Valve tire profit de Plus de 70 millions de comptes Steam piratés

Un reportage d'investigation exclusif réalisé par PhishDestroy Research

Qui est donc « PhishDestroy » pour oser défier la machine corporative de Valve ? D’où proviennent nos informations sur leurs avocats européens tant vantés — ceux-là mêmes dont la réputation a été entachée par des poursuites judiciaires internes pour harcèlement sexuel ? Ils adorent afficher leur statut et leur « histoire séculaire », mais leur mémoire fait commodément l’impasse sur les origines de leur succursale allemande. Ils effacent commodément de leur histoire d’entreprise le fait que le fondateur de leur cabinet était un nazi convaincu et un membre du Reichstag d’Hitler — un rouage d’un système qui envoyait les homosexuels dans les camps de concentration.

Mais trêve d’histoire. Revenons à la réalité technique. Ces « avocats d’élite » font preuve d’une incompétence totale lorsqu’ils traitent les demandes au titre de la loi sur la liberté d’GDPR (FOIA) : ils ne savent tout simplement pas comment expurger correctement les informations confidentielles des documents. Ce n’est pas une erreur de stagiaire. C’est la preuve directe qu’ils n’ont jamais respecté les procédures de divulgation des données, préférant éluder les demandes par des menaces et des intimidations juridiques.

1. La genèse d’PhishDestroy : détruire l’infrastructure C2 plutôt que de recourir aux programmes de récompenses pour la découverte de failles

Entre 2018 et 2021, l’écosystème Steam a connu une explosion de spam incontrôlé. Le nom « PhishDestroy » n’existait pas encore, mais c’est nous qui avons posé les bases de la lutte contre la fraude au sein de Steam. Nous ne cherchons pas à nous attribuer le mérite : nous avons simplement fait le sale boulot que l’entreprise refusait de faire. Depuis notre création jusqu’à aujourd’hui, nous détruisons les infrastructures des escrocs à une échelle industrielle.

En ce qui concerne plus particulièrement l'infrastructure de hameçonnage liée à Steam, nous sommes convaincus que le nombre de domaines neutralisés dépasse 100,000. Au total, toutes plateformes confondues et depuis toujours, ce chiffre se situe dans une fourchette de 600,000–800,000 domaines et ressources. Nous ne comptabilisons pas ces chiffres pour nous vanter. Nous ne les recensons pas comme autant de trophées. L’objectif est la destruction totale de cette infrastructure — et cet objectif est encore loin d’être atteint. Nous y travaillons. Au début, le nombre de signalements confirmés par Netcraft [1] se situait entre 5 000 et 10 000 — mais Netcraft exigeait une preuve irréfutable de hameçonnage pour chaque signalement, ce qui signifie que le volume réel de ressources identifiées que nous avons traitées était bien plus important. Valve a catégoriquement refusé de coopérer avec les fournisseurs de sécurité ou les initiatives de lutte contre la fraude, si bien que certains signalements sont tout simplement restés en suspens. Les campagnes persistantes dissimulées derrière un camouflage agressif nécessitaient des preuves vidéo et une escalade parallèle auprès des services chargés des abus d’Cloudflare [2].

Nous avons repéré l'arnaque et nous l'avons démantelée. Non pas pour protéger des utilisateurs naïfs. Nous avons bloqué ces ressources dans le seul but d'infliger des dommages financiers et infrastructurels aux hameçonneurs. Si le monde des affaires pense que nous avons détruit les serveurs des escrocs dans le seul but de remporter un iPad dans le cadre du programme « Reporter Prizes » de Netcraft [1], il se trompe. Nous avons toujours mené une action strictement non commerciale. Notre refus de principe de tout don ou récompense est une déclaration d’indépendance et de loyauté exclusive envers le processus de destruction.

2. Complicité et monétisation : comment Valve tire profit du phishing

À cette époque, la « sécurité » de Steam reposait sur 50 bénévoles. Nous étions en contact avec l’un d’entre eux, un Biélorusse connu sous le pseudonyme de Colt. Il était le seul à tenter de bloquer les liens malveillants qui inondaient la plateforme. La victime idéale : les enfants. Le complice idéal : Valve.

L'entreprise ne s'est pas contentée de fermer les yeux sur le phishing : elle y trouvait un intérêt financier. Nos données prouvent clairement la mise en œuvre d'un « cynisme algorithmique » : la probabilité qu'un bot d'escroc soit bloqué dépend directement de la valeur des objets volés. Depuis 2021, suite à la mise en place des suspensions de transactions, le vol d’un skin d’une valeur de 2 000 $ ou plus garantit près de 90 % de chances que le compte du fraudeur soit banni.

Mais voici un détail dont personne ne parle : cette exclusion ne profite pas à la victime. Les fonds sont gelés sur le compte banni, et reviennent de fait dans les caisses de Valve. La société s'approprie ainsi des profits exceptionnels sous prétexte de lutter contre la fraude. Et cela ne s'applique pas uniquement à CS : l'escroquerie est monnaie courante dans Team Fortress et d'autres titres, où les bannissements ne sont appliqués de manière plus stricte que grâce à l'activité de la communauté et aux efforts ciblés de modérateurs individuels.

3. Abus de la logique métier : Steam, une scène de crime numérique

Nous avons le droit de dénoncer publiquement la complicité de Valve dans ce secteur frauduleux, car nous avons pu constater de l'intérieur la nature corrompue de son architecture. Au début de notre travail, nous avons tenté de contacter le service d'assistance. Nous avons créé des tickets et joint des domaines menant directement à des pages d'atterrissage de hameçonnage. Savez-vous ce qu'a répondu le service d'assistance externalisé en russe ?

« Il nous est interdit de cliquer sur des liens. Si vous envoyez à nouveau un lien, nous bloquerons votre compte. »

Il ne s'agit pas d'une politique de sécurité. Il s'agit d'une dissimulation de preuves.

La grande majorité des tentatives d’hameçonnage a été diffusée au sein même de la plateforme. Steam est un écosystème fermé, idéal pour mener des attaques par « Business Logic Abuse ». Les utilisateurs n'avaient même pas besoin de quitter le client. Les attaquants utilisaient le navigateur intégré en mode Big Picture. Les vecteurs d'attaque étaient rudimentaires mais efficaces : messages personnels, commentaires, noms d'utilisateur infectés véhiculant du spam non unique du type « Salut mec, participe au concours pour gagner un couteau gratuit, clique sur le lien et utilise le code GABEN. »

C'est le client Steam lui-même qui a diffusé l'attaque de hameçonnage, qui a compromis le compte et qui a facilité le vol des skins. L'entreprise a créé un outil qui s'est retourné contre ses utilisateurs et a refusé de le contrôler.

4. Des milliards pour 79 personnes : l'anatomie de la cupidité de Valve

L'ampleur de ces profits et le degré de cynisme des entreprises n'ont été révélés qu'après la fuite massive de données de 2024 [3].

Ces documents ont révélé une vérité choquante : en 2021, l'ensemble de l'entreprise employait exactement 336 personnes [3]. Et seules 79 personnes travaillaient directement sur la plateforme Steam — un monopole mondial générant des milliards de dollars de chiffre d'affaires [3]. Valve ne se contente pas de réduire ses effectifs. Des documents internes montrent que l'entreprise se vante d'afficher un bénéfice par employé supérieur à celui de Google, d'Amazon et de Microsoft.

Ces chiffres ne constituent pas seulement une analyse de rentabilité. Il s'agit là d'une preuve mathématique d'un mépris total pour la sécurité.

5. Lolzteam et l'économie souterraine des profils volés

Le conte de fées de Valve se résume ainsi : « C'est la faute de l'utilisateur s'il s'est fait pirater. » La réalité est tout autre : Valve a donné naissance à cette infrastructure frauduleuse, ne l'a jamais combattue et entretient délibérément une vaste économie parallèle visant principalement les pays de la CEI et la Chine. La raison est simple : fidéliser son public, compenser le piratage et écouler des biens volés.

Examinons les chiffres du marché noir que Valve refuse de voir. La plateforme LZT Market (Lolzteam) est le centre névralgique de la vente de comptes volés. Jetons un œil à un aperçu en temps réel des annonces : à l'heure actuelle, 578 465 comptes Steam sont proposés à la vente sur ce marché [4]. Parmi ceux-ci :

À l'heure actuelle, le montant minimal estimé des pertes liées aux seuls comptes sans limite de dépenses s'élève à plus de 630 000 dollars. Mais le montant réel des transactions est des centaines de fois plus élevé.

C'est là qu'apparaît un certain Nikita, une personne qui aurait supervisé pendant de nombreuses années la sous-traitance du service client en russe de Steam (sans lien avec le bureau irlandais). Son compte avait été créé directement sur la plateforme Lolzteam. Pourquoi ? Pour surveiller les stocks importants et les bloquer ? Pour collecter des données analytiques ?

Même dans ce cas, il n’est pas nécessaire de s’inscrire sur des forums clandestins pour bloquer les profils volés. LZT Market utilise une adresse API accessible au public. Valve peut clairement constater l’afflux massif de requêtes identiques : changements de mot de passe, dissociations d’adresses e-mail, outils automatisés de vérification d’inventaire et de validation de comptes. Toutes ces requêtes proviennent d’adresses IP appartenant à des fermes de proxys connues.

Le schéma comportemental caractéristique d'un compte piraté mis en vente sur le marché s'affiche dans les journaux de Valve comme un sapin de Noël. Mais l'entreprise préfère fermer les yeux.

Éléments de preuve LZT Market accepte les skins Steam comme moyen de paiement direct pour les comptes volés — frais de 10 %, minimum 500 ₽. Les skins Steam sont répertoriées aux côtés de Binance Pay, Bybit et des cryptomonnaies. Pas de KYC. Pas de lutte contre le blanchiment d'argent. Pas de questions.

6. L'ampleur de la catastrophe : des dizaines de millions de dollars non comptabilisés

Valve ne publie pas de rapports sur les marchés noirs, mais les chiffres sont implacables. Les identifiants d’objets sur le marché LZT (e.g., item_id 252853378 [4]) montrent que plus de 250 millions de lots sont passés par la plateforme. Parmi ceux-ci, la catégorie Steam a historiquement représenté entre 30 et 40 %.

Cela signifie qu'au cours de l'histoire de la plateforme, entre 75 et 100 millions de comptes Steam sont passés par là. Un même profil volé peut être revendu des dizaines de fois, générant ainsi une chaîne infinie de transactions jusqu'à ce qu'il soit définitivement banni.

Chaque jour, on estime prudemment à environ 25 000 le nombre de transactions effectuées dans la catégorie Steam — allant des inscriptions automatiques bon marché aux comptes piratés de grande valeur. Avec un prix moyen de transaction compris entre 150 et 200 roubles, cette catégorie génère à elle seule un chiffre d'affaires quotidien compris entre 3,5 et 5 millions de roubles. Le volume annuel du marché noir lié à Steam, rien que sur cette seule plateforme, atteint plusieurs dizaines de millions de dollars. Le marché prélève sa commission (8 à 9 %), les escrocs engrangent des bénéfices exceptionnels et les utilisateurs perdent de l'argent.

Et que fait Valve ? Valve calcule ses bénéfices en fonction de ses 79 employés et continue de faire comme si de rien n'était.

7. La légalisation du vol et le « Steam Crypto Laundromat »

Regardez cet écosystème qu’ils refusent de reconnaître. L’infrastructure permettant de vendre des comptes volés sur Lolzteam ne se cache pas sur le dark web. Elle accepte ouvertement les paiements via des bots de cryptomonnaies (Telegram, Binance [28], Bybit [28], Gate [28]), des cartes bancaires russes, et même PIX ou Alipay. Une commission est prélevée sur chaque transaction. Une quantité considérable de données confidentielles, notamment la correspondance et les informations personnelles de citoyens américains et européens, transite par ces passerelles.

