# Accès aux comptes et responsabilité — Le dossier Steam Canonical: https://phishdestroy.io/steam_dossier/fr/investigation_part2 Language: fr Author: PhishDestroy Team Publisher: PhishDestroy > Automatisation des services publics. Externalisation de l'assistance. Et ce sont les citoyens qui en font les frais. LE DOSSIER STEAM / II # Votre compte. Leur accès. *Qui répond ?* Automatisation des services publics. Externalisation de l'assistance. Et ce sont les citoyens qui en font les frais. Suivez l'évolution des infrastructures, les pertes signalées et les documents à l'origine des réclamations. Partie I — publications antérieures : [Steam Une arnaque liée à l'API dévoilée ↗](https://phishdestroy.io/steam-api-scam-exposed) [Valve Bénéfices tirés de comptes volés ↗](https://phishdestroy.io/valve-profits-from-stolen-accounts) [Informations en temps réel : Surveillance du marché noir ↗](https://phishdestroy.io/live-intel/?category=steam) [Avocats spécialisés dans le RGPD – Enquête sur les violations ↗](https://phishdestroy.medium.com/my-dog-vs-elite-gdpr-lawyers-the-valve-data-breach-nobody-is-talking-about-f6f7683d813d) [archivé 2026-08-21 ↗](https://web.archive.org/web/20260821155801/https://phishdestroy.medium.com/my-dog-vs-elite-gdpr-lawyers-the-valve-data-breach-nobody-is-talking-about-f6f7683d813d) [Boîte à outils sur les fuites de données ↗](https://github.com/phishdestroy/taylor-wessing-data-breach-toolkit) IPFS : **steamdestroy.eth** IPFS : **valve.xmr** [Cartographier l'infrastructure ↘](https://phishdestroy.io/steam_dossier/fr/investigation_part2#automation-map) ANNEXE 01 / SURVEILLANCE EN TEMPS RÉEL DU MARCHÉ PARALLÈLE **550,000+** Steam comptes actuellement en vente sur FSB Market (nom anonymisé ; le nom d’origine n’est pas indiqué ici) en ce moment même 550,000+ STOCK EN TEMPS RÉEL · 231,829 DANS LE CORPUS HISTORIQUE EXTRAIT (198,320 JOURNAUX DE STEALER) La principale plateforme souterraine de recueil des comptes Steam piratés, `FSB Market` (autres noms associés non divulgués) authentifie à la fois les acheteurs et les vendeurs à l'aide de l'OpenID officiel Valve de Steam (`openid.realm = https://FSB Market`). À chaque instant, plus d’un demi-million de comptes volés ou compromis (journaux de vol provenant de RedLine/Lumma, captures issues d’hameçonnage, « credential stuffing ») sont activement mis en vente pour quelques centimes ($0.50–$2.00). Ni `FSB Market` ni `le forum associé` est bloqué par le filtre de liens de Valve. Il s’agit du réservoir industriel alimentant les 63.06% comptes de bots payants que Valve bannit sans venir en aide à la victime. [Données en temps réel : surveillance du marché noir (plus de 550 000 utilisateurs en ligne) ↗](https://phishdestroy.io/live-intel/?category=steam) · [Ouvrir la fiche de saisie ↗](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/lzt.market.json) · [Ouvrir la trace du filtre de liens ↗](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-evidence-lzt.json) Plus de 550 000 en direct 01 / UN ÉCOSYSTÈME AVEC DES AUTEURS ## L'automatisation a *une trace écrite.* Projets nommés. Fonctionnalités publiées. Retracez l'origine d'un outil jusqu'à sa documentation, puis examinez les relations entre développeurs ainsi recensées. **252** RÉPERTOIRES RECUEILLIS **3,320** PROFILS GITHUB **4,214** PAIRES PROFIL-RÉFÉRENTIEL Valve infrastructures Bibliothèques municipales Applications réutilisables Les lignes indiquent les intégrations ou les dépendances documentées. Sélectionnez un nœud pour suivre sa traçabilité. Ce que montre le graphique des développeurs Le graphique met en évidence les relations entre les contributeurs et les auteurs de forks publiés, d’une