L'illusion Steam : comment Valve gère une économie parallèle, facilite le vol de données et fait fi du droit international

Un reportage d'investigation exclusif de PhishDestroy

Le projet PhishDestroy n’a pas vu le jour parce que tout allait bien. Notre existence n’est pas un témoignage du succès de Steam, mais une nécessité absolue née du mépris total de Valve pour la sécurité des utilisateurs. En effet, notre lutte contre le phishing a directement entravé le modèle économique de Valve, perturbant son système soigneusement élaboré de suspensions de comptes et de revente d’objets. (Nous publierons ultérieurement un article distinct et détaillé dévoilant les véritables « valeurs » de l’entreprise et sa parodie de cybersécurité).

Depuis plus d’une décennie, Valve Corporation se cache derrière une façade soigneusement entretenue et conviviale pour les consommateurs. Mais sous cette apparence se cache une machine corporative cynique. Grâce à une enquête interne approfondie, l’équipe de PhishDestroy a décortiqué les politiques que Valve préfère passer sous silence. Voici l’anatomie d’une plateforme qui agit comme un syndicat financier non réglementé, s’accommode des États soumis à des sanctions, abrite des services d’assistance externalisés compromis et traite les lois européennes comme des suggestions facultatives.

1. La farce des sanctions et le parti pris pro-russe

Pour Valve, les utilisateurs de l’UE et des États-Unis ne sont rien d’autre que des vaches à lait. Alors que les joueurs européens paient le prix fort, Steam continue d’offrir des remises agressives de 70 % à 80 % sur le marché russe. En Russie, un jeu coûte une fraction de son prix en Allemagne. Voilà à quoi ressemblent les « sanctions » internationales dans le dictionnaire de Valve.

La plateforme met tout en œuvre pour favoriser et populariser cette tendance : elle facilite le changement de région, ferme les yeux sur le blanchiment d’argent via des objets de jeu et stipule explicitement dans ses Conditions d’utilisation qu’elle se soumet à la juridiction de tout tribunal russe. Cela frôle l’absurde : lors des rares occasions où les serveurs Steam subissent des pannes massives, la première entité à commenter officiellement ces défaillances techniques est souvent Roskomnadzor (l’agence fédérale russe de censure).

2. Le cartel de l’assistance externalisée

Le mythe d’un « support technique américain rigoureux et sécurisé » s’effondre dès lors que l’on comprend qui détient les clés de l’infrastructure de Steam. Valve a délégué le support dans la région de la CEI à un réseau externalisé profondément compromis.

Nous avons réussi à désanonymiser certaines parties de ce réseau. Une figure clé chargée de la gestion ou de la coordination de cette branche d’assistance est un individu du nom de Nikita. Notre enquête a révélé que cet individu (ou, à tout le moins, son adresse e-mail principale) est enregistré et actif en tant qu’utilisateur sur des forums de piratage clandestins tels que Lolzteam (Zelenka) — une plaque tournante notoire du darknet entièrement dédiée à la vente de cartes de crédit volées, de bases de données compromises et de journaux de tentatives de connexion par force brute.

Valve est pleinement consciente de cette corruption. L’entreprise a déjà reconnu l’existence de précédents dans lesquels du personnel sous-traitant a systématiquement pillé les inventaires d’utilisateurs de grande valeur. Pourtant, le recours à une main-d’œuvre sous-traitante bon marché et non responsable reste plus rentable pour elle que l’embauche de professionnels de la cybersécurité qualifiés en interne.

3. L'escroquerie comme modèle économique et la monnaie offshore

Les skins de Steam sont devenus une monnaie omniprésente et intraçable sur le darknet — une véritable « laverie financière » qui contourne les régulateurs internationaux et les autorités fiscales.

Pour le service financier de Valve, les escrocs ne constituent pas une menace ; ce sont des acteurs externes qui stimulent la dynamique du marché. Le modèle traditionnel « un utilisateur, un jeu » génère des revenus limités. En revanche, un écosystème compromis crée un cercle vicieux très rentable : un utilisateur est piraté, ses objets sont volés, les comptes de l’escroc se voient infliger une « interdiction d’échange », et la victime est contrainte de créer un nouveau profil et de racheter ses biens.