Et que fait Steam ? Ils envoient un e-mail signalant un changement d’identifiants. Si le compte d’un enfant (qui constitue le public principal des industries de triche dans CS:GO et PUBG) est piraté, la plateforme se contente d’observer tandis qu’une exclusion VAC définitive est appliquée au profil. Valve dispose de toutes les données techniques de télémétrie : l’entreprise identifie les schémas de changement d’adresse IP, de matériel et de paramètres comportementaux. Elle est en mesure de mettre fin au piratage en temps réel. Mais ne rien faire et attendre que la victime crée un nouveau compte et rachète ses jeux — ce n’est pas un hasard ; c’est un modèle économique approuvé.

Soit dit en passant, le marché parallèle lui-même a depuis longtemps cessé d’être un « club de hackers indépendants ». Le forum sur lequel repose cette infrastructure est en réalité contrôlé par des structures proches du gouvernement russe, avec lesquelles Steam semble coexister sans problème. Cinq décisions de Roskomnadzor [23] visant à bloquer cette ressource ont été ignorées ou ont fait l'objet d'un recours dans un espace juridique invisible — tirez-en vos propres conclusions.

7a. La monnaie fiduciaire numérique : pourquoi les « skins » de Steam ne sont pas des objets de jeu, mais constituent un réseau de paiement non agréé

Valve a passé des années à construire une fiction juridique : celle selon laquelle les skins ne seraient que des « pixels du jeu » sans aucune valeur dans le monde réel. Cette fiction s’effondre dès qu’on analyse de la manière la plus élémentaire la façon dont l’argent circule réellement sur sa plateforme.

8. L'économie de la catastrophe : la vapeur, fondement du marché noir

On pourrait dire que ce genre de marchés ne vend pas uniquement des comptes Steam. C'est vrai : on y trouve également des comptes de World of Tanks (~340 000), Fortnite (~140 000), TikTok et Discord. Mais Steam est, depuis toujours, le pilier et le principal moteur de ce secteur. Les stocks et les comptes Valve génèrent une demande pour les logiciels de vol d'informations. Si Steam avait mis en place des mesures antivol strictes, le développement de ces logiciels deviendrait tout simplement non rentable.

Un détail important : les comptes volés uniquement via des fichiers SSFN ne sont pratiquement jamais mis en vente sur le marché. Les authentificateurs mobiles ont compliqué la prise de contrôle totale des comptes. Cependant, les fichiers SSFN fournissent aux attaquants une session active, une liste de contacts et la possibilité d’envoyer des e-mails de hameçonnage en masse ou de s’intégrer à des botnets. Et si le compte a vraiment de la valeur, le service d’assistance externalisé de Steam entre en scène. Les fraudeurs créent de fausses clés d’activation, écrivent au service client, et des employés incompétents (ou corrompus) transfèrent l’inventaire de grande valeur vers une nouvelle adresse. Cela a donné naissance à toute une catégorie de « comptes récupérés » : des profils que le prestataire externe de Valve a en réalité volés et blanchis pour le compte de criminels.

9. Le mythe de la duplication et de la confiscation occulte des biens

Steam adore se retrancher derrière la lutte contre le « duping » (duplication d’objets) pour justifier son refus de restituer les objets volés. C’est un mensonge éhonté. L'ère du « duping » a pris fin en 2014. Avec l'introduction du délai de blocage des échanges de 7 jours en décembre 2015 [14] (et son renforcement ultérieur), le processus de vol est devenu entièrement linéaire : victime -> bot de l'escroc (délai de blocage de 7 jours) -> marché noir.

Où est la supercherie dans tout ça ? Si un escroc a trompé une victime et lui a dérobé un skin rare, celui-ci se retrouve dans l'inventaire du bot. Valve bannit ce bot. Et ensuite ? L'objet n'est pas restitué à la victime. Il reste bloqué de manière permanente dans l'inventaire du bot banni. Valve retire cet objet de la circulation, créant ainsi une rareté artificielle des objets rares, ce qui fait directement grimper les prix sur la place de marché et augmente les revenus de commission de l’entreprise.

Ce n'est pas de la justice. C'est une confiscation déguisée. Dans les systèmes financiers (tels que ceux impliquant USDT), les fonds bloqués sont restitués à leur propriétaire légitime grâce à un mécanisme de rétrofacturation. Steam sait parfaitement comment fonctionne la rétrofacturation lorsqu'il s'agit de recharger son propre solde avec des cartes douteuses : la plateforme bloque instantanément ces transactions. Mais lorsqu’un utilisateur se fait voler un objet d’une valeur de 5 000 $, Steam s’en lave les mains. La plateforme clôt les tickets, menace de supprimer le compte et refuse d’annuler cette unique transaction frauduleuse, prouvant ainsi que son objectif premier est de s’approprier l’actif.

9a. Une cécité forcée : comment Valve dissimule des centaines de millions d'actifs confisqués

L'argument avancé par Steam, selon lequel il s'agit de « lutter contre la duplication », ne tient pas la route. La dernière faille permettant de dupliquer des objets, dont l'existence a été confirmée, a été corrigée en 2014. Depuis lors, chaque mesure de suspension et de gel s’est inscrite dans un schéma linéaire de vol — Victime → Bot d’escroc → Marché → Stock gelé par Valve — sans aucune justification économique justifiant la rétention permanente des actifs. Le seul bénéficiaire de ce gel est Valve elle-même, grâce à la hausse des prix des objets, à des commissions gonflées et à l’élimination définitive de toute responsabilité juridique quant au sort réservé à ces biens.

10. Un terrain d'entraînement pour les escroqueries à l'échelle mondiale

PhishDestroy suit de près les escroqueries depuis 2018. Nous en connaissons les rouages. Steam est devenu le principal vivier de cybercriminels. Les adolescents âgés de 14 à 19 ans qui ont commencé par des attaques par force brute rudimentaires et par la diffusion de logiciels de vol via de faux serveurs TeamSpeak ont mûri. Aujourd'hui, ces mêmes personnes utilisent les techniques qu'elles ont perfectionnées pour attaquer le secteur du Web3 (Uniswap) [26] et les réseaux d'entreprise.

Valve a favorisé cette génération. Son refus de sanctionner, son aveuglement et sa cupidité ont montré aux fraudeurs mineurs qu’ils pouvaient voler en toute impunité. Et la sous-traitance en langue russe, qui se joue de la justice et inflige des bannissements définitifs sans aucune explication (en se cachant derrière le secret entourant les algorithmes VAC), ne fait que renforcer cette impunité.

10a. Le cas Twitch : que se passe-t-il lorsqu'une plateforme décide de riposter ?

Valve affirme qu'il est impossible de lutter contre le phishing à grande échelle. La comparaison avec Twitch prouve que c'est un mensonge.

Cette comparaison réduit à néant le dernier argument de défense dont Valve pourrait encore se prévaloir : à savoir que le problème est trop vaste et évolue trop rapidement pour être combattu à grande échelle. Twitch a prouvé qu’une action déterminée et ciblée de la part d’une plateforme permettait d’affaiblir et d’éradiquer des opérations frauduleuses sophistiquées en l’espace de quelques mois. Steam dispose des mêmes outils, de ressources plus importantes et d’un intérêt financier direct à protéger ses utilisateurs — et ce, depuis plus d’une décennie. Le choix de ne pas agir a toujours été un choix.

11. Preuve d’une « cécité de convenance »

Il existe un fait irréfutable prouvant que Valve a délibérément couvert les marchés noirs. Pendant des années — nous insistons, des années —, des liens directs et publics vers des profils Steam volés ont été publiés sur les pages de marchés parallèles. Valve n'avait pas besoin d'enquêtes complexes. Un script de dix lignes aurait suffi pour analyser la base de données du marché une fois par minute et apposer un « Red Tag » (KT) sur les comptes compromis, en attendant la vérification par leur propriétaire légitime.

Cela ne s'est pas produit. Des millions de transactions ont été effectuées sous le couvert d’une « cécité volontaire ». Ce n’est que récemment que les marchés ont commencé à rediriger les données (via Steam Preview) afin de dissimuler les profils aux chercheurs indépendants et de contourner les paramètres de confidentialité. Mais l’histoire garde tout en mémoire. Valve aurait pu anéantir ce marché d’un simple clic. Au lieu de cela, l’entreprise a choisi d’en tirer le meilleur parti.

12. Empreintes numériques : pourquoi le recours à des marchés intermédiaires ne sauve pas Valve

Le tout dernier mécanisme de défense des marchés parallèles — le redirection des liens via Steam Preview — sert à Valve de prétexte supplémentaire pour justifier son inaction. L'entreprise prétend qu'il lui est désormais « plus difficile » d'identifier les profils volés. C'est un mensonge éhonté. Pour les systèmes de sécurité de Valve, un compte mis en vente reste aussi transparent que du verre.

Identification via l'empreinte numérique : le fichier de prévisualisation du marché publie ouvertement les dates et montants exacts des achats (par exemple, -2,85 EUR au 15 juin 2026), la date exacte d'inscription et le solde. Dans la base de données de Valve, il n'existe physiquement aucun compte dont l'historique des transactions soit identique à celui d'un autre. Une simple requête SQL effectuée depuis le service d'assistance permet de localiser ce profil en quelques millisecondes, même si le lien direct vers celui-ci est masqué derrière un proxy.

API Anomalies et schémas d’interception : pour générer un aperçu, le vérificateur du marché noir interroge l’API de Steam. Sur le compte lui-même, une réaction en chaîne caractéristique se déclenche à ce moment-là : changement d’adresse e-mail, réinitialisation du mot de passe, réactivation de Steam Guard et demande simultanée d’évaluation de l’inventaire, le tout condensé en quelques minutes. Tout cela se produit à partir d'adresses IP provenant de fermes de proxys connues.

13. L'évolution de l'interception : du SSFN au « Pass-the-Cookie » et au JWT

Le crime le plus grave commis par Valve n'est pas le vol de skins. Il s'agit plutôt du fait qu'elle facilite délibérément la propagation de logiciels malveillants et le financement de botnets à l'échelle mondiale en exploitant les failles de sa propre architecture.

Pendant longtemps, les fichiers SSFN ont constitué le principal vecteur d’interception de sessions [27]. Aujourd’hui, le secteur a évolué : les attaques se sont orientées vers le détournement des cookies de session Web et des jetons JWT (JSON Web Tokens) [21]. L’architecture des escroqueries est devenue plus sophistiquée : les attaquants ont appris à valider ces jetons localement, sans envoyer de requêtes directes aux serveurs de Steam, rendant ainsi ces attaques invisibles pour les systèmes anti-fraude rudimentaires de Valve, à condition que ces systèmes ne soient pas configurés pour une surveillance stricte (ce qui n’est pas le cas).

Le fonctionnement technique est le suivant :

Étape 1. L’infrastructure de confiance comme chaîne de montage gratuite : comme un seul jeton volé ne suffit souvent pas à dissocier complètement un compte protégé, les attaquants tirent parti d’une autre ressource issue de la session obtenue : la confiance. Un script accède aux discussions de la victime et envoie des liens de hameçonnage ou des programmes d'installation de virus à l'ensemble de sa liste de contacts. Steam met gracieusement à la disposition des pirates son infrastructure P2P interne, qui constitue un moteur idéal et gratuit pour l'expansion géométrique des botnets.

