Steam : Valve confirme une fuite, mais écarte tout risque pour les utilisateurs

Ces dernières heures, vous avez sûrement vu circuler des articles évoquant un prétendu piratage de Steam. Ces informations se basaient sur les déclarations d’un certain Machine1137, un hacker affirmant avoir compromis plus de 89 millions de comptes. Il propose à la vente une base de données supposément volée pour la somme de 5 000 dollars. Valve a confirmé qu’une fuite de données avait bien eu lieu, tout en assurant qu’aucun risque ne pesait sur les utilisateurs.

Pas de brèche dans la forteresse Steam, affirme Valve

Initialement, les données en question étaient suspectées d’inclure des codes d’accès à usage unique envoyés par SMS aux utilisateurs de Steam, supposément accompagnés des numéros de téléphone associés. Valve précise que tous ces codes étaient déjà expirés lorsqu’ils ont été interceptés, et qu’aucun mot de passe, détail de paiement ou lien direct entre les numéros de téléphone et les comptes Steam ne figure dans les fichiers.

Dans son communiqué, la plateforme explique :

La fuite comprenait d'anciens messages SMS contenant des codes à usage unique valables pendant une période de 15 minutes, ainsi que les numéros de téléphone auxquels ils avaient été envoyés. Les données divulguées n’associaient pas ces numéros aux comptes Steam, aux mots de passe, aux informations de paiement ou à d'autres données personnelles. Ces anciens SMS ne peuvent pas être utilisés pour compromettre la sécurité d’un compte Steam. Par ailleurs, toute tentative de modification de l’adresse e-mail ou du mot de passe liée à un compte entraîne l’envoi d’une notification par e-mail ou via message sécurisé Steam.

Valve ajoute qu’il « n’est pas nécessaire de modifier votre mot de passe ou votre numéro de téléphone à la suite de cet événement » ; indique toujours rechercher « la source de la fuite ».

Enfin, l’incident a suscité des spéculations autour d’un possible piratage du fournisseur de services SMS Twilio. Un porte-parole de Valve, ainsi qu’un représentant de Twilio, ont tous deux démenti ces allégations. Twilio a affirmé n’avoir trouvé aucune preuve de compromission de son infrastructure, tandis que Valve aurait précisé au dénommé Mellow_Online 1 qu’elle n’utilisait pas les services de cette entreprise.

Update: An update suggests that the alleged Steam data breach is not a direct breach of Steam itself, but rather a supply chain compromise — meaning an external service that Steam relies on was targeted.

Here's what we understand from this update:

New evidence confirms some…

— Mellow_Online1 (@MellowOnline1) May 11, 2025