Lorsque Valve bannit un escroc, l’entreprise ne restitue pas les biens volés à leur propriétaire légitime. Elle les gèle définitivement. Cela crée une pénurie artificielle. La diminution de l’offre sur le marché fait grimper les prix des articles restants, ce qui, à son tour, multiplie la commission de 15 % prélevée par Valve sur le Marché communautaire. Valve ne souhaite pas mettre fin aux escroqueries ; elle en tire profit.

4. La faille de sécurité chez CEVA Logistics : une preuve indéniable de négligence

Si vous pensez que Valve protège au moins vos données physiques, dans le monde réel, l’incident récent concernant CEVA Logistics prouve le contraire. Entre le 29 juillet et le 1er août 2026, des pirates informatiques ont compromis le partenaire européen de Valve chargé de la logistique du matériel. Valve n’a reconnu cette violation que le 7 août, laissant les données des utilisateurs entre les mains d’acteurs malveillants pendant une semaine.

Les données divulguées comprennent les noms réels, les adresses complètes, les numéros de téléphone et les adresses e-mail liées à Steam de clients européens ayant commandé du matériel physique. Valve tente de rassurer les utilisateurs en affirmant que « les mots de passe et les données de paiement » n’ont pas été divulgués. Or, un nom complet, une adresse postale, un numéro de téléphone et une adresse e-mail Steam constituent exactement les éléments nécessaires à la mise en œuvre d’attaques de spear-phishing et de piratage de comptes d’une efficacité redoutable — une véritable mine d’or pour le personnel externalisé et les réseaux d’escrocs mentionnés plus haut. Valve leur a, en substance, remis vos données.

5. Appel à l’action : La position européenne contre l’immunité des entreprises

Tous les joueurs européens doivent prendre conscience d’une dure réalité : vous payez vos jeux cinq fois plus cher que les utilisateurs russes, alors que vos droits et la législation européenne (RGPD) sont complètement ignorés. Vos données personnelles sont divulguées à des sous-traitants tiers, et vos demandes d’assistance sont traitées par un réseau externalisé de la CEI dont la réputation est plus que douteuse.

Nous adressons un salut particulier et sarcastique aux avocats du cabinet Taylor Wessing, qui devront inévitablement défendre les intérêts de Valve devant les tribunaux européens. Préparez-vous : défendre un monopole qui bafoue ouvertement le droit européen est sur le point de devenir nettement plus difficile.

Il est temps de cesser d’être un sponsor de complaisance. Ne tolérez pas ces fuites de données.

S'ils refusent, prétendent ne pas conserver de journaux d'activité ou se retranchent derrière un accord de confidentialité d'entreprise pour protéger leur personnel sous-traitant, transmettez ce refus directement à votre autorité de protection des données. Une action en justice collective est le seul langage que ce monopole comprend.

Addendum de l’auteur : Le marché derrière la plateforme

Sur la plateforme Steam, les prix régionaux recommandés pour la Russie (et l’ensemble de la CEI) sont généralement inférieurs de 40 à 60 % au prix de base en dollars américains. La Russie est classée dans la catégorie « Tier 2 : marché émergent », qui bénéficie généralement d’une remise de 40 à 50 % sur le prix de base. Par exemple, un jeu indépendant standard au prix de 19,99 $ (ce qui correspondrait à environ 1 900 roubles en conversion directe) devrait coûter entre 419 et 499 roubles selon les recommandations de Valve.

Il convient d’indiquer clairement que le service d’assistance externalisé est situé en Irlande, mais qu’il est assuré par des Russes — et que certains membres du personnel sont basés directement en Russie. Ah, et au fait, CSGOFast est propriétaire de la célèbre extension SteamInventoryHelper, qui sert uniquement à faire la promotion de son casino destiné aux mineurs (un casino interdit dans plusieurs pays européens). Et à qui appartient ce casino ? Exactement, à des Russes, tout comme la majorité des sites similaires. Steam n’est-il pas au courant ? Ou préfère-t-il simplement l’ignorer, sachant que le chiffre d’affaires de ce marché parallèle avoisine, si je ne me trompe pas, le milliard de dollars ?