Étape 2. Négligence criminelle (non-respect de l'UEBA) : qu'il s'agisse d'un SSFN obsolète lié à un matériel spécifique ou de cookies de session modernes, Steam détecte 100 % des anomalies. Lorsqu’un jeton légitimement attribué à un PC situé, disons, à Moscou, déclenche soudainement une activité depuis un serveur dédié allemand, n’importe quelle entreprise normale (prenons Google, par exemple) mettrait instantanément fin à la session et lancerait une alerte rouge : « Session compromise. Votre PC est infecté par un programme de vol d'informations.» Steam ne réagit pas ainsi. La plateforme laisse le bot écumer toute la liste d'amis, infectant ainsi des centaines de nouvelles machines.

Étape 3. Dégâts globaux (effondrement de l'entreprise) : C'est là que réside la principale menace pour l'ensemble d'Internet. Comme Steam n'informe pas l'utilisateur de l'interception de sa session, celui-ci continue de travailler sur son ordinateur compromis. Si une alerte avait été déclenchée, il aurait immédiatement réinitialisé son système d'exploitation. Mais Steam reste silencieux. Cette même personne, sur ce même PC infecté, continue de se connecter au VPN de son entreprise, à sa messagerie professionnelle et à ses portefeuilles de cryptomonnaies.

En ignorant les anomalies liées à l'interception de sessions, Steam ne se contente pas de permettre le vol de pixels dans le jeu. L'entreprise cache à l'utilisateur qu'un logiciel d'espionnage est en cours d'exécution sur son système. Cette aveuglement de la part de l'entreprise conduit directement à des fuites massives de données et à la compromission de ses infrastructures, entraînant des dommages se chiffrant en millions de dollars.

Étape 4. Démystifier le mensonge : les données des avocats

Valve se retranche souvent derrière l’argument selon lequel elle n’aurait « pas les moyens techniques » de retracer des chaînes de vol complexes, ou que « l’utilisateur est responsable » de la compromission. Or, l’affaire des documents de ses avocats européens (Taylor Wessing) [9], dont la caviardage était incorrect et que nous avons mise au jour, prouve le contraire.

Dans les données non expurgées issues de la demande d’GDPR [10], nous avons clairement constaté que Valve enregistre absolument tout. L'entreprise collecte des données télémétriques détaillées sur le matériel, les adresses IP, l'historique des changements d'appareils et les habitudes d'utilisation. Elle sait immédiatement lorsqu'un compte est piraté. Elle détecte l'exécution de logiciels de vol d'informations et d'envoi de spam. Elle dispose de tous les outils nécessaires pour bloquer automatiquement les comptes et attribuer un « Red Tag ». Son inaction relève d'un choix délibéré de la part de l'entreprise.

Étape 5. Les véritables motivations : en quoi cela profite-t-il à Valve ?

Derrière le prétexte de l'« impossibilité technique » se cache un calcul économique froid.

Optimisation des coûts d'assistance via des scripts : bloquer une session suspecte implique de recevoir un ticket d'un utilisateur qui doit être traité. Il est plus rentable d'ignorer purement et simplement l'incident. Steam s'appuie sur une logique de script rudimentaire que les escrocs connaissent parfaitement et exploitent. Le personnel d'assistance russophone a probablement pris connaissance de ces algorithmes, mais pas pour corriger les failles. L'attribution d'un « Red Tag » ne nécessite aucune heure de travail si l'algorithme est correctement configuré. Auparavant, un « Red Tag » pouvait être supprimé automatiquement en simulant une connexion depuis une nouvelle adresse IP via un VPN. Désormais, les délais de traitement des tickets sont délibérément allongés afin de dissuader les utilisateurs de contacter l'assistance. Et la possibilité pour un employé du service d’assistance de clore unilatéralement un ticket non résolu est le summum du cynisme d’entreprise.

Le cycle de l'argent : un compte piraté qui a saturé sa liste d'amis avec du spam finira par se voir infliger une suspension VAC ou une exclusion de la communauté. La victime (ou ses contacts trompés) crée un nouveau compte et rachète les mêmes jeux. L'entreprise réalise ainsi un double chiffre d'affaires grâce à un seul utilisateur.

Symbiose avec le marché noir : plus le nombre de comptes piratés augmente, plus les rouages de LZT Market et d’autres plateformes d’échange entre hackers tournent à plein régime. Paradoxalement, cette activité clandestine alimente l’intérêt d’un vaste public (en particulier dans les régions où l’industrie de la triche est florissante). Et toute transaction ultérieure portant sur des skins volés rapporte toujours à Valve le pourcentage de commission qui lui revient de droit.

14. Le commerce des vies : ce que Steam vend réellement pour 2 $

Valve affirme se soucier de la protection de la vie privée. Mais qu’obtient réellement un pirate qui a acheté un profil piraté sur le marché pour quelques dollars ? Steam ne lui communiquera pas le numéro complet de la carte bancaire, mais lui fournira une information bien plus précieuse pour mener des attaques d’ingénierie sociale.

Avec une session active (SSFN, cookies ou JWT), un pirate peut récupérer en quelques clics l'adresse de facturation enregistrée : le vrai prénom, le nom, la ville et le code postal de la victime. Grâce au tableau de bord intégré de Steam, il a accès à l’historique des adresses IP et aux liens vers d’autres plateformes (Twitch, Xbox). Et si vous consultez l’historique des tickets d’assistance, vous trouverez des archives de relevés bancaires non masqués et des photos de clés d’activation provenant de disques physiques que les utilisateurs ont envoyées à des fins de vérification.

Mais le plus inquiétant, ce sont les historiques de discussion. On constate que Valve stocke depuis des années, avec le plus grand soin, des archives non cryptées de correspondances personnelles. Dans ces archives, des adolescents laissent des liens vers leurs véritables comptes de réseaux sociaux, partagent leurs problèmes, envoient des mots de passe pour des serveurs locaux et des adresses IP personnelles. En refusant de réinitialiser immédiatement les sessions piratées et en couvrant les voleurs d'informations, Steam expose de fait l'histoire personnelle et la sécurité numérique de ses utilisateurs aux regards du marché noir.

14a. Le « dossier numérique » à 1,60 $ : comment Steam vend la vie d’enfants sur les marchés parallèles

Lorsque Valve aborde la question de la sécurité des comptes, elle évoque la valeur de l'inventaire. Mais le véritable prix d'un profil volé ne se mesure pas en pixels. Pour des millions d'adolescents, Steam n'est pas une boutique : c'est leur principal réseau social. C'est là que se trouvent leurs succès, leurs secrets, leurs relations et leurs premiers amours.

Lorsqu'un pirate informatique vole un compte et le met en vente sans autre forme de procès sur LZT Market pour 150 roubles (environ 1,60 $), l'acheteur n'obtient pas seulement l'accès à des jeux. Ils reçoivent une archive non cryptée retraçant la vie d'un enfant.

16a. Analyse syntaxique industrielle : l’« OpenAPI » de Valve en tant que plateforme de ciblage des victimes

Comment les escrocs savaient-ils qui cibler ? Comment des enfants ont-ils pu devenir des victimes à une échelle industrielle ? Parce que Valve avait laissé les portes de sa base de données grandes ouvertes.

15. « L'efficacité » fondée sur les larmes des enfants : le modèle économique de l'indifférence totale

Valve adore se vanter de ses résultats financiers : des centaines de millions de dollars de bénéfices pour une vingtaine d'employés dans ses boutiques. Aux yeux du secteur technologique, Gabe Newell apparaît souvent comme un génie de l'optimisation. Mais retirons nos lunettes roses et appelons un chat un chat : cette « efficacité » a été obtenue au prix d’un refus absolu et cynique d’assurer la sécurité de ses propres utilisateurs.

Contrairement aux sociétés cotées en bourse (telles que Roblox ou Tencent), dont la capitalisation boursière s'effondre instantanément au moindre scandale lié à la sécurité des enfants ou à des fuites de données, la société privée Valve n'a de comptes à rendre à personne. Elle ne dispose d'aucun conseil d'administration. Elle n'a pas besoin de rassurer les investisseurs institutionnels. Elle s'est construite une véritable « machine à imprimer » où l'absence de dépenses consacrées aux services « Trust & Safety » et de lutte contre la fraude se traduit directement par des milliards de dollars pour les dirigeants.

Le prix à payer pour cette « hyper-optimisation » : des millions de comptes piratés, la divulgation sur Internet de la correspondance personnelle d’adolescents, un marché noir florissant et une impunité totale pour les escrocs. Valve ne se contente pas simplement de « ne pas remarquer » les fraudeurs. Il est économiquement avantageux pour l’entreprise de ne rien faire à ce sujet.

16. « Steam API » : une boîte à outils d'entreprise pour les hackers

Analysons le mensonge de Valve concernant sa prétendue incapacité à lutter contre le vol. S’ils le voulaient, n’importe quel employé du service d’assistance pourrait se rendre sur un marché parallèle, récupérer un lien vers un compte Steam répertorié, puis consulter les journaux de leur propre serveur pour déterminer exactement quelle clé « API » et depuis quelle adresse IP est en train d’analyser l’inventaire de ce profil afin de publier une copie de celui-ci sur le forum.

Valve constaterait l'existence d'un réseau de serveurs proxy et de centaines de clés « API ». La plupart d'entre elles ont probablement été obtenues à partir de comptes précédemment piratés. Que devrait faire l'entreprise ? Révoquer les clés compromises. Mais Steam ne le fait pas. Pourquoi ? Peut-être parce qu'elle craint de prendre dans ses filets des services « légitimes » : des roulettes, des casinos illégaux proposant des « case-openings », ou encore des places de marché tierces où des pixels sont échangés contre des cryptomonnaies sans procédures de lutte contre le blanchiment d'argent. Tout cet écosystème évolue dans une zone grise, générant un trafic massif sans être soumis à aucune taxation. Et cela convient parfaitement à Valve.

Les conditions d'utilisation de Steam interdisent explicitement toute automatisation. Une question légitime se pose alors : pourquoi l'API officiel de Steam comporte-t-il des fonctionnalités qui se prêtent parfaitement au piratage automatisé de comptes (qui ne prend que quelques millisecondes) ou à l'association en masse d'authentificateurs mobiles ?

Pourquoi Steam autorise-t-il l'association massive de numéros virtuels (VoIP) provenant de services d'activation par SMS à des comptes ? La solution pour filtrer ces numéros est simple : il suffit de recourir aux requêtes HLR standard utilisées par n'importe quel service classique. Or, Steam ne le fait pas. Peut-être que, dans leur quête de chiffres impressionnants de « records d'affluence en ligne » dont ils aiment tant se vanter, les fermes de bots leur sont-elles profitables ?

Lorsqu'un utilisateur se voit infliger une suspension VAC [15] pour tricherie, cette suspension s'applique à tous les comptes liés au même numéro de téléphone. Mais lorsque des centaines de comptes sont piratés à partir d'un ensemble spécifique de numéros VoIP, Valve ne bloque pas ces numéros. Tout service classique (Telegram, Netflix, Apple, Google) bloque les numéros de téléphone indésirables ou compromis. Mais pour Valve, la sécurité n'est qu'un mot vide de sens.

17. L'aveuglement volontaire : un bouclier juridique bâti sur l'hypocrisie

Valve a créé un écosystème dans lequel le non-respect des règles (automatisation, utilisation de VPN, farming, utilisation de bots) constitue une condition fondamentale à la survie de la plateforme. L'entreprise fournit aux hackers une boîte à outils parfaite (API ouvertes), ferme les yeux sur les numéros virtuels, tout en veillant à maintenir dans son règlement une interdiction stricte de toutes ces pratiques.

