventes et rémunérer automatiquement les travailleurs, les spammeurs et les générateurs de trafic).

L'authentification provient d'une toute nouvelle adresse IP et la session créée par logiciel provient d'un pool d'hébergement/FAI statique, principalement Ihor. Les données et fichiers préservés de PhishDestroy provenant d'un de ces produits montrent plus d'une adresse surchargée par coïncidence : certaines adresses IP de Ihor étaient consécutives, y compris les adresses se terminant par .156, .157 et .158, et chacune transportait plus de 1 000 sessions actives piratées à la fois. Il ne s’agit pas d’une estimation extérieure ; il provient de l'infrastructure examinée dans les fiches produits. Un schéma distinct est apparu plus tard du côté du robot récepteur : un robot a reçu un emplacement IP ; le remplacement du bot dans cet emplacement a conservé l'adresse, l'attribuant effectivement pendant environ un mois. Pourtant, une connexion au serveur pourrait toujours créer une clé API et une session parallèle indéfinie. Est-ce un comportement normal d'un joueur ?

De plus, sur Steam, votre clé « API » reste valable indéfiniment. Même si vous la supprimez ou la modifiez manuellement, votre session la régénère automatiquement lors de toute action en arrière-plan (telle que les vérifications d’intégrité de la session, l’évaluation de l’inventaire ou les contrôles de routine basés sur des minuteries, que les panneaux d’escroquerie exécutaient par milliers). Cet accès persistant à la session permet aux escrocs de surveiller les comptes en temps réel avant que les utilisateurs ne s'en aperçoivent. Il est rare que les utilisateurs s'en rendent compte : en général, une fois qu'ils ont été victimes d'hameçonnage, leur session finit par expirer ou est supprimée. Mais si une victime se contente de supprimer ou de modifier sa clé API, le script la recrée immédiatement en utilisant la session active.

Ces bots sont des comptes créés en masse, dotés d’un solde de 5 $. Le marché est gigantesque, et la concurrence est si féroce que les comptes sont vendus pratiquement à leur coût de revient, soit 5 $. Steam constate clairement, par exemple, que le téléphone d’un enfant — la session active contenant l’authentificateur Steam Guard — se trouve aux États-Unis ; il détecte que son ordinateur et son navigateur sont également aux États-Unis. Et simultanément, il détecte une session active provenant de Russie ou des Pays-Bas (le fournisseur Ihor a longtemps été la plaque tournante principale, car elle regorgeait de ces adresses IP spécifiques).

Oui, le vol s’est généralisé. Steam n’a fait aucun commentaire. Lorsque les enfants ont écrit au service client, Steam ne leur a même pas demandé de changer leur mot de passe ; au lieu de cela, le service client a envoyé des réponses types indiquant que les skins avaient disparu et que ce n’était « pas notre problème ». Plus tard (vers 2021–2022), les escrocs ont commencé à clore eux-mêmes automatiquement les tickets d’assistance : un enfant ouvrait un ticket, et le script automatisé du panel le clôturait immédiatement. Les enfants pensaient que c’était le service client de Steam qui rejetait leurs demandes. Ce n’était pas le cas. Mais Steam est resté les bras croisés et a laissé faire.

L'hypocrisie de Steam et de ses mises à jour « anti-arnaques » est stupéfiante, compte tenu de la quantité de données que Steam stocke : la plateforme enregistre les pays, l'historique des adresses IP et les empreintes numériques des appareils. Steam a délibérément dissimulé le fait que des comptes avaient été activement piratés. Par ailleurs, il y a eu des incidents au cours desquels Steam a prononcé des suspensions massives visant les comptes de la victimes qui ont été pris en flagrant délit lors de sessions de partage actives. Waouh, bravo, Steam ! Steam a bloqué les comptes des victimes simplement parce qu’ils partageaient une adresse IP de proxy avec d’autres sessions, au lieu, par exemple, de mettre fin aux sessions non autorisées. Et lorsque les victimes ont contacté le service client pour contester ces suspensions, celui-ci a fait l’innocent, prétendant ne rien voir ni rien savoir. Mais nous savons qu’ils voient tout : vos appareils, les identifiants matériels, les journaux de transactions, l’historique des modifications, les anciens mots de passe, les numéros de téléphone, les e-mails, ainsi que le moment précis et l’appareil à partir duquel ces informations ont été modifiées (c’est là le plus drôle : Steam sait quand un compte est piraté — il enregistre l’identifiant exact de l’appareil, l’horodatage et l’adresse IP de l’attaquant).

4b. L'illusion du « Trade Hold »

Un enfant terrifié écrit donc au service d'assistance de Steam : « Aaa, au secours, on m'a volé mes skins ! Je les envoyais à un ami, à un échangiste ou à un site d'échange, mais ils ont atterri sur un compte complètement différent, avec exactement le même pseudo et le même avatar, et non pas sur celui que j'avais accepté pour l'échange ! »

Comment cela s'est-il réellement passé ?

En effet, le faux profil ne détourne pas immédiatement l’échange. Dans votre navigateur, vous vérifiez l’offre d’échange initiale, puis cliquez sur « Confirmer » : les articles sont échangés ou envoyés vers le compte vérifié de votre ami. Vous vérifiez les détails, et tout correspond. Mais c’est dans ce bref laps de temps entre l’acceptation de l’échange sur votre PC et le moment où vous ouvrez votre téléphone pour le confirmer que le bot de l’arnaqueur, cloné avec le même nom et le même avatar, annule l’échange légitime et envoie le sien.

Oui, sur l'écran de votre téléphone, vous voyez bien l'échange modifié. Au départ, il affiche les objets que vous cédez, mais en bas de l'écran, vous ne recevez absolument rien en échange. Et les utilisateurs ignorent les avertissements, car ils ont déjà tout vérifié sur leur ordinateur. La précision psychologique de cette arnaque et la vulnérabilité des utilisateurs sont stupéfiantes, d’autant plus que les victimes sont pleinement convaincues d’effectuer un transfert sécurisé. Pourtant, les serveurs de Steam détectent une session, créée il y a des semaines ou des mois à partir d’une adresse IP totalement différente, annulent un échange en cours, puis en lancent et acceptent immédiatement un nouveau — et le traitent comme une transaction tout à fait normale et légitime. Cela semble tout à fait légitime, n’est-ce pas ?