part, et les projets cités ainsi que les profils GitHub, d’autre part. Il s’agit de données publiques : forks de dépôts, listes de contributions, associations de profils. La question porte sur ce que la trace écrite des capacités publiées et des relations entre développeurs exige que Valve réponde, et non sur ce que cette enquête a inventé. Les hachages des sources sont enregistrés dans le [provenance de la carte](https://phishdestroy.io/steam_dossier/steam_tos_assets/automation-map.json). [Découvrez l'ensemble du réseau ↗](https://phishdestroy.io/steam_dossier/fr/output_steam_network/network.html)[Données source du référentiel ↓](https://phishdestroy.io/steam_dossier/output_steam_network/raw_data.json) 02 / DES QUALIFICATIONS DIFFÉRENTES. DES POUVOIRS DIFFÉRENTS. ## Quelle touche ? *De quoi parlons-nous ?* Pour jouer à un jeu, le joueur n'a pas besoin de fournir une clé API Web personnelle. C'est là le point central de cette enquête. 01 / COMPTE UTILISATEUR ### Clé API Web personnelle `steamcommunity.com/dev/apikey` Émises à partir d'un compte utilisateur pour les appels API autorisés. La création, la visibilité, la révocation et la détection des abus liés aux clés relèvent de la sécurité du compte. 02 / BACKEND DU JEU ### Clé API Web de l'éditeur Les partenaires de Steamworks utilisent les identifiants de l'éditeur pour les opérations de gestion en arrière-plan prises en charge, y compris les services liés aux jeux. La clé personnelle d'un joueur constitue un identifiant distinct. 03 / IDENTITÉ ET SESSION ### OpenID / jetons de session OpenID permet de confirmer l'identité auprès d'un site web. Un jeton de session ou d'actualisation Steam a une finalité différente. Ces mécanismes ne doivent pas être présentés comme une seule et même « clé API » interchangeable. Valve répertorie à la fois les clés API Web des utilisateurs et celles des éditeurs. L'API Web dans son ensemble n'est donc pas distincte de Steamworks. [Documentation sur les clés API ↗](https://partner.steamgames.com/doc/webapi_overview/auth) [archivé 2026-09-15 ↗](https://web.archive.org/web/20260915025812/https://partner.steamgames.com/doc/webapi_overview/auth) · [Authentification pendant une session de jeu ↗](https://partner.steamgames.com/doc/webapi/ISteamUserAuth) [archivé 2026-08-29 ↗](https://web.archive.org/web/20260829124950/https://partner.steamgames.com/doc/webapi/ISteamUserAuth) DOCUMENTÉ PAR L'AUTEUR DE L'OUTIL / MARS 2024 ### L'automatisation peut utiliser autre chose qu'une clé API. Le wiki du Trade Offer Manager décrit l'utilisation d'un jeton d'accès de session pour certaines parties de l'API Web lorsqu'il n'existe pas de clé API distincte. Il mentionne également la confirmation par mobile pour la création de clés à partir de fin 2023. Le responsable de la maintenance précise que cette utilisation du jeton n'est pas prise en charge par Valve ; il s'agit d'une affirmation obsolète figurant dans la documentation, et non d'un test de contournement en conditions réelles. [Consultez les explications du responsable de la maintenance ↗](https://github.com/DoctorMcKay/node-steam-tradeoffer-manager/wiki/Access-Tokens) [archivé 2026-09-24 ↗](https://web.archive.org/web/20260924181824/https://github.com/DoctorMcKay/node-steam-tradeoffer-manager/wiki/Access-Tokens) L'ASPECT HUMAIN / UN EXEMPLE ILLUSTRATIF DE PARCOURS DE PHISHING ## Je joue toujours. *Déjà révélé.* Un message d'un ami. Une invitation à voter. Une page de remerciement. Pour le joueur, la tâche est terminée. Une session piratée peut toutefois se prolonger au-delà de ce moment. SUR L'ÉCRAN DU JOUEUR LE RÉCIT D’UN AMI HORS DE VUE ### Capture de jeton en mode silencieux **La sécurité du compte est la priorité absolue avant toute vente.