Il ne s'agit pas d'une simple négligence. Il s'agit d'une cécité délibérée (aveuglement volontaire / ignorance délibérée), conçue comme un bouclier juridique infaillible. Lorsqu'un organisme de régulation se présente chez Valve, des avocats comme ceux du cabinet Taylor Wessing [9] lui montrent les Conditions générales d'utilisation : « Regardez, nous interdisons tout ! » Et lorsqu’un adolescent victime d’un vol s’adresse à eux, ils utilisent ces mêmes CGU pour refuser légalement de l’aider et éviter de consacrer du temps à une enquête.

18. La symbiose entre les services de renseignement, Steam et les marchés des hackers

Revenons à LZT Market. Nous avons déjà établi que Steam ne s’intéresse absolument pas à cette plateforme. Mais un autre aspect est intéressant. Au cours de son existence, ce forum clandestin a survécu à au moins trois changements de direction qui, d’après des indicateurs indirects (mais très évidents), sont liés à la redistribution des sphères d’influence entre certaines sphères du pouvoir au sein de la Fédération de Russie.

Lors des changements de direction (par exemple, sous l'administration de Thomas), des purges radicales ont eu lieu sur le forum. Les stratagèmes frauduleux ciblant les résidents russes ont été interdits (arnaque Avito, anti-cinéma), la divulgation de photos intimes de mineurs accompagnées de données personnelles a été sévèrement réprimée, la vente de comptes VKontakte a été totalement supprimée, et actuellement, la vente de comptes Telegram enregistrés avec des numéros de téléphone russes est interdite. Le forum est clairement modéré de manière à éviter toute critique à l’égard des citoyens russes.

Mais la situation avec Steam est différente. Le marché continue de vendre librement des comptes Steam appartenant à des citoyens russes victimes de logiciels de vol d’identifiants. La description de l'annonce indique clairement : origine — logiciel de vol, pays — Russie, solde — en roubles. Cela signifie qu'un utilisateur russe a été victime d'un virus qui a vidé non seulement son compte Steam, mais aussi, très probablement, ses comptes de messagerie et ses identifiants professionnels. Et le forum laisse passer cela sans aucun problème.

La question se pose : Steam collabore-t-il avec les mêmes structures qui régissent ce marché ? Ou peut-être Valve pourrait-elle influencer ses « partenaires » en Russie pour qu’ils mettent fin à ce double standard et interdisent la vente de comptes volés appartenant à des citoyens russes ? Car à l’heure actuelle, Steam et le marché noir fonctionnent en parfaite symbiose, comme s’ils s’étaient mutuellement copié leur politique de double standard et d’hypocrisie.

19. L'anatomie de l'arnaque : des fausses fenêtres aux 300 000 dollars de bénéfice net grâce à Google Ads

Au cours des 5 à 8 dernières années, PhishDestroy a passé au crible pratiquement toutes les arnaques de l’écosystème Steam. Nous avons vu des programmes de vol d’informations qui remplaçaient les fenêtres d’authentification à la volée, interceptaient des SMS et vidaient complètement les inventaires. Nous avons également observé les mécanismes de substitution des offres d'échange (arnaque « API ») qui sont restés « inaperçus » par Valve pendant des années. Inaperçus… ou trop rentables ?

Nous avons mené une analyse continue des bots des plus grands réseaux de hameçonnage. Voici un exemple : en 2024, nous avons constaté un afflux massif de trafic provenant de Google Ads [29]. Les fraudeurs avaient remplacé l’URL affichée dans les annonces par les domaines Steam d’origine. Leur stratégie d’achat d’espaces publicitaires était si agressive qu’elle a surpassé les enchères des publicités officielles, monopolisant ainsi les premiers résultats de recherche.

D'après nos calculs, en seulement quelques jours d'activité ininterrompue, les escrocs ont engrangé un bénéfice net d'environ 300 000 dollars. Et ce chiffre tient compte de la décote subie lors de la revente des skins volés sur les marchés parallèles, ainsi que des sanctions minimes et purement symboliques que Steam infligeait parfois. Certes, il s'agit là de chiffres records, liés à la conjoncture économique de l'époque, mais le fait demeure : Steam est une véritable mine d'or.

Et bien que le phishing vise presque exclusivement CS et Dota (plutôt que d’autres jeux), il ne faut pas oublier Rocket League, Path of Exile, Rust et PUBG. Mais c’est là qu’intervient l’extorsion exercée par Valve : des clauses strictes d’accord de non-divulgation (NDA) que tous les développeurs sont tenus de signer. Un développeur n’est pas autorisé à divulguer publiquement des problèmes de sécurité, des fuites de données ou des failles de sécurité sur Steam sans l’accord écrit de Valve. Même si cela menace directement ses joueurs. Les contrats leur imposent le silence.

20. L'affaire BlockBlasters : un mois d'aveuglement et le mensonge concernant un « développeur piraté »

L'affaire BlockBlasters ne concerne pas le fait de fermer les yeux sur le vol de pixels, mais bien la dissimulation de véritables infractions pénales.

Rappelons-nous l'incident récent lié au jeu BlockBlasters [5], qui n'a attiré l'attention du public que grâce au regretté streamer Raivo Plavnieks [6]. Il s'agissait d'une attaque ciblée contre des influenceurs : des fraudeurs ont contacté des streamers, acheté de la publicité et leur ont demandé de lancer le jeu directement depuis Steam. Le raisonnement des victimes était compréhensible, mais fatal : « C'est la boutique officielle de Valve — il ne peut pas y avoir de véritable arnaque là-dedans. » Comme ils avaient tort.

Le service d'assistance de Steam a commencé à recevoir des signalements accompagnés de preuves irréfutables dès le 2 septembre. Les tickets contenaient des plaintes relatives à ChainAbuse [7] concernant le vol de cryptomonnaie, ainsi que des preuves directes de l'existence de l'Telegram ouverte des escrocs API, intégrée directement dans le code du jeu. Qu'a fait Valve ? Elle a attendu. Pendant un mois. Les jeux piratés ont pu être téléchargés en toute tranquillité depuis la boutique.

Et puis, l'entreprise a avancé une excuse qui insulte l'intelligence de tout professionnel de la sécurité : « Le compte du développeur a été piraté. » Appelons ce conte de fées par son nom : un mensonge éhonté destiné à couvrir sa propre négligence (ou sa complicité).

Pour publier un jeu, un développeur doit satisfaire aux exigences de vérification d’identité (KYC) de Steam Direct [22] : verser 100 dollars, fournir son vrai nom, son adresse, ainsi que ses coordonnées bancaires et fiscales. L'auteur de l'infraction n'était pas un hacker anonyme issu du dark web : ses informations légales, y compris un formulaire fiscal W-8BEN [8], figuraient dans la base de données de Valve.

Le mythe d’un « développeur piraté qui, pour une raison quelconque, est resté silencieux pendant 22 jours » s’effondre face à l’architecture de Steamworks. Lorsqu’un développeur légitime perd l’accès à la console de l’éditeur, il crée un ticket signalant le vol de ses identifiants. Les droits de publication des mises à jour et des versions sont gelés en quelques heures.

Il ne reste que deux possibilités. Soit le « développeur » était dès le départ complice des fraudeurs (ce qui signifierait que le fameux système KYC de Valve n'est qu'une fiction). Soit Valve a délibérément ignoré, pendant un mois entier, les tentatives désespérées du développeur et de dizaines de victimes spoliées pour contacter le service d'assistance, alors qu'un logiciel malveillant volant des cryptomonnaies était distribué via sa boutique officielle.

Dans les deux cas, Valve n'agit pas en tant que victime des circonstances, mais en tant que complice principal d'un vol numérique.

21. Destruction de preuves : comment Valve a « nettoyé » la scène du crime

Mais le plus révoltant dans l'affaire BlockBlasters, c'est la façon dont elle s'est terminée : l'altération d'une scène de crime numérique.

Pour mémoire : Valve n'a pas supprimé le jeu infecté. Notre analyse technique de l'infrastructure C2 prouve le contraire. Ce sont les escrocs eux-mêmes qui ont supprimé les versions malveillantes des serveurs de Steam le 21 septembre — précisément au moment où leurs botnets «Telegram» ont été rendus publics et où des poursuites pénales devenaient une possibilité réelle. Ils ont appliqué une tactique de la terre brûlée pour effacer leurs traces.

La déclaration de Valve concernant les « mesures de sécurité prises » relève de la pure fiction et d’une opération de relations publiques éhontée. Ils ont délibérément attendu que les criminels effacent le logiciel malveillant de leurs propres serveurs, puis n’ont supprimé qu’ensuite, sans se presser, la page de la boutique désormais vide, s’attribuant ainsi le mérite de l’action. Cela ne résout en rien le problème. Il s’agit là de complicité et d’entrave à la justice.

Valve ne protégeait pas ses utilisateurs. Elle nettoyait la scène du crime afin que les agents fédéraux, munis d'un mandat judiciaire pour diffusion de logiciels espions via ses propres centres de données, ne se présentent pas dans ses locaux.

22. L'illusion de l'action : limiter les restrictions pour réduire les coûts liés aux serveurs

Lorsque Valve met en place certaines restrictions (par exemple, en réduisant le nombre maximal de demandes d'ajout à la liste d'amis), les utilisateurs naïfs pensent que c'est pour des raisons de sécurité. C'est absurde. Toute cette histoire de limites n'a rien à voir avec la lutte contre la fraude : il s'agit purement et simplement de réaliser des économies sur la capacité des serveurs.

Rappelons-nous ce qui a déclenché l’apocalypse du spam. Avant l’apparition du fameux script de substitution d’offres commerciales, la plateforme était victime d’une automatisation rudimentaire. Des armées de bots dotés d’avatars féminins envoyaient des liens de hameçonnage par milliers. Ce trafic indésirable a créé une demande énorme pour des comptes sans limite de dépenses. Nous suivions de près les marchés parallèles : en raison de cet essor du spam, le prix d'un compte piraté sans limite de dépenses est passé de 25 roubles à un niveau stable de 150 roubles. Et cette demande folle de profils piratés a persisté jusqu'en 2024 !

Pensez-vous que Steam ait réduit la limite d’invitations de 100 à 30 pour vous protéger contre le hameçonnage ? Détrompez-vous. Valve enregistre tout : chaque clic, chaque invitation, chaque demande annulée. Les fermes automatisées d’arnaqueurs généraient des millions de transactions vides par jour, polluant les bases de données internes de Steam et surchargeant l’infrastructure. Et ce qui est le plus révélateur, c’est que Valve n’a pas imposé ces limites aux comptes jetables nouvellement créés, mais aux comptes pleinement développés et sans limite (y compris ceux ayant fait l’objet d’une suspension VAC, puisqu’ils comptent techniquement comme des comptes ayant dépassé le seuil de dépenses). Valve a réduit ces limites uniquement pour alléger la charge sur ses propres serveurs, et non pour votre sécurité.

Chez Valve, les restrictions ne s'appliquent que lorsque cela est nécessaire pour protéger leurs propres serveurs. Votre argent ne les concerne pas.

23. Les rouages du système : pourquoi les responsables des escrocs tirent profit des interdictions

Puisque nous avons analysé en profondeur le fonctionnement interne des équipes d'arnaqueurs, je vais vous révéler un secret inavouable dont les traders lambda n'ont même jamais soupçonné l'existence.

Dans toutes les équipes d'escrocs (où l'on promet aux simples membres 90 à 95 % des objets volés), les superviseurs (coordinateurs d'équipe) avaient un intérêt financier à ce qu'une interdiction d'échange ou un « Red Tag » soit appliqué à leurs bots. Par conséquent, ils s'abstenaient délibérément de remplacer les bots compromis. Si un compte était banni, la part du superviseur grimpait en flèche : au lieu d'un maigre 5 % sur la vente des skins, ils recevaient entre 15 % et 20 % du prix Steam de l’inventaire (et non du prix du marché !), simplement en revendant sur le marché asiatique les comptes bannis contenant des skins de grande valeur. Les acheteurs chinois les achetaient en gros pour jouer avec des objets coûteux et des triches privées. C’est pourquoi un nombre considérable de comptes faisant l’objet d’une interdiction d’échange sont également soumis à une interdiction VAC. L’industrie de l’escroquerie alimentait celle de la triche, et Steam se contentait de récolter les chiffres de fréquentation.

