Fuite CEVA : Valve redoute surtout les faux messages aux acheteurs Steam

Le mot de passe Steam n’est pas le sujet le plus urgent ici. La fuite attribuée à CEVA Logistics, partenaire de Valve pour les expéditions de matériel en Europe, pourrait avoir livré aux escrocs ce dont ils ont réellement besoin pour réussir : une identité, une adresse, un produit commandé et le moment idéal pour envoyer un faux avis de livraison. Valve prévient les clients concernés d’« attendre de faux messages ». Ce n’est pas une formule de précaution bureaucratique : c’est la conséquence directe d’une chaîne logistique dont les données peuvent rendre une arnaque très crédible.

Points clés

• CEVA Logistics a subi une cyberattaque entre le 29 juillet et le 1er août 2026 ; Valve dit en avoir été informée le 7 août.
• Les acheteurs européens de matériel Steam, dont le Steam Machine et le Steam Controller, sont les premiers concernés.
• Noms, adresses, numéros de téléphone, e-mails et détails de commande pourraient avoir été exposés.
• Valve affirme que les mots de passe, codes Steam Guard et informations de paiement ne sont pas touchés.

La donnée logistique est devenue une arme de phishing

Une fuite de coordonnées postales paraît toujours moins grave qu’un vol de carte bancaire. C’est vrai sur le papier, mais incomplet dans la pratique. Un pirate qui connaît le nom du client, son adresse, son numéro, son e-mail Steam et le type de produit commandé peut fabriquer un message qui échappe aux réflexes habituels : « Votre Steam Controller est bloqué », « Confirmez votre livraison », « Réglez des frais de douane », ou encore « Signez pour valider votre commande ».

Le mécanisme porte un nom : l’ingénierie sociale ciblée. La fraude ne repose plus sur un e-mail mal traduit envoyé au hasard ; elle s’appuie sur des détails exacts pour créer une pression immédiate. Et les acheteurs de matériel Valve constituent une cible particulièrement favorable, parce qu’ils peuvent légitimement attendre un suivi, un changement de statut ou une interaction avec un transporteur.

Valve indique que CEVA conserve les informations clients pendant 90 jours, notamment pour gérer les retours et les incidents d’expédition. Cette durée est compréhensible pour l’opérationnel, mais elle étend mécaniquement la surface de risque : une commande ancienne peut encore fournir assez de matière pour un faux message convaincant. C’est le revers souvent invisible de la vente directe de matériel : une plateforme peut protéger ses propres serveurs tout en restant exposée par les sous-traitants indispensables à la livraison.

Ce qu’il faut faire — et ce qu’il ne faut pas faire

Valve précise qu’il n’est pas nécessaire de modifier son mot de passe Steam ni ses réglages de sécurité à cause de cet incident. Les identifiants, les codes Steam Guard et les paiements ne font pas partie des données déclarées compromises. Changer son mot de passe peut être un réflexe rassurant, mais il ne neutralise pas le risque principal : cliquer sur un lien frauduleux qui demande ensuite ces mêmes identifiants.

• Ne cliquez sur aucun lien reçu par e-mail, SMS ou messagerie privée au sujet d’une livraison Steam.
• Ne saisissez jamais vos identifiants Steam après une demande de « vérification » ou de « confirmation de commande » reçue hors du parcours officiel.
• Pour vérifier une commande ou signaler un doute, ouvrez vous-même help.steampowered.com dans votre navigateur.
• Considérez un message citant votre adresse, le prix ou le modèle commandé comme suspect : ces détails ne prouvent plus l’authenticité de l’expéditeur.
• Ignorez toute demande urgente de frais de douane, de nouvelle livraison ou de signature transmise par un lien non sollicité.

La question embarrassante pour Valve est celle de la responsabilité

Valve n’est pas présentée comme la victime technique de l’attaque : ses systèmes et les données de sécurité des comptes ne seraient pas concernés. Mais pour le client, cette frontière entre Steam et son prestataire est largement théorique. Il a acheté un produit Valve, confié ses coordonnées à Valve et recevra désormais peut-être des tentatives de fraude liées à cette commande. C’est le vieux problème de la sous-traitance numérique appliqué à la logistique : la responsabilité opérationnelle est répartie, tandis que la confiance du consommateur, elle, reste concentrée sur la marque.

CEVA a isolé les systèmes touchés, les a mis hors ligne et a mandaté des enquêteurs externes. Valve indique aussi travailler à préciser l’ampleur de l’incident et à notifier les autorités compétentes. La vraie question à poser au service communication serait simple : combien de clients, quels produits et quelles périodes de commandes sont concernés ? Tant que cette cartographie n’est pas détaillée, les destinataires européens d’une commande Steam récente ont intérêt à partir du principe que toute relance logistique non sollicitée est fausse.

À surveiller

Le signal important ne sera pas un nouveau conseil de prudence, mais une clarification du périmètre : nombre de clients notifiés, produits touchés et fenêtre exacte des commandes concernées. Il faudra aussi surveiller la forme des campagnes de phishing qui pourraient suivre. Si des faux messages reproduisent les références de livraison ou les détails de produits Steam, la fuite aura franchi le stade du risque théorique pour devenir une attaque de confiance à grande échelle.

En trois phrases

Valve alerte les acheteurs européens de matériel Steam après une cyberattaque visant CEVA Logistics. Les données de livraison potentiellement exposées ne donnent pas accès aux comptes ou aux paiements, mais elles peuvent alimenter des arnaques très personnalisées. Le réflexe utile est de traiter tout message de livraison comme suspect et de passer exclusivement par le support Steam officiel.