Un joueur qui télécharge un crack pour GTA, un cheat pour Call of Duty ou un faux lien Discord Nitro n’imagine pas toujours ce qu’il installe en même temps. Depuis la saisie des infrastructures de Lumma Stealer par Microsoft et Europol en mai 2025, le paysage des malwares voleurs d’identifiants (les infostealers) s’est redessiné autour de cinq familles qui se disputent les comptes Steam, Discord, Riot Games et Battle.net des joueurs. Au 18 octobre 2026, la hiérarchie a changé : Lumma a rebâti son infrastructure, Vidar a pris la tête du marché russe des identifiants volés, RedLine s’est effondré après l’Opération Magnus, et StealC grimpe rapidement grâce à des prix cassés. Ce comparatif détaille ce que chaque famille vole, combien elle coûte à louer sur les forums du dark web, et comment les joueurs PC peuvent se protéger sans attendre une faille corrigée qui, dans ce dossier, n’existe pas.
Le point clé à retenir avant d’entrer dans le détail : aucune des cinq familles étudiées n’exploite une vulnérabilité logicielle récente dans Steam, Epic Games, Riot Vanguard ou Discord. Le vecteur dominant reste l’ingénierie sociale, via des jeux piratés, de faux outils de triche, des liens Discord frauduleux et des pages de fausse vérification CAPTCHA. C’est une différence importante avec d’autres dossiers de sécurité du jeu vidéo, comme celui ayant touché Rockstar Games et le groupe ShinyHunters, où des intrusions techniques directes avaient été documentées. Ce dossier s’inscrit plus largement dans l’actualité cybersécurité suivie en continu, à la frontière entre criminalité organisée et communautés de joueurs.
Ne manquez aucune actu tech sur Google
Ajoutez Shattered une seule fois dans l'app Google pour retrouver nos articles dans vos suggestions.
Qu’est-ce qu’un infostealer et pourquoi les joueurs sont visés
Un infostealer est un logiciel malveillant conçu pour une seule mission : exfiltrer en quelques secondes tout ce qui a de la valeur sur un ordinateur infecté. Mots de passe enregistrés dans le navigateur, cookies de session, portefeuilles de cryptomonnaies, jetons d’authentification Discord, et bien sûr identifiants de plateformes de jeu. Contrairement à un rançongiciel qui bloque une machine pour exiger un paiement, un infostealer agit en silence, copie les données en local, les compresse dans un fichier appelé « log », puis l’envoie vers un serveur de commande distant avant de parfois s’autodétruire.
Les joueurs PC forment une cible particulièrement rentable pour trois raisons. D’abord, un compte Steam, Riot ou Battle.net bien rempli vaut cher à la revente, parfois plus que les identifiants bancaires d’un compte peu actif. Ensuite, la culture du piratage de jeux, des cheats et des mods non officiels crée un flux constant de victimes qui installent volontairement un exécutable non vérifié. Enfin, les communautés de joueurs vivent sur Discord, une plateforme où un jeton de session volé permet de prendre le contrôle d’un compte sans même connaître le mot de passe. Selon un rapport de DarkOwl consacré à ce phénomène, Discord et Steam sont devenus les deux portes d’entrée privilégiées des cybercriminels qui ciblent les communautés de joueurs, un constat détaillé dans l’analyse « Gaming’s Dark Side » publiée par la société de threat intelligence.
La mécanique de diffusion a aussi évolué. En 2025, des campagnes ont déguisé des millions de fichiers malveillants en mods, en outils de triche ou en copies piratées de jeux comme GTA, Minecraft et Call of Duty. Mi-2025, des liens d’invitation Discord frauduleux ont redirigé des utilisateurs vers des chaînes de redirection livrant AsyncRAT, Skuld Stealer ou ChromeKatz, tous capables de voler des sessions actives. Début 2026, les campagnes de jeux piratés ont basculé vers des chargeurs comme CastleLoader et RenEngine pour livrer Lumma. Ce sont des méthodes de distribution, pas des failles techniques dans les logiciels ciblés.
Il faut aussi distinguer clairement un infostealer d’un rançongiciel ou d’un cheat détecté par un anti-triche. Un rançongiciel veut être vu, puisqu’il affiche une demande de rançon. Un infostealer veut l’inverse : rester invisible le plus longtemps possible pour maximiser la quantité de données récupérées avant que la victime ne change ses mots de passe. Cette discrétion explique pourquoi la plupart des joueurs touchés ne réalisent l’infection qu’après coup, souvent au moment où ils constatent une connexion suspecte sur leur compte Steam ou un message envoyé depuis leur compte Discord sans qu’ils l’aient écrit.
Le cycle de vie typique d’une infection suit quatre étapes. D’abord l’appât, un crack, un cheat ou un lien Discord qui promet un gain immédiat. Ensuite l’exécution, souvent facilitée par l’utilisateur lui-même qui désactive temporairement son antivirus en pensant qu’il s’agit d’un faux positif courant sur les outils de triche. Puis la collecte, en quelques secondes à quelques minutes selon la quantité de données présentes sur la machine. Enfin l’exfiltration, vers un canal de commande qui peut être un serveur dédié, un bot Telegram ou, de plus en plus souvent en 2026, une infrastructure cloud légitime qui complique le blocage par simple liste noire de domaines.