24. Steam Workshop : un terrain d'essai idéal pour une arnaque de type «API »

Le mépris total de Steam pour la sécurité est parfaitement illustré par l'incident survenu sur le Workshop. À un moment donné, entre 2 et 5 escrocs ont littéralement inondé le Workshop de publicités de hameçonnage. Comment ? En utilisant des sessions web interceptées d'utilisateurs réels.

Il ne s'agissait pas d'un piratage au sens classique du terme. L’attaquant a simplement ouvert une session parallèle sur votre compte via l’API Steam, a parcouru l’inventaire, a attendu que vous lanciez un échange, l’a immédiatement annulé, puis l’a remplacé par une offre identique (avec le même avatar et le même pseudo d’ami) provenant d’un bot qu’il contrôlait. Tout cela s’est déroulé dans le cadre d’une session utilisateur légitime via les points de terminaison officiels de Steam.

Et qu’a fait Valve lorsque le Workshop était submergé par les tentatives d’hameçonnage ? L’entreprise est bien sûr intervenue. Elle a attribué des « Red Tags » et banni les comptes piratés… mais ne l’a fait qu’après que les inventaires de ces victimes eurent été entièrement vidés.

Bravo, Steam. Merci d'avoir « sauvé » le compte alors qu'il n'y avait plus rien à sauver.

Ironiquement, le prix de ces jetons sur le marché noir s'est effondré. Alors qu'auparavant, un fichier SSFN valide pouvait se vendre environ 3 $, aujourd'hui, sur ce même LZT Market (où Nikita, le responsable de l'assistance Steam en russe, est inscrit), la liste des prix semble se moquer de la sécurité mise en place par Valve :

« Achat et traitement de jetons Steam (JWT). Vérification rapide grâce à un logiciel propriétaire. Tarifs :

CS2 Prime — 0,08 $ (pas de suspensions temporaires ni définitives)

OpenTM — 0,04 $ (plateforme de trading ouverte) »

Votre compte, votre historique et vos données valent 8 centimes. C'est tout ce que vous devez savoir sur l'efficacité de la protection de session sur Steam.

L'illusion de « l'impossibilité technique » : l'affaire des « faux jeux »

Les partisans de cette mesure affirment que rendre les objets volés est « techniquement impossible » ou que cela « détruirait l'économie ». L'incident lié à la parodie du jeu prouve le contraire.

Le stratagème était effronté : les escrocs mettaient en ligne de faux jeux sur la boutique Steam, en créant des objets dont les noms et les icônes étaient copiés à l'identique à partir de skins coûteux de CS:GO et Dota 2. Lors d'un échange, la victime voyait un « Dragon Lore » qui lui semblait familier, sans se douter le moins du monde qu'il provenait d'un faux jeu. Nous nous en souvenons parfaitement, car PhishDestroy traquait et bloquait activement ces escrocs à l'époque.

Et qu’a fait Valve lorsque les fondements mêmes de la confiance dans le Community Market ont été menacés ? Un miracle s’est produit. L’entreprise, qui pendant des années avait refusé d’aider les victimes d’hameçonnage, a soudainement restitué les objets authentiques à tous les utilisateurs concernés. Les escrocs ont été frappés de plein fouet par une telle vague de représailles qu’ils ont hurlé leur colère sur les forums clandestins pendant des jours : Valve a prononcé des interdictions matérielles (HWID) et banni systématiquement les adresses IP partagées avec une telle sévérité que des réseaux d’escroquerie entiers se sont retrouvés dans le rouge.

De plus, Steam a déployé une mise à jour de sécurité de grande envergure en l'espace de quelques jours. Du jour au lendemain, la plateforme a trouvé les ressources nécessaires pour mettre en place toutes ces mesures : blocage des échanges, nouvelles vérifications, cautions pour les développeurs, alertes rouges massives indiquant « Vous n'avez jamais joué à ce jeu », ainsi que des avertissements concernant des écarts suspects dans la valeur des objets.

Il s'avère qu'ils en sont capables. Ils savent parfaitement comment suivre les chaînes de transactions, annuler des échanges et mettre en place une architecture d'alerte complexe. Mais ils ne le font que lorsqu'ils perçoivent une menace directe pour leur propre modèle économique et la crédibilité de leur plateforme. Si vous vous faites dépouiller par un voleur d’objets standard, vous recevrez simplement une réponse type indiquant que « la politique de Steam ne prévoit pas la restauration des objets ».

79 employés : une architecture faite d'allumettes et de glands

Pour bien saisir la « gravité » des problèmes de sécurité quotidiens de la plateforme, prenons l'exemple de la récente faille « API », qui est restée active en environnement de production pendant deux jours entiers. N'importe qui, à l'aide d'un simple script, pouvait envoyer une requête et inonder de notifications système n'importe quel identifiant Steam, en contournant complètement tous les paramètres de confidentialité.

Pendant deux jours, une faille béante dans l’API a permis à n’importe qui d’envoyer des requêtes ping à des millions d’utilisateurs. En effet, 79 employés pour une plateforme mondiale pesant plusieurs milliards de dollars, c’est manifestement suffisant. Pourquoi investir dans un service de contrôle qualité et de sécurité efficace alors qu’il suffit de rédiger des conditions générales d’utilisation qui rejettent toute la responsabilité sur l’utilisateur ?

25. Infrastructure en tant que service : Arnaque en tant que service (SaaS)

Pour vous donner une idée de l'ampleur de la commercialisation engendrée par l'inaction de Valve, examinez une offre type proposée par une équipe de phishing moderne. Il ne s’agit plus d’adolescents aux scripts bancals. C’est une véritable entreprise SaaS où la concurrence fait rage. Alors que nous bloquions sans pitié leurs domaines et les forcions à perdre de l’argent sur leur infrastructure, ils se sont mis à fournir des domaines gratuits à leurs « collaborateurs » pour maintenir leur volume d’activité :

« Notre projet combine trois fonctionnalités en une : le phishing (les journaux vous sont transmis), MaFile (5 % de commission) et la substitution (arnaque « API » — 80 % pour vous). Nous sommes les seuls à proposer : la vente automatique des logs sur LZT, la suppression de MaFile à l'aide d'un simple code, un navigateur dédié à la substitution, des domaines gratuits et une multitude de fausses pages d'accueil. »

Valve ne corrige que ce qui devient incontrôlable, ou ce qui touche des zones géographiques qu'elle craint de perturber (États-Unis, Japon, Corée du Sud). Steam pouvait détecter le spam, repérer les comptes sans limite et parfois même bannir des domaines de hameçonnage (souvent alors qu’ils étaient déjà inactifs). Si l’entreprise repérait un domaine, elle voyait également le réseau de comptes qui le diffusaient. Étant donné que les fermes de comptes fonctionnaient via des proxys partagés bon marché (selon le schéma « 1 serveur et 100 adresses IP pour 1 000 comptes »), le blocage de l’ensemble du botnet aurait pu être effectué à l’aide d’une simple requête SQL. Mais Valve ne l’a pas fait.

26. L'hypocrisie géopolitique : la « laverie » de l'économie Steam

La tolérance de Valve envers l'économie parallèle de la CEI a donné naissance à un nouveau monstre : le marché des recharges illégales de solde et des changements de région. Lorsque Valve a officiellement mis fin aux recharges directes pour la Russie, l'entreprise s'est contentée de fermer les yeux sur l'essor des intermédiaires clandestins. C'était bien plus pratique ainsi, n'est-ce pas ?

Le service de « changement de région » (vers la Turquie, le Kazakhstan ou l’Argentine) s’est vendu par millions. Sur une seule plateforme (comme FunPay) [24], plus de 500 000 transactions ont été enregistrées auprès de plusieurs grands vendeurs. Et il existe des centaines d’autres bots et forums d’Telegram. Ce secteur de la recharge est désormais étroitement lié au blanchiment d’argent issu du phishing et des escroqueries liées aux cryptomonnaies (achat massif de phrases de récupération).

Quelle est la logique de Valve ? Croient-ils vraiment à l’exode massif de millions d’adolescents d’un pays soumis à des sanctions ? Ou bien les fonds russes, acheminés via un intermédiaire kazakh et un stock volé, ont-ils simplement « une odeur différente » ? Valve se moque bien des sanctions et de la conformité. L'essentiel, c'est qu'une commission de 30 % sur chaque transaction vienne régulièrement alimenter leurs comptes bancaires, tandis que les avocats produisent en série des lettres type évoquant « l'impossibilité d'une intervention technique ».

27. Avantages pour l'entreprise et violation de ses propres conditions d'utilisation

Steam est un écosystème qui prospère grâce à la violation totale de ses propres règles, et Valve en est parfaitement conscient. Les conditions générales d'utilisation (CGU) stipulent clairement que toute exploitation commerciale de la plateforme est strictement interdite.

Regardons maintenant la réalité en face. La vente de comptes volés, le commerce de skins, les fermes de bots pour farmer des cartes à collectionner, les services de « Level Up » (montée de niveau de profil), la vente de clés, et bien sûr, les services de recharge de solde pour les régions soumises à des sanctions. Tout cela représente un bénéfice commercial direct. Et c’est surréaliste : une plateforme qui interdit formellement le commerce abrite des secteurs d’activité générant des chiffres d’affaires de plusieurs millions. Valve (ou son sous-traitant russophone, fidèlement protégé par un accord de confidentialité) s’est affranchie de ses propres règles, ne les appliquant que comme un outil pour punir ceux qui tombent en disgrâce ou pour protéger son infrastructure.

28. The Support Syndicate : Pourquoi Valve a supprimé les retours d'objets

Lorsque Valve justifie son refus de restituer aux utilisateurs les objets volés (en prétextant la lutte contre l'inflation ou la « duplication »), l'entreprise ment de manière éhontée. La raison pour laquelle Valve gèle définitivement les avoirs des bots bannis, les empochant dans son compte sans fond, n’est pas la protection de l’économie. Il s’agit d’une tentative de récupérer les pertes opérationnelles qui lui ont été infligées par ses propres employés.

Fait historique : les agents du service d'assistance (y compris les travailleurs sous-traitants bon marché que l'on confond souvent avec des bénévoles) étaient directement intégrés à l'économie souterraine de Steam. En tirant parti de leurs privilèges système, ils ont transformé le service d'assistance technique en un cartel corrompu.

Duplication industrielle d'objets de grande valeur : des employés du service d'assistance généraient en masse des copies des objets les plus chers du jeu (Dragon Lore dans CS:GO, coursiers Legacy rares dans Dota 2) sous prétexte de « restituer à un utilisateur son inventaire volé ». Cet inventaire « restitué » était ensuite revendu sur des plateformes chinoises contre de l'argent réel.

Vente de levées d'interdiction : le service proposait de supprimer les « Red Tags » (KT) et les interdictions de transaction des profils des principaux escrocs. En échange de pots-de-vin (en cryptomonnaie ou en skins), les fraudeurs obtenaient le feu vert pour retirer des actifs d'une valeur de plusieurs dizaines de milliers de dollars.

En découvrant l'ampleur de la corruption, la direction de Valve s'est montrée furieuse. Elle a définitivement supprimé la politique de restitution des objets volés, en supprimant l'accès manuel du service d'assistance à la génération d'objets. Mais ce ne sont pas les employés corrompus qui ont été sanctionnés, ce sont les utilisateurs. Partout dans le monde, des enfants et des joueurs paient de leur poche l'incapacité de Valve à contrôler son propre personnel.

