Un compte de jeu, ce n'est plus seulement un pseudo et un mot de passe. C'est une bibliothèque qui peut valoir plusieurs centaines d'euros, des objets virtuels revendus sur des marchés parallèles, des moyens de paiement enregistrés, et parfois même l'accès à une communauté ou à un compte de streaming qui génère des revenus. Les cybercriminels le savent. Ils ne cherchent pas à cracker un jeu ; ils cherchent à prendre le contrôle de votre profil pour le monétiser. Et les plateformes comme Steam, Discord ou Epic Games sont devenues leurs terrains de chasse favoris.
Les trois techniques de piratage qui visent directement les joueurs
L'hameçonnage sur mesure : le faux message qui semble vrai
Le phishing reste l'arme numéro un. Vous recevez un message privé sur Discord ou un email qui semble venir de Steam : "Votre compte a été signalé, cliquez ici pour le sécuriser". Le lien vous emmène sur une page qui ressemble trait pour trait à la page de connexion officielle. Dès que vous entrez vos identifiants, le pirate les récupère. Avec l'intelligence artificielle, ces messages sont devenus bien plus crédibles : la faute d'orthographe qui trahissait l'arnaque a presque disparu. Méfiez-vous des offres trop belles (jeu gratuit, objet rare à réclamer) et vérifiez toujours l'URL avant de taper votre mot de passe.
Le credential stuffing : votre mot de passe de forum sert à ouvrir votre compte Steam
C'est l'erreur la plus répandue. Vous utilisez le même mot de passe sur un petit forum de gaming, sur votre compte Epic Games et sur votre boîte mail. Un jour, le forum se fait pirater. Les identifiants fuient. Un pirate teste alors cette combinaison sur des dizaines de plateformes populaires. C'est ce qu'on appelle le credential stuffing. En quelques minutes, il peut avoir accès à votre bibliothèque de jeux, à votre historique d'achat et, si vous avez enregistré une carte bleue, à vos moyens de paiement. La solution est simple mais exigeante : ne jamais réutiliser un mot de passe. Un gestionnaire de mots de passe permet d'en créer et d'en stocker des centaines, uniques et complexes, sans avoir à les retenir.
Les attaques DDoS : quand on vous coupe la connexion pour vous faire chanter
Cette technique est particulièrement utilisée contre les streamers ou les joueurs compétitifs. Un attaquant sature votre connexion Internet pour vous faire perdre une partie classée ou pour interrompre votre live. Il vous contacte ensuite, souvent via Discord, en exigeant une rançon (en crypto-monnaies ou en objets virtuels) pour cesser l'attaque. Le secteur du jeu vidéo est le plus touché par ce type d'attaque. Si vous streamer, ne divulguez jamais votre adresse IP et utilisez un VPN dédié pour masquer votre connexion réelle.
Les erreurs courantes qui laissent une porte ouverte à un pirate
La plupart des piratages n'exploitent pas une faille technique complexe. Ils profitent de mauvaises habitudes. Voici les trois plus fréquentes.
- La double authentification absente ou mal configurée. Steam, Discord et Epic Games proposent tous une authentification à deux facteurs (2FA). Pourtant, beaucoup de joueurs ne l'activent pas. Si un pirate obtient votre mot de passe, le 2FA reste la seule barrière qui l'empêche de se connecter. Utilisez une application d'authentification (Google Authenticator, Authy) plutôt que la réception par SMS, qui peut être interceptée.
- Les mises à jour repoussées. Les correctifs de sécurité ne sont pas là que pour ajouter des fonctionnalités. Ils ferment des failles que les pirates connaissent déjà. Un jeu, un launcher (Steam, Epic Games Launcher) ou un logiciel comme Discord qui n'est pas mis à jour offre une porte d'entrée connue. Les cybercriminels scannent le web à la recherche de ces versions obsolètes.
- Les sessions laissées ouvertes sur des appareils partagés. Se connecter à son compte Steam sur l'ordinateur d'un ami ou sur un ordinateur public, puis oublier de se déconnecter, c'est offrir un accès complet à sa bibliothèque. Pensez à vérifier régulièrement la liste des appareils autorisés dans les paramètres de sécurité de vos comptes et à supprimer ceux que vous n'utilisez plus.
Ce que vous risquez vraiment si votre compte est piraté
Les conséquences ne se limitent pas à la perte d'un accès. Un compte volé peut être utilisé pour :
- Voler vos objets virtuels. Des skins Counter-Strike ou des objets rares dans des jeux comme Rust peuvent être revendus sur des places de marché illégales. La valeur de certains inventaires se chiffre en centaines, voire en milliers d'euros.
- Utiliser vos moyens de paiement. Si votre carte bancaire est enregistrée sur Steam ou Epic Games, un pirate peut acheter des jeux ou de la monnaie virtuelle avant que vous ne puissiez réagir.
- Usurper votre identité. Sur Discord, un pirate peut envoyer des messages à vos amis ou aux membres de vos serveurs, en se faisant passer pour vous, pour leur soutirer de l'argent ou des identifiants.
- Détourner votre communauté. Si vous êtes créateur de contenu sur Twitch ou YouTube, un compte compromis peut servir à diffuser des liens malveillants vers l'ensemble de votre audience.
Le secteur du jeu vidéo a connu une augmentation de 167% des cyberattaques entre mai 2021 et avril 2022, et cette tendance ne s'est pas inversée depuis.
Les bons réflexes à adopter dès cette semaine
Vous n'avez pas besoin d'être un expert en sécurité pour réduire de 90% les risques. Ces quatre actions sont à faire sans attendre.
- Activez le 2FA sur Steam, Discord et Epic Games. Utilisez une application dédiée, pas les SMS.
- Générez des mots de passe uniques pour chaque plateforme. Un gestionnaire de mots de passe le fait pour vous et les remplit automatiquement. Si vous n'en utilisez pas encore, commencez par changer le mot de passe de votre adresse email, qui est la clé de tous vos autres comptes.
- Vérifiez les sessions actives dans les paramètres de sécurité de vos comptes. Déconnectez tout appareil que vous ne reconnaissez pas ou que vous n'utilisez plus.
- Ne cliquez jamais sur un lien qui vous demande de vous reconnecter, même s'il semble venir d'un ami. Allez toujours directement sur le site officiel en tapant l'adresse vous-même.
Une limite à garder en tête : la protection ne dépend pas que de vous
Même avec les meilleures habitudes, vous restez vulnérable aux fuites de données chez les éditeurs. Riot Games, Electronic Arts et Nintendo ont tous subi des incidents majeurs ces dernières années, exposant les données de millions de joueurs. Vous ne pouvez pas empêcher un studio de se faire pirater. Ce que vous pouvez faire, c'est limiter l'impact de cette fuite sur vos autres comptes. Un mot de passe unique par service et une adresse email dédiée pour vos comptes de jeu (si possible) sont les seuls moyens de contenir les dégâts quand une plateforme que vous utilisez est compromise. Ne faites pas confiance à la sécurité des autres ; faites en sorte que la vôtre tienne même si la leur craque.
