Mon compte Steam a été piraté : le reprendre, et la règle des 15 jours

↑ Ce conseil fait partie du guide : Comptes en ligne piratés

Comment récupérer un compte Steam piraté ?

Ouvrez d'abord votre boîte mail : sans elle, rien ne tiendra. Cliquez ensuite sur « Mot de passe oublié » depuis un autre appareil pour changer le mot de passe, déconnectez tous les appareils autorisés, puis révoquez la clé API : elle survit au changement de mot de passe. Annulez enfin les échanges bloqués.

1. Vérifier d'abord la boîte mail liée au compte.
2. Changer le mot de passe depuis un autre appareil.
3. Déconnecter tous les appareils autorisés.
4. Révoquer la clé API du compte.
5. Annuler les échanges encore bloqués.
6. Écrire au support Steam avec une preuve d'achat.

Profil en russe, amis démarchés : les signes d'un compte Steam pris

« Je n'arrive plus à me connecter à mon compte Steam », « quelqu'un joue à ma place », « mes identifiants ne marchent plus » : les appels commencent par l'une de ces trois phrases, et toutes ne décrivent pas un compte piraté.

Le détail qui frappe en premier, c'est le pseudo remplacé par des caractères cyrilliques et le drapeau du profil basculé sur un autre pays — d'où la requête « compte steam piraté russe ». Ce n'est pas une signature, c'est un réglage, et il se change en deux clics. Il est en revanche daté : l'historique des noms du profil garde l'ancien pseudo et le jour du changement. Une précision qui rassure : le pseudo affiché n'est pas le nom d'utilisateur, l'identifiant de connexion choisi à l'inscription. Celui-là ne se change pas sur Steam — c'est avec le même nom d'utilisateur que vous rentrerez.

Les signes qui ne trompent pas :

• Un email de Steam annonçant un changement d'adresse email, de mot de passe ou une nouvelle connexion. C'est la pièce la plus utile du dossier : elle porte la date, l'heure et souvent la ville approximative. Ne le supprimez pas, ne videz pas la corbeille de votre boîte mail.
• L'inventaire vidé. Caisses, clés, couteaux, skins de Counter-Strike ou de Dota : tout part en échange ou en vente sur le marché de la communauté, souvent en une poignée de minutes.
• Vos amis reçoivent des messages en votre nom. Deux phrases reviennent : « vote pour mon équipe » et « je t'ai signalé par erreur, parle à cet administrateur Steam ». Les deux mènent à une fausse page de connexion.
• Une déconnexion brutale en pleine partie, ou le message annonçant une connexion ailleurs, alors que vos identifiants n'ont pas bougé.
• L'authentificateur mobile Steam Guard a disparu de votre application, ou a été transféré sur un autre téléphone. C'est le geste d'un pirate qui veut échanger tout de suite : sans lui, il devra attendre.

Et les situations qui y ressemblent sans en être :

• Le message « mot de passe incorrect » et rien d'autre. Neuf fois sur dix, ce sont les identifiants : un second nom d'utilisateur créé pour un jeu offert, une majuscule, un clavier de portable. Cliquez sur « Mot de passe oublié » avant de crier au piratage.
• Un bannissement VAC ou une restriction d'échange. C'est une sanction, pas une intrusion : le message parle de tricherie ou de règles, jamais de sécurité, et changer de mot de passe n'y changera rien. La fiche compte bloqué ou suspendu explique comment faire la différence en lisant le libellé affiché.

Reprendre la main sur le compte, dans l'ordre

L'ordre compte plus que la vitesse : dans le désordre, chaque geste défait le précédent.

1. Changez d'appareil. Réinitialiser le mot de passe sur la machine par laquelle c'est arrivé revient à le donner. Prenez un téléphone, ou l'ordinateur d'un proche ; détecter un logiciel espion donne les vérifications à faire ensuite sur le poste soupçonné.
2. Cliquez sur « Je ne peux pas me connecter » sur l'assistance Steam, plutôt que sur le « Mot de passe oublié » de la page de connexion : lui seul couvre le compte dont l'adresse email a été remplacée. Indiquez votre nom d'utilisateur ; Steam envoie alors le code sur votre adresse email, ou par SMS.
3. Réinitialisez le mot de passe, et choisissez-en un unique : réutilisé ailleurs, il tombera avec la prochaine fuite. Un gestionnaire de mots de passe gratuit évite de l'inventer et de l'oublier. Attention aux majuscules et aux minuscules : le mot de passe les distingue.
4. Déconnectez tous les autres appareils autorisés, dans les paramètres de sécurité du compte. C'est ce geste, et pas le mot de passe, qui ferme les sessions déjà ouvertes sur la machine du pirate.
5. Accédez aux détails du compte et relisez les informations personnelles qui s'y trouvent : votre adresse email, le numéro de téléphone, l'historique de connexion. Si votre adresse email a été remplacée, le reste est inutile — la réinitialisation du mot de passe repartira chez lui.
6. Remettez l'authentificateur mobile Steam Guard sur votre téléphone, et notez les codes de secours ailleurs que dans l'appareil. Si vous avez perdu ce téléphone, la fiche sur les codes à deux facteurs perdus traite ce cas précis.
7. Révoquez la clé API — c'est la section suivante, et c'est l'étape que presque personne ne fait.