Lumma Stealer : le retour après la saisie de mai 2025
Lumma Stealer, aussi appelé LummaC2, a connu l’épisode le plus spectaculaire du secteur. En mai 2025, une opération coordonnée entre Microsoft et Europol a démantelé environ 2 300 domaines malveillants liés à l’infrastructure de Lumma, avec saisies, blocages et sinkholing de serveurs de commande. Le malware a cependant survécu. Les équipes de Trend Micro ont observé une reprise de l’activité des serveurs de Lumma dans les semaines qui ont suivi, avec une remontée des campagnes ciblées entre juin et juillet 2025, documentée dans l’analyse « Lumma Stealer Returns with Stealthier Methods » publiée par les chercheurs de la société.
Début 2026, Lumma est revenu diffusé via de nouveaux chargeurs, CastleLoader et RenEngine, intégrés à des campagnes de jeux piratés. Mais son retour s’est fait en position affaiblie. Une évaluation de 2026 situe Lumma derrière Vidar en part de marché, avec un déclin de 65 % des détections observé par ANY.RUN au quatrième trimestre 2025. Techniquement, Lumma reste l’une des familles les plus polyvalentes : mots de passe de navigateur, cookies de session, portefeuilles crypto, données de double authentification, et identifiants liés à Steam et Discord quand ils sont accessibles via le navigateur. Sa diffusion passe désormais davantage par des chargeurs en mémoire et une infrastructure cloud légitime, ce qui complique la détection par simple surveillance réseau selon l’analyse d’Acronis consacrée à la famille, consultable dans son guide de défense sur LummaC2.
Le modèle économique de Lumma reste le plus onéreux du secteur. Les abonnements au service de malware-as-a-service se négocient entre 250 et 1 000 dollars par mois selon le niveau d’accès au panneau de contrôle, et le code source complet aurait été proposé autour de 20 000 dollars à des acheteurs capables de maintenir leur propre version. Ce tarif premium reflète la réputation historique de Lumma plus que sa position actuelle sur le marché, désormais contestée par Vidar.
RedLine Stealer : la chute après l’Opération Magnus
RedLine Stealer a longtemps été la référence du secteur, au point d’être cité dans quasiment tous les rapports sur les malwares visant les joueurs entre 2020 et 2024. Son infrastructure a été frappée en octobre 2024 par l’Opération Magnus, une action coordonnée des autorités néerlandaises et de partenaires internationaux. Deux ans plus tard, en octobre 2026, RedLine continue d’apparaître dans les comparatifs de 2026, mais dans une position nettement affaiblie face à Vidar, Lumma et StealC.
RedLine reste capable de voler les identifiants de navigateur, les cookies, les identifiants VPN et FTP, ainsi que les données de session liées aux plateformes de jeu lorsque le navigateur les stocke. Son abonnement se négocie autour de 150 dollars par mois, ou 900 dollars pour une licence à vie, un tarif resté stable malgré le déclin de son infrastructure. La persistance de RedLine illustre une réalité du secteur : une saisie d’infrastructure ralentit une famille de malware sans forcément l’éliminer, car le code peut continuer à circuler sous forme de forks ou de variantes maintenues par des acteurs secondaires.
Vidar : le nouveau leader du marché russe des identifiants
Vidar s’est imposé comme l’infostealer le plus utilisé à la fin de l’année 2025, prenant la tête de la catégorie infostealer du Russian Market, une place de marché clandestine de référence pour la revente de logs, dès novembre 2025. Cette progression s’explique en partie par le vide laissé par RedLine après l’Opération Magnus, mais aussi par un éventail de capacités particulièrement large.
Vidar cible explicitement Steam, Telegram et Discord en plus des mots de passe de navigateur, des cookies, des identifiants cloud, des données liées à la double authentification et des portefeuilles de cryptomonnaies. C’est la seule famille parmi les cinq étudiées pour laquelle les sources disponibles établissent un lien explicite et documenté avec le vol de sessions Steam et Discord, ce qui en fait la menace la plus directement pertinente pour un joueur PC en 2026. Côté tarifs, une licence à vie se négocierait autour de 300 dollars, tandis que les abonnements mensuels plus larges du secteur tournent entre 100 et 200 dollars, un rapport qualité-prix nettement plus agressif que celui de Lumma.
StealC et RisePro : les outsiders qui montent en puissance
StealC n’a pas subi de démantèlement judiciaire comparable à ceux qui ont frappé Lumma ou RedLine, ce qui lui a permis de construire une base de clients stable sur les forums de malware-as-a-service. La famille s’appuie sur un module de collecte de fichiers unifié qui aspire mots de passe de navigateur, cookies et portefeuilles crypto, et utilise un empaquetage via Themida pour réduire sa détection statique. Son prix, environ 200 dollars par mois ou 800 dollars pour six mois, la place dans la fourchette basse à moyenne du marché, ce qui en fait une option d’entrée de gamme attractive pour des acteurs moins expérimentés.
