Entre fin juillet et début août, des cybercriminels ont ciblé CEVA Logistics, exposant des données de livraison de clients Steam et augmentant fortement le risque de phishing ciblé.Steam commence à avertir ses clients européens après un incident de cybersécurité ayant touché CEVA Logistics, son prestataire chargé d’expédier du matériel. Selon Valve, l’attaque s’est produite entre le 29 juillet et le 1er août. Les données potentiellement compromises comprennent les noms, adresses postales, numéros de téléphone, adresses e-mail, informations sur les commandes et montants associés. Aucun mot de passe, moyen de paiement ou code Steam Guard n’aurait été exposé. Cette fuite reste sensible : ces informations suffisent à construire des campagnes de phishing crédibles, personnalisées et directement liées à de véritables commandes.
Une fuite exploitable pour des attaques très ciblées
Les clients qui attendaient parfois depuis plusieurs mois leur matériel Steam découvrent désormais une conséquence supplémentaire de leur achat : certaines informations nécessaires à la livraison pourraient avoir été récupérées par des cybercriminels.
CEVA Logistics assure l’expédition du matériel Steam auprès des clients européens. Pour accomplir cette mission, l’entreprise reçoit de Valve plusieurs informations indispensables, notamment l’identité du destinataire, son adresse postale, son numéro de téléphone, son adresse e-mail ainsi que les détails et le montant de sa commande.
Selon Valve, les attaquants auraient obtenu une partie de ces données lors de l’incident survenu entre le 29 juillet et le 1er août. Les mots de passe Steam ne seraient pas concernés. Les informations de paiement resteraient également hors de portée, tout comme les codes Steam Guard utilisés pour sécuriser les comptes.
Cette limitation n’empêche pas une exploitation malveillante. Pour organiser une campagne de phishing, connaître une véritable adresse, un numéro de téléphone et le contenu d’une commande donne déjà un avantage considérable. Un message frauduleux mentionnant une livraison réelle paraît immédiatement plus crédible.
Les utilisateurs concernés doivent donc anticiper des e-mails, SMS ou appels usurpant Steam, Valve, CEVA Logistics ou d’autres transporteurs. Les scénarios classiques restent les plus probables : faux frais de douane, prétendue relivraison, colis présenté comme bloqué ou demande urgente de réinitialisation d’un mot de passe.
Cette dernière méthode présente un risque particulier. Un faux lien peut conduire vers une page imitant Steam. En y saisissant ses identifiants, l’utilisateur les transmet directement aux attaquants, qui peuvent ensuite tenter de prendre le contrôle du compte et de sa bibliothèque de jeux.
Selon une analyse du Service de veille Zataz menée à travers 27 blackmarkets commercialisant différents types de comptes clients, les comptes Steam volés sont proposés autour de 9 euros en moyenne. Ce marché donne une valeur directe aux identifiants récupérés après une campagne de phishing réussie.
Le contexte renforce également la portée potentielle de l’incident. La fuite intervient en pleine sortie de la Steam Machine. CEVA Logistics conserverait les données de livraison jusqu’à 90 jours après l’achat. Le nombre de clients potentiellement exposés pourrait donc être important. Concrètement, toute personne ayant commandé du matériel physique auprès de Valve au cours des trois derniers mois pourrait être concernée.
Un historique qui élargit la lecture renseignement
Ce n’est pas la première fois que cevalogistics.com est associé à une cyberattaque annoncée. En 2025 déjà, le groupe Coin Base Cartel proposait à la vente une base de données qu’il présentait comme volée à l’entreprise.
Aucun élément fourni ne permet d’établir un lien direct entre cette précédente revendication et l’incident actuellement signalé par Valve. Cette antériorité reste néanmoins intéressante du point de vue du renseignement cyber, puisqu’elle montre que CEVA Logistics avait déjà été citée dans un contexte de commercialisation présumée de données dérobées.
Le même groupe Coin Base Cartel propose également depuis quelques jours des informations qu’il affirme avoir volées à la marque Caterpillar. Là encore, cette revendication demeure distincte du dossier Steam et CEVA.
Steam avait également été concerné en mai 2025 par une fuite massive touchant près de 89 millions de comptes, à l’époque par l’intermédiaire d’un tiers différent. Cet épisode rappelle que l’exposition d’un grand service numérique ne dépend pas uniquement de ses propres infrastructures. Ses sous-traitants, prestataires logistiques et partenaires peuvent eux aussi devenir des points d’entrée ou de fuite.
Valve indique collaborer avec CEVA afin de déterminer précisément l’ampleur du vol de données. L’entreprise affirme également avoir commencé les démarches nécessaires auprès des régulateurs chargés de la protection des données dans les pays concernés.
Pour les victimes potentielles, le principal danger réside désormais dans l’exploitation secondaire des informations volées. Les données logistiques permettent de personnaliser fortement les messages frauduleux et d’augmenter leur crédibilité.
Un utilisateur peut recevoir une prétendue notification de livraison contenant son véritable nom, son adresse exacte ou des informations réelles sur une commande. La présence de données authentiques ne garantit donc plus l’origine légitime du message.
Toute communication inattendue demandant de payer des frais, de confirmer une livraison ou de modifier immédiatement un mot de passe mérite une vérification indépendante. Steam Support ne demande jamais à ses utilisateurs leur mot de passe ou leur code Steam Guard. Un transporteur n’a aucune raison de réclamer ces informations.
L’urgence doit également être considérée comme un signal d’alerte. Lorsqu’un message cherche à provoquer une réaction immédiate, la pression peut faire partie du mécanisme de manipulation.
Pour le renseignement cyber, l’enjeu se déplace désormais vers la surveillance d’éventuelles campagnes utilisant les données de CEVA afin de transformer une fuite logistique en compromissions de comptes Steam.
merci à ZATAZ