Je tiens à souligner que bien avant que Steam ne lance ses mises à jour maladroites et inefficaces, les sites d'échange tiers avaient déjà pris les devants. Ils tenaient à leur réputation, et peut-être avaient-ils simplement de la peine pour les enfants victimes d'escroquerie. Par exemple, le site tradeit.gg Ils ont mis en place un système grâce auquel, si une offre d'échange officielle était annulée, une alerte géante « ANNULÉ » s'affichait en gros sur l'écran de l'utilisateur. C'était une véritable solution, c'est pourquoi nous les considérons comme des pionniers qui ont réellement essayé d'agir. Ainsi, un site externe utilisant l’API de Steam pouvait détecter un échange en temps réel, mais Steam lui-même en était-il incapable ? Ou bien ont-ils simplement refusé de mettre fin à une session non autorisée qui n’avait manifestement aucun lien avec l’utilisateur légitime ? En effet, les tickets d’assistance de Steam répétaient sans cesse : « Vos objets ont disparu, nous ne pouvons rien faire », et les bots récepteurs des escrocs étaient rarement bannis (et lorsqu’ils l’étaient, ce n’était que bien après les faits). Même après la mise en place des suspensions d’échanges, le taux moyen de bannissement des bots d’arnaque actifs (des blocages qui, en fin de compte, profitent à l’économie de Steam plutôt que de restituer les objets aux victimes) oscillait entre 15 et 25 % aux heures de pointe. Pendant ce temps, l’hébergeur sur lequel les bots opéraient restait Ihor, et ces sessions automatisées n'ont jamais utilisé de proxys rotatifs résidentiels ou mobiles.

4c. Justificatif de l'infrastructure statique

Nous pouvons le prouver. Comme vous le savez, PhishDestroy est un projet radical de lutte contre le phishing. Nous avons inondé les formulaires de phishing de fausses phrases de récupération à grande échelle afin d’épuiser les capacités de chargement et de traitement de leurs serveurs. C’est d’ailleurs là que le concept a vu le jour : Steam impose des limites de fréquence sur les tentatives de connexion par adresse IP. Il y a plusieurs années, nous avons mis cela en œuvre à l’aide de proxys publics gratuits, en envoyant une infinité de tentatives de connexion invalides ou en ciblant des comptes protégés par Steam Guard via e-mail. Finalement, Valve a commencé à bloquer ces tentatives, et comme nous n’achetions pas de réseaux de proxys commerciaux, cette méthode s’est avérée de moins en moins viable au fil du temps. Cependant, comme nous le réalisons aujourd’hui, cela aurait pu être extrêmement perturbateur ; pourtant, selon la logique tordue de Valve, entraver les opérations des escrocs était considéré comme « contraire à l’éthique ».

Grâce à nos tests de résistance menés sur les portails de connexion des escrocs — qui ont rendu leurs systèmes d’authentification totalement hors ligne pendant des heures —, nous avons confirmé qu’ils n’utilisaient pas d’énormes réseaux de proxys résidentiels (qui auraient compté des millions d’adresses IP). Ils s'appuyaient plutôt sur des proxys statiques et des hébergements VPS bon marché. Plus précisément, leur configuration attribuait exactement un bot à une adresse IP, et ces adresses IP appartenaient exclusivement à des serveurs VPS Ihor.

Conclusion : une scène de crime non sécurisée

Steam a tout vu, savait tout, et s'est contenté de garder le silence au lieu d'agir pour protéger ses utilisateurs. Quelle plateforme, alors qu'elle prétend faire de la sécurité sa priorité absolue !

De plus, un pirate disposant d’une session de navigateur active pourrait surveiller votre compte en parallèle, lire vos discussions ou modifier votre profil (par exemple, en simulant un faux avis de « bannissement VAC ») afin de vous faire paniquer et de vous pousser à transférer rapidement tous vos objets à un ami ou vers un compte secondaire « sûr » — vous menant ainsi directement dans le piège de l’échange d’offres. Oui, il pourrait lire activement vos discussions privées avec vos amis et consulter vos fichiers multimédias en temps réel, en même temps que vous. Apparemment, Steam considère que les sessions parallèles provenant de pays totalement différents constituent un comportement normal pour une plateforme de jeux vidéo (en partant peut-être du principe que, puisque le Partage familial existe, « ce n’est pas grave s’ils volent, tant qu’ils ne jouent pas à CS:GO en même temps »).

5. Le piège de l’API : changer de mot de passe ne suffit pas

Même si vous avez changé votre mot de passe mais que vous avez oublié de révoquer la clé « API » active, les escrocs pourraient tout de même vous voler. Certes, sans session active, leur script ne pourrait plus parcourir votre profil ni accepter automatiquement des échanges. Cependant, l’API officielle de Steam leur permettait toujours d’effectuer les actions les plus critiques : surveiller l’activité de votre compte et annuler les échanges en attente (via CancelTradeOffer).

En se servant uniquement de votre clé « API », le bot détectait instantanément et annulait votre transaction légitime, puis envoyait immédiatement une fausse offre clonée depuis son propre compte (dirigée vers votre lien de transaction). À partir de là, le script se contentait d’attendre. Il ne pouvait pas cliquer sur « Confirmer » à votre place. Toute l’arnaque reposait sur le fait que vous ouvriez votre application mobile et confirmiez volontairement l’échange substitué dans Steam Guard. Et cela fonctionnait à la perfection.

Il existe une nuance technique importante : avec uniquement une clé d’API (et aucune session active), le script ne peut pas injecter directement un échange dans vos confirmations Steam Guard. Il doit envoyer une nouvelle proposition d’échange. Cela signifie que vous devez d’abord cliquer manuellement sur « Accepter l’échange » sur votre PC avant que celui-ci n’apparaisse dans votre application Steam Guard.

On pourrait penser que cette étape supplémentaire réduit le taux de réussite de l'arnaque — après tout, lorsqu'on accepte un nouvel échange proposé par un inconnu, Steam affiche des avertissements très clairs (« Vous n'êtes pas amis », « Ce compte a été signalé »). Mais les escrocs ont exploité la psychologie humaine et la mémoire musculaire. Comme la victime avait elle-même lancé l'échange initial, elle était déjà mentalement prête à se séparer de ses objets. Lorsqu'elle a vu l'échange s'annuler soudainement et qu'un nouvel échange est immédiatement apparu avec exactement les mêmes objets, le même pseudo et le même avatar, elle a supposé que : « Le site a connu un ralentissement et a recréé la transaction. »

L'utilisateur a cliqué machinalement sur les avertissements de Steam, en mode « pilote automatique », a accepté la fausse transaction et l'a confirmée sur son téléphone. L'arnaque a réussi non pas en contournant la sécurité de Steam Guard, mais en exploitant l'inertie humaine.

6. Le verdict : une complicité de fait

Notre message principal reste le même : nous tenons à remercier tout particulièrement Valve et son équipe d'assistance, qui ont trouvé incroyablement pratique de « ne rien voir et ne rien savoir ».

Ils adorent prétendre qu’ils ne disposent techniquement ni des outils ni des capacités nécessaires pour vous aider. Mais la réalité est tout autre. Pour récupérer un compte piraté, le service d’assistance n’a en réalité pas besoin d’une vieille clé CD poussiéreuse datant d’il y a dix ans. Steam enregistre une multitude d’autres paramètres qui sont délibérément ignorés lors des litiges liés à la récupération. Nous parlons ici de l’identifiant unique de votre appareil. Il ne s’agit pas d’un simple HWID, d’un numéro de série de disque dur ou d’une version du BIOS : c’est une empreinte matérielle unique que Steam récupère, probablement au même niveau du noyau ou du système profond que son système anti-triche VAC.