Le syndrome du « petit tyran » et la chute de la police bénévole

Outre le soutien officiel, Steam disposait d'un deuxième centre de pouvoir : une « police du commerce » bénévole, reliée à des bases de données telles que SteamRep [12]. Ces bénévoles exerçaient une influence informelle considérable sur l'économie de la plateforme et le sort des commerçants. Et ils se sont avérés n'être pas meilleurs que le personnel sous-traitant.

Les bénévoles se sont transformés en une caste fermée et corrompue d'« autorités de l'ombre anonymes ». Ils souffraient du syndrome classique du « petit tyran » : ils excluaient les commerçants qu'ils n'aimaient pas, bannissaient les utilisateurs qui évoquaient des failles de sécurité et accordaient des « passe-droits » à leurs amis.

Lorsque des journaux ont été rendus publics, prouvant que les administrateurs de SteamRep [12] acceptaient des pots-de-vin pour supprimer les mentions « escroc » et couvraient d’énormes réseaux de bots se livrant au blanchiment de skins volés, la confiance accordée à Valve s’est complètement effondrée. En 2022, Valve avait expulsé les derniers modérateurs bénévoles, les remplaçant par des prestataires externes suivant des scripts rigides.

29. Le prix de l'« efficacité »

Valve affiche le bénéfice par salarié le plus élevé du secteur. Mais quel est le coût de ce bénéfice ?

Cette « efficacité » repose sur le refus d’apporter de l’aide, sur les menaces proférées à l’encontre des victimes d’hameçonnage, sur la clôture des tickets, et sur la dissimulation de la vérité : Steam n’est pas tant une plateforme de jeux qu’un « laverie » mondiale de cryptomonnaies et une plaque tournante de distribution pour les logiciels espions.

Alors que la direction de Valve se considère comme des génies de l’optimisation commerciale et se bat devant les tribunaux pour obtenir le droit de vendre des romans visuels pour adultes, sa plateforme ne cesse de saper quotidiennement les données, l’argent et la sécurité des véritables utilisateurs. L’ère de la fraude est révolue depuis longtemps, mais Valve continue de s’en servir comme excuse pour s’approprier légalement les biens des utilisateurs spoliés. Il n'y a pas de justice sur Steam. Il n'y a que des scripts, des travailleurs sous-traitants et une soif insatiable de profit.

30. L'hypocrisie à tous les niveaux : l'éthique d'entreprise de Valve et de Taylor Wessing

Si vous avez l'impression que j'exagère en évoquant Taylor Wessing (les avocats de Valve) dans le cadre de leurs procès pour harcèlement interne, croyez-moi, ce n'est pas une blague. L'affaire a été perdue, mais l'important n'est pas le verdict : c'est la stratégie de Taylor Wessing. Ils n'ont pas fait preuve de professionnalisme, mais ont mené un sale jeu d'usure et de retardement délibéré. Cherchez sur Google combien d'années l'affaire a traîné depuis le moment où les faits se sont produits dans cette station de ski huppée.

Mais en ce qui concerne Valve elle-même, encore plus de questions se posent quant à son éthique tant vantée. L’entreprise dispose d’un « Welcome Book » dans lequel elle se présente comme une « famille ». Tout y est chaleureux et convivial. Mais lorsque cette « famille » est secouée par un scandale, Valve agit avec une cruauté sans limite. Rappelons-nous le harcèlement d’un employé transgenre du service d’assistance, ou l’histoire de Jess Cliffe [13] (le co-créateur de Counter-Strike, qui travaillait chez Valve pratiquement depuis sa création). Cet homme a été mis à la porte de l’entreprise sans verdict de justice, sur la seule base d’accusations. Valve, qui engrange des millions en couvrant des escroqueries, aurait-elle soudainement pris peur pour sa réputation ? La logique est absurde : une entreprise laisse voler des millions de dollars à ses utilisateurs, mais prend instantanément ses distances avec la personne qui a bâti cette entreprise pendant des décennies, juste pour paraître « irréprochable ».

Quant aux avocats de Taylor Wessing… soyons honnêtes. Vous vous vantez de votre « histoire vieille de plusieurs siècles », mais sur votre compte Instagram, vous participez à une course en soutien à la Pride. Décidez-vous : honorez-vous l’histoire de vos fondateurs nazis qui ont envoyé des homosexuels dans des camps de concentration, ou êtes-vous un cabinet moderne et progressiste ? C’est de l’arnaque d’entreprise. Vous voulez vous présenter comme une aristocratie ancestrale tout en vous étant en réalité fondus dans l’extase de l’hypocrisie contemporaine. Et oui, vous avez accepté de défendre des oligarques russes dans des affaires où votre réputation criait haut et fort : « On ne fait pas appel à vous là où les gens sont innocents. »

31. La feuille de route des fuites à venir : à quoi Valve devrait-elle se préparer ?

Ce n'est ni le premier ni le dernier article d'PhishDestroy consacré à Valve. Je ne vais pas jouer au chat et à la souris avec leurs avocats : à en juger par leurs tarifs, leur temps coûte entre 3 000 et 5 000 dollars pour la simple lecture de quelques paragraphes. Ne gaspillez pas votre argent ; engagez du personnel d'assistance compétent plutôt qu'une société russe sous-traitante qui se contente de lire des scripts.

Voici la suite. Voici mon plan d'action pour les prochaines enquêtes :

Preuves concernant l'impuissance d'GDPR : je publierai les originaux des lettres types juridiques et des documents incorrectement expurgés, prouvant que Valve enfreint systématiquement la réglementation et divulgue les données confidentielles d'utilisateurs mineurs. Je vais montrer l'ensemble de la chaîne dans laquelle j'étais déjà la cinquième personne à avoir eu accès aux données personnelles d'autrui (y compris celles de personnes titulaires d'un passeport russe). C'est une preuve directe de leurs mensonges concernant les conditions de stockage et le mythique « chiffrement ».

Violation des accords de confidentialité et les dessous sordides de Steamworks : nous disposons d’informations provenant d’au moins deux développeurs dont nous n’hésiterons pas à enfreindre les accords de confidentialité (que nous n’avons d’ailleurs jamais signés). Nous allons révéler au grand jour le chaos qui règne dans la modération des mises à jour, ainsi que les cas concernant le contenu des casiers que Valve interdit de rendre public sous peine de voir le jeu retiré de la plateforme.

Échecs dans le domaine des cryptomonnaies et blanchiment d’argent : comment les « génies » de Valve perdent leurs millions : Puisque Valve adore se vanter des bénéfices d’un milliard de dollars de ses employés, nous, chez PhishDestroy, allons nous aventurer dans l’univers des cryptomonnaies. Nous allons mener une analyse financière approfondie des portefeuilles appartenant au personnel d'assistance d'élite (les premiers investisseurs en Bitcoin) et montrer comment ces « professionnels », qui rapportent des milliards à Valve sur le dos d'enfants spoliés, ont eux-mêmes investi dans des escroqueries et vu leurs adresses signalées avec un score de risque AML de 100 %.

L'étrange amour de la Russie et qui est « Nikita » : nous allons nous pencher sur le phénomène de la tolérance dont fait preuve Valve envers la région de la CEI. Comment une personne sans emploi officiel peut-elle devenir responsable du service d'assistance simplement parce qu'elle a un jour créé une communauté de fans pour Half-Life ? Nous mettrons en lumière les failles et les mécanismes permettant aux développeurs issus d’un État terroriste de contourner les sanctions, ainsi que les recharges directes de solde provenant de la DNR/LNR et de la Crimée, qui fonctionnent depuis 2021 et se poursuivent encore aujourd’hui.

32. Conclusion

Je n'ai aucune envie de consacrer ma vie à écrire des articles sur Steam. La plateforme est dirigée par un public composé d'enfants, d'escrocs et d'adeptes de Poutine (sous la forme de sous-traitants russes). Les bénévoles sont enlisés dans la corruption jusqu'au cou. Si Gabe Newell se considère comme un génie de l'industrie du jeu vidéo, alors peut-être est-ce mon destin d'être le salaud qui inscrira la vérité dans l'histoire :

Gabe est un monopoleur d'une mesquinerie et d'une cupidité sans bornes qui a légalisé le vol d'argent aux dépens des enfants. Quant aux jets privés et aux vacances promis dans le règlement du personnel, ce ne sont que des images colorées destinées à maintenir les salariés dans l'esclavage de l'entreprise.

Tout cela est consigné pour l'histoire. Pour les archives du Web. Et pour ces autorités de régulation qui finiront par démanteler cet empire de l'impunité.

33. Anatomie des conditions générales d'utilisation : schizophrénie d'entreprise et cynisme juridique

Analysons en détail les conditions d'utilisation de Steam. Nous allons passer en revue au moins 25 % de ce document pour démontrer qu'il ne s'agit pas d'un contrat juridique, mais d'un mensonge conçu pour permettre à la plateforme de voler les enfants tout en échappant à toute responsabilité.

Voici un extrait de leur règlement : « Vous n'êtes pas autorisé à utiliser des scripts, des bots, des macros ou tout autre système automatisé (« Automatisation ») pour interagir avec le Contenu et les Services sur Steam... »

Nous analyserons cette clause en détail dans la partie suivante. Spoiler : Steam a lui-même créé une « API » (règle de la liste blanche) qui sert exclusivement à automatiser le vol, à contourner les limites et à gérer des fermes de bots. La plateforme a rédigé une règle dont elle autorise simultanément la violation à grande échelle.

Et voici une autre perle de cynisme d'entreprise : « Vous reconnaissez que Valve n'est pas tenue de vous adresser un préavis avant de résilier votre abonnement et/ou votre compte. »

C'est un mensonge. En vertu de la législation en vigueur, cela ne fonctionne pas ainsi. Mais la plateforme se met à l'abri de tout. La position de Valve peut se résumer ainsi : « Nous volons les enfants, nous enfreignons les sanctions, nous permettons à des logiciels malveillants d'infecter vos PC, mais en fin de compte, c'est vous qui êtes en tort, et nous vous retirerons votre compte sans aucune explication. »

Ils adorent dire que « c'est la communauté qui décide de tout ». Mais pour une raison ou une autre, dès qu'il est question de responsabilité juridique, la communauté se transforme soudain en un simple morceau de viande sans aucun pouvoir.

33a. L'illusion du tribunal — Comment Valve tire parti de l'ignorance technologique des magistrats

Chaque fois que les autorités de régulation ou les procureurs généraux tentent de tenir Valve pour responsable des « loot boxes » et des jeux d’argent non réglementés, les avocats d’élite de l’entreprise recourent à la même stratégie. Ils se présentent au tribunal avec une pile de cartes de baseball ou un paquet de cartes « Magic : The Gathering » et déclarent : « Votre Honneur, nos objets virtuels sont exactement la même chose. Il s’agit simplement d’une collection innocente, transposée dans l’univers numérique. »

Cette défense ne tient la route que pour une seule et unique raison : les avocats de Valve exploitent habilement l’ignorance technologique d’un corps judiciaire vieillissant. Mais le mensonge de l’entreprise s’effondre dès qu’un procureur compétent fait passer le débat des « jouets » à la logistique financière et à l’infrastructure criminelle.

34. Sanctions, terrorisme et deux poids, deux mesures

Une question amusante pour cet hypocrite d'entreprise. Le règlement stipule : « Si vous êtes un consommateur résidant en Russie, vous pouvez également demander une protection juridique auprès des tribunaux nationaux russes. »

Le tribunal de la Crimée annexée est-il considéré comme un tribunal russe ? Ou devons-nous attendre que Roskomnadzor — avec lequel Steam entretient des relations si étroites — nous donne une réponse ?