RisePro, de son côté, reste la famille la moins documentée du lot en 2026. Les sources disponibles confirment un modèle d’abonnement actif et une capacité de vol de données de navigateur largement répandue, mais aucune statistique fiable de part de marché ou de volume d’infections n’a pu être établie pour la période récente. Son faible niveau de visibilité publique peut aussi bien signifier un déclin réel qu’une opération plus discrète, les deux hypothèses restant plausibles en l’absence de données consolidées.
Pourquoi les saisies judiciaires ne suffisent pas à éradiquer une famille
Les cas de Lumma et RedLine montrent un schéma qui se répète dans la lutte contre les infostealers. Une opération judiciaire coordonnée peut saisir des domaines, bloquer des canaux Telegram et perturber un panneau de contrôle, mais elle ne supprime pas le code source ni les développeurs qui l’entretiennent. Tant que ces deux éléments survivent, souvent hébergés hors de portée des autorités qui ont mené l’opération, une reconstruction reste possible en quelques semaines, comme l’a démontré Lumma entre juin et juillet 2025.
Ce phénomène explique aussi pourquoi le classement entre les cinq familles bouge rapidement d’un trimestre à l’autre. Une disruption judiciaire ouvre un vide de marché que les concurrents s’empressent de combler, exactement comme Vidar a profité de l’affaiblissement de RedLine après l’Opération Magnus d’octobre 2024 pour devenir le choix par défaut sur le Russian Market dès novembre 2025. Pour un joueur, la conséquence pratique est simple : se reposer sur l’actualité d’une saisie judiciaire pour estimer le niveau de risque actuel est trompeur, puisqu’une famille annoncée comme neutralisée peut redevenir active avant la fin du trimestre suivant.
Tableau comparatif technique : cinq familles face à face
Le tableau suivant synthétise les caractéristiques techniques et commerciales des cinq familles d’infostealers les plus actives contre les joueurs PC en octobre 2026.
| Critère | Lumma Stealer | RedLine Stealer | Vidar | StealC | RisePro |
|---|---|---|---|---|---|
| Statut en octobre 2026 | Reconstruit après saisie | Affaibli après Opération Magnus | Leader du marché russe | En croissance, pas de saisie | Actif, peu documenté |
| Disruption judiciaire | Microsoft/Europol, mai 2025 | Opération Magnus, octobre 2024 | Aucune identifiée | Aucune identifiée | Aucune identifiée |
| Vol de cookies Steam | Oui, via navigateur | Limité selon le build | Oui, ciblage explicite | Oui, via collecte de fichiers | Non documenté précisément |
| Vol de jetons Discord | Oui | Partiel | Oui, ciblage explicite | Oui | Non documenté précisément |
| Portefeuilles crypto | Oui | Non prioritaire | Oui | Oui | Non documenté précisément |
| Données de double authentification | Oui | Non documenté | Oui | Non documenté | Non documenté |
| Identifiants VPN/FTP | Partiel | Oui | Partiel | Partiel | Non documenté |
| Technique de dissimulation | Chargeurs en mémoire, cloud légitime | Build classique | Diffusion large, peu de données publiques sur le packing | Empaquetage Themida | Non documenté |
| Vecteur principal 2025-2026 | CastleLoader, RenEngine, jeux piratés | Builds historiques, forums | Russian Market, forums MaaS | Forums MaaS à bas coût | Forums MaaS |
| Code source en vente | Environ 20 000 $ | Non documenté | Non documenté | Non documenté | Non documenté |
| Tendance de détection T4 2025 | Baisse de 65 % (ANY.RUN) | En déclin continu | En hausse, leader | Stable à croissant | Non quantifié |
Benchmarks et volumes : ce que montrent les rapports de 2026
Comparer des malwares n’est pas comme comparer des processeurs : il n’existe pas de banc d’essai unique et reproductible. Les chiffres disponibles proviennent de trois types de sources qui se recoupent partiellement : les rapports hebdomadaires de la plateforme infostealers.com, les analyses de détection d’ANY.RUN, et les études de prix du dark web publiées par des sociétés de threat intelligence comme StingRAI.
