L’essentiel
- L’attaque a eu lieu entre le 29 juillet et le 1er août 2026, chez CEVA Logistics, partenaire logistique de Valve.
- Valve aurait été informé de l’incident le 7 août 2026.
- Les données concernées incluent le nom, l’adresse postale, le numéro de téléphone et l’e-mail des clients ayant commandé du matériel Steam en Europe.
- Les mots de passe, les codes Steam Guard et les informations bancaires ne sont pas concernés.
- Huit entrepôts européens de CEVA auraient été touchés, avec des répercussions chez d’autres enseignes comme Bol et De Bijenkorf.
Qu’est-ce qui a provoqué cette fuite de données Steam
La fuite provient d’une cyberattaque survenue chez CEVA Logistics, le prestataire chargé de livrer une partie du matériel Valve en Europe, et non des serveurs de Steam eux-mêmes. Cette précision compte, car elle change entièrement la nature du risque pour les utilisateurs. En effet, les pirates n’ont pas percé les défenses informatiques de Valve, mais celles d’un intermédiaire logistique qui traite les commandes physiques de la plateforme.
L’incident se serait déroulé entre le 29 juillet et le 1er août 2026, avant d’être signalé officiellement à Valve le 7 août, soit près d’une semaine plus tard. Ce délai de détection illustre une difficulté classique en cybersécurité : une intrusion chez un sous-traitant met parfois du temps à être repérée, car les systèmes concernés ne sont pas toujours surveillés avec la même rigueur que ceux de l’entreprise principale. CEVA aurait depuis isolé les systèmes touchés, les aurait mis hors ligne, et lancé une analyse avec des spécialistes externes selon 01net.
Il faut noter que cette attaque ne se limite pas au seul cas de Steam. Elle aurait touché huit entrepôts européens de CEVA Logistics, si bien que d’autres clients de l’entreprise, notamment les sociétés néerlandaises Bol et De Bijenkorf, auraient également reçu des alertes similaires. Cette dimension plus large montre que la faille se situe bien au niveau du prestataire logistique, et non d’un service spécifique à Valve.
Qui est concerné par cette fuite de données Steam
Sont potentiellement concernés tous les clients européens ayant commandé du matériel physique Valve, comme le Steam Deck, la Steam Machine, le Steam Controller ou d’autres accessoires officiels. Car CEVA gère la livraison de ces produits sur le continent, toute commande passée par ce canal peut figurer dans les données compromises.
Un détail technique explique pourquoi des acheteurs de plusieurs semaines auparavant peuvent aussi être touchés : CEVA conserverait les données de livraison pendant environ 90 jours après chaque commande. Cette rétention prolongée élargit considérablement le nombre de personnes potentiellement exposées, bien au-delà des seuls acheteurs récents. Toutefois, cela signifie aussi que les commandes plus anciennes que trois mois échappent en théorie à cette fenêtre de risque.
Quelles informations personnelles ont fuité
Les données exposées comprennent le nom et le prénom, l’adresse postale complète, la ville, le code postal, le pays, le numéro de téléphone ainsi que l’adresse e-mail associée au compte Steam. Le type de produit commandé et le prix payé figurent également parmi les éléments compromis, d’après les précisions apportées par Frandroid. L’article de jeuxvideo.com, source de cette actualité, insiste d’ailleurs sur le fait que le modèle précis du produit commandé et le montant exact de la facture peuvent être inclus.
En revanche, un point rassure les joueurs concernés : les informations bancaires, les mots de passe Steam et les codes Steam Guard ne font pas partie de cette fuite. Cette limitation s’explique simplement, car CEVA n’avait tout simplement pas accès à ces éléments dans le cadre de son activité de livraison. Le tableau ci-dessous récapitule ce qui est concerné et ce qui reste protégé.
| Type de donnée | Statut |
|---|---|
| Nom et prénom | Compromis |
| Adresse postale complète | Compromis |
| Numéro de téléphone | Compromis |
| Adresse e-mail Steam | Compromis |
| Type et prix du produit commandé | Compromis |
| Mot de passe Steam | Non concerné |
| Codes Steam Guard | Non concerné |
| Informations bancaires | Non concerné |
Quel est le principal risque après cette fuite
Le danger principal réside dans le phishing ciblé, une technique où des pirates utilisent de véritables informations de livraison pour rendre leurs messages frauduleux plus crédibles. Car les escrocs disposent désormais de données réelles comme l’adresse ou le produit commandé, leurs faux e-mails, SMS ou appels téléphoniques peuvent sembler parfaitement légitimes aux yeux des victimes.