Ainsi, lorsque Valve refuse de réactiver votre compte simplement parce qu’il vous « manque une clé CD », il ne s’agit pas d’une contrainte technique. C’est une stratégie commerciale. C’est la volonté de vous obliger à racheter vos jeux, et un refus catégorique de vous rendre le contrôle de vos collections de skins, qui représentent une valeur considérable.

C'est contraire à l'éthique, mais c'est tout à fait « dans l'esprit Steam ». Il en va de même pour leur système d'assistance : un service client bon marché et externalisé, dont les politiques internes sont conçues pour éviter d'apporter une aide réelle, voire de faire preuve d'une courtoisie élémentaire. Tout se résume à des réponses standardisées copiées-collées et à la clôture unilatérale des tickets.

Mais Steam n'y voit aucun inconvénient.

7. Questions que le Congrès doit poser à Valve

Mémoire du Congrès/réglementation

Ne posez pas de questions sur les cartes de baseball. Suivez l'argent et le grand livre des articles.

Si Valve comparaît devant le Congrès ou un régulateur, les analogies ne constituent pas une preuve. Demandez des réponses jurées et vérifiables sur la valeur qu’elle immobilise, les victimes qu’elle refuse de restaurer et les contrôles qu’elle choisit d’imposer.

Quelle valeur de joueur est bloquée ?

Combien d'articles CS2 et Dota se trouvent dans des comptes interdits par le commerce ou la communauté ? Quel pourcentage de l'offre en circulation et quelle valeur marchande représentent-elles, ventilées par année, type de restriction, rareté de l'article et durée de gel ?

Demande :Totaux globaux, méthodologie, tranches d’âge, audit indépendant et divulgation inspectable des inventaires de robots interdits. Si les chiffres réfutent l’allégation, publiez-les.

Pourquoi les preuves sont-elles cachées ?

Lorsqu’un inventaire ou un profil devient non public après une restriction, à quel objectif de sécurité cela sert-il ? La politique de visibilité a-t-elle changé vers 2020, et pourquoi cacher le grand livre au lieu d'afficher un avertissement public bien visible similaire à un avis VAC ?

Demande :L’historique de la politique, la justification interne, les règles d’accès et la voie d’appel.

Pourquoi les pipelines de robots ne sont-ils pas arrêtés à la naissance ?

Steam lui-même indique que les utilisateurs malveillants exploitent généralement des comptes factices et utilise un seuil de 5 $. Qu'est-ce qui détecte l'enregistrement automatisé, la fourniture de téléphones et d'authentifiants, le financement exactement au seuil, l'absence d'activité de jeu, une longue inactivité, puis des flux d'articles semblables à ceux d'une machine ?

Demande :Taux de faux positifs et de faux négatifs – et si les interdictions surviennent avant que le compte n'ait de valeur ou seulement après l'arrivée d'objets de valeur.

La « duplication » est-elle encore une excuse crédible ?

La justification de la duplication remonte aux pratiques de restauration et aux histoires d’abus de soutien du milieu des années 2010. Un objet moderne possède un enregistrement unique, une chaîne de transfert et des prises commerciales connues. Pourquoi la révocation de ce même objet d'un destinataire illicite avéré et sa réattribution au détenteur antérieur vérifié créeraient-elles une copie ? A quelle étape exacte un deuxième élément apparaît-il en 2026 ?

Demande :L'historique de la politique depuis 2014, une explication technique reproductible et le nombre d'incidents en double réels provoqués par la restauration depuis 2019.

Sous quelle autorité l’objet est-il immobilisé ?

Valve traite-t-il un skin comme une propriété, une licence ou simplement un droit de base de données ? Quelle clause contractuelle et quelle théorie juridique autorisent l'immobilisation permanente après un vol tout en refusant la restitution au titulaire antérieur vérifié ? Les biens récupérés auprès d'un voleur ne deviennent pas des revenus pour la police ; pourquoi l'équivalent numérique reste-t-il sous le contrôle exclusif de la plateforme au lieu de revenir à la victime ?

Demande :Avis, divulgation des preuves, examen humain, appel, délais et règle précise régissant la décision finale de chaque élément.

Qui est protégé par l'interdiction et combien Valve a-t-il déjà gagné ?

La FAQ officielle de Valve répertorie des frais de transaction Steam de 5 % plus des frais spécifiques au jeu de 10 % pour CS2 et Dota, payés par l'acheteur sur les ventes de Community Market. Les produits du Steam Wallet ne peuvent pas être retirés vers une banque ni transférés vers un autre compte. La question défendable n’est donc pas de savoir si Valve reçoit à nouveau le prix nominal complet à chaque revente, mais quelle quantité d’argent en boucle fermée et de revenus de frais cumulés était attachée à un article avant qu’il ne soit verrouillé – et comment la suppression de l’offre affecte la rareté et le prix de tout ce qui reste.

Demande :Frais à vie perçus sur chaque article ensuite gelé, taux de dédommagement des victimes et d'intervention avant sinistre, et modèle de l'effet sur les prix de l'offre gelée. Ne comptez pas une interdiction sans restitution comme une aide à la victime.

Valve défend-il une présomption de culpabilité ?

Une restriction cutanée n’est pas une peine de prison ; l’analogie teste la procédure. Si Valve ou ses dirigeants étaient confrontés à une sanction inexpliquée, à des preuves non divulguées et à un appel nominal répondu par « lire la loi », ses avocats appelleraient-ils cela justice ? Pourtant, pour les stocks de grande valeur, Valve peut apparaître comme un accusateur, un arbitre et un dépositaire de la valeur gelée. Quel contrôle indépendant résout ce conflit ?

Demande :La règle exacte, l'acte allégué, le résumé des preuves, l'examen humain, la décision motivée, la remontée indépendante et la divulgation de la manière dont la valeur gelée est traitée.

Pourquoi un appel significatif est-il inaccessible ?

Une réponse passe-partout et un lien large avec le Steam Subscriber Agreement ne constituent pas une conclusion de fait. Pourquoi un consommateur ordinaire peut-il se voir refuser l’allégation et les preuves, puis se heurter à des obstacles techniques, juridiques et financiers qui rendent impossible la contestation d’une restriction automatisée ou erronée ?

Demande :Appel humain gratuit, décision en langage simple, délais de réponse, accès externe aux litiges et statistiques sur les interdictions automatisées, les examens humains, les annulations et les réponses répétées aux modèles.

Communauté, récupération et session Valve ont choisi de ne pas tuer

Qu'est-ce que la « communauté » dans Steam Community ?

