Vincent
Un mot de passe recyclé entre Steam et une boîte mail, ça paraît anodin. Jusqu’au jour où une commande part sans qu’on l’ait validée, où le solde du portefeuille Steam a fondu, et où il est déjà trop tard pour faire marche arrière. Ce scénario, loin d’être isolé, illustre une mécanique bien connue des experts en cybersécurité : la réutilisation d’identifiants reste l’une des principales portes d’entrée pour les pirates en 2025 et 2026.
À retenir
- 73% des Français réutilisent le même mot de passe sur plusieurs services — une vulnérabilité exploitée massivement par les pirates
- Steam n’envoie pas d’alertes immédiates en cas de fraude, ce qui en fait une cible idéale pour les transferts de valeur discrets
- Sécuriser son compte de jeu est inutile si la boîte mail associée reste compromise — c’est la vraie clé d’accès
Un mot de passe unique, une clé universelle pour les pirates
La logique semble imparable sur le papier : un seul mot de passe à retenir, appliqué partout, pour ne jamais être bloqué. Mais cette simplicité se retourne contre l’utilisateur dès qu’un des services concernés subit une fuite de données. L’année 2025 ne montre pas d’évolution notable quant aux vecteurs de compromission des comptes : hameçonnage, mot de passe trop simple, réutilisation d’un même mot de passe sur plusieurs sites dont l’un a été piraté, piratage d’un appareil ou encore infection par un logiciel malveillant. le point faible n’est presque jamais le service piraté lui-même, mais l’habitude de recycler ses codes d’accès ailleurs.
Le phénomène touche une majorité de foyers français. Une étude de 2025 montre que 73% des Français utilisent le même mot de passe pour au moins trois services différents. Résultat : lorsqu’un identifiant fuit, il devient une clé universelle pour accéder à plusieurs comptes. Un mot de passe volé sur un forum discret du dark web n’ouvre alors plus seulement une boîte mail secondaire, mais potentiellement un compte bancaire, un espace de streaming, et une bibliothèque de jeux accumulée pendant des années.
La technique qui exploite cette faiblesse porte un nom : le credential stuffing. Elle consiste à tester automatiquement, par milliers, des combinaisons email/mot de passe déjà connues sur un maximum de plateformes. Les tentatives de connexion automatisée, appelées « credential stuffing », permettent aux pirates de tester massivement ces couples email/mot de passe sur des centaines de plateformes. Pas besoin de deviner quoi que ce soit : la base de données volée fait tout le travail, et le premier service mal protégé qui accepte la connexion ouvre la voie à tout le reste.
Steam, cible discrète mais lucrative
Contrairement à une carte bancaire, un compte Steam ne déclenche pas d’alerte immédiate en cas de mouvement suspect. C’est justement ce qui en fait une cible de choix. Les témoignages abondent sur les forums de la communauté Steam elle-même : des utilisateurs découvrent, un matin, que leur inventaire d’objets a été vidé ou que des jeux ont été achetés à leur insu. Un témoignage sur les forums communautaires décrit ainsi comment on a utilisé 21€ de mon portefeuille steam pour acheter un objet qui se vend normalement 0.03€, une manœuvre classique pour transférer discrètement de la valeur vers un autre compte contrôlé par l’attaquant.
Le pire, c’est que changer le mot de passe après coup ne suffit pas toujours à reprendre la main. Sur les forums d’entraide, plusieurs victimes racontent avoir modifié leurs identifiants sans que le problème cesse, avant de comprendre que la faille venait d’ailleurs : une clé API laissée active, ou une boîte mail elle-même compromise en amont. Un utilisateur explique ainsi que j’ai été victime du piratage Free qui a eu lieu dernièrement, l’adresse email utilisée est la même pour les 2 mais pas le mot de passe, qui a été changé sur mon compte Steam sans que ça ne résolve le problème. La leçon est brutale : sécuriser un compte de jeu ne sert à rien si la messagerie qui lui est associée reste, elle, une passoire.
Ce lien entre boîte mail et compte de jeu n’a rien d’accessoire. La messagerie est le point de récupération de quasiment tous les services en ligne : c’est elle qui reçoit les liens de réinitialisation, les codes de vérification, les notifications de connexion. La compromettre revient à donner accès à l’ensemble de l’écosystème numérique d’une personne, pas seulement à sa ludothèque. D’ailleurs, les messageries électroniques et les comptes de réseaux sociaux restent particulièrement ciblés par les cybercriminels, précisément parce qu’ils servent de sésame vers tout le reste.
Combien ça coûte, vraiment ?
L’addition est loin d’être symbolique. Les ménages français perdent en moyenne 450 euros par an à cause de fraudes liées à la réutilisation de mots de passe, un chiffre qui grimpe chaque année à mesure que les bases de données volées circulent et se recoupent entre elles. À l’échelle du pays, la facture prend une tout autre dimension : en 2025, la fraude bancaire en France a coûté 1,2 milliard d’euros aux établissements financiers et aux particuliers.
La France n’est d’ailleurs pas épargnée sur le plan des statistiques mondiales. Rapportée à sa population, elle figure parmi les pays les plus touchés par les comptes compromis, un paradoxe pour un pays doté d’une infrastructure numérique pourtant mature. Les causes restent les mêmes partout : inscriptions sur des sites peu fiables, installation involontaire de logiciels espions après un clic imprudent, et réutilisation de mots de passe faibles.
Reprendre la main avant le prochain matin difficile
La bonne nouvelle, c’est que la parade ne demande ni compétence technique ni budget conséquent. Un gestionnaire de mots de passe suffit à générer et retenir un code unique pour chaque service, sans effort de mémorisation. Ces outils génèrent des mots de passe uniques et robustes pour chacun de vos comptes, tout en les stockant dans un coffre-fort et en les remplissant automatiquement lors de vos connexions. L’argument de la praticité, souvent avancé pour justifier la réutilisation, tombe donc de lui-même : le gestionnaire fait le travail à la place de l’utilisateur.
Sur Steam spécifiquement, l’activation de la double authentification via l’application mobile (Steam Guard) reste la protection la plus efficace contre les prises de contrôle. Elle ne coûte rien, prend deux minutes à configurer, et bloque l’immense majorité des tentatives de connexion frauduleuse, même lorsque le mot de passe a fuité. Un dernier réflexe mérite d’être ancré durablement : vérifier régulièrement les clés API associées à son compte Steam sur la page dédiée du site, car ces accès techniques, une fois créés pour un site tiers d’échange d’objets, permettent de contourner totalement Steam Guard et de vider un inventaire sans déclencher la moindre alerte de connexion.
Sources : specopssoft.com | forum.malekal.com