Le rapport hebdomadaire infostealers.com couvrant la période du 2 au 9 février 2026 recense 5 143 utilisateurs infectés par des infostealers sur l’ensemble des familles suivies, dont 4 904 associés spécifiquement au domaine riotgames.com. Ce chiffre ne prouve pas un piratage direct des comptes Valorant ou League of Legends : il mesure l’exposition d’identifiants liés à ce domaine dans des logs collectés, pas une compromission confirmée du jeu lui-même. Un autre rapport hebdomadaire de la même plateforme, couvrant la période du 30 mars au 6 avril 2026, recense 2 555 utilisateurs infectés, contre 2 282 sur une période de comparaison antérieure, un niveau qui reste élevé mais sans tendance explosive d’une semaine à l’autre selon les données publiées dans ce rapport hebdomadaire.
| Indicateur | Valeur | Source | Période |
|---|---|---|---|
| Domaines malveillants Lumma saisis | Environ 2 300 | Opération Microsoft/Europol | Mai 2025 |
| Déclin des détections Lumma | -65 % | ANY.RUN | T4 2025 |
| Utilisateurs infectés (toutes familles) | 5 143 | Rapport hebdomadaire infostealers.com | 2-9 février 2026 |
| Dont identifiants liés à riotgames.com | 4 904 | Rapport hebdomadaire infostealers.com | 2-9 février 2026 |
| Utilisateurs infectés (semaine 1) | 2 555 | Rapport hebdomadaire infostealers.com | 30 mars-6 avril 2026 |
| Utilisateurs infectés (semaine comparée) | 2 282 | Rapport hebdomadaire infostealers.com | Période antérieure 2026 |
| Prix moyen d’un log individuel | 5 à 50 $, environ 10 $ en moyenne | StingRAI, Dark Web Price Index | 2025-2026 |
Un point mérite d’être souligné pour tout lecteur technique : aucune des sources consultées ne fournit de comparatif fiable de taux de détection VirusTotal, moteur par moteur, pour les cinq familles. Ces taux varient trop fortement selon le hash de l’échantillon, l’empaquetage, la date d’upload et la méthode d’analyse (statique ou comportementale) pour produire un classement défendable. La seule donnée de détection vérifiable au niveau famille reste la baisse de 65 % des détections de Lumma observée par ANY.RUN au quatrième trimestre 2025, qui mesure une tendance, pas un pourcentage absolu de moteurs antivirus.
Tarifs du malware-as-a-service : combien coûte un infostealer
Le marché des infostealers fonctionne comme un véritable service commercial, avec grille tarifaire, support technique et mises à jour régulières pour contourner les antivirus. Cette structure de type SaaS explique pourquoi des acteurs peu qualifiés techniquement peuvent lancer une campagne de vol de comptes de jeu en quelques heures.
| Famille | Abonnement mensuel | Licence à vie | Code source |
|---|---|---|---|
| Lumma Stealer | 250 à 1 000 $ | Non proposé en standard | Environ 20 000 $ |
| RedLine Stealer | Environ 150 $ | Environ 900 $ | Non documenté |
| Vidar | 100 à 200 $ (estimation marché) | Environ 300 $ | Non documenté |
| StealC | Environ 200 $ | Environ 800 $ pour six mois | Non documenté |
| RisePro | Abonnement actif, tarif non confirmé | Non documenté | Non documenté |
Ces prix doivent être lus comme des tarifs d’affichage publicitaire, pas comme des transactions auditées. Ils varient selon la version du build, le niveau de support, l’accès au panneau d’administration et la réputation du vendeur sur les forums fermés. Au-delà de l’achat direct du malware, un acteur peut aussi acheter des logs déjà collectés par d’autres : un log individuel contenant les identifiants d’une victime se négocie entre 5 et 50 dollars, avec une moyenne autour de 10 dollars par bot infecté selon les estimations de marché publiées par StingRAI dans son rapport sur les identifiants compromis. C’est ce qui rend le trafic de comptes de jeu volés accessible même à des acheteurs disposant d’un budget très limité.
Pourquoi attribuer une attaque à une famille précise reste difficile
Un lecteur technique remarquera un point récurrent dans ce dossier : les statistiques de volume, comme les 5 143 utilisateurs infectés recensés en février 2026 ou les 2 555 de la semaine du 30 mars au 6 avril 2026, portent sur l’ensemble des familles d’infostealers suivies par les rapports, pas sur une famille isolée. C’est une limite inhérente à la manière dont les plateformes de threat intelligence collectent leurs données : elles agrègent des logs trouvés en vente sur des places de marché clandestines, souvent sans pouvoir remonter avec certitude au malware exact qui les a générés.
Cette limite n’invalide pas les chiffres, elle en précise la portée. Un identifiant exposé associé au domaine riotgames.com prouve qu’un navigateur a stocké une session ou un mot de passe lié à ce site au moment de l’infection, pas que le compte Valorant correspondant a été repris par l’attaquant ni que c’est Vidar plutôt que Lumma qui en est responsable. Pour un lecteur qui cherche à évaluer son propre niveau de risque, le signal le plus utile reste donc le volume global d’identifiants liés au jeu vidéo en circulation, plutôt qu’un classement précis entre les cinq familles sur ce point spécifique.
Cinq cas réels de comptes de jeu compromis en 2025-2026
Les attributions précises, famille par famille, restent difficiles à établir publiquement, car un compte volé peut résulter d’une combinaison de log infostealer, de phishing et de credential stuffing revendus en chaîne. Les cas suivants illustrent néanmoins l’ampleur du phénomène côté joueurs.