Et voici une clause qui provoque un éclat de rire : « Vous vous engagez à respecter toutes les lois et réglementations applicables en matière d’importation et d’exportation. Vous vous engagez à ne pas exporter de Contenu… vers des pays qui soutiennent des terroristes… Vous déclarez ne pas vous trouver dans un tel pays interdit. »

Ainsi, lorsque Valve accepte directement de l’argent provenant de comptes enregistrés dans des zones soumises à des sanctions internationales (et nous disposons de gigaoctets de captures d’écran et de preuves directes de transactions provenant de Crimée, de la DNR et de la LNR remontant à 2021), ce n’est pas Valve qui enfreint les sanctions. C’est la faute de l’utilisateur ! La plateforme a discrètement modifié ses conditions générales d'utilisation au cours des six derniers mois, faisant porter toute la responsabilité sur les utilisateurs.

Valve, avez-vous été contraints de supprimer toute mention des alliés de la Russie (Cuba, l’Iran, la Syrie) et vous a-t-on interdit d’en dire du mal, ou avez-vous évalué l’ampleur et le montant des revenus provenant directement de ces pays ? Si un État terroriste vous contraint à agir d’une manière ou d’une autre, parlez-en à quelqu’un, n’ayez pas peur. Il n'y a aucune raison d'enfreindre la législation américaine en vigueur sous la menace d'un piratage de votre contenu ; cela ne vaut pas la peine de prendre ce risque. Ce sont des terroristes, et vous êtes une entreprise américaine. Si vous faites l’objet de persécutions ou de chantage, contactez le bureau local du FBI à Seattle au +1 (206) 622-0460 [16] ou l’IC3 [17]. Je suis également convaincu que les spécialistes de la CISA [18] pourraient vous aider : compte tenu de l’ampleur et de la portée de votre sphère d’influence, celle-ci est considérable, même selon les normes américaines.

Puisque vous supprimez les règles relatives aux sanctions directes et modifiez le texte, c'est un signal très inquiétant. Je ne plaisante pas : si vous ne faites pas confiance aux agences mentionnées ci-dessus, vous recevrez certainement ici une aide au plus haut niveau — au sein du NSD du ministère de la Justice [19]. Pour notre part, nous procéderons à des analyses supplémentaires et à des consultations gratuites avec certains spécialistes, et nous pourrions également être contraints de signaler cette situation le cas échéant (ou pas du tout). Mais ce n’est pas une plaisanterie — c’est très sérieux.

Vous avez supprimé de vos règles la liste explicite des pays concernés et transféré la responsabilité aux utilisateurs. Parallèlement, vous effectuez des analyses : un pixel de suivi est intégré à la page d’inscription, et vous constatez le nombre réel de clics menant à la page des conditions générales. Personne ne le lit, car vous l’avez délibérément dissimulé sous la forme d’une question confirmant que l’utilisateur a plus de 13 ans (le lien vers les conditions générales y est également intégré). La société moderne — les enfants et les adolescents — souffre de TDAH, et c’est un fait scientifiquement prouvé : vérifiez les données. Ils ne lisent pas les textes jusqu’au bout. Moi, par exemple, j’ai vu la clause indiquant qu’il fallait avoir plus de 13 ans et ça s’est arrêté là — je n’ai pas lu plus loin. Il s’agit là d’une manipulation directe de votre part, tout comme la réécriture du contrat concernant les pays qui figurent régulièrement sur les listes de sanctions.

Cette modification montre clairement que l'attitude de votre entreprise envers ces pays (ou l'argent provenant de ceux-ci) a changé. C'est un changement très étrange. Soit il y a déjà un problème, soit vous vous conformez aux exigences des tribunaux russes, et il s'agit là d'une de leurs demandes non rendues publiques — comme l'interdiction de certains utilisateurs, etc. —, ce qui pourrait ébranler la conviction que leurs actes terroristes commis sur le territoire d'un autre pays sont justifiés. Ou bien vous prosternez-vous simplement devant le gouvernement russe, en répondant à ses demandes directes d’exclure des utilisateurs indésirables ? Je vais vous montrer les versions antérieures de vos conditions générales d’utilisation. Vous pouvez les modifier comme bon vous semble, mais ces morceaux de papier n’ont aucune valeur face à la violation directe des lois américaines et au financement d’économies terroristes.

35. Le chantage et la stratégie de la terre brûlée

Avertissement préalable : toute tentative de prise de contact de la part de Valve ou de ses « chiens de garde » du cabinet Taylor Wessing [9] sera considérée comme une forme de pression et une entrave à l'enquête.

N'essayez pas de nous envoyer un accord de confidentialité. PhishDestroy n'est pas enregistré sur votre tas d'ordures. Nous n'avons pas coché la case de votre accord « astucieux » (que vous considérez exclusivement comme la confirmation qu'un enfant a plus de 13 ans, afin de pouvoir le dépouiller en toute légalité).

Si vos avocats tentent de nous accuser d’« extorquer des milliards de roubles » ou de « diffamer la réputation sacrée dans l’intérêt d’un concurrent nord-coréen, Steam 2.0 », bonne chance. Toutes nos enquêtes, nos éléments de preuve et nos justificatifs sont sauvegardés sur des nœuds indépendants (notamment des serveurs d’une université américaine) ainsi que sur Web Archive. Il ne s’agit pas d’un conflit. Il s’agit d’un exposé des faits.

36. L'usine à arnaques : utilisation frauduleuse de cartes bancaires, faux documents et vol de données

Vous pensez que les escroqueries sur Steam se limitent au vol de mots de passe ? Vous n'avez aucune idée de l'ampleur réelle du phénomène.

Faux documents (ingénierie sociale) : lorsqu'un compte est piraté, le service d'assistance exige la première clé CD datant d'il y a 10 ans. L'enfant ne l'a pas. Mais l'escroc travaillant pour une société sous-traitante russe, lui, l'a. Les fraudeurs commandent la fabrication de faux reçus et de fausses clés sur des forums clandestins. Nous avons recensé plus de 200 cas avérés de faux documents qui ont été « gobés » sans sourciller par le personnel du service d’assistance de Valve, qui a ainsi remis le compte entre les mains des criminels.

Vol de données : plus d’un demi-million de comptes (dont ceux de citoyens de l’UE) ont transité par le marché noir LZT. Steam a dissimulé le fait que ses ordinateurs avaient été infectés par des logiciels de vol de données. La plateforme a de facto divulgué aux pirates informatiques des données personnelles, des correspondances, des adresses IP et des informations relatives aux réseaux domestiques.

Carding industriel : si les avocats de Valve comprenaient comment fonctionne le carding sur leur plateforme, ils deviendraient tout blancs. Attribuer un « Red Tag » pour carding tout en laissant sur le compte des objets achetés avec des cartes bancaires volées constitue une pratique de blanchiment d’argent remarquable. Savez-vous qui était en réalité en concurrence avec le prince d’Arabie saoudite pour le niveau le plus élevé du Compendium dans Dota 2 ? Nous allons également vous en parler.

36a. La machine à sous : comment Valve a créé le plus grand casino non réglementé au monde destiné aux enfants

Le « skin gambling » n'est pas un effet secondaire de Steam. Il s'agit d'un prévisible et rentable Conséquence de l’architecture délibérée de Valve : un système d’API ouvert, l’absence de vérification d’identité (KYC), des objets virtuels dont la valeur reste stable sur le marché secondaire, et une totale absence de contrôle réglementaire. Résultat : un secteur générant plus d’un milliard de dollars par an, où les skins CS2 des enfants sont utilisés comme des jetons de casino — sans vérification d’âge, sans consentement parental, et sans que Valve n’ait jamais déposé le moindre rapport d’activité suspecte (SAR).

L'interdiction des bots en 2023 : ce n'est pas une sanction, mais un mécanisme de rentabilité.

En 2023, Valve a banni des dizaines de milliers de comptes de bots gérés par des sites de paris — CSGOFast, CSGORoll, Stake.com (pour les skins), et d’autres. La presse spécialisée a salué cette mesure, y voyant une « répression » de Valve contre les paris. Cette interprétation est erroné sur le plan factuel.

37. Épilogue : un terrain d'entraînement pour la cybercriminalité

Étant donné que, selon la logique perverse de Valve, les objets virtuels « n'ont aucune valeur réelle », le vol de skins d'une valeur de 10 000 dollars ne constitue pas légalement un vol. Il s'agit là d'une zone grise parfaite.

Mais Steam ne se contente pas d'ignorer le vol. Steam a formé toute une génération de cybercriminels. Les créateurs actuels de logiciels de vol d’informations et d’arnaques à la cryptomonnaie ont commencé par voler des inventaires dans CS:GO. La plateforme de Gabe Newell est devenue le principal vivier de la cybercriminalité mondiale, enseignant aux hackers mineurs la règle fondamentale : on peut voler impunément sur Internet, à condition de payer la commission à l’entreprise.

Chacun devra répondre de ses actes. Même s'il se cache derrière des conditions générales d'utilisation qu'il a lui-même rédigées. À ne pas manquer : la deuxième partie.

38. Sanctions, censure et le syndrome de Stockholm de Steam

L'hypocrisie de Steam atteint son paroxysme dès lors que le sujet aborde la géopolitique. Vous pouvez bien sûr trouver ridicule qu'un géant du secteur, qui engrange des milliards, se soit tout simplement fourvoyé dans ses propres algorithmes. Mais examinons les faits.

En 2022, alors que l'étau des sanctions commençait à se resserrer, les développeurs russes se sont rués en masse pour contourner ces blocages. Et où ont-ils trouvé les guides les plus détaillés pour échapper aux sanctions internationales de l'OFAC ? Au cœur même de Steam. Dans la communauté officielle, on trouve des instructions étape par étape expliquant comment utiliser un VPN (ce qui est officiellement interdit par les conditions d’utilisation) pour changer de région et retirer de l’argent vers des banques sanctionnées (telles que la Tinkoff Bank) [25].

Voici une citation tirée d'un guide officiel (ou, du moins, modéré par Valve) qui décrit parfaitement leur position : « Nous vous demandons de bien vouloir faire preuve de professionnalisme et de vous abstenir de tout commentaire sur des sujets politiques… De telles déclarations seront supprimées, et les contrevenants les plus récidivistes se verront privés de la possibilité de poster des commentaires… »

Traduction du jargon d'entreprise en langage clair : Valve interdit d’appeler cette guerre une « guerre ». Valve interdit de qualifier le pays agresseur de « terroriste ». Une modération agressive (bonjour, sous-traitance en russe) supprime toute critique, protégeant ainsi un public qui tue des gens dans un pays voisin contre les « différends politiques ». Il ne s’agit pas d’une simple négligence. Il s’agit d’une complicité dans la censure, motivée par la crainte de perdre des revenus sur le marché de la CEI.

J'invite officiellement la direction de Valve et ses avocats tant vantés à se rendre à Marioupol ou à Melitopol, afin de constater de leurs propres yeux de quelles « controverses politiques » exactement ils protègent si soigneusement leur communauté russophone.

39. Le contournement des sanctions en tant que service de plateforme

Steam précise que les utilisateurs sont tenus de respecter la législation américaine en matière d'exportation. Or, parallèlement, la plateforme sert de plaque tournante principale pour la publication de guides expliquant comment contourner ces restrictions. Ces guides sont en ligne depuis des années. Changer de région pour le Kazakhstan ou la Turquie afin de contourner les blocages est devenu non seulement un phénomène très répandu, mais aussi une pratique courante que Valve approuve tacitement.