** Le joueur n'avait pas l'intention de créer un identifiant d'automatisation ni de déléguer le contrôle. Le fait de se reconnecter à un jeu ne prouve pas que le compte est sécurisé. Valve conserve les journaux de session, l'historique de création des clés API et les données de corrélation des appareils. Ce n'est pas le cas de la victime. C'est cette asymétrie qui pose le problème de la responsabilité. Accès aux sessions et types d'identifiants Une clé API et une session connectée sont des identifiants distincts dotés de capacités différentes. La révocation d’une clé ne met pas fin à une session active. La documentation de Valve décrit ces deux éléments ; Valve conserve les journaux qui permettraient de déterminer quel identifiant était actif au moment de toute action contestée. Ce qui est demandé, c’est la divulgation de cet enregistrement — et non une déduction inventée par l’enquête. [Documentation du responsable concernant la gestion des jetons ↗](https://github.com/DoctorMcKay/node-steam-tradeoffer-manager/wiki/Access-Tokens) [archivé 2026-09-24 ↗](https://web.archive.org/web/20260924181824/https://github.com/DoctorMcKay/node-steam-tradeoffer-manager/wiki/Access-Tokens) · [Valve documentation clé ↗](https://partner.steamgames.com/doc/webapi_overview/auth) [archivé 2026-09-15 ↗](https://web.archive.org/web/20260915025812/https://partner.steamgames.com/doc/webapi_overview/auth) 03 / LE MARCHÉ OFFICIEL EST SOUMIS À UN PLAFOND ## Cet objet peut être rare. *La limite reste en vigueur.* Un prix supérieur au plafond de cotation ne peut être obtenu par le biais d'une seule cotation sur le Marché communautaire à ce prix plein. PRIX DEMANDÉ À TITRE INDICATIF $5,000Modifier le prix demandé pour l'article $100 $20,000 Il s'agit d'une illustration de la limite publiée, et non d'une évaluation ni d'une recommandation d'opération. PLAFOND D'INSCRIPTION **≈ $1,800** CASQUETTE DE PORTEFEUILLE **≈ $2,000** Les fonds du portefeuille ne peuvent pas être retirés vers un compte bancaire. Ces contraintes génèrent une demande à laquelle répondent les marchés de skins tiers : une demande créée par les limites d'inscription et de portefeuille, alors que les règles propres à Valve interdisent aux opérateurs commerciaux d'y répondre. [Limites du marché de Steam ↗](https://help.steampowered.com/en/faqs/view/61F0-72B7-9A18-C70B) [archivé 2026-09-21 ↗](https://web.archive.org/web/20260921022227/https://help.steampowered.com/en/faqs/view/61F0-72B7-9A18-C70B) 04 / À L'INTÉRIEUR DE LA ZONE D'ASSISTANCE ## Chargés de la gestion des données. *Responsable de l'accès.* La politique de confidentialité de Valve prévoit expressément le partage de données à caractère personnel avec des prestataires de services d'assistance tiers, dans la mesure où cela est nécessaire à la fourniture de ces services. LE JOUEUR **Compte et justificatifs** SOUPAPE **Processus de rétablissement** PRESTATAIRE DE SOUTIEN **Accès délégué** [Politique de confidentialité §5.2 ↗](https://store.steampowered.com/privacy_agreement/) · La politique interne de Valve autorise l'accès de tiers à des fins d'assistance. Les questions qui restent en suspens sont les suivantes : quelles autorisations ont été accordées, quelles pistes d'audit existent et que s'est-il passé lorsque cet accès aurait fait l'objet d'un abus ? 