Pour des centaines de millions de joueurs à travers le monde, les comptes Steam et Roblox représentent bien plus que de simples lanceurs de jeux. Ils hébergent des inventaires d'objets cosmétiques de grande valeur, des réseaux d'amis et des soldes financiers importants. Face à l'essor du marché secondaire des objets virtuels, les cybercriminels délaissent les attaques par force brute au profit de scénarios d'ingénierie sociale et de détournement de sessions très élaborés.

Même les utilisateurs ayant activé l'authentification à deux facteurs (2FA) peuvent être victimes d'une prise de contrôle. Les attaquants incitent les joueurs à valider eux-mêmes des accès frauduleux. Comprendre ces mécanismes et adopter une hygiène numérique rigoureuse est essentiel pour protéger son inventaire.

Les nouveaux pièges du phishing dans l'univers du jeu

Les attaques modernes s'intègrent naturellement dans les usages des communautés de joueurs sur Steam et Discord.

1. Faux tournois esport et fenêtres de connexion trompeuses

L'approche classique débute souvent par un message d'une connaissance proposant de rejoindre une équipe de compétition. En cliquant sur le lien pour s'inscrire, le joueur fait face à une fenêtre l'invitant à s'identifier via Steam ou Roblox.

Les attaquants emploient la technique du navigateur dans le navigateur (Browser-in-the-Browser, BitB) :

  • La fenêtre n'est pas une page indépendante, mais une imitation graphique intégrée au site malveillant.
  • L'adresse apparente affiche un nom de domaine officiel avec un cadenas de sécurité.
  • Lors de la saisie des identifiants et du code temporaire Steam Guard, les données sont transmises en temps réel aux pirates qui prennent immédiatement le contrôle du compte officiel.

2. Détournement de connexion par QR code (QRLJacking)

Les plateformes permettent une connexion simplifiée sur ordinateur en scannant un QR code avec l'application mobile. Les pirates exploitent cette fonction :

  1. Le serveur de l'attaquant initie une demande de connexion auprès de la plateforme officielle.
  2. Un QR code d'authentification valide est généré par le service de jeu.
  3. Le site pirate relaie ce QR code sous prétexte d'offrir une récompense ou un skin gratuit.
  4. En scannant le code avec son application mobile, le joueur valide sans le savoir la connexion de l'attaquant sur son propre appareil.

Sur Roblox, la persistance de connexion repose sur le cookie .ROBLOSECURITY. En mettant la main sur ce jeton, un tiers peut usurper l'identité du joueur sans mot de passe ni code 2FA. Ces vols se font généralement via de fausses extensions de navigateur pour le commerce d'objets ou par l'exportation imprudente de fichiers de logs réseau (fichiers HAR).

Comment les attaquants liquident les inventaires volés

Dès la prise de contrôle, des scripts automatisés vident les comptes en un temps record :

  • Création d'une clé API Steam : L'attaquant génère une clé API pour surveiller et détourner les futures propositions d'échange de l'utilisateur.
  • Détournement d'échanges : Lorsqu'une transaction légitime est initiée, un robot annule l'offre pour la renvoyer vers un compte clone, trompant le joueur lors de la confirmation mobile.
  • Vente rapide sur le marché : Les objets rares sont bradés pour être transformés en fonds transférables.

Guide de protection indispensable pour les joueurs

Protéger son compte implique une surveillance régulière des accès et la sécurisation du réseau utilisé.

1. Auditer et révoquer les sessions autorisées

Prenez l'habitude de vérifier les connexions actives :

  • Sur Steam, accédez aux paramètres de sécurité et cliquez sur « Désautoriser tous les autres appareils » pour clore les sessions inconnues.
  • Vérifiez la page de gestion des clés API (steamcommunity.com/dev/apikey) et révoquez toute clé non sollicitée.
  • Sur Roblox, utilisez l'option de déconnexion de toutes les autres sessions dans les paramètres de sécurité.

2. Protéger ses identifiants sur les réseaux non sécurisés

Lors de sessions de jeu dans un cybercafé, sur le Wi-Fi d'un campus ou d'un hôtel, un trafic non chiffré est vulnérable à l'interception locale :

  • Chiffrement global avec VPNRice : En activant VPNRice, vos flux de jeu et de navigation sont protégés par un tunnel WireGuard moderne, empêchant l'espionnage local et le détournement DNS.
  • Stabilité et ping maîtrisé avec RiceGuard : Contrairement aux protocoles anciens qui génèrent des fluctuations de débit, WireGuard associé à la technologie RiceGuard préserve un ping stable indispensable aux parties compétitives.

Contrôlez les paramètres de votre connexion avec notre outil gratuit Quel est mon IP. Pour approfondir votre sécurité en ligne, lisez nos articles sur la sécurité des extensions VPN pour navigateur et la réduction du ping et des pertes de paquets en jeu.

Télécharger VPNRice.