Valve, l'éditeur derrière la plateforme Steam, a commencé à notifier ses clients européens après qu'une cyberattaque a frappé CEVA Logistics, son prestataire chargé de l'expédition du matériel Steam en Europe. L'incident, survenu entre le 29 juillet et le 1er août 2026, a permis à des attaquants d'accéder aux serveurs du logisticien et de dérobé des informations de livraison relatives aux commandes de matériel Steam.
Ce que Valve a révélé dans ses notifications
Selon les emails de notification envoyés aux clients concernés — dont les premiers exemplaires ont été signalés sur les réseaux sociaux le 10 août —, Valve n'a été informée de l'incident par CEVA que le 7 août, soit près d'une semaine après la fin de la fenêtre d'attaque. Dans ces communications, Valve cite directement les propos de CEVA :
« Between July 29 2026 and August 1, 2026, a cyberattack hit CEVA Logistics, the company that ships Steam hardware to customers in Europe. CEVA is still investigating this attack, but as Valve learned on August 7, certain information about Steam customers, including you, was likely compromised. »
L'éditeur précise que CEVA reçoit de Steam les informations strictement nécessaires à l'expédition du matériel physique : nom, adresse postale, numéro de téléphone, adresse e-mail, ainsi que le type et le prix des produits commandés. Ce sont précisément ces données qui ont été compromises.
Point crucial : aucun mot de passe Steam, aucune information de paiement, ni aucun code Steam Guard n'a été exposé, car CEVA n'y a pas accès dans le cadre de ses fonctions logistiques. Les données compromises ne concernent que les informations liées à la livraison.
Une fenêtre d'exposition de 90 jours
Un élément aggrave considérablement la portée de l'incident : CEVA Logistics conserve les données de livraison jusqu'à 90 jours après l'achat. Valve a par conséquent envoyé sa notification à l'ensemble des clients ayant commandé du matériel physique au cours des trois derniers mois. Tout acheteur européen de matériel Steam sur cette période doit donc se considérer comme potentiellement concerné.
Cette rétention de 90 jours, bien qu'opérationnellement compréhensible pour un prestataire logistique, élargit considérablement le nombre de personnes exposées par rapport à une fuite limitée aux seules commandes en cours au moment de l'attaque.
CEVA Logistics : un géant du transport déjà ciblé
CEVA Logistics n'est pas un acteur anodin. Selon BleepingComputer, l'entreprise est une filiale à 100 % du groupe CMA CGM, le troisième plus grand armateur mondial. CEVA exploite 1 000 entrepôts, a traité 15 millions d'expéditions l'année dernière et affiché un chiffre d'affaires de 18,3 milliards de dollars en 2025.
L'incident Steam n'est d'ailleurs pas isolé dans le parcours cyber de CEVA. Comme le rappelle ZATAZ, le domaine cevalogistics.com avait déjà été associé à une cyberattaque en 2025 : le groupe Coin Base Cartel avait alors proposé à la vente une base de données qu'il présentait comme volée à l'entreprise. Si aucun élément ne permet d'établir un lien direct entre cette précédente revendication et l'incident actuel, cette antériorité montre que CEVA figurait déjà dans le viseur d'acteurs cybercriminels.
Par ailleurs, BleepingComputer rapporte un fait important : dès le 1er août, CEVA Logistics a informé plusieurs détaillants européens qu'une cyberattaque avait perturbé les opérations dans huit de ses entrepôts européens. L'incident affectant les clients Steam s'inscrit donc dans un événement d'ampleur plus large touchant l'infrastructure logistique de CEVA en Europe.
Le principal danger : le phishing ultra-ciblé
Si l'absence de compromission de mots de passe ou de données de paiement peut rassurer, le risque résiduel est loin d'être négligeable. Les données dérobées — nom, adresse, téléphone, e-mail et détail des commandes — sont précisément celles qui permettent de concevoir des campagnes de phishing d'une crédibilité redoutable.