Une fois reconnecté à votre compte, ouvrez l'historique des connexions et des échanges : ce sont vos preuves. Ce que les traces de connexion disent vraiment explique comment les lire.

La clé API Steam : la porte que le mot de passe ne ferme pas

C'est ce qui explique les appels du type « j'ai tout changé, et ça recommence ». Une clé API Steam est un laissez-passer inscrit sur le compte, destiné aux sites d'échange : modifier votre mot de passe ne la referme pas, elle n'en dépend pas. Un pirate qui en enregistre une pendant les minutes où il tient le compte garde la main sur vos échanges : quand vous envoyez une offre à un ami, un script l'annule et vous en renvoie une identique depuis un compte sosie, même avatar, même pseudo. Vous validez, et les objets partent chez lui.

Les 15 jours de blocage : ce qui est encore annulable

Depuis le 9 mars 2016, Valve retient pendant 15 jours tout objet qui quitte un compte, par échange comme par mise en vente sur le marché de la communauté. Ce blocage tombe à 1 jour entre deux joueurs amis depuis plus d'un an, et il disparaît si l'authentificateur mobile Steam Guard est actif sur le compte depuis au moins 7 jours.

Un échange bloqué s'annule tant que le délai court : Valve a conçu ce système pour ça. Une fois rentré :

• Ouvrez les offres d'échange puis l'historique des échanges : les envois en attente portent la mention du blocage et la date de livraison prévue.
• Annulez chaque échange que vous n'avez pas fait, depuis le site ou depuis l'onglet Confirmations de l'application mobile Steam.
• Même chose pour les mises en vente sur le marché : une annonce retirée avant la fin du blocage rend l'objet à l'inventaire.

Une ironie : le compte le mieux protégé est celui qui perd tout le plus vite. Avec l'authentificateur mobile, les échanges partent sans blocage ; si le pirate a réussi à le transférer sur son téléphone, il n'y a rien à annuler. Le compte à rebours part de l'échange, pas de la découverte — d'où la valeur de l'e-mail de Steam, qui donne l'heure exacte.

Objets partis, argent réel : ce qui revient et ce qui ne revient pas

Disons-le franchement : passé le blocage, les objets ne reviennent pas. Dans son annonce du 9 mars 2016, Valve a écrit qu'il ne restaurerait plus manuellement les objets sortis par un échange ou une vente aboutie : restaurer créait des doublons, faisait baisser la valeur des autres exemplaires et récompensait les faux piratages. Le support aide à récupérer votre compte ; il ne recrée plus les skins.

Ce qui se joue encore :

• Un jeu acheté sur votre compte par le pirate. La politique de remboursement de Steam s'applique : moins de 14 jours après l'achat et moins de 2 heures de jeu, la demande passe par le support.
• De l'argent réel prélevé sur la carte bancaire enregistrée. Là, ce n'est plus une affaire de jeu : c'est un paiement non autorisé. On fait opposition, on conteste auprès de la banque, et on signale sur Perceval. Les délais et la procédure sont dans se faire rembourser par sa banque, et les signes d'une carte bancaire piratée aide à repérer les autres débits de la même série.
• Le porte-monnaie Steam vidé. Ni transférable ni remboursable en espèces : signalez-le dans le même ticket, sans y compter.

Si de l'argent réel est parti, ou si le compte a servi à escroquer vos amis, la plainte a du sens : l'accès frauduleux à un compte est une infraction. Porter plainte après un piratage dit quoi emporter.

Ni e-mail ni téléphone : la preuve d'achat que Steam réclame

C'est le cas le plus difficile : l'adresse e-mail de contact et le numéro ont été remplacés. Il ne reste que le formulaire de récupération, et Steam ne se contente pas de votre parole : il demande une preuve de propriété. Sont acceptés :

• une clé d'activation d'un jeu en boîte déjà activée sur le compte ;
• les éléments d'un achat : nom, adresse de facturation, numéro de transaction, et les 4 derniers chiffres de la carte ;
• un code de porte-monnaie Steam crédité sur le compte.

Ce que Steam ne demande pas, contrairement à une banque : ni votre date de naissance, ni une pièce d'identité, ni votre mot de passe. Un « conseiller » qui réclame ces informations personnelles pour rouvrir votre espace Steam n'est pas Steam.

Le cas limite : un compte qui n'a jamais rien acheté n'a presque rien à prouver. Jeux gratuits, cadeaux reçus d'un ami, aucune carte enregistrée : le dossier aboutit rarement. Un relevé bancaire portant un achat Steam est la pièce la plus solide : cherchez-le.