Après que le procureur général de New York ait poursuivi Valve en février 2026, Valve a publié une déclaration de support Steam destinée aux utilisateurs et a invoqué des effets sur les utilisateurs et le processus public. Mais lorsque les décisions de la plateforme affectent les précieux inventaires de ces utilisateurs, quel pouvoir formel cette « communauté » possède-t-elle : votes, raisons, consultation politique, surveillance ou même visibilité sur les résultats des rapports ?

Demande :Définissez les droits de gouvernance de la communauté et publiez des dossiers de consultation, des rapports sur les résultats et un mécanisme indépendant de surveillance des utilisateurs – ou admettez que la « communauté » est une image de marque et non une représentation.

Pourquoi l'application ordinaire hérite-t-elle du secret VAC ?

Garder secrètes les signatures de détection anti-triche peut protéger une méthode de détection. Une restriction communautaire ou commerciale est différente. Quel risque de sécurité empêche Valve de nommer la règle, l'horodatage, l'action présumée et la catégorie de preuve ? Combien de rapports d’utilisateurs et de robots conduisent à une action, et quels contrôles d’intégrité couvrent le personnel, les sous-traitants et les bénévoles ?

Demande :Taux d'erreur et d'inversion, statistiques de rapport à l'action, audits d'intégrité indépendants, règles de conflit d'intérêts et résultats disciplinaires globaux.

La récupération de compte est-elle conçue autour de preuves que les utilisateurs sont peu susceptibles de conserver ?

Steam indique qu'une clé CD vendue au détail peut établir la propriété et recommande de la conserver ; il indique également qu'un téléphone vérifié offre des options de récupération supplémentaires. Pourquoi exiger une clé physique vieille de dix ans alors que Valve peut contenir des enregistrements de paiement, d'historique de courrier électronique et de téléphone, d'appareil et de connexion ? PhishDestroy estime en interne que 15 à 20 % des demandeurs ne parviennent pas à se rétablir complètement après une telle demande, même si certains écrivent toujours à partir du fournisseur de longue date et de l'ordinateur et contrôlent l'e-mail ou le téléphone. Valve peut réfuter cette estimation en publiant ses données.

Demande :Tentatives, approbations, rejets et procédures abandonnées par type de preuve ; les résultats pour les demandeurs conservant un e-mail, un téléphone ou un appareil ; et une explication vérifiable de la pondération du signal.

Pourquoi punir la victime au lieu de révoquer la session hostile ?

Dans l'infrastructure examinée, plusieurs adresses IP Ihor consécutives, y compris les adresses se terminant par .156, .157 et .158, détenaient chacune plus de 1 000 sessions actives détournées tandis que les propriétaires restaient sur des appareils connus ailleurs. Ces sessions pourraient recréer les clés API, attendre, modifier les transactions et lire le chat en parallèle. Le Steam Subscriber Agreement menace la résiliation du compte pour le proxy IP qui dissimule la résidence, y compris « à toute autre fin ». Pourquoi un serveur proxy détenant un millier de comptes non liés ne déclenche-t-il même pas une révocation de session ?

Demande :Révoquer automatiquement une session d'hébergement, sa clé API et ses confirmations lorsqu'elle regroupe des comptes non liés à grande échelle ; puis exiger une réauthentification propre sans restreindre la victime.

Sept ans, 79 collaborateurs et 1,16 million d'heures nominales : échec ou modèle économique ?

PhishDestroy peut justifier des pools de plus de 1 000 sessions sur une seule IP, des adresses consécutives chez un fournisseur et des emplacements IP stables séparés pour la réception des robots. Pourtant, le modèle côté serveur n'a pas déclenché la réponse évidente : révoquer la session d'hébergement, invalider son accès API et exiger une authentification propre de la part du propriétaire. Valve applique déjà des règles d'utilisation simultanée autour des sessions de jeu. Pourquoi une logique de risque équivalent n'a-t-elle pas été appliquée lorsqu'une adresse d'hébergement russe se trouvait entre le propriétaire et Steam alors qu'il détenait un millier de comptes non liés ?

Un instantané de l'organisation de 2021 exposé accidentellement lors du litige antitrust Wolfire en 2024 aurait répertorié 79 personnes dans la catégorie « Steam » de Valve et 76 446 633 $ de salaire brut global, soit environ 968 000 $ par employé répertorié en moyenne de catégorie, et non en salaire individuel. Cet instantané ne prouve pas que 79 ingénieurs en sécurité ont travaillé sur l'échange d'offres, que les effectifs sont restés constants ou que tout le temps des employés a été consacré à ce problème. Il établit l'échelle que Valve doit expliquer.

≈88 moisPassage de l'offre de session mobile persistante du printemps 2019 à cette publication : environ 2 700 jours

79 personnesInstantané de catégorie Steam signalé pour 2021 : il ne s'agit pas d'un décompte d'équipe de sécurité

1 162 880Heures de capacité illustratives : 79 × 14 720 – heures d'enquête sur la fraude non réclamées

Run Liability Audit Simulate Attack Sequence

Session parallèle

Flux commerciaux

Réponse en matière de sécurité

À : Les victimes du vol d'actifs et l'équipe juridique trompeuse de Valve

Vous vous efforcez de convaincre tant les tribunaux que les joueurs que le vol d’objets est uniquement imputable à des « enfants stupides » et que l’architecture de votre plateforme n’y est pour rien. Laissons de côté les masques d’entreprise et expliquons, en termes très simples, pourquoi votre écosystème de hameçonnage hautement sophistiqué et extrêmement rentable n’existe que grâce aux failles architecturales de Steam. Le phishing n'est rien d'autre que le fait de voler la clé d'une porte d'entrée. Mais le fait que derrière cette porte se trouve un contrôleur de coffre-fort totalement sans surveillance, cela relève entièrement de la responsabilité des développeurs de Valve.

Examinons quelques analogies concernant votre modèle de sécurité afin de saisir toute l'ampleur de cet échec.

1. Vous n'êtes pas « GitHub » (Le conte de fées du développeur)

Valve justifie son système d’API, qui présente des failles de sécurité, en affirmant que Steam est une « plateforme ouverte aux développeurs ». Bon, comparons-vous à GitHub. Que se passe-t-il lorsque vous essayez de générer un jeton d’accès personnel (PAT) sur GitHub ?

• Le système vous oblige à saisir à nouveau votre mot de passe.
• Le système vous demande un code d'authentification à deux facteurs.
• Cela vous oblige à cocher explicitement les autorisations de périmètre (séparation des privilèges) pour le jeton.
• Surtout, il vous demande de définir une date d'expiration (TTL) pour le jeton.

Et que fait Steam ? D’un simple clic, il délivre discrètement une clé infinie et toute-puissante, sans aucune confirmation, accordant un accès illimité en lecture et en écriture pour annuler et remplacer à tout moment les offres d’échange. Vous n’êtes pas une plateforme ouverte pour les développeurs ; vous êtes une porte grande ouverte.