- Base de données Steam annoncée en mai 2025. Un acteur du dark web a mis en vente ce qu’il présentait comme une base de 89 millions de comptes Steam, avec des enchères démarrant à 5 000 dollars. L’authenticité du lot n’a pas été confirmée publiquement, et rien n’établit qu’il provienne spécifiquement de l’une des cinq familles étudiées ici, mais l’annonce a circulé largement dans les communautés de cybersécurité.
- Campagnes de jeux piratés GTA, Minecraft et Call of Duty. Des chercheurs ont documenté en 2025 des millions de fichiers déguisés en mods, cheats ou copies piratées de ces titres, chargés pour exfiltrer cookies Steam, jetons Discord, mots de passe de navigateur et clés de portefeuilles crypto.
- Chaînes de redirection Discord mi-2025. Des liens d’invitation falsifiés ont mené vers des redirections livrant AsyncRAT, Skuld Stealer et ChromeKatz, trois outils capables de voler des sessions Discord actives sans nécessiter le mot de passe du compte.
- Exposition liée à riotgames.com, février 2026. Sur 5 143 utilisateurs infectés recensés dans un rapport hebdomadaire, 4 904 présentaient des identifiants liés au domaine riotgames.com, un signal d’exposition massive côté communauté Valorant et League of Legends, même si l’attribution à une famille précise reste non confirmée.
- Retour de Lumma via jeux piratés début 2026. Les campagnes utilisant les chargeurs CastleLoader et RenEngine ont ciblé spécifiquement les téléchargements de jeux piratés pour redéployer Lumma après sa disruption de 2025, confirmant que le vecteur « jeu gratuit » reste une porte d’entrée privilégiée malgré la répression judiciaire.
Ce dernier point rejoint une tendance déjà observée dans d’autres dossiers de piratage touchant l’industrie du jeu vidéo, comme la fuite ayant visé 46 812 comptes chez Bandai Namco ou l’incident Meccha Chameleon impliquant malware et Discord, où la chaîne de compromission combine ingénierie sociale et outils automatisés plutôt qu’une faille technique isolée. La fuite interne documentée chez Epic Games autour de Fortnite rappelle aussi que le vol de données dans l’industrie du jeu vidéo ne se limite pas aux infostealers grand public, et peut aussi venir d’un accès interne détourné.
Comment ces malwares s’infiltrent dans votre PC de joueur
Les cinq familles partagent des vecteurs de diffusion très similaires, ce qui simplifie la défense. Premièrement, les faux cracks et jeux piratés restent le canal le plus documenté, notamment pour les titres à forte demande comme GTA et Call of Duty. Deuxièmement, les faux outils de triche promettent un avantage compétitif mais livrent un chargeur qui installe le stealer en tâche de fond. Troisièmement, les faux mods téléchargés hors des plateformes officielles comme le Steam Workshop portent le même risque.
Quatrièmement, les liens Discord frauduleux, souvent présentés comme des cadeaux Nitro gratuits ou des invitations à un serveur exclusif, redirigent vers des pages de téléchargement piégées. Cinquièmement, les pages de fausse vérification CAPTCHA, une technique parfois appelée ClickFix, demandent à la victime de coller elle-même une commande dans une fenêtre d’exécution Windows, ce qui contourne une partie des protections automatiques du système puisque c’est l’utilisateur, et non un script, qui déclenche l’exécution.
Aucun de ces vecteurs ne correspond à une vulnérabilité logicielle récente dans Steam, Epic Games, Riot Vanguard, Discord ou Battle.net. Vanguard, le composant anti-cheat et de sécurité de Riot Games, protège contre la triche en jeu et contre certains accès bas niveau, mais il n’empêche pas le vol d’identifiants web effectué par un navigateur compromis en dehors du processus de jeu. C’est une distinction technique importante : la menace vient de l’utilisateur qui installe volontairement un exécutable non vérifié, pas d’un exploit distant contre le client de jeu lui-même.
Steam : le Workshop et les cracks comme points d’entrée
Sur Steam, le risque se concentre sur deux portes d’entrée : les jeux piratés téléchargés hors de la plateforme, et les contenus du Workshop qui échappent à une modération systématique avant publication. Un exécutable annoncé comme un « générateur de clés » ou un « crack no-steam » pour un jeu payant reste l’appât le plus documenté dans les campagnes 2025-2026 visant Lumma, Vidar et StealC.
Discord : le jeton de session plus précieux que le mot de passe
Sur Discord, l’actif le plus recherché n’est pas le mot de passe mais le jeton de session stocké localement par le client, qui permet de se faire passer pour l’utilisateur sans jamais déclencher de demande de double authentification. C’est ce qui explique pourquoi les campagnes de liens d’invitation frauduleux documentées mi-2025, livrant AsyncRAT ou ChromeKatz, ciblent spécifiquement ce fichier de session plutôt que de tenter une attaque par force brute sur le mot de passe.