Pour le ticket : un seul, avec toutes les pièces d'emblée, la date et l'heure du premier email suspect, et les captures d'écran faites avant d'avoir tout remis en ordre. Un dossier ouvert cinq fois n'avance pas plus vite.

Les 4 pièges qui reprennent un compte Steam

Reprendre le compte sans refermer la porte, c'est recommencer la semaine suivante. Les quatre entrées :

1. La fausse fenêtre de connexion dessinée dans la page. Sur un site de vote ou de tournoi, « se connecter avec Steam » ouvre ce qui ressemble à une fenêtre du navigateur, barre d'adresse comprise. Ce n'en est pas une. Le test : essayez de la faire glisser hors du navigateur. Une vraie fenêtre en sort ; une fausse reste prisonnière de la page.
2. Le message d'un ami déjà pris. « Vote pour mon équipe », « aide-moi, j'ai été signalé par erreur » : la demande vient d'un compte que vous connaissez, c'est toute sa force. Un compte de jeu voisin se fait prendre de la même façon, voir la fiche sur les comptes Discord piratés, souvent le point de départ de la chaîne.
3. Les sites d'échange de skins et les « générateurs ». On y colle son nom d'utilisateur, on y valide parfois une clé API, et l'affaire est réglée. Un lien reçu ne se clique pas : on ouvre l'application ou on tape l'adresse à la main. Ce que fait exactement un lien piégé est détaillé dans j'ai cliqué sur un lien de phishing.
4. Le compte acheté d'occasion ou partagé. Le vendeur garde l'adresse email d'origine et le reprend quand il veut. Ce n'est pas un piratage au sens de Steam : le support ne tranchera pas en votre faveur.

Le verrou qui tient vraiment, c'est deux réglages : un mot de passe unique, et la double authentification par l'application mobile plutôt que par e-mail. Les autres réflexes sont sur la page prévention ; la fiche compte Roblox piraté traite le même problème chez les joueurs plus jeunes, où le vol passe par le cookie de session.

Si vous préférez être guidé, quinze minutes au téléphone suffisent à fixer l'ordre des opérations, et ça ne coûte rien. Pour reprendre le compte, la boîte mail et les mots de passe à quatre mains, l'assistance à distance démarre à 19 € la demi-heure ; le détail est sur la page tarifs.

Questions fréquentes

Steam rembourse-t-il les objets volés ?

Non. Depuis le 9 mars 2016, Valve ne restaure plus manuellement les objets sortis d'un compte par un échange ou une vente aboutie : la restauration créait des doublons et encourageait les faux piratages. Seuls les échanges encore retenus par le blocage de 15 jours se récupèrent, en les annulant vous-même.

Mon profil affiche un pseudo en russe : le pirate est-il russe ?

Rien ne permet de le dire : le pays et le pseudo d'un profil Steam se changent en deux clics. Ce changement est en revanche daté. L'historique des noms du profil indique le jour où il a eu lieu, ce qui aide à situer le début du piratage dans le ticket.

J'ai changé mon mot de passe et ça recommence : pourquoi ?

Deux causes, souvent ensemble. Une clé API enregistrée sur le compte, qui survit au fait de changer votre mot de passe et se révoque sur la page prévue. Et un ordinateur encore infecté, qui renvoie vos identifiants dès que vous les tapez. On révoque la clé, on déconnecte les appareils, puis on nettoie la machine.

Comment récupérer votre compte Steam sans adresse e-mail ni téléphone ?

Par le formulaire d'assistance, en apportant une preuve de propriété : une clé d'activation d'un jeu en boîte, les 4 derniers chiffres de la carte ayant servi à un achat avec le numéro de transaction, ou un code de porte-monnaie Steam crédité sur le compte. Un compte sans aucun achat aboutit rarement.

Mes amis ont perdu des objets à cause de messages envoyés depuis mon compte : que faire ?

Prévenez-les tout de suite, par SMS ou par un autre canal que Steam, et dites-leur de vérifier leurs échanges en attente : s'ils sont encore bloqués, ils sont annulables. Publiez aussi un mot sur votre profil. Vous n'êtes pas responsable de l'escroquerie, mais vous êtes le seul à pouvoir couper la chaîne rapidement.

Sources

• Steam — Security and Trading : Update (9 mars 2016 : blocage de 15 jours, 1 jour entre amis de plus d'un an, fin de la restauration manuelle).
• Support Steam — Politique de récupération des items.
• Support Steam — Authentificateur mobile Steam Guard (délai de 7 jours avant la levée des blocages).
• Support Steam — Fournir une preuve de propriété.
• Cybermalveillance.gouv.fr — Piratage de compte en ligne (la marche à suivre officielle).
• 17Cyber (l'assistance en ligne des forces de l'ordre).

À lire aussi : le guide compte piraté · comment les pirates trouvent les mots de passe · un code de vérification reçu sans l'avoir demandé.