2. Vous êtes pires que les services de mixage de cryptomonnaies soumis à des sanctions (le syndrome de Tornado Cash)

Si Steam n'est pas une plateforme destinée aux développeurs, s'agit-il alors peut-être d'une place boursière ? Comparons-la non pas à des bourses boursières légitimes, mais aux « crypto-mixers » clandestins et aux plateformes sanctionnées que le Trésor américain et le FBI démantèlent pour blanchiment d'argent (telles que Tornado Cash, Bitzlato ou Garantex).

Tu veux connaître l’ironie ultime, Gabe ? Même les services illégaux et sanctionnés de blanchiment de cryptomonnaies sur le dark web appliquent une meilleure sécurité de l’APIs que Steam ! Même les administrateurs de mixeurs clandestins comprennent que pour générer une clé d’API capable de gérer les soldes des utilisateurs, ils doivent obliger ces derniers à saisir un code 2FA, à confirmer par e-mail et à lier la clé à des adresses IP spécifiques. Pourtant, Valve — une société américaine légale pesant plusieurs milliards de dollars — permet à un script invisible s’exécutant sur un serveur en Russie d’obtenir, d’un simple clic, un accès permanent et sans confirmation aux inventaires des utilisateurs, d’une valeur de plusieurs dizaines de milliers de dollars. Les cybercriminels appliquent-ils réellement des normes de sécurité plus strictes que vos développeurs payés des millions de dollars ?

3. Les marchés parallèles se sont révélés plus malins qu'une entreprise pesant plusieurs milliards de dollars

Le plus drôle, ce sont ces plateformes tierces de paris et d'échange de skins (comme OPSkins ou l'ancien BitSkins) que Valve a prises pour cible avec tant d'acharnement. En 2017, ils avaient été confrontés exactement au même problème d'APId'« Offer-Swap ». Et savez-vous ce qu'ils ont fait ? Eux — un petit groupe de développeurs indépendants sans budget de plusieurs milliards de dollars — ont tout simplement résolu le problème en quelques jours en ajoutant des confirmations, ce qui a immédiatement mis fin aux manœuvres des escrocs.

Pendant ce temps, Valve a passé sept ans à mener des expériences sur des enfants, afin d’observer pendant combien de temps les utilisateurs continueraient à acheter de nouveaux skins pour remplacer ceux qui leur avaient été volés, et quel montant de capitaux illicites les escrocs pouvaient blanchir grâce à ce système.

4. Des solutions de fortune ingénieuses au lieu de véritables solutions

Au lieu de corriger cette faille, Valve a mis en place des « solutions de fortune » « géniales » : un délai de 7 jours avant de pouvoir échanger un objet, un verrouillage de 4 heures pour changer de pseudo. Pendant 7 ans, vous avez soigné une fracture ouverte avec un simple pansement. Un couteau volé n’a jamais été rendu à sa victime ; il a simplement été gelé à jamais sur un bot banni, réduisant artificiellement l’offre en circulation et faisant grimper la valeur marchande. C’était le cycle économique parfait : les escrocs volent, Valve bannit, l’offre diminue, les prix augmentent, et Gabe encaisse des frais de transaction lucratifs sur chaque nouvelle vente.

La question principale à laquelle Valve ne peut pas répondre :

STEAM, POURQUOI DIABLE N’AURIEZ-VOUS PAS SIMPLEMENT PU AJOUTER UNE CONFIRMATION OBLIGATOIRE OU UNE NOTIFICATION PUSH SUR MOBILE DANS STEAM GUARD POUR GÉNÉRER UNE CLÉ « API » — UN OUTIL TOUT-PUISSANT QUI CONTRÔLE DES MILLIERS DE DOLLARS D’ACTIFS VIRTUELS ?!

Vous obligez les utilisateurs à confirmer la vente d'une carte à collectionner à 3 centimes sur votre application mobile. Pourtant, pendant 7 ans, vous avez laissé un script invisible prendre le contrôle permanent de l'ensemble de leur inventaire sans leur envoyer la moindre notification. Ce n'est pas du « hameçonnage ». Il s'agit d'une négligence délibérée et calculée, et ce sont vos utilisateurs qui en ont fait les frais.

Les Chroniques de la Cryo-Chambre : ce que Valve a manqué en 7 ans Passez la souris dessus pour lire

Texte masqué. Passez le curseur dessus pour l'afficher.

Si la direction générale de Valve avait soumis ses ingénieurs en sécurité à des expériences illégales de cryogénisation au printemps 2017 et ne les avait réveillés qu’aujourd’hui, nous retirerions toutes nos allégations. Cela expliquerait tout. La science exige des sacrifices (en l’occurrence, les inventaires des utilisateurs).

Mais si vos employés étaient pleinement conscients et ont perçu leur salaire au cours de ces sept années, nous avons une mauvaise nouvelle. Alors que vos développeurs ont passé 1,16 million d’heures à tenter de sécuriser les clés d’API sans mettre en place une simple confirmation Steam Guard, voici un bref aperçu de ce que le reste de l’humanité a réussi à accomplir pendant que vous étiez en stase :

Progrès technologiques et scientifiques de l'humanité (2017-2024) :

• La révolution de l'IA : l'humanité a inventé les réseaux neuronaux génératifs. OpenAI a lancé ChatGPT, qui a réussi les examens du barreau, appris à écrire du code complexe, à diagnostiquer des maladies et à créer des œuvres d'art photoréalistes, transformant ainsi radicalement l'économie mondiale.
• Exploration spatiale : la NASA a réussi à poser le rover Perseverance sur Mars, à faire voler l’hélicoptère Ingenuity dans l’atmosphère martienne et à mettre en orbite le télescope spatial James Webb, qui nous permet de remonter jusqu’aux origines de l’univers. SpaceX a quant à elle maîtrisé la technique consistant à rattraper en plein vol, à l’aide de bras mécaniques géants, des propulseurs de fusée de 50 mètres en chute libre.
• Médecine : Le monde a été confronté à la pandémie de COVID-19. En un temps record, les scientifiques ont séquencé le génome du virus, mis au point et testé des vaccins à ARNm révolutionnaires, puis vacciné des milliards de personnes pour enrayer la pandémie.
• Un bond en avant quantique : Google et IBM ont officiellement atteint la « suprématie quantique » en construisant des ordinateurs quantiques capables de résoudre en quelques secondes des équations qui prendraient des milliers d'années à des super-ordinateurs classiques.
• Révolution matérielle : Apple a abandonné l'architecture de processeur sur laquelle elle s'appuyait depuis des décennies et a conçu de toutes pièces ses propres puces haute performance de la série M. De son côté, Valve a réussi à concevoir, fabriquer et commercialiser la console innovante Steam Deck.