Riot Games et Battle.net : l’exposition via le navigateur plutôt que le client
Pour Riot Games et Battle.net, l’essentiel de l’exposition documentée en 2026 passe par le navigateur utilisé pour se connecter au site web du compte, pas par le client de jeu lui-même. C’est cette nuance qui explique les 4 904 identifiants liés à riotgames.com recensés dans le rapport de février 2026 : il s’agit d’identifiants de connexion web exposés dans des logs d’infostealers, pas d’une preuve que Vanguard ou le launcher Riot aurait été directement compromis.
Anti-cheat vs protection anti-infostealer : deux lignes de défense distinctes
Une confusion fréquente chez les joueurs consiste à croire qu’un anti-cheat performant protège aussi contre le vol de compte. Ce n’est pas le rôle de ces outils, et comprendre la différence aide à ne pas baisser sa garde au mauvais endroit. Riot Vanguard, utilisé sur Valorant et League of Legends, fonctionne à un niveau noyau pour détecter les logiciels de triche et les manipulations de mémoire pendant une partie. Easy Anti-Cheat, propriété d’Epic Games et déployé sur de nombreux jeux tiers, et BattlEye, utilisé notamment sur PUBG et Rust, suivent une logique similaire de surveillance du processus de jeu et de son environnement immédiat.
Aucun de ces trois systèmes n’a pour mission de surveiller le gestionnaire de mots de passe du navigateur, les cookies de session stockés par Chrome ou Firefox, ou les fichiers de jeton utilisés par le client Discord. Ces données vivent en dehors du périmètre que l’anti-cheat est conçu pour protéger, ce qui explique pourquoi un joueur peut avoir un compte Valorant parfaitement protégé contre la triche tout en étant exposé au vol de ses identifiants par Vidar ou Lumma via le navigateur. La leçon pratique est simple : un anti-cheat actif et à jour reste indispensable pour l’intégrité du jeu en ligne, mais il doit être complété par une hygiène de sécurité spécifique aux identifiants, qui relève d’une couche de protection entièrement différente.
Quelle protection selon votre profil de joueur
La réponse à apporter dépend fortement du profil et des habitudes de jeu. Voici cinq recommandations concrètes selon les cas d’usage les plus fréquents.
- Joueur occasionnel sur Steam. Activez l’authentificateur mobile Steam Guard, évitez tout exécutable téléchargé hors de la boutique officielle ou du Steam Workshop vérifié, et désactivez la sauvegarde automatique des mots de passe dans le navigateur pour les sites liés au jeu.
- Joueur compétitif sous anti-cheat (Valorant, CS2, Fortnite). Ne confondez pas protection anti-cheat et protection anti-infostealer : Vanguard, Easy Anti-Cheat ou Ricochet surveillent la triche, pas le vol de cookies de navigateur. Ajoutez une solution de sécurité avec surveillance comportementale et protection du navigateur en complément.
- Administrateur ou modérateur de serveur Discord. Désactivez les aperçus de liens automatiques pour les invitations entrantes, formez votre communauté à ne jamais coller une commande « pour vérifier » dans l’exécuteur Windows, et activez la double authentification sur le compte administrateur du serveur.
- Streamer ou créateur de contenu gaming. Séparez le navigateur utilisé pour les sessions de jeu et de connexion aux plateformes de celui utilisé pour naviguer sur des sites tiers, et envisagez un gestionnaire de mots de passe dédié plutôt que la sauvegarde native du navigateur, qui reste la cible numéro un de ces cinq familles.
- Parent d’un adolescent joueur. Mettez en place une liste blanche de sources de téléchargement autorisées (boutiques officielles uniquement) et expliquez concrètement pourquoi un cheat gratuit pour un jeu payant est statistiquement plus susceptible de contenir un stealer qu’un outil légitime.
- Collectionneur de skins et d’objets à forte valeur de revente. Un inventaire Steam ou CS2 chargé en skins rares augmente la valeur de revente d’un compte piraté. Activez un délai de confirmation des échanges (trade hold), limitez les connexions à vos appareils habituels, et surveillez l’historique de connexion Steam au moins une fois par semaine.
Le cas particulier des joueurs français et européens
Les rapports consultés pour ce dossier ne fournissent pas de ventilation par pays permettant d’affirmer que la France ou l’Europe serait plus ou moins touchée que les États-Unis ou l’Asie par ces cinq familles. Ce qui change en Europe, c’est surtout le cadre de recours en cas d’incident. Un joueur français victime d’un vol de compte peut déposer plainte auprès des services compétents, ce qui alimente les statistiques nationales de cybermalveillance même lorsque l’attaque transite par une infrastructure hébergée hors de l’Union européenne. Ce même mécanisme de revente de données volées sur des forums clandestins a déjà été documenté sur shattered.io à propos de BreachForums, où 324 000 comptes avaient été mis en circulation après une fuite distincte de celle des infostealers.