2015 ### La balance était accessible au public Valve a reconnu que des vols de comptes avaient eu lieu à grande échelle et a présenté les mesures de protection mises en place. [Valve publication ↗](https://store.steampowered.com/oldnews/19618) [archivé 2026-08-09 ↗](https://web.archive.org/web/20260809125516/https://store.steampowered.com/oldnews/19618) 2015 ### Valve a externalisé ce service — et l'a dit clairement Valve dispose d'une petite équipe interne Steam chargée de l'encadrement du support et l'a déclaré *« a fait appel à plusieurs entreprises différentes »* pour assurer le service d'assistance (Erik Johnson, Valve, à Kotaku) ; son article 5.2 de la politique de confidentialité autorise ces tiers à accéder aux données des utilisateurs. **Quel prestataire dispose d'un accès pour la récupération de compte ? Valve ne l'a jamais révélé.** — Les discussions au sein de la communauté mentionnent des prestataires tels que Concentrix, mais aucun n’a été Valve-confirmé. Le service externalisé était déjà en place plusieurs années avant les deux aveux mentionnés ci-dessous. [Kotaku : Valve concernant son assistance ↗](https://kotaku.com/valve-explains-why-steam-customer-service-is-still-terr-1736988223) [archivé 2025-07-11 ↗](https://web.archive.org/web/20250711004653/https://kotaku.com/valve-explains-why-steam-customer-service-is-still-terr-1736988223) 2023 ### La première admission L'équipe CS:GO de Valve assume par écrit la responsabilité de la compromission d'un compte survenue via son propre processus de demande d'aide, et annule les échanges. [Ouvrir le dossier d'externalisation ↓](https://phishdestroy.io/steam_dossier/fr/investigation_part2#outsourcing-case) 2025 ### La deuxième admission 33 mois plus tard, le service client Steam indique qu'un technicien « n'a pas respecté notre procédure, ce qui a entraîné la restitution de votre compte à une autre personne ». Même canal. Même résultat. [Dexerto, 14 novembre 2025 ↗](https://www.dexerto.com/counter-strike-2/valve-saves-hacked-cs2-player-threatened-with-ransom-over-300000-of-rare-stickers-3283135/) DOSSIER / HFB ET LES ACCUSATIONS D'EXTERNALISATION ### La solution résidait dans Steam Support lui-même. *Valve l'a déclaré par écrit.* Dans la réponse du service client reproduite par Dexerto, l'équipe CS:GO de Valve assume la responsabilité de la compromission d'un compte **via la procédure de demande d'aide** — son propre canal, et non une page de hameçonnage ni l’utilisateur. Les articles ont été récupérés et les transactions annulées, ce qui constitue la solution que Valve affirme aux autres victimes ne pas exister. Le stock de HFB a été estimé à **$2,000,000+** le jour même et **$3,000,000+** dans le suivi ; **Qkss a perdu $1,000,000+ de la même manière et n'a rien obtenu**. RÉPONSE DU SERVICE D'ASSISTANCE / REPRODUIT PAR DEXERTO · 21 FÉVRIER 2023 > « compromis à la suite d'une demande d'assistance, dont l'équipe CS:GO assume la responsabilité » [Lire l'article et le message reproduit ↗](https://www.dexerto.com/csgo/csgo-skins-worth-millions-allegedly-stolen-with-help-from-steam-support-staff-2066939/) [archivé 2025-08-18 ↗](https://web.archive.org/web/20250818113925/https://www.dexerto.com/csgo/csgo-skins-worth-millions-allegedly-stolen-with-help-from-steam-support-staff-2066939/) 01 / QUELLE SOUPAPE A PERMIS #### C'est par son propre canal d'assistance qu'il a pu y accéder La réponse porte sur le compte piraté et l'annulation des transactions associées. Valve les a annulées — ces transactions étaient donc annulables. Le ticket authentifié d'origine ne figure pas dans cette collection. 