Les « réalisations » de l'équipe de sécurité de Steam au cours de ces sept mêmes années :

• Ajout d'un délai de blocage des transactions de 7 jours (qui n'a pas permis d'empêcher les vols).
• Après avoir passé 5 ans à y réfléchir, il a interdit l'échange d'objets pendant 4 heures à la suite d'un changement de pseudo (ce qui a fait rire les arnaqueurs).

Résumé : Pendant le temps qu'il a fallu à l'humanité pour atteindre Mars, inventer l'intelligence artificielle, surmonter une pandémie mondiale et construire des ordinateurs quantiques, Valve — une entreprise pesant plusieurs milliards de dollars — n'a pas réussi à ajouter une simple fenêtre contextuelle comportant un bouton « Confirmer dans l'application mobile » à la page dev/apikey.

Messieurs de Valve, bienvenue dans le futur. Votre sommeil cryogénique est terminé. L'humanité a fait un bond en avant considérable. Mettons enfin en place l'authentification à deux facteurs (2FA) sur votre site API afin que les enfants cessent de perdre des millions de dollars à cause de la paresse de votre entreprise. Ou devrions-nous attendre encore sept ans qu'Elon Musk colonise Mars ?

L'affaire du «API » de Steam : comment Valve a légalisé l'espionnage discret

Depuis sept ans, Valve ne cesse de rejeter la responsabilité de l'énorme escroquerie liée à la substitution d'objets dans le jeu « API » sur ses utilisateurs. La réponse standard du service d'assistance Steam balaye les plaintes des victimes en affirmant qu'elles ont simplement été victimes d'une tentative d'hameçonnage et qu'elles ont elles-mêmes compromis leurs comptes.

Il s'agit là d'un mensonge délibéré de la part de l'entreprise. Ce que Valve qualifie de « vol de compte » est, en réalité, une opération de surveillance automatisée et ininterrompue de type « Man-in-the-Middle » (MITM), rendue possible par sa propre infrastructure défaillante.

Usurpation de compte ou espionnage « MITM » silencieux ?

Les conditions d'utilisation de Steam interdisent formellement l'utilisation de scripts automatisés. Pourtant, le système d'arrière-plan de Valve ferme les yeux lorsque ces mêmes scripts détournent les sessions des utilisateurs.

• Vol classique : Toute connexion effectuée depuis un appareil non autorisé entraîne une exclusion de la communauté, ce qui bloque le compte tout en conservant l'inventaire de l'utilisateur.
• API Espionnage : Un serveur malveillant établit une connexion parallèle et surveille le compte en arrière-plan 24 heures sur 24, 7 jours sur 7, sans déclencher aucune alerte ni entraîner aucune suspension.
• Le mensonge de l'interface : Lors d'un échange, l'application mobile Steam affiche une transaction valide, obligeant l'utilisateur à autoriser un échange qu'un script invisible annule et remplace en quelques millisecondes.

L'accord fantôme : comment Steam vous ment au sujet de votre « consentement »

Parlons de l'excuse préférée du service d'assistance Steam lorsqu'il refuse de vous restituer vos objets volés : « Vous êtes responsable de la sécurité de votre compte et des actions qui y sont effectuées. »

Ils laissent entendre que vous, l'utilisateur, avez accepté les conditions qui ont permis ce vol. Vraiment ? Vous n'avez jamais vu cette page relative aux conditions d'utilisation pour les développeurs : https://steamcommunity.com/dev/apiterms. Vous n'avez jamais cliqué sur « Accepter ». Un pirate informatique a accepté ce contrat en votre nom, quelques fractions de seconde après s'être connecté à votre compte depuis une adresse IP russe.

Nous mettons donc au défi tout avocat ou représentant de Valve de nous montrer exactement à quel endroit du contrat d'abonnement Steam il est stipulé : « En utilisant Steam, vous acceptez que votre compte ou celui de votre enfant fasse l'objet d'une surveillance en arrière-plan 24 heures sur 24, 7 jours sur 7, par un serveur automatisé situé en Russie. »

Dans 90 % des cas de substitution d'échange, la victime ne sait même pas ce qu'est une clé d'APIs Web. Elle n'en a jamais utilisé. Pourtant, Valve est restée les bras croisés pendant 7 ans, ignorant complètement une solution que la communauté réclame à grands cris depuis le tout premier jour : il suffirait d'ajouter une confirmation Steam Guard obligatoire pour générer la clé d'API !

Steam : les enfants ne devraient pas être contraints de parrainer des pirates informatiques

Imaginez un adolescent européen tout à fait ordinaire. Il joue à des jeux vidéo, économise pour s'acheter ses skins préférés, et un jour, il commet une erreur : il se connecte à un site de hameçonnage. Dans un écosystème numérique normal, la procédure est simple : le compte est automatiquement verrouillé (bannissement de la communauté), les mots de passe sont réinitialisés et l'accès est rétabli en toute sécurité. L'adolescent prend conscience de son erreur, mais le système le protège de conséquences désastreuses.

Mais sur Steam, tout fonctionne différemment. Au lieu de bloquer l’activité suspecte, Valve ouvre discrètement une porte dérobée. Un serveur situé dans une juridiction sanctionnée (la Russie) obtient ainsi un accès parallèle et non autorisé au compte de cet adolescent. Sans aucune confirmation supplémentaire, sans la moindre invite de Steam Guard, un script inconnu génère une clé d’API. Il accepte les conditions d’utilisation au nom de l’utilisateur et commence à surveiller ses discussions, ses échanges et son inventaire 24 heures sur 24, 7 jours sur 7.

Un adolescent de l’UE n’a jamais consenti à une surveillance dissimulée. Il n’est pas tenu de financer des pirates informatiques issus d’un territoire soumis à des sanctions de l’OFAC simplement parce qu’une entreprise pesant plusieurs milliards de dollars est trop paresseuse pour sécuriser son propre site API. En conservant les skins volés et en refusant de les restituer, Valve dissimule sa négligence en matière d’infrastructure, légalisant de fait le transfert des actifs numériques des citoyens européens vers des territoires soumis à des sanctions.

Pourquoi la politique de «API » et la sécurité des jetons de Steam enfreignent la loi

Steam permet à des tiers de générer des clés «API» et de détourner des jetons de session via des proxys de type «MitM», sans AUCUNE alerte à l'utilisateur ni vérification par authentification à deux facteurs (2FA). Cette négligence constitue une violation directe des principales lois relatives à la protection des données et à la défense des consommateurs :

• 🇪🇺 Règlement général sur la protection des données de l’UE (GDPR, articles 25 et 32) : Exige une « sécurité intégrée dès la conception » et une protection technique adéquate. La génération de clés d’accès critiques sans authentification à deux facteurs (2FA) constitue une grave faille de sécurité.
• 🇺🇸 Loi américaine sur la FTC (article 5) : Sanctionne les « pratiques déloyales » et l'absence de « mesures raisonnables de sécurité des données ». La FTC intervient régulièrement contre les plateformes qui ne disposent pas d'une authentification à plusieurs facteurs (MFA) pour les opérations critiques sur les comptes.
• ⚖️ Directive européenne 2019/770 : Les services numériques doivent répondre aux attentes minimales des consommateurs en matière de sécurité. La faille de sécurité « API » de Steam, vieille de sept ans, est en totale contradiction avec ces attentes.
• 🛡️ Directive NIS 2 : Impose des règles strictes en matière de cybersécurité, notamment l'authentification multifactorielle (MFA) obligatoire pour la gestion des accès, que Valve ne respecte pas lors de la génération d'APIs.