Sur le plan des recommandations de base, les autorités françaises et européennes convergent avec les constats techniques de ce dossier : mise à jour régulière du système, usage d’un gestionnaire de mots de passe dédié plutôt que la sauvegarde native du navigateur, activation systématique de la double authentification, et prudence absolue face à tout exécutable obtenu hors des canaux de distribution officiels. Aucune de ces recommandations n’est spécifique au jeu vidéo, mais leur application concrète diffère selon la plateforme : un joueur Steam gère son authentificateur mobile directement dans l’application, tandis qu’un joueur Riot Games doit passer par les paramètres de compte du site web, un point de friction qui explique en partie pourquoi l’adoption de la double authentification reste inégale d’une plateforme à l’autre.
Guide de migration : d’une hygiène numérique faible à une protection renforcée
Pour un joueur qui réalise que ses habitudes actuelles l’exposent à ces cinq familles d’infostealers, voici une marche à suivre progressive pour réduire la surface d’attaque sans tout changer d’un coup.
- Faites l’inventaire des exécutables non officiels installés sur votre PC de jeu : cracks, cheats, mods téléchargés hors plateforme, outils de « boost FPS » douteux. Désinstallez-les.
- Changez les mots de passe de vos comptes Steam, Discord, Riot et Battle.net depuis un appareil propre, idéalement après un scan antivirus complet de la machine suspecte.
- Activez la double authentification sur chaque plateforme : authentificateur mobile Steam Guard, application d’authentification pour Discord, et vérification en deux étapes pour les comptes Riot et Battle.net.
- Migrez les mots de passe stockés dans le navigateur vers un gestionnaire de mots de passe dédié, puis videz le stockage natif du navigateur une fois la migration terminée.
- Déconnectez et régénérez les jetons de session actifs sur Discord via les paramètres de sécurité du compte, une étape souvent oubliée après un changement de mot de passe.
- Installez une solution de sécurité avec surveillance comportementale plutôt qu’un antivirus purement signature-based, car des familles comme StealC utilisent un empaquetage conçu pour réduire la détection statique.
- Revoyez les sources de téléchargement : limitez-vous aux boutiques officielles (Steam, Epic Games Store, Battle.net) et au Steam Workshop vérifié pour les mods.
- Sensibilisez votre entourage de jeu : un lien Discord « trop beau pour être vrai » ou une page CAPTCHA qui demande de coller une commande reste le signal d’alerte le plus fiable.
Avantages et inconvénients de chaque stratégie de défense
Aucune mesure isolée n’élimine le risque. Chaque approche de défense a ses forces et ses limites face à ces cinq familles d’infostealers.
- Double authentification. Avantage : bloque l’essentiel des tentatives de connexion directe même avec un mot de passe volé. Inconvénient : inefficace si l’attaquant vole directement un cookie de session déjà authentifiée, comme le font Vidar et Lumma.
- Gestionnaire de mots de passe tiers. Avantage : retire les identifiants du stockage natif du navigateur, la cible numéro un de ces malwares. Inconvénient : demande un effort de migration et une discipline d’usage pour ne jamais revenir à la sauvegarde automatique.
- Antivirus comportemental. Avantage : détecte des techniques comme le chargement en mémoire utilisées par Lumma depuis 2026, que les signatures classiques manquent. Inconvénient : peut générer des faux positifs et ne remplace pas la vigilance sur les sources de téléchargement.
- Vigilance sur les sources de téléchargement. Avantage : coupe le vecteur de diffusion le plus documenté pour les cinq familles, à coût nul. Inconvénient : repose entièrement sur la discipline de l’utilisateur, et un seul moment d’inattention suffit à une infection.
- Segmentation des navigateurs et des comptes. Avantage : limite les dégâts en cas de compromission partielle. Inconvénient : complexifie l’usage quotidien et reste rare chez les joueurs non professionnels.
- Anti-cheat renforcé (Vanguard, Easy Anti-Cheat, BattlEye). Avantage : réduit la triche et certaines manipulations bas niveau pendant une partie. Inconvénient : ne surveille pas le navigateur ni les identifiants stockés, et ne doit jamais être considéré comme une protection contre le vol de compte.
Le verdict : quelle famille représente le plus grand risque en 2026
Sur la base des données disponibles en octobre 2026, Vidar est la famille qui représente le risque le plus direct pour un joueur PC. C’est la seule des cinq pour laquelle les sources établissent un ciblage explicite et documenté de Steam et Discord, elle occupe la position de leader sur le Russian Market depuis novembre 2025, et son tarif d’entrée, environ 300 dollars pour une licence à vie, la rend accessible à un grand nombre d’acteurs malveillants peu qualifiés.
Lumma reste la famille la plus coûteuse et la plus sophistiquée techniquement, avec son usage de chargeurs en mémoire et d’infrastructure cloud légitime, mais sa position de marché s’est affaiblie depuis sa saisie de mai 2025, avec une baisse de 65 % de ses détections au quatrième trimestre 2025 selon ANY.RUN. RedLine, autrefois dominant, s’est durablement affaibli après l’Opération Magnus d’octobre 2024 et ne figure plus en tête des comparatifs de 2026. StealC progresse rapidement grâce à des tarifs compétitifs et l’absence de disruption judiciaire majeure, ce qui en fait la famille à surveiller sur les douze prochains mois. RisePro reste, pour l’instant, le point d’interrogation du secteur, avec trop peu de données publiques pour trancher sur sa trajectoire réelle.
