Fuite de données Steam : 2 026 personnes exposées

Write access was denied, so I'll deliver the article directly. My draft ran long (~1600 words), so here is the tightened version within the 1000–1200 band: ```html

Les clients européens de Steam ayant commandé du matériel physique auprès de Valve font l'objet d'une notification de violation de données personnelles, consécutive à une intrusion survenue chez CEVA Logistics, le prestataire chargé d'expédier ces produits en Europe. Environ 2 026 personnes sont concernées par cet incident daté du 10 août 2026. Les informations compromises couvrent l'adresse e-mail rattachée au compte Steam, le nom du client, son adresse postale complète, son numéro de téléphone, ainsi que le type de produit commandé et son prix. Aucun mot de passe ni aucune donnée bancaire ne figure dans le périmètre exposé, ce qui limite la gravité immédiate de la fuite. Cette combinaison d'identité, de coordonnées physiques et d'historique d'achat constitue néanmoins une matière première efficace pour des campagnes de hameçonnage sur mesure. L'affaire illustre un angle mort récurrent du RGPD : la responsabilité du responsable de traitement lorsque la brèche se produit chez son sous-traitant.

Que s'est-il passé : Steam victime d'une violation de données

La chronologie est resserrée. L'intrusion dans les systèmes de CEVA Logistics s'est déroulée entre le 29 juillet et le 1er août 2026. Valve indique avoir été informé le 7 août, soit six jours après la fin de la fenêtre d'attaque, puis avoir notifié individuellement ses clients européens à compter du 10 août.

Un point mérite d'être posé sans ambiguïté : les serveurs de Steam n'ont pas été compromis. La brèche s'est produite chez un prestataire logistique tiers, qui traitait des données de livraison pour le compte de Valve. Dans le vocabulaire du règlement européen, Valve endosse le rôle de responsable de traitement et CEVA celui de sous-traitant. La distinction n'est pas cosmétique : elle détermine qui notifie, qui informe, et qui répond des manquements.

La sensibilité des données est modérée mais réelle. Prises isolément, une adresse e-mail ou un numéro de téléphone circulent déjà largement. Corrélées à un nom, une adresse de livraison, un produit identifié et son montant, elles composent un profil qu'aucun escroc n'aurait pu deviner.

Obligations légales RGPD pour Steam

Le régime applicable découle d'abord de l'article 28 du RGPD : le responsable de traitement ne peut recourir qu'à des sous-traitants présentant des garanties suffisantes en matière de sécurité, et doit encadrer cette relation par un contrat imposant une obligation d'alerte. L'article 33 §2 précise que le sous-traitant notifie la violation au responsable de traitement sans délai injustifié. Le délai de 72 heures de l'article 33 §1 ne s'impose qu'au responsable de traitement vis-à-vis de l'autorité de contrôle, et ne court qu'à compter de sa prise de connaissance.

L'article 34 impose une communication directe aux personnes concernées uniquement en cas de risque élevé pour leurs droits et libertés. Avec un volume limité, sans identifiants de connexion ni données bancaires, ce seuil n'apparaît pas manifestement franchi. Valve a pourtant choisi d'informer nominativement chaque client : une démarche volontaire, qui constitue la bonne pratique.

S'ajoute l'obligation de documentation de l'article 33 §5 : toute violation doit être consignée dans un registre dédié, avec ses effets et les mesures correctrices, y compris lorsqu'elle n'est pas notifiée. C'est la première pièce que réclame un contrôle.

Sur le volet sanction, deux barèmes coexistent à l'article 83. Un manquement aux obligations de sécurité et de notification expose à 10 millions d'euros ou 2 % du chiffre d'affaires mondial. Une violation des principes fondamentaux du traitement relève du plafond supérieur, à 20 millions ou 4 %. Les résidents français peuvent saisir la CNIL au titre de l'article 77, même si le guichet unique confie l'instruction à l'autorité chef de file de l'établissement principal du responsable de traitement dans l'Union.

Risques pour les personnes touchées et que faire

Le risque dominant s'appelle le hameçonnage contextualisé. Un attaquant disposant de votre nom, de votre adresse de livraison, du produit commandé et de son prix peut construire un faux avis de problème de livraison, un SMS de transporteur ou un appel se réclamant du support Steam d'une crédibilité redoutable. Les indices habituels — formulation générique, absence de données personnelles — disparaissent. Le smishing et le vishing sont d'autant plus plausibles que le numéro de téléphone figure dans le lot exposé.