En résumé : lorsqu'une plateforme transmet vos clés d'APIs à une session proxy sans aucune alerte ni confirmation, il ne s'agit pas seulement d'une faille, mais d'une violation majeure des règles de conformité.

Prêt à vous défendre ? Générez votre avis de contestation

N'acceptez pas leurs refus automatiques fondés sur les Conditions générales d'utilisation. Engagez la responsabilité juridique de Valve en vertu des lois internationales relatives à la protection des consommateurs et des données. Utilisez notre générateur interactif gratuit pour rédiger instantanément une notification de litige officielle (PDF) adaptée à votre région.

Générer l'avis et l'enregistrer au format PDF

Valve conserve-t-il les journaux au niveau de la session pour l'authentification, la création de clé API, propose-t-il l'annulation et le remplacement, les confirmations, l'historique IP et les actions d'assistance ? Si ces enregistrements existent, Valve pourrait-il prouver quand il a vu pour la première fois les pools Ihor et pourquoi il les a laissés actifs ? S’ils n’existent pas, pourquoi une plateforme gérant des inventaires de grande valeur n’a-t-elle pas réussi à conserver la piste d’audit nécessaire pour enquêter sur une classe d’attaque connue ?

Sur environ 88 mois, combien d'utilisateurs (y compris les mineurs lorsque cela est connu) ont ouvert des tickets spécifiquement pour le remplacement d'une offre ? Combien de tickets indiquaient une session parallèle étrangère mais recevaient une réponse scriptée au lieu d’une révocation immédiate ? Combien de cas ont abouti à une prévention avant la perte, à une restitution réelle de l'article ou à une interdiction du robot récepteur attribuable à ce ticket ou à ce rapport plutôt qu'à une détection ultérieure sans rapport ? L'examen par PhishDestroy des rapports publics de victimes et des discussions sur Reddit n'a révélé aucun cas pouvant être lié avec certitude au rapport d'une victime ; cela ne prouve pas qu'il n'en existe pas, et Valve peut corriger l'enregistrement en publiant ses totaux internes.

La question monétaire nécessite également une comptabilité exacte. Pour une vente CS2 ou Dota Community Market dans laquelle un vendeur reçoit 100 unités de valeur Steam Wallet, l'acheteur paie environ 115 après les frais Steam de 5 % et les frais de jeu de 10 %, sous réserve d'arrondi. Les 15 supplémentaires sont payants ; les 100 du vendeur correspondent à la valeur du portefeuille, et non à 100 autres de commission, donc « 115 % de profit » serait inexact. Mais si cet objet est ensuite volé et gelé sans restitution, Valve contrôle toujours les fonds en boucle fermée, a collecté les frais et a retiré l'objet de la circulation. Quels sont les paiements globaux des acheteurs, les frais Valve, les dettes du portefeuille, la valeur des articles gelés, les effets sur les prix et les montants de restitution pour cette classe d'attaque ?

Demande :Publier l'effectif réel de sécurité et de support par année ; heures et budget alloués à la prévention des échanges d'offres ; la chronologie complète des rapports, des décisions et des pools de masse manqués ; taux de révocation de ticket à session, de bannissement de ticket à bot et de restitution ; journaux de demandes/actions préservés ; et une comparaison auditée de la paie Steam et des bénéfices de la plateforme avec les pertes d'utilisateurs, les frais collectés, la valeur du portefeuille et les articles gelés. Réponse officielle : s’agissait-il d’un échec en matière de personnel, d’un échec de la politique de soutien ou d’un choix commercial délibéré ?

Support externalisé et accès privilégié

Un agent externalisé peut-il interroger n’importe quel utilisateur de Steam dans le monde entier ?

La politique de confidentialité de Valve indique que les fournisseurs d'assistance tiers ne peuvent recevoir des données personnelles que si nécessaire. PhishDestroy connaît l'ensemble de champs et le modèle d'accès de l'interface examinée ; Il est demandé à Valve de le confirmer ou de le infirmer dans le dossier. Un agent contractuel en Irlande – ou ailleurs – peut-il ouvrir un compte utilisateur aux États-Unis, en Allemagne, en Australie, en Chine ou en Russie ? Peuvent-ils consulter les enregistrements actuels et historiques des e-mails, des téléphones, des adresses IP et des appareils, les sessions, les modifications de compte, les transactions ou les discussions privées ? Un billet attribué est-il requis ?

Demande :Un registre des sous-traitants et des sous-traitants, chaque pays de traitement, une matrice d'accès rôle par champ, des restrictions régionales, un accès juste à temps par ticket et une réponse claire sur le chat et les identifiants historiques.

Valve connaît-il l'humain derrière chaque recherche privilégiée ?

L’employé d’un entrepreneur peut avoir des liens personnels, politiques ou gouvernementaux inconnus de l’utilisateur. Qu'est-ce qui empêche un opérateur d'être soudoyé, contraint ou chargé par le FSB (ou tout autre organisme de renseignement ou d'application de la loi) de récupérer l'historique IP, les temps d'activité, les contacts ou les modifications de compte d'une personne ? Valve identifie-t-il chaque personne physique, interdit le partage d'informations d'identification, enregistre-t-il chaque recherche et vue sur le terrain, détecte-t-il l'accès en dehors d'un cas assigné, bloque-t-il l'exportation en masse et exige-t-il que toutes les demandes gouvernementales passent par la procédure juridique de Valve ?

Demande :Journaux d'audit attribuables individuellement, authentification liée au matériel, alertes d'anomalie, examens d'accès périodiques, périodes de conservation des journaux, statistiques sur les abus internes, totaux des demandes gouvernementales émanant des sous-traitants, résultats disciplinaires et rapport de transparence publique par pays.

Engagement de récupération des preuves

Valve affirmera-t-il que les robots et les victimes sont introuvables ?