Un message frauduleux mentionnant une commande réelle, citant la véritable adresse du destinataire et le contenu exact de son achat, paraîtra immédiatement légitime. Valve elle-même met en garde ses clients dans sa notification :
« They may quote your address back to you to prove they're genuine. They may ask you to confirm a delivery, pay a small customs or redelivery fee, or sign in somewhere to "verify" your order. Treat all of them as fake. »
Les scénarios d'attaque les plus probables identifiés par ZATAZ et Valve incluent :
- Faux frais de douane ou de livraison supplémentaire
- Prétendue relivraison d'un colis bloqué
- Demande urgente de réinitialisation de mot de passe via un lien menant vers une page imitant Steam
- Appels téléphoniques usurpant Steam, Valve, CEVA ou d'autres transporteurs
Ce dernier scénario présente un risque particulièrement élevé : un faux lien peut conduire vers une page d'authentification contrefaite imitant Steam. En y saisissant ses identifiants, l'utilisateur les transmet directement aux attaquants.
Les comptes Steam, une monnaie d'échange sur le dark web
L'analyse du Service de veille ZATAZ, menée à travers 27 black markets commercialisant différents types de comptes clients, révèle que les comptes Steam volés sont proposés à environ 9 euros en moyenne. Ce marché confère une valeur directe aux identifiants récupérés après une campagne de phishing réussie, ce qui rend l'exploitation des données de CEVA économiquement attractive pour les cybercriminels.
Un contexte qui amplifie l'impact
La fuite intervient en pleine commercialisation de la Steam Machine, le matériel physique de Valve. Les clients qui attendaient parfois depuis plusieurs mois leur équipement découvrent désormais une conséquence supplémentaire de leur achat. La conjonction d'un volume de commandes élevé et d'une période de rétention des données de 90 jours explique pourquoi le nombre de clients potentiellement exposés pourrait être important.
Un précédent récent chez Steam
Comme le rappelle ZATAZ, Steam avait déjà été touché en mai 2025 par une fuite massive affectant près de 89 millions de comptes, à l'époque par l'intermédiaire d'un tiers différent. Cet épisode illustre un point structurel : l'exposition d'un grand service numérique ne dépend pas uniquement de ses propres infrastructures. Ses sous-traitants, prestataires logistiques et partenaires peuvent eux aussi devenir des points d'entrée ou de fuite — parfois même plus facilement que le service principal lui-même.
Les mesures prises et à venir
Valve indique collaborer activement avec CEVA pour déterminer précisément l'ampleur du vol de données. L'éditeur affirme avoir engagé les démarches nécessaires auprès des régulateurs chargés de la protection des données dans les pays concernés, conformément à ses obligations réglementaires (RGPD en particulier pour les clients de l'Union européenne).
De son côté, CEVA Logistics a isolé les systèmes affectés, mis hors ligne l'ensemble des infrastructures concernées et fait appel à des enquêteurs externes pour analyser l'incident.
Conseils pratiques pour les clients concernés
Pour les personnes ayant commandé du matériel physique auprès de Valve au cours des trois derniers mois, les précautions suivantes s'imposent :
- Se méfier de toute communication inattendue — qu'elle provienne d'un e-mail, d'un SMS ou d'un appel — évoquant une commande Steam, une livraison ou un problème de compte.
- Ne jamais saisir ses identifiants Steam sur un lien reçu par message. Steam Support ne demande jamais un mot de passe ou un code Steam Guard.
- Considérer l'urgence comme un signal d'alerte : un message cherchant à provoquer une réaction immédiate fait souvent partie du mécanisme de manipulation.
- Vérifier indépendamment toute demande en se rendant directement sur le site officiel de Steam, sans cliquer sur les liens fournis dans les messages.
- Il n'est pas nécessaire de changer son mot de passe Steam à la suite de cet incident, selon Valve, puisque les mots de passe n'ont pas été compromis.
L'enjeu pour les semaines à venir, du point de vue du renseignement cyber, sera de surveiller l'émergence éventuelle de campagnes de phishing exploitant spécifiquement les données dérobées à CEVA pour transformer une fuite logistique en compromissions de comptes Steam à grande échelle.