Steam confirme une fuite de données : des SMS pour la 2FA

Depuis plusieurs mois, les annonces de cyberattaques et de fuites de données se multiplient, dans tous les secteurs. Pas plus tard que lundi, c’était au tour de Dior de prévenir ses clients.

Une autre histoire agite Internet depuis peu : la compromission de « 89 millions de comptes Steam », la plateforme de jeux de Valve… Les chiffres ont de quoi faire tourner la tête, mais la réalité n’est pas aussi impressionnante. On vous résume cette histoire.

Un post, un message LinkedIn et un tweet : une seule source

Elle remonte au 11 mai, quand la société Underdark.ai (spécialisée dans la sécurité informatique, basée à Tel Aviv) a publié un post sur LinkedIn. Il est rapidement repris sur X par Mellow_Online (qui cite d’ailleurs bien le message LinkedIn en source dans son premier tweet), un journaliste jeux vidéo indépendant qui s’occupe du groupe SteamSentinels. La seconde publication n’est donc pas une confirmation, c’est une reprise.

Le message original annonce une « violation massive présumée de données Steam : plus de 89 millions d’enregistrements à vendre ». Il précise qu’un « acteur malveillant se faisant appeler Machine1337 a posté sur un forum bien connu du dark web » un message pour vendre « un ensemble de données de plus de 89 millions d’enregistrements d’utilisateurs pour 5 000 dollars ». Ce n’est vraiment pas cher ramené au prix par compte, surtout étant donné l’importance de la cible. Une première puce à l’oreille, il va y en avoir d’autres.

Underdark.ai accompagne son message d’une capture d‘écran de la publication du pirate. On peut y voir un lien vers un compte Telegram en chinois, alors que le forum est en russe. L’entreprise Underdark.ai précise dans son message qu’un échantillon de données serait proposé au téléchargement, mais sans donner de lien.

Des SMS et des métadonnées… « ennuyantes »

De quelles données parle-t-on ? Selon l’auteur de la publication LinkedIn, et sur la base d’une analyse de l’échantillon, il y a des SMS de validation pour la double authentification : « Les données comprennent le contenu des messages, l’état de livraison, des métadonnées et les coûts d’envoi, ce qui suggère un accès à un tableau de bord ou à une API du fournisseur, et non directement de Steam ». Cette piste va être confirmée par Valve.

L’expert en cybersécurité Christopher Kunz va dans le même sens : les données mises en vente seraient « 89 millions de journaux d’envoi des SMS. Ils contiennent beaucoup de métadonnées VRAIMENT ennuyantes comme la date de livraison, les délais et l’opérateur transporteur, MAIS les données sont récentes et comportent aussi des numéros de téléphone ».

Même son de cloche chez nos confrères de Bleeping Computer : un « historique de SMS avec des codes d’accès à usage unique pour Steam, et le numéro de téléphone du destinataire ». Le contenu explique probablement le faible prix (5 000 dollars) ramené à la taille supposée de la fuite (89 millions).

Twilio se fait inviter et repart presque aussi rapidement

Sans rien demander, Twilio est placé au centre de l’échiquier par l’intermédiaire d’une nouvelle publication de Mellow_Online sur X : « La nature des données suggère que les attaquants ont eu accès aux systèmes de Twilio, probablement via un compte utilisateur Twilio ou une clé API compromise ou un accès direct au tableau de bord backend de Twilio ».

Contacté par Bleeping Computer, Twilio dément toute implication : « Il n’y a aucune preuve suggérant que Twilio ait été piraté. Nous avons examiné un échantillon des données trouvées en ligne et ne voyons aucune indication que ces données ont été obtenues auprès de Twilio ».

Dans une nouvelle publication hier, Mellow_Online ajoute une précision importante : « : J'ai été contacté par un représentant de Valve, et ils ont déclaré qu'ils n'utilisaient pas Twilio ». Nouvelle confirmation que cette entreprise n’est pas impliquée dans la potentielle fuite, mais rien de plus pour le moment. La nuit porte conseil et nous attendons de voir ce qu’il en est ce matin.

Steam confirme une fuite

Valve a finalement réagi officiellement il y a quelques heures. Premier point : l’entreprise confirme ne pas avoir été piratée. Elle arrive, elle aussi, à cette conclusion sur la base de la consultation de l’échantillon de données.

Voici les explications de Steam :

« La fuite comprenait d'anciens messages SMS contenant des codes à usage unique valables pendant une période de 15 minutes, et les numéros de téléphone auxquels ils avaient été envoyés.

Les données divulguées n'ont pas associé les numéros de téléphone aux comptes Steam, aux mots de passe, aux informations de paiement ou à d'autres données personnelles. Les anciens SMS ne peuvent pas être utilisés pour compromettre la sécurité de votre compte Steam ».

Qu’en est-il de la provenance de la fuite ? Valve ne cite aucun responsable, mais continue d’enquêter. La tâche est compliquée, car les SMS ne sont pas chiffrés pendant les différentes étapes et sont acheminés via plusieurs fournisseurs avant d’arriver sur votre smartphone, explique l’entreprise.

Dans ces conditions, Valve ajoute qu’il n'est pas nécessaire de modifier votre mot de passe ou votre numéro de téléphone. L’entreprise recommande de vérifier régulièrement la sécurité de votre compte et la liste des terminaux autorisés.