Ces tentatives peuvent notamment réclamer le paiement de faux frais de douane, le règlement de frais de relivraison fictifs, ou encore la confirmation d’une adresse et d’une commande. D’autres scénarios plus dangereux visent à rediriger la victime vers une fausse page Steam, dans le but de lui voler son mot de passe ou son code Steam Guard. En raison de ce risque élevé, l’authenticité d’un message reçu par e-mail ou SMS mérite toujours d’être vérifiée avant toute action.
Valve recommande donc de ne jamais cliquer sur les liens reçus par e-mail ou SMS concernant une commande, et de passer systématiquement par le site officiel via help.steampowered.com pour toute vérification. Cette précaution simple évite la majorité des arnaques basées sur l’usurpation d’identité d’un service connu.
Faut-il changer son mot de passe Steam maintenant
Il n’est pas nécessaire de changer immédiatement son mot de passe Steam uniquement à cause de cette fuite, puisque ni les mots de passe ni les codes Steam Guard ne font partie des données compromises. Cette information rassure une grande partie des utilisateurs inquiets, car le compte lui-même reste techniquement protégé par ce dispositif d’authentification à deux facteurs.
Toutefois, il reste conseillé d’utiliser un mot de passe unique pour chaque service, plutôt que de réutiliser le même identifiant sur plusieurs plateformes. Activer la protection renforcée du compte Steam, disponible dans les paramètres de sécurité, ajoute une couche supplémentaire de sécurité face aux tentatives d’intrusion. Enfin, se méfier de tout message lié à une commande récente de matériel Steam demeure le réflexe le plus efficace pour éviter de tomber dans un piège de phishing.
Quelles suites pour cette affaire
Plusieurs autorités européennes chargées de la protection des données auraient déjà été informées de cet incident. En France, une notification à la CNIL est évoquée par les médias ayant couvert cette affaire, tandis que l’autorité néerlandaise de protection des données mènerait également une enquête, compte tenu des clients Bol et De Bijenkorf également concernés.
Cette réaction institutionnelle rapide s’explique par la nature transfrontalière de l’incident, puisqu’il touche des clients de plusieurs pays européens et de plusieurs entreprises distinctes. Si bien que l’enquête pourrait clarifier dans les prochaines semaines l’ampleur exacte de la fuite, notamment le nombre total de personnes affectées et l’identité des auteurs de l’attaque.
En attendant des précisions officielles, la vigilance reste le meilleur rempart pour les possesseurs de matériel Steam en Europe. Car les campagnes de phishing exploitant des données réelles de livraison peuvent s’avérer particulièrement convaincantes, chaque message suspect lié à une commande Valve mérite d’être vérifié directement sur le site officiel avant toute réponse ou tout clic.
FAQ
Comment savoir si mes données Steam ont fuité ?
Valve n’a pas confirmé de liste publique des personnes touchées. Si vous avez commandé un Steam Deck, une Steam Machine ou un accessoire Valve en Europe depuis moins de 90 jours, vous êtes potentiellement concerné par cette fuite chez CEVA Logistics.
Steam a-t-il été piraté directement ?
Non, les serveurs de Steam n’ont pas été compromis. La fuite provient de CEVA Logistics, le prestataire logistique chargé de livrer le matériel Valve en Europe, et non d’une intrusion directe chez Valve ou Steam.
Mon compte Steam risque-t-il d’être piraté ?
Le risque direct sur le compte reste limité, car les mots de passe et codes Steam Guard n’ont pas fuité. Le vrai danger vient des tentatives de phishing utilisant vos données de livraison réelles pour paraître crédibles.
Que faire si je reçois un e-mail suspect de Steam ?
Ne cliquez jamais sur les liens reçus par e-mail ou SMS concernant une commande. Rendez-vous directement sur help.steampowered.com pour vérifier toute information et signaler un message suspect à Valve.
Cette fuite concerne-t-elle uniquement les joueurs Steam ?
Non, l’attaque chez CEVA Logistics aurait touché huit entrepôts européens, affectant aussi d’autres enseignes comme Bol et De Bijenkorf. Plusieurs autorités européennes de protection des données ont été informées de l’incident.