Le message central pour tout joueur PC reste simple : ces cinq familles ne percent pas les défenses de Steam, Discord ou Riot Games par un exploit technique. Elles exploitent la confiance accordée à un crack gratuit, un cheat miracle ou un lien Discord alléchant. La double authentification, un gestionnaire de mots de passe dédié et une vigilance sur les sources de téléchargement restent, à ce jour, les trois leviers les plus efficaces pour sortir de la zone de risque, bien plus que l’attente d’un correctif logiciel qui, dans ce dossier précis, n’a pas lieu d’être.
Questions fréquentes
Lumma Stealer est-il toujours actif en octobre 2026 ?
Oui. Après la saisie de son infrastructure par Microsoft et Europol en mai 2025, Lumma a reconstruit ses serveurs et sa diffusion dans les semaines suivantes, et circule début 2026 via des chargeurs comme CastleLoader et RenEngine, notamment dans des campagnes de jeux piratés. Sa position de marché reste toutefois affaiblie face à Vidar.
Quel infostealer vole le plus de comptes Steam ?
Parmi les cinq familles étudiées, Vidar est la seule pour laquelle les sources documentent un ciblage explicite de Steam, aux côtés de Discord et Telegram. Lumma peut également récupérer des identifiants Steam via le navigateur, mais sans ciblage spécifique documenté comme celui de Vidar.
Un antivirus classique suffit-il à bloquer ces malwares ?
Pas entièrement. StealC utilise un empaquetage Themida qui réduit la détection par signature, et Lumma s’appuie sur des chargeurs en mémoire difficiles à repérer par une surveillance réseau classique. Une solution avec surveillance comportementale complète utilement un antivirus traditionnel, mais la vigilance sur les sources de téléchargement reste le facteur le plus déterminant.
Riot Vanguard protège-t-il contre le vol de compte Valorant ?
Non, pas directement. Vanguard est un anti-cheat et un composant de sécurité conçu pour empêcher la triche en jeu et certains accès bas niveau pendant une partie. Il ne surveille pas le navigateur ni les mots de passe enregistrés, qui restent le canal exploité par les infostealers pour voler des identifiants liés à Riot Games.
Combien coûte un infostealer sur le dark web en 2026 ?
Les tarifs varient fortement selon la famille : environ 150 dollars par mois pour RedLine, 200 dollars par mois pour StealC, et entre 250 et 1 000 dollars par mois pour Lumma selon le niveau d’accès. Un log individuel déjà collecté se revend en moyenne autour de 10 dollars, avec une fourchette de 5 à 50 dollars selon son contenu.
La base de 89 millions de comptes Steam annoncée en 2025 est-elle authentique ?
Son authenticité n’a pas été confirmée publiquement. L’annonce a circulé sur un forum du dark web en mai 2025 avec des enchères démarrant à 5 000 dollars, mais rien n’établit un lien confirmé avec l’une des cinq familles d’infostealers étudiées dans ce dossier, ni une validation indépendante du contenu réel du lot.
Comment savoir si mon compte Discord a été compromis par un infostealer ?
Vérifiez les sessions actives dans les paramètres de sécurité de votre compte Discord et déconnectez celles que vous ne reconnaissez pas. Un changement d’avatar, de pseudonyme ou l’envoi de messages que vous n’avez pas écrits sont des signaux classiques de vol de jeton de session, la technique privilégiée par Vidar et Lumma sur cette plateforme.
Faut-il éviter tous les mods et cheats pour jouer en sécurité ?
Pas tous, mais la prudence doit être proportionnelle à la source. Les mods distribués via le Steam Workshop vérifié ou des plateformes officielles de modding reconnues présentent un risque bien plus faible que les cheats et cracks téléchargés sur des forums anonymes, qui restent le vecteur de diffusion le plus documenté pour Lumma, Vidar et StealC en 2025-2026.
Peut-on récupérer un compte de jeu volé par un infostealer ?
Dans la plupart des cas oui, via le support officiel de la plateforme concernée (Steam, Discord, Riot Games ou Battle.net), à condition de prouver la propriété du compte. La récupération est plus rapide si la double authentification était déjà activée avant l’infection, car elle fournit une preuve de propriété supplémentaire que le support peut vérifier.
StealC est-il plus dangereux que Lumma pour un joueur ?
Pas nécessairement plus dangereux, mais plus difficile à détecter par signature classique à cause de son empaquetage Themida, et moins coûteux à exploiter pour un attaquant avec un budget limité. Lumma reste techniquement plus sophistiqué avec ses chargeurs en mémoire, mais son prix d’entrée, entre 250 et 1 000 dollars par mois, limite le nombre d’acteurs capables de l’utiliser à grande échelle.