Si Valve déclare lors d’une audience que son interface, sa sécurité et son support ont échoué – ou transfère l’échec à un sous-traitant – et promet ensuite la restitution, « nous ne pouvons plus identifier les robots ou les victimes » ne peut pas devenir la prochaine excuse. PhishDestroy est prêt à soumettre SteamIDs préservé des robots récepteurs ainsi que les enregistrements d'échanges et de vols associés du produit principal examiné. Notre estimation interne actuelle est que la comparaison de ces documents avec le registre commercial complet de Valve pourrait identifier environ 80 % des victimes classiques d'échange d'offres, et non les cas maFile, de phishing d'informations d'identification ou de RAT ; la couverture exacte ne peut être établie que par le biais d’un rapprochement. Deux autres panels existaient : un groupe de développeurs peut désormais être difficile à localiser, mais d'autres participants et chercheurs peuvent être en mesure de fournir des listes supplémentaires.

Si Valve dit au Congrès que les stocks de peaux congelées à grande échelle n’ont aucun effet sur l’offre, la rareté, les prix ou les revenus de la plateforme, alors que ses données internes montrent le contraire, ce serait une fausse déclaration au Congrès. Les assertions ne suffisent pas : elles nécessitent des données sous-jacentes et un modèle d’impact indépendant. Le temps compte. L'échange d'offres perd de sa pertinence à mesure que les escroqueries Steam se tournent vers les charges utiles RAT et les faux leurres d'interdiction VAC livrés via des fichiers ; les personnes derrière les produits plus anciens pourraient disparaître avec les preuves.

Chemin de vérification indépendant

Anticiper l’excuse de la « confiance » : le grand livre des 213 000 robots d’échange d’offres

Nous anticipons la défense standard de Valve : « Nous ne pouvons pas faire aveuglément confiance à une liste de victimes fournie par un tiers. » Nous respectons ce scepticisme. C'est pourquoi nous ne proposons pas de liste de victimes. Nous proposons une liste vérifiable des robots récepteurs utilisés par les panneaux d'échange d'offres classiques.

Nous avons les moyens de sécuriser les bases de données couvrant environ 80 % du volume historique d'offre d'échange classique de API (le mécanisme qui a annulé une offre commerciale légitime et envoyé une offre de remplacement) si Valve s'engage véritablement à la restitution plutôt qu'au contrôle des dommages des relations publiques. Cette estimation ne couvre pas le vol de maFile, le phishing d'identifiants ordinaire, les charges utiles RAT ou d'autres types d'arnaques : ces flux pourraient utiliser des robots limités ou dissimulés et ne peuvent pas être reconstruits avec la même confiance. Nous pouvons demander directement aux auteurs du panel frauduleux. Ce sont des codeurs accessibles : on peut en contacter au moins un immédiatement et avoir un chemin vers l’autre. L'objectif n'est pas une chasse aux sorcières contre des développeurs individuels, mais de forcer Steam à corriger une défaillance systémique vieille de sept ans. Comparés au silence de l’entreprise Valve, les développeurs de panneaux ont parfois fait preuve de plus d’humanité et de transparence.

≈213 000Comptes de bots de réception et de liquidation « illimités » · offre d'échange classique uniquement · estimation interne PhishDestroy · certains déjà interditsID de robot fournis → Valve vérifie dans son propre grand livre → victimes et éléments

Même si les auteurs refusent de partager leurs journaux, nous disposons de méthodes médico-légales alternatives pour identifier les réseaux de robots déployés exclusivement pour ce mécanisme spécifique d'annulation et de remplacement d'offre. Selon ce critère d’utilisation exclusive, chaque transaction entrante vers un robot récepteur de panel vérifié est un vol documenté.

Personne ne demande à Valve de remettre ses journaux internes à PhishDestroy. Nous fournirons SteamIDs ou des identifiants de compte pour les robots utilisés uniquement pour recevoir et liquider les objets volés via l'offre de remplacement ; Valve peut conserver son grand livre dans son propre environnement et effectuer la correspondance lui-même. Beaucoup de ces robots ont réussi à vendre des objets volés, certains sont déjà interdits et le volume des transactions entrantes est énorme.

Les preuves de vérification appartiennent à Valve : comportement du compte robot uniquement, moment de l'annulation d'une offre légitime et de l'envoi d'un remplacement, historique des articles entrants et de la liquidation, infrastructure Ihor documentée et confirmation des utilisateurs concernés. Pour un compte vérifié en tant que bot de réception d'offres d'échange exclusif, chaque transaction entrante au cours de sa période d'exploitation est un enregistrement de vol et non une activité normale du joueur.

Question directe à Valve :La réception par robot et la liquidation automatisée des skins volés enfreignent-elles les règles de Steam Subscriber Agreement et de la plateforme, ou seulement lorsque l'application est pratique pour Valve ? Le vol organisé de peau est-il une activité commerciale, ou cette définition change-t-elle également lorsque cela est opportun ?

Valve n’a pas besoin de faire confiance à notre évaluation des victimes. Il lui suffit de croiser les 213 000 identifiants de robots estimés avec son propre registre et de vérifier de manière indépendante leur fonction. Une fois vérifiée, l’identification des victimes et la restauration des éléments sont une requête dans la base de données. Nous ferons tout ce qui est en notre pouvoir pour livrer la liste. Le seul élément manquant est la volonté d’agir de Valve.

Engagement PhishDestroy :Si Valve entame réellement la restitution, nous mettrons tout en œuvre pour obtenir, conserver et livrer en toute sécurité les listes disponibles.Demande à Valve :préservez maintenant les journaux internes sans nous les remettre, ouvrez un canal protégé pour les identifiants de robots, rapprochez SteamIDs et les transactions dans son propre grand livre, informez les victimes identifiées et publiez le nombre d'éléments restaurés.

L'argent réel est déjà entré dans la boucle fermée de Steam, et Valve a collecté des frais au fur et à mesure de la circulation de l'article. Si son historique reste entièrement traçable, que son précédent détenteur est connu, et que Valve le fige ensuite définitivement tout en refusant la restitution et en masquant l'inventaire, la question s'impose : pourquoi le public devrait-il y voir une protection plutôt qu'une monétisation de la propre vulnérabilité de la plateforme ? Une interdiction qui laisse la victime les mains vides n’est pas une restitution.

Note éditoriale :Les réclamations opérationnelles Ihor sont basées sur les données et fichiers préservés de PhishDestroy provenant d'un produit examiné et peuvent être soumises à un examen indépendant. Les totaux globaux, l'application sélective et les motifs économiques nécessitent les enregistrements de Valve. Les références à l'Irlande, à la Russie, au FSB ou à un autre État décrivent un modèle de menace ; ils n’accusent pas un entrepreneur ou un opérateur nommé de divulgation sans preuve. Les chiffres de 79 personnes et de 76,4 millions de dollars sont tirés d'un tableau des catégories 2021 déposé par le tribunal et exposé avant la rédaction corrigée. Le chiffre de 1 162 880 heures est un calcul illustratif de la capacité du personnel – et non une affirmation selon laquelle 79 personnes étaient des ingénieurs de sécurité ou ont consacré ces heures à cette fraude.