Les rouages de l'attaque par détournement de la clé API Steam Web
L'économie communautaire de Steam génère des centaines de millions d'euros par an grâce au marché d'objets virtuels de titres phares comme Counter-Strike 2, Dota 2 ou Team Fortress 2. Bien que Valve ait instauré l'authentificateur mobile Steam Guard pour contrer les intrusions non autorisées, les cybercriminels ont su adapter leurs attaques en détournant un outil officiel : la Steam Web API.
Contrairement aux piratages de comptes classiques, où l'attaquant modifie brusquement les identifiants d'accès, le détournement d'API opère de manière totalement furtive. La victime continue d'utiliser son compte sans se douter qu'un programme automatisé dispose des privilèges nécessaires pour surveiller, annuler et falsifier ses offres d'échange en quelques fractions de seconde.
Matrice comparative des vecteurs d'arnaque sur Steam
Pour identifier rapidement la nature d'une compromission, il est utile de confronter les différentes méthodes d'attaque :
| Vecteur d'arnaque | Vecteur d'infiltration principal | Contournement de Steam Guard | Technique d'interception d'objets | Visibilité pour la victime | Procédure de remédiation immédiate |
|---|---|---|---|---|---|
| Détournement d'API Steam Web | Connexion sur de faux sites de tournois ou de paris | Capture des cookies de session et enregistrement d'une clé API | Un script annule l'offre légitime et renvoie une offre clonée | Très faible (avatar et pseudonyme identiques sur mobile) | Révoquer la clé API, déconnecter tous les appareils, changer le mot de passe, renouveler l'URL d'échange |
| Hameçonnage direct d'identifiants | Faux concours pour gagner des apparences d'armes | Demande directe du code d'authentification sur la fausse page | Accès direct au compte et braderie des objets sur le marché | Élevée (alertes de connexion et courriels d'avertissement) | Contacter le Support Steam avec les preuves d'achat initiales |
| Extension de navigateur malveillante | Modules promettant une estimation automatique du prix | Injection de scripts JavaScript malveillants dans le navigateur | Altération de l'identifiant du destinataire lors des échanges web | Limitée au navigateur (le client natif reste sain) | Désinstaller l'extension suspecte et vider le cache du navigateur |
| Hameçonnage par QR Code Discord | QR Codes promettant du Nitro gratuit ou des accès bêta | L'utilisateur scanne le code avec l'application Steam | L'attaquant établit une session web authentifiée à distance | Moyenne (notification d'ouverture de session sur un nouvel appareil) | Choisir « Désautoriser tous les autres appareils » dans Steam Guard |
Le mécanisme d'interception : comment opèrent les bots clones
Le danger critique d'une clé API compromise réside dans l'automatisation en temps réel :
- Infiltration initiale : La victime se connecte sur un site malveillant via le bouton officiel « Se connecter via Steam ». La passerelle pirate transmet les jetons de session à un serveur qui génère discrètement une clé API développeur sur le compte.
- Surveillance par scrutation continue : Le script de l'attaquant interroge le point d'accès
IEconService/GetTradeOffers/v1de Valve toutes les 500 millisecondes. - Détection de l'échange légitime : Dès que l'utilisateur envoie une offre d'échange à un ami ou à un bot de vente officiel (statut
TradeOfferStateActive), le script intercepte la transaction. - Annulation et substitution par un clone :
- En moins de 200 millisecondes, le script appelle
CancelTradeOffervia l'API pour annuler la proposition légitime. - Simultanément, il récupère l'avatar, le pseudonyme et la biographie du destinataire prévu.
- Un bot clone adopte cette même identité et envoie immédiatement une offre identique à la victime.
- En moins de 200 millisecondes, le script appelle
- Le piège sur l'application mobile : Lorsque la victime consulte Steam Guard sur son smartphone pour valider l'opération, l'avatar et le nom correspondent à ceux de son ami. Si elle confirme sans vérifier les détails techniques du profil, les objets sont définitivement transférés aux escrocs.
Guide de sécurité d'urgence en 4 étapes
Si vous observez des annulations inexpliquées d'échanges ou soupçonnez une intrusion, appliquez immédiatement ce protocole :
-
Vérifier et révoquer la clé Web API : Consultez directement la page officielle dans un navigateur sain :
https://steamcommunity.com/dev/apikey- Pour un joueur standard, la page doit afficher un formulaire vierge invitant à saisir un nom de domaine.
- Si un domaine y figure déjà (tel que
localhostou une URL inconnue), votre compte est compromis. - Cliquez sans attendre sur Révoquer ma clé API Web Steam.
-
Désautoriser tous les appareils connectés : Dans l'application Steam sur ordinateur, ouvrez Steam -> Paramètres -> Sécurité -> Désautoriser tous les autres appareils. Cela interrompra immédiatement les sessions du pirate.
-
Modifier le mot de passe principal : Cette action invalide l'ensemble des jetons d'authentification sur les serveurs de Valve.
-
Générer une nouvelle URL d'échange : Ouvrez la page de confidentialité des offres d'échange :
https://steamcommunity.com/id/me/tradeoffers/privacyDans la section « Sites tiers », cliquez sur Créer une nouvelle URL afin de rendre caducs tous les liens d'échange précédemment diffusés.
Règle d'or lors de la confirmation mobile
Sur l'application mobile Steam Guard, ne vous fiez jamais au seul nom ou à la photo de profil.
Touchez le profil du destinataire dans l'écran de validation pour examiner sa Date d'inscription (Member Since) et son Niveau Steam (Steam Level). Si vous échangez avec un proche disposant d'un compte ancien de niveau 40 et que la fenêtre affiche « Niveau 0, inscrit il y a 2 jours », il s'agit d'un bot clone. Refusez immédiatement l'échange. La politique de Valve exclut formellement la restitution d'objets validés par l'utilisateur.
Outil d'audit de sécurité et d'API Steam 365Finds
Afin de préserver vos objets de valeur lors de vos transactions, recourez à l'Outil d'Audit de Sécurité et d'API Steam 365Finds. Il repère les clés API suspectes rattachées à votre compte, teste la fiabilité de votre URL d'échange et vous propose une liste de contrôle interactive pour déjouer les pièges des bots clones.