De plus, j’estime que 40 % des escrocs de la CEI qui se livrent actuellement à des escroqueries liées aux cryptomonnaies ont fait leurs débuts sur Steam. Je connais personnellement au moins deux cas précis de blanchiment d’argent via des skins. Je ne les détaillerai pas ici, mais je peux le faire si nécessaire — simplement pas publiquement, car je ne souhaite pas citer les plateformes, etc. Mais Steam en est parfaitement conscient. Ou bien s’attendent-ils réellement à ce que nous croyions que des joueurs qui ne possèdent même pas le jeu achètent simplement le même objet encore et encore juste pour « jouer » avec ? Oui, c’est ça, c’est une blague.

Comme je crains d’être victime de harcèlement sexuel de la part de Taylor Wessing, je ne vous écrirai pas pour vous demander de transmettre mon message aux victimes de la fuite de données — ces personnes que Valve a laissées pour compte et qui ont reçu ces e-mails de notification. Satire / Joke

Les priorités de Steam sont on ne peut plus pro-russes, tant en matière de tarification et de aspects juridiques que dans la promotion de Poutine, des drapeaux russes et des terroristes interdits. Mais Steam semble apprécier cela, tout comme la société tolère l’antisémitisme, la discrimination, le harcèlement, la traque et le trafic de drogue. Pour Steam, cela ne pose aucun problème, tout comme les jeux réservés aux plus de 18 ans. La société semble même y prendre plaisir.

Il ne s’agit pas d’un différend politique éphémère. Les responsables russes et les groupes de travail du secteur ont passé bien plus d’un an à élaborer un dispositif de contrôle des jeux vidéo prévoyant l’identification des joueurs via un numéro de téléphone russe, le portail d’identité public Gosuslugi ou le système biométrique de l’État. Steam et GOG ont été expressément cités parmi les plateformes susceptibles d’être concernées par cette proposition, et les participants ont indiqué que le groupe de travail gouvernemental chargé de ce dossier se réunissait déjà depuis près d’un an et demi en décembre 2024. Valve n’a pris aucun engagement public comparable indiquant qu’elle préférerait se retirer du marché russe plutôt que de connecter ses utilisateurs à cette architecture d’identité pilotée par l’État.

Le contraste est choquant. Les principaux acteurs du secteur ont suspendu leurs ventes ou leurs services en Russie — Microsoft a cessé toute nouvelle vente, tandis que les plateformes de consoles et les éditeurs ont annoncé leur propre retrait —, mais Steam a choisi de poursuivre ses activités. La plateforme continue de fournir une infrastructure commerciale et sociale à un pays que le Parlement européen a officiellement reconnu comme un État soutenant le terrorisme et recourant à des moyens terroristes.

Ce soutien est visible au sein même de l’économie de Valve. La boutique officielle de la communauté Steam propose à la vente un arrière-plan de profil « Poutine & Trump » ainsi que des milliers d’articles intitulés « Poutine pour toujours », « Sourire de Poutine », « J’aime Poutine » et « Poutine en colère ». Valve n’a pas créé ces images, mais l’entreprise les distribue, les répertorie et les monétise via une place de marché qu’elle exploite. Parallèlement, dans des cas documentés par PhishDestroy, le harcèlement fondé sur la nationalité est autorisé à rester visible ou est traité comme un simple conflit communautaire. Le message de Steam est sans équivoque : la propagande politique peut être monétisée, tandis que les personnes ciblées par des insultes liées à leur origine nationale sont laissées à elles-mêmes pour en subir les conséquences.

