Une attaque chez le transporteur, puis une alerte de Valve

Valve a commencé à prévenir le 10 août 2026 des clients européens ayant récemment acheté du matériel Steam. Le message indique que CEVA Logistics, son partenaire de transport et de traitement des livraisons, a subi une cyberattaque entre le 29 juillet et le 1er août. Valve dit avoir appris le 7 août que certaines informations de clients Steam avaient probablement été compromises. Cette notification récente justifie de revenir sur un incident commencé hors de la fenêtre de 24 heures.

Le périmètre potentiel correspond aux données conservées par CEVA pour expédier les commandes : nom, adresse postale avec ville, code postal et pays, numéro de téléphone, adresse électronique liée au compte Steam, type de produit commandé et montant total. Valve précise que CEVA conserve normalement ces informations pendant 90 jours. L’alerte vise donc surtout des achats matériels récents, sans signifier que chaque client européen ou chaque commande des trois derniers mois a forcément été extrait.

Les produits peuvent inclure Steam Deck, Steam Controller ou Steam Machine selon la commande et la période. Valve n’a pas publié de liste complète, de nombre de personnes touchées ou de pays concernés. CEVA a déclaré à TechCrunch avoir isolé les systèmes affectés et confié l’enquête à des spécialistes externes. Le groupe décrit un impact opérationnel limité à huit entrepôts européens, sans atteinte détectée à ses autres systèmes mondiaux au moment de sa déclaration.

Les identifiants Steam et les paiements ne figurent pas dans le lot

CEVA ne disposait pas des mots de passe Steam, des informations de paiement ni des codes Steam Guard nécessaires pour se connecter à un compte. Valve affirme donc qu’un changement de mot de passe ou de réglage de sécurité n’est pas requis du seul fait de cet incident. Cette distinction est importante : une adresse et un numéro de téléphone sont sensibles, mais ils ne permettent pas directement de valider une connexion ou un achat sur Steam.

Interface officielle du client Steam affichée à côté d’un Steam Controller noir.
Le client Steam et Steam Guard ne sont pas annoncés comme compromis. Le visuel illustre l’écosystème Valve, pas l’incident chez CEVA.

Le risque principal est l’hameçonnage ciblé. Un fraudeur connaissant le produit, le montant, l’adresse et les coordonnées peut fabriquer un message crédible au nom de Valve, CEVA, d’un service de douane ou d’un transporteur local. Il peut réclamer des frais de nouvelle livraison, demander de confirmer une adresse ou présenter une fausse page de connexion Steam. La présence de vraies informations personnelles dans le message ne prouve pas que l’expéditeur est légitime.

Valve rappelle que les problèmes de compte doivent être traités exclusivement depuis help.steampowered.com. Un agent Steam ne demande pas un code Steam Guard par e-mail, messagerie instantanée ou Discord. Les utilisateurs peuvent ouvrir eux-mêmes le client ou saisir manuellement l’adresse de l’assistance, plutôt que suivre un lien reçu. Une demande urgente de paiement, de code ou de téléchargement doit être considérée comme suspecte.

Les gestes utiles pour les acheteurs concernés

La première mesure consiste à conserver le message de Valve et à comparer toute nouvelle sollicitation avec le suivi de commande accessible depuis le compte Steam. Il faut éviter de rappeler un numéro ou d’ouvrir une pièce jointe fourni dans un SMS inattendu. Si une livraison est toujours en cours, le statut peut être vérifié depuis l’historique d’achats ou le site du transporteur atteint en saisissant son adresse officielle.

Activer Steam Guard reste une bonne protection générale si ce n’est pas déjà fait, même si l’incident n’a pas exposé ses codes. Un mot de passe unique empêche qu’une fuite provenant d’un autre service facilite une prise de contrôle. Les personnes recevant des tentatives très précises peuvent aussi prévenir leur opérateur ou filtrer les appels inconnus, puis signaler les messages frauduleux aux canaux nationaux appropriés.

Vue officielle de l’intérieur d’une Steam Machine avec ses composants remplaçables.
Le matériel Valve n’est pas présenté comme vulnérable. Ce sont les informations nécessaires à son expédition qui peuvent avoir été consultées.

Changer immédiatement l’adresse électronique ou annuler une carte bancaire n’est pas justifié par les éléments connus. En revanche, toute personne ayant saisi un mot de passe ou un code après avoir suivi un message suspect doit modifier son mot de passe Steam depuis un appareil sûr, révoquer les appareils non reconnus et contacter l’assistance. Si des coordonnées bancaires ont été communiquées sur un faux site, la banque doit être alertée sans attendre.

Un périmètre encore incomplet au-delà des commandes Steam

L’enquête n’est pas terminée. CEVA n’a pas donné la méthode d’intrusion, le volume de données exfiltré, la liste des huit entrepôts ou la confirmation qu’une copie exploitable a été récupérée. Valve parle d’informations « probablement » compromises, formulation qui impose de prendre le risque au sérieux sans présenter l’exposition de chaque champ et de chaque client comme définitivement établie.

TechCrunch rapporte que l’incident dépasse Valve et concerne aussi d’autres organisations clientes de CEVA. L’autorité britannique compétente avait reçu des signalements d’une dizaine d’organisations au moment de l’article. Ce contexte peut expliquer pourquoi toutes les notifications n’arrivent pas au même moment, mais il ne permet pas de déduire que les données d’un client Steam ont été mélangées avec celles d’une banque ou d’un autre commerçant.

L’absence de mot de passe et de carte bancaire réduit fortement le danger immédiat, sans rendre la fuite anodine. Une adresse physique associée à un produit coûteux peut servir longtemps à personnaliser une fraude. Les destinataires doivent donc garder une vigilance renforcée dans les semaines et mois à venir, même après réception de leur commande.

Valve et CEVA devront encore préciser le nombre de clients, les pays concernés et les mesures de notification réglementaire. Jusqu’à cette publication, la conduite la plus proportionnée reste de ne pas paniquer, de passer uniquement par les canaux officiels et de traiter toute demande liée à la livraison comme potentiellement frauduleuse. Aucun élément public ne justifie d’attribuer l’attaque à un groupe précis.