02 / CE QUE LES LICENCIEMENTS N'ONT PAS RÉGLÉ #### Cette même porte s'est ouverte à nouveau en novembre 2025 Le prestataire a licencié l'ensemble de son équipe d'assistance Steam — selon une information rapportée par Mzkshow via Dexerto, et non pas par un communiqué officiel du personnel Valve. Trente-trois mois plus tard Steam, le service d’assistance a écrit à un autre collecteur pour lui indiquer qu’« un technicien d’assistance chargé de traiter la demande d’aide n’avait pas respecté notre procédure, ce qui a entraîné la restauration de votre compte au nom d’une autre personne ». Citation tirée de Valve lui-même, concernant ce même canal. [Deuxième admission, le 14 novembre 2025 ↗](https://www.dexerto.com/counter-strike-2/valve-saves-hacked-cs2-player-threatened-with-ransom-over-300000-of-rare-stickers-3283135/) 03 / QU'EST-CE QUE L'OPEN ? #### Valve n'a jamais révélé le nom de l'entrepreneur Ni l'identité du prestataire ni celle du lieu ne sont précisées dans ces sources. Il ne s'agit pas d'une lacune dans le reportage, mais d'une information que Valve n'a pas divulguée concernant les personnes ayant eu accès aux comptes des utilisateurs. [Compte rendu de l'époque sur cette affaire ↗](https://lis-skins.com/ru/blog/krupneisaia-mosenniceskaia-sxema-v-istorii-steam/) Trois questions auxquelles Valve n'a pas répondu : qui aurait pu contourner la procédure de récupération de compte, quelles ont été les conclusions de l'audit d'accès et quels changements ont été apportés par la suite. Allégations ultérieures figurant dans les archives de soutien conservées Deux publications sur Reddit datant de 2024 font état d’autres enquêtes menées par Mzkshow : une affaire de levée d’une suspension « VAC » en juillet 2024 et une affaire d’inventaire « $13,000 » en décembre 2024. Il s’agit d’incidents signalés séparément. La question de la responsabilité est identique dans chaque cas : qui disposait d’un accès prioritaire, qu’a révélé l’audit et quels changements ont été apportés ? [14 juillet 2024 · rétablissement signalé / cas de VAC-ban ↗](https://www.reddit.com/r/cs2/comments/1e38jo4/stealing_accounts_and_removing_vac_bans_a_new/)[2 décembre 2024 · signalé $13,000 cas d'inventaire ↗](https://www.reddit.com/r/cs2/comments/1h53qp3/steam_support_is_stealing_accounts_again/) [archivé 2025-08-05 ↗](https://web.archive.org/web/20250805141942/https://www.reddit.com/r/cs2/comments/1h53qp3/steam_support_is_stealing_accounts_again/)[Deux poteaux conservés, lignes de source et hachages ↓](https://phishdestroy.io/steam_dossier/steam_tos_assets/outsourcing-archive-records.json) 05 / SUIVRE LA PERTE ## Chaque montant *Il faut un étui.* Dix cas, de juin 2022 à mars 2026. Chaque montant correspond au chiffre publié par la source mentionnée — **$6,300,000**, **$2,000,000+**, **$1,000,000+**, **≈$320,000**, **≈$300,000**, et jusqu'à 288 €. Valve conserve le journal des transactions, l'historique des sessions et la piste d'audit de l'assistance pour chacune d'entre elles, et n'a fourni aucun de ces documents. Les sources et les montants restent tels qu'indiqués par chacune d'entre elles. Valve conserve les journaux de transactions, les enregistrements de session et la piste d'audit de support pour chacun de ces cas. Veuillez les fournir. Un message Reddit archivé ne suffit pas à trancher la question — ce sont les propres registres de Valve qui font foi. LA COLLECTION / APRÈS VÉRIFICATION ## 231,829 comptes en promotion. *Valve contient les journaux de chacun d'entre eux.* **354 → 201** ### Avis sur Trustpilot 153 lignes en double ont été supprimées. Les URL des avis individuels n'ont pas été conservées dans le fichier d'exportation. **231,829** ### Steam listes de comptes 33,509 classé comme « auto-enregistré » ; 198,320 sous l'étiquette « voleur » du collectionneur. Les annonces ne constituent pas des ventes conclues. [Audit des recouvrements ↓](https://phishdestroy.io/steam_dossier/steam_tos_assets/part2-quality-review.json)[Rechercher dans les archives sources ↗](https://phishdestroy.io/steam_dossier/fr/steam_evidence_archive)