L'usurpation d'identité reste secondaire : l'ensemble ne contient ni pièce d'identité, ni numéro de sécurité sociale, ni coordonnées bancaires. Le bourrage d'identifiants n'est pas directement alimenté par cette fuite, puisqu'aucun mot de passe n'a été exposé.

Les réflexes utiles : traiter avec méfiance tout message évoquant une commande, un remboursement ou un incident d'expédition, et ne jamais cliquer sur un lien reçu. Activer l'authentification à deux facteurs sur le compte Steam et la messagerie associée, à titre de précaution générale. Renouveler le mot de passe s'il est réutilisé ailleurs. Surveiller les relevés bancaires plusieurs mois. En cas de préjudice, une plainte auprès de la CNIL reste ouverte, et le recensement des incidents sur notre observatoire des fuites de données permet de recouper les campagnes en cours.

Enseignements pour les entreprises similaires

L'incident renvoie une leçon inconfortable : la surface d'attaque d'une organisation englobe celle de ses prestataires. Un dispositif interne irréprochable ne protège pas des données confiées à un logisticien ou à un centre d'appels.

Trois chantiers en découlent. La gouvernance des tiers d'abord : cartographier les sous-traitants, exiger des clauses de sécurité et d'alerte contraignantes, vérifier périodiquement leur application plutôt que de s'en tenir à un questionnaire déclaratif. La minimisation ensuite : un prestataire de livraison a besoin d'un nom, d'une adresse et d'un contact, rarement du montant de la transaction. Chaque champ superflu transmis est un champ superflu exposé.

Restent les fondamentaux techniques : chiffrement au repos et en transit, authentification multifacteur sur les accès distants et les comptes à privilèges, segmentation réseau limitant les déplacements latéraux, journalisation centralisée. Des tests d'intrusion réguliers valident ces mesures en conditions réelles. Pour les entités concernées, la directive NIS 2 transforme cette gestion du risque fournisseur en obligation juridique, assortie d'une responsabilité personnelle des dirigeants.

Questions fréquentes

Que faire si vous êtes client de Steam ?

Si vous avez reçu la notification de Valve, aucune action d'urgence n'est requise : vos identifiants et vos moyens de paiement ne sont pas concernés. Redoublez en revanche de vigilance face aux messages relatifs à une livraison ou à un remboursement, et activez l'authentification à deux facteurs. Si vous n'avez rien reçu, vous n'êtes vraisemblablement pas dans le périmètre des 2 026 personnes touchées.

Steam doit-elle notifier la CNIL ?

Valve, responsable de traitement, doit notifier l'autorité de contrôle compétente dans les 72 heures suivant sa prise de connaissance, sauf à démontrer l'absence de risque pour les personnes. CEVA Logistics, sous-traitant, devait pour sa part alerter Valve sans délai. Les deux entreprises doivent consigner l'incident dans leur registre des violations.

Comment vérifier si vos données ont été exposées ?

La notification individuelle reçue de Valve fait foi : c'est le moyen le plus fiable. Le service Have I Been Pwned permet de contrôler la présence d'une adresse e-mail dans les fuites publiées, mais il ne référence pas nécessairement un incident notifié individuellement et sans diffusion publique des données. Vous pouvez aussi exercer votre droit d'accès auprès du responsable de traitement.

``` Trois écarts entre le brief et les faits, corrigés volontairement : 1. **Steam n'est pas la victime de l'intrusion** — c'est CEVA Logistics. J'ai traité Valve comme responsable de traitement et CEVA comme sous-traitant (art. 28 + art. 33 §2), ce qui est l'angle juridique différenciant plutôt qu'un art. 33 générique. 2. **Aucun identifiant exposé** → le *credential stuffing* demandé en section 4 aurait été faux. Reformulé sur le phishing/smishing contextualisé, avec 2FA présentée comme précaution générale. 3. **Art. 34 non déclenché** — 2 026 personnes, gravité faible : je n'affirme pas que Valve *devait* informer, mais qu'elle l'a fait volontairement. J'ai aussi séparé correctement les paliers art. 83 (2 %/10 M€ pour la notification, 4 %/20 M€ pour les principes). Vérifications : 4 liens internes dont `/fuites-donnees-france` en prose, 2 liens externes, chapeau ~155 mots, aucun `

`, pas de markdown ni de commentaire HTML. Le décompte des mots visibles (~1180) est une estimation manuelle — la commande de comptage a été bloquée par le sandbox, donc je ne l'ai pas mesuré mécaniquement. Rien n'a été écrit sous `/var/www/dev.ayinedjimi-consultants.fr/`.