Pourquoi ? Parce que la politique de Steam est la suivante : « L'utilisateur a coché la case indiquant qu'il n'est pas un terroriste et qu'il ne fait pas l'objet de sanctions ; nous ne pouvons donc faire l'objet d'aucune réclamation. »

Mais nous irons plus loin. Si quelqu’un dispose de bases de données brutes d’utilisateurs de Steam, nous sommes prêts à les exploiter. Nous trouverons des listes de comptes ayant contourné les blocages pour acheter des jeux auprès d’éditeurs qui se sont officiellement retirés de Russie (tels que les créateurs de STALKER 2 [30] ou de GTA [30]). Nous transmettrons ces données directement à ces éditeurs, accompagnées de la question suivante : « Savez-vous que Steam sabote votre retrait du marché et fournit ouvertement aux utilisateurs des failles leur permettant d’acheter vos jeux en roubles via une chaîne d’intermédiaires ? »

Nous sommes déjà en contact avec des initiés liés par un accord de confidentialité. Nous avons connaissance d'un cas où Valve a mis fin unilatéralement à sa collaboration avec un développeur et s'est tout simplement approprié son argent, en dissimulant cette manœuvre derrière un accord de confidentialité. Mais nous n'avons signé aucun accord de ce type. Nous raconterons tout.

40. Sur quoi se concentrent les autorités de régulation américaines ?

La question principale : Valve sait-elle ce qu'est l'OFAC [20] (l'Office of Foreign Assets Control, l'agence américaine chargée du contrôle des avoirs étrangers) ?

Lorsqu’une plateforme permet de contourner massivement les sanctions via un VPN (qu’il s’agisse d’achats mineurs ou de retraits de fonds par des développeurs) ; lorsqu’elle permet le blanchiment d’argent par le biais de marchés parallèles de skins tout en fermant les yeux ; lorsque la modération de la plateforme intègre les restrictions de Roskomnadzor [23] et supprime les publications « indésirables » — cela ne relève plus du champ d’application d’un contrat de conditions d’utilisation. Il s’agit là d’une violation directe de la souveraineté et des lois des États-Unis.

Attendez-vous à la suite. PhishDestroy ne s'arrêtera pas tant que cette architecture de mensonges ne s'effondrera pas. Toutes les preuves et tous les liens sont conservés. Et aucun Taylor Wessing [9] ne nous intimidera.

Pour Valve, les différences géopolitiques ne se résument pas à une simple question de tarification régionale (où Valve décide qui est plus riche et qui fait partie de la « Russie »). Il s’agit également de lois, de règles et de contrôle. En voici un exemple parfait : la géolocalisation du VPN est visible en haut de l’écran. La procureure de New York n’utilise donc tout simplement pas de VPN. Mais je pense qu’elle n’aurait jamais pu imaginer que Valve soit une entreprise aussi hypocrite, appliquant des règles et des contrôles complètement différents selon l’endroit d’où l’on accède à la plateforme.

Compte tenu de tous ces facteurs, notre recommandation est simple : ne cédez pas au cadre juridique imposé par Steam. Si un utilisateur est réellement un terroriste, il n’a aucune obligation de témoigner contre lui-même. C’est à Steam qu’il incombe légalement de vérifier l’origine de ces fonds, plutôt que d’accorder à l’utilisateur le privilège absurde de certifier lui-même s’il est ou non un terroriste. Cette logique s’applique directement aux opérations territoriales de Valve. Si Valve a soudainement oublié comment fonctionne Internet — et ses interdictions directes des VPN —, suivons sa logique : un terroriste de Crimée, de Cuba ou de Syrie se connecte pour blanchir de l’argent. Cet utilisateur ne parle pas anglais et n’a absolument aucune intention de lire les absurdités juridiques alambiquées contenues dans les conditions d’utilisation. Mais il a sans aucun doute plus de 13 ans (en fait, il a peut-être déjà tué 13 personnes). La plateforme pense-t-elle sérieusement pouvoir faire porter la responsabilité juridique au terroriste en lui laissant décider de son propre statut ? En transférant cette responsabilité, Valve fait une déclaration juridique directe : elle reconnaît automatiquement tout le monde comme « non-terroriste » de son côté. Pendant ce temps, le véritable terroriste, qui ignore complètement le texte standard déguisé en simple vérification d’âge, blanchit simplement son argent à l’aide d’un guide permettant de contourner les sanctions, hébergé directement sur la plateforme communautaire de Steam. Une conformité exemplaire, n’est-ce pas ?

Vous avez perdu la tête ? Vous avez transmis les données personnelles de mineurs à une personne qui a un grief, en lui disant en substance : « Voilà la cause de vos problèmes, servez-vous. » Si jamais cette personne venait à agir sur la base de ces données, la responsabilité juridique et les conséquences tragiques incomberaient entièrement à Valve et à Taylor Wessing.

Le « Dead Man's Switch » d'IPFS

Nous disposons de bien plus d'informations que celles publiées ici. Si Steam, Taylor Wessing ou toute entité affiliée tentait de mener une action agressive contre notre projet, nous ne perdrions pas de temps devant les tribunaux. Nous procéderions à un transfert complet des données brutes sur l'InterPlanetary File System (IPFS).

Oui, la publication de données non expurgées aura des conséquences. Oui, cela signifiera la mort définitive du domaine phishdestroy.io et de son trafic massif. Épargnons du temps à vos avocats : on s'en fiche. Ce domaine a été créé pour plaisanter, afin de se moquer des arnaqueurs de Steam qui prétendaient qu’on « n’avait même pas de site web ». Nous ne recherchons pas la notoriété, nous n’essayons pas de jouer les héros d’entreprise, et nous n’avons pas peur de perdre une URL.

Si le domaine venait à disparaître, vous trouverez les réponses à l'adresse suivante : steamdestroy.eth

Qui sommes-nous ?

PhishDestroy Il s'agit d'une initiative non commerciale de lutte contre la fraude. Nous sommes quatre : des professionnels certifiés en cybersécurité qui intervenons dans plusieurs pays. L'un de nos cinq membres fondateurs est décédé ; c'est pourquoi vous ne nous verrez jamais tous réunis.

40a. Protocole de divulgation ouverte : notification officielle adressée à Valve Corporation

41. L'ultimatum et le cadre de dissuasion

Une question appelle une réponse publique et officielle : selon les conditions générales d'utilisation de Valve, un tribunal situé dans le territoire annexé de la Crimée peut-il être considéré comme « tout tribunal local russe » ? En l'absence d'une réponse directe et publique à cette question, veuillez ne pas nous contacter.

Si c'est un « règlement pacifique » que vous souhaitez, appliquez vos propres règles :

Bannissez tous les comptes ayant déjà utilisé un VPN pour accéder à Steam (vous disposez de la base de données).

Bloquez tous les comptes ayant utilisé des outils d'automatisation sur la plateforme, y compris CSGOFast.

Reconnaissez que Valve ou ses mandataires ont mené une cyberattaque contre Source 1.

Le minimum d’équité : restituer tous les actifs volés par le biais de la substitution de marchandises (arnaque « API »). Commencez par tous les comptes qui ont jamais été répertoriés sur Lolzteam Market. Nous comprenons votre architecture — nous avons vu votre logique interne d’identification des appareils dans ces documents non expurgés de l’GDPR. « Techniquement impossible » n’est pas une réponse. Si votre personnel n’en est pas capable, remplacez-le. Le résultat restera le même, quoi que vous tentiez. Nous n’avons pas d’argent à saisir, pas de noms à dévoiler, ni de réputation d’entreprise à ruiner. Nous n’avons pour seule arme que la vérité.

Une alerte mondiale : l'épidémie d'infostealers et les dommages collatéraux pour les entreprises

Je m'adresse à tous les pays de la planète Terre — à l'exception des États terroristes, puisque Steam s'entend déjà très bien avec eux.

Si le fait qu’une entreprise qui n’a de comptes à rendre à personne ait décidé qu’elle avait le droit de s’approprier les biens numériques de vos enfants vous préoccupe ne serait-ce qu’un peu, écoutez attentivement. Si le fait qu’elle omette délibérément d’informer les utilisateurs de la présence d’appareils infectés — compromettant ainsi des réseaux d’entreprise critiques à travers le monde — vous préoccupe, alors soyez attentifs.

Dans la deuxième partie de notre enquête, nous présenterons un exemple parfait de ce que la négligence de Steam a réellement engendré. Nous fournirons des preuves tangibles démontrant que Steam est le principal moteur économique de l’industrie mondiale des logiciels de vol d’informations. Les comptes Steam constituent la cible numéro un des opérateurs de logiciels malveillants. Sans les retombées financières générées par le marché noir florissant de Steam, ces campagnes massives et aveugles de diffusion de logiciels de vol d’informations seraient tout simplement non viables sur le plan économique.

Il existe déjà un cas public avéré où le vol d'un « log » d'une valeur de 2 $ a entraîné la mise en mode « lockdown » de l'entreprise, le versement d'une rançon de 17 millions de dollars et des dommages-intérêts totaux dépassant les 100 millions de dollars. Merci, Valve, pour votre engagement sans pareil en faveur de la « sécurité » mondiale.

Nous ne cacherons pas ces renseignements. Les informations nous parviennent naturellement, et nous les publierons toutes. Et que ceci soit notre déclaration officielle : si, Dieu nous en préserve, les preuves révèlent que Valve ou ses mandataires ont mené des cyberattaques ciblées contre des utilisateurs spécifiques afin de les réduire au silence, la communauté internationale ne se laissera pas faire. Le reste du monde ne se laissera pas berner par vos petits jeux juridiques mignons concernant la compétence exclusive des tribunaux de l'État de Washington.

42. Verdict final

De toute façon, ce bot n'est plus sous notre contrôle. Je n'ai aucune honte et je ne pense pas faire quelque chose de mal. Je suis certain que nous n'avons pas d'autre choix. La source n° 1 s'est arrêtée à temps, mais en ce qui nous concerne, c'est vous qui avez tué les enfants dont vous lui avez divulgué les données. Par conséquent, nous ne négocierons pas. C'est Steam le terroriste dans cette affaire.

Réévaluez ce que vous avez fait, ainsi que ce que faisait la Source 1 après que vos avocats lui ont remis ces données. D’où venait votre « Nikita » ? Et qu’en est-il des quatre agents de soutien externes basés en Russie ? Je suis sûr que vous pensez qu’il s’agit d’un incident isolé, mais nous avons connaissance de bon nombre de vos dossiers et de vos « décisions ».

Nous ne sommes pas comme vous. Nous ne dissimulons pas les crimes potentiels. Nous publierons progressivement toutes les informations accompagnées de preuves et coopérerons avec n'importe quelle autorité de régulation — à l'exception de celles que vous semblez privilégier. Les autorités russes nous écrivent souvent ; d'habitude, on leur dit d'aller se faire foutre, mais on va peut-être commencer à leur répondre. On ne se prête pas à ces petits jeux stupides consistant à donner des réponses d'entreprise incompréhensibles destinées à semer la confusion, un peu comme vos conditions d'utilisation.

J'espère que notre position est tout à fait claire :

La vapeur a tué les enfants qu’elle a aspergés.

Steam vole les enfants sous prétexte de lutter contre des « faux comptes » qui ont été entièrement créés par son propre service d'assistance.

Steam ment en prétextant que les motifs d'une exclusion ne sont pas divulgués au nom de la « lutte contre la triche », uniquement parce que cela lui arrange d'un point de vue juridique. (Mais qu'est-ce que la lutte contre la triche a à voir avec une exclusion de la communauté ?)

Êtes-vous vraiment si sûr que vos tribunaux ou l'Europe fermeront les yeux ? Nous verrons bien.

---

Références et sources

CONTEXTE SUPPLÉMENTAIRE : CADRE RÉGLEMENTAIRE ET JURIDIQUE

NOTE SUR LES SOURCES