La propriété privée ne confère pas l’immunité juridique

Valve est une société privée dont les actions ne sont pas cotées en bourse. Cela signifie que sa structure actionnariale, ses investisseurs, ses contrôles internes et ses incitations financières font l’objet d’un examen public bien moins systématique que ceux d’une société cotée. Cela ne signifie pas pour autant que la législation en matière de protection des consommateurs, les obligations relatives à la sécurité des enfants, la législation sur la protection des données ou les autorités de régulation nationales cessent d’exister. Si une plateforme n’est pas surveillée de près, il s’agit d’un manquement à l’obligation de surveillance — et non d’une autorisation d’en faire un lieu où les enfants sont exposés à des contenus à caractère sexuel, à la promotion des jeux d’argent, au harcèlement obsessionnel et au harcèlement organisé.

Le contrat d’abonnement de Valve précise que Steam n’est pas destiné aux enfants de moins de 13 ans. Cela laisse néanmoins un public adolescent considérable sur cette même plateforme qui vend des jeux grand public aux côtés de titres pour adultes explicites et de hentai. Une date de naissance déclarée par l’utilisateur, une page d’avertissement et des filtres de préférences ne constituent pas une garantie d’âge fiable. Le problème n’est pas l’existence même des contenus pour adultes ; le problème réside dans le fait de les placer au sein d’une plateforme de jeux grand public utilisée par des mineurs, puis de prétendre qu’un filtre superficiel fait disparaître le risque. Si Gabe Newell, la direction de Valve ou ses prestataires de services souhaitent disposer d’une plateforme dédiée aux contenus pour adultes, ils devraient en exploiter une ouvertement et séparément, au lieu d’obliger chaque éditeur de jeux à partager une vitrine commerciale avec celle-ci.

Les titulaires de droits devraient également expliquer pourquoi ils acceptent cette proximité. Un jeu familial, un titre destiné aux enfants ou une sortie grand public peut se trouver à une seule recommandation ou un seul résultat de recherche d’un contenu explicite, tandis que Valve perçoit des revenus provenant des deux. Les éditeurs dépensent des fortunes pour protéger leurs marques, mais semblent pourtant disposés à ignorer ce qui entoure ces marques au sein de Steam. Le fait d’être une entreprise privée ne rend pas cette situation responsable, et la position dominante sur le marché ne la rend pas inévitable.

Les principes de modération de Valve deviennent encore plus difficiles à défendre lorsqu’on les compare à sa réaction face à la censure d’État russe. En 2024, Roskomnadzor a annoncé que Steam avait supprimé tous les contenus exigés par l’agence et que, par conséquent, 11 URL Steam seraient retirées du registre russe des informations interdites. En 2025, Steam a supprimé des contenus de la page d’un jeu réservé aux adultes à la suite d’une nouvelle demande de Roskomnadzor concernant ce qu’elle qualifie de « propagande » LGBT. Il s’agissait là d’une censure politique appliquée même à une œuvre réservée aux plus de 18 ans, et non de la protection d’un enfant ayant contourné un filtre d’âge. Valve est capable de se conformer à une liste de censure russe, mais reste pourtant impuissante lorsqu’on lui demande de protéger les utilisateurs contre les abus liés à l’origine nationale, les canaux de jeux d’argent illégaux ou l’exposition prédatrice à du contenu pour adultes. Il s’agit là d’un choix de priorités, qui soulève une question évidente en matière de liberté d’expression.

Valve n’a par ailleurs publié aucune déclaration publique concernant l’invasion de l’Ukraine par la Russie, à l’instar des entreprises qui ont suspendu leurs activités ou ouvertement soutenu l’Ukraine. Sa structure de capital privé ne l’oblige pas à fournir le type d’informations aux investisseurs que l’on attend d’une société cotée en bourse ; les observateurs extérieurs ne peuvent donc pas déterminer avec certitude quels intérêts sont protégés. Ce qui reste visible, c’est un attachement extraordinaire à un marché à bas prix associé à la triche à l’échelle industrielle, aux jeux d’argent, au vol de comptes et aux services de contournement des sanctions. La raison deviendra peut-être plus claire si Steam accepte un jour une connexion via l’identité Gosuslugi.

L’affaire de l’externalisation suit le même schéma d’opacité. Valve passe des contrats avec des entreprises, et non avec les agents d’assistance individuels présentés aux utilisateurs. Selon une source primaire et des documents examinés par PhishDestroy, une personne liée au précédent scandale de vol de biens de grande valeur n’a pas disparu de l’écosystème des petits prestataires d’assistance : elle a simplement changé d’agence. Elle a par la suite affirmé qu’elle ne travaillait pas pour Steam et qu’elle ignorait que le compte était lié à Steam. Pourtant, la piste a conduit de nouveau en Irlande, vers cette même personne et, une fois encore, vers Steam. Ce cas devrait faire l’objet d’une enquête en tant que défaillance en matière d’externalisation et de contrôle d’accès ; il n’est pas présenté ici comme un jugement pénal. Valve devrait divulguer quelles agences ont accès aux systèmes de comptes, comment le personnel est soumis à une nouvelle vérification lorsqu’il change de prestataire, et si une personne écartée d’un prestataire peut simplement réapparaître par l’intermédiaire d’un autre.

Le Vietnam a déjà démontré que le statut d’entreprise privée de Valve ne la place pas au-dessus de la législation nationale. Steam y a été bloqué après que les autorités ont déclaré que Valve n’avait pas coopéré. Le Vietnam existe. Le droit de l’Union européenne existe. Chaque juridiction dans laquelle Valve tire des revenus existe bel et bien, même lorsque Valve se comporte comme si seul « n’importe quel tribunal en Russie » comptait. Et si la théorie veut que Steam puisse opérer où bon lui semble, selon les accords secrets de son choix, sans aucune responsabilité significative, peut-être devrions-nous poser directement cette question absurde : existe-t-il également un Steam spécial pour la Corée du Nord dont personne n’a encore révélé l’existence ?

Ce sont là des faits avérés : l’équipe d’assistance est russe, et celle-ci a, à plusieurs reprises, volé ou transmis des informations à des tiers afin de rétablir l’accès à des comptes inactifs dans le but de les détourner à des fins lucratives.

Je suis donc certain que le fait de vous informer de la fuite de vos données n’a absolument aucune importance à leurs yeux, surtout compte tenu d’un retard aussi considérable (ils attendaient à 100 % la réponse de Taylor Wessing ; c’est un miracle qu’ils n’aient pas attendu trois semaines).

Je n’ai jamais fait cela auparavant, je n’ai jamais incité ni provoqué qui que ce soit à agir, et je ne voudrais pas le faire maintenant. Mais c’est exactement la situation que souhaite Steam. Ils estiment que la pression ouverte et la discrimination à l’encontre des utilisateurs de l’UE sont tout à fait acceptables, et que Taylor Wessing réglera tout simplement la situation en menaçant ouvertement les gens au sujet des demandes liées au RGPD. Telle est mon opinion, mon expérience et les informations provenant d’une source primaire en laquelle j’ai pleinement confiance.

Quoi qu’il en soit, déposer une plainte ne nécessite que quelques clics. Peut-être que Steam apprendra alors enfin à respecter les lois étrangères — et pas seulement celles de « n’importe quel tribunal en Russie ». Peut-être cessera-t-il enfin de faire l’innocent, en prétendant être totalement incapable de bloquer les domaines d’autorisation des sites de jeux d’argent illégaux. Au lieu de la réalité actuelle : tout le monde est de mèche — les propriétaires russes de casinos pour enfants et le personnel d’assistance qui, sur Lolzteam, discute de la manière de pirater des comptes par force brute.

PhishDestroy continuera à surveiller, enquêter et dénoncer. L'économie souterraine sera mise au grand jour.

Je suis certain que vos échanges avec les représentants de Valve seront une expérience intéressante. S’il s’avère qu’il s’agit de Taylor Wessing, il est tout à fait normal qu’ils vous prennent de haut, vous menacent et cherchent à gagner du temps — c’est leur métier. En général, ils sont surtout connus pour un procès pour harcèlement sexuel intenté contre leur propre cabinet, et pas grand-chose d’autre. Ah oui, c’est vrai : les entreprises qui ont beaucoup trop d’argent les engagent spécialement pour vous épuiser, tout en leur versant un tarif horaire exorbitant.