Fuite de Données Steam Machine : l'Affaire CEVA [2026]

Valve a averti le 10 août 2026 les acheteurs européens de matériel Steam qu’une partie de leurs données personnelles avait été exposée lors d’une cyberattaque visant CEVA Logistics, le prestataire chargé d’expédier les commandes de Steam Deck, Steam Controller et surtout Steam Machine sur le continent. L’attaque, survenue entre le 29 juillet et le 1er août 2026, n’a touché ni les mots de passe, ni les moyens de paiement, ni les codes Steam Guard des utilisateurs. Elle a en revanche exposé noms, adresses postales et numéros de téléphone liés aux commandes matérielles – et propulsé Valve au centre d’une brèche bien plus large, qui a déjà touché une banque, un club de football et plusieurs enseignes néerlandaises.

Cette fuite de données Steam Machine intervient à un moment délicat pour Valve, qui vient tout juste de lancer sa console de salon et fait déjà face à des critiques sur son prix et sur la pénurie de mémoire qui a fait grimper la facture. Voici ce que l’on sait, ce que cela signifie pour les acheteurs français et européens, et comment cet incident s’inscrit dans une tendance de fond : les pirates ciblent de moins en moins les plateformes elles-mêmes, et de plus en plus les prestataires qui gravitent autour d’elles.

La fuite de données Steam Machine en un coup d’œil

Avant d’entrer dans le détail, voici un résumé des faits confirmés à ce stade par Valve, par CEVA Logistics et par les médias spécialisés qui ont révélé l’affaire.

Élément	Détail confirmé
Entreprise piratée	CEVA Logistics (filiale du groupe CMA CGM, siège à Marseille)
Entreprise concernée par la fuite	Valve / Steam (Steam Deck, Steam Controller, Steam Machine)
Fenêtre de l’attaque	29 juillet – 1er août 2026
Découverte par Valve	7 août 2026
Notification aux clients	10 août 2026
Entrepôts européens touchés	8
Données exposées	Nom, adresse, code postal, ville, pays, téléphone, e-mail Steam, type et prix du matériel commandé
Données NON exposées	Mots de passe, moyens de paiement, codes Steam Guard, historique d’achat Steam
Autres victimes connues de CEVA	Bol, De Bijenkorf, Ajax, ING, Ace & Tate
Organisations ayant notifié une autorité de protection des données	10 (selon l’Autoriteit Persoonsgegevens néerlandaise)

Chronologie de l’attaque chez CEVA Logistics

Selon Help Net Security, l’intrusion chez CEVA Logistics s’est déroulée entre le 29 juillet et le 1er août 2026. CEVA affirme avoir confirmé l’incident le 1er août et avoir aussitôt entamé la notification de ses clients professionnels, dont Valve. L’éditeur de Steam explique avoir été informé de la brèche le 7 août, avant d’envoyer un e-mail de sécurité à l’ensemble des acheteurs concernés le 10 août, jour où l’affaire est devenue publique après avoir été reprise par plusieurs médias spécialisés en cybersécurité, dont BleepingComputer.

Cet écart de plusieurs jours entre la découverte interne et la notification publique n’a rien d’inhabituel pour ce type d’incident : il reflète le temps nécessaire à la revue juridique et à la coordination entre CEVA et l’ensemble de ses clients concernés, chacun devant vérifier l’étendue exacte de son propre périmètre de données avant de communiquer. CEVA indique avoir isolé les systèmes touchés, les avoir mis hors ligne et avoir fait appel à des enquêteurs externes pour déterminer l’ampleur exacte de l’intrusion.

Quelles données ont fuité – et ce que Valve affirme avoir protégé

Le périmètre communiqué par Valve à ses clients est précis. Les champs exposés incluent le nom complet, l’adresse postale, le code postal, la ville, le pays, le numéro de téléphone, l’adresse e-mail associée au compte Steam, ainsi que le type et le prix du matériel commandé. Ces informations correspondent aux données de livraison que CEVA conserve pendant une fenêtre de rétention de 90 jours après chaque commande.

Ce que Valve affirme ne pas avoir été touché

Dans son e-mail de notification, Valve a été catégorique : « CEVA does not have access to your payment information, passwords, Steam Guard codes or other information » – autrement dit, CEVA n’a jamais eu accès aux moyens de paiement, mots de passe, codes Steam Guard ou autres données de compte de ses clients, selon les informations rapportées par Help Net Security. Valve a également mis en garde ses clients contre une vague probable de tentatives de hameçonnage : parce que les données volées comprennent de vrais noms, de vraies adresses et le détail de commandes réelles, un message frauduleux qui cite ces informations paraîtra nettement plus crédible qu’un spam générique. La consigne de l’éditeur est simple – traiter comme fausse toute communication non sollicitée évoquant une commande de matériel Steam, par e-mail, SMS ou téléphone.

Pourquoi Valve confie la logistique de la Steam Machine à un prestataire externe

Valve fonctionne historiquement avec une structure interne réduite au regard des sommes que génère Steam. Ce modèle convient très bien à la distribution de logiciels, mais ne s’étend pas naturellement à la gestion d’entrepôts et de flottes de livraison dans des dizaines de pays. Livrer une Steam Machine ou une Steam Deck jusqu’à la porte d’un client à Lyon, Berlin ou Lisbonne est un problème logistique, pas un problème logiciel – d’où le recours à un prestataire spécialisé comme CEVA Logistics, également utilisé par de nombreuses autres marques grand public.

Ce choix n’a en soi rien d’anormal et ne constitue pas, à lui seul, une faute de sécurité : la quasi-totalité des fabricants de matériel électronique sous-traitent une partie de leur chaîne logistique. Le problème est structurel plutôt que spécifique à Valve. Un prestataire logistique unique servant des centaines de marques devient mécaniquement une cible de choix : compromettre le système de gestion des commandes d’un seul transporteur revient à exposer, d’un coup, les clients de dizaines d’entreprises qui n’ont elles-mêmes commis aucune erreur de sécurité.

Un cercle de victimes bien plus large : Bol, Ajax, ING et De Bijenkorf touchés

Valve se distingue surtout par la notoriété de Steam, mais l’éditeur est loin d’être la seule entreprise prise dans la brèche CEVA. Selon l’enquête de TechCrunch, figurent également parmi les victimes le site de e-commerce néerlandais Bol, le grand magasin de luxe De Bijenkorf, le club de football amstellodamois Ajax, l’opticien Ace & Tate et le groupe bancaire ING. Cet éventail – une banque, un club sportif, un distributeur de mode et une plateforme de jeu vidéo – illustre à quel point une brèche chez un prestataire logistique peut irriguer des secteurs qui n’ont, entre eux, aucun lien apparent.

L’ampleur de la réponse réglementaire reflète cette dispersion. L’autorité néerlandaise de protection des données, l’Autoriteit Persoonsgegevens, confirme avoir déjà reçu des notifications de 10 organisations distinctes liées à l’incident CEVA – un chiffre qui devrait continuer à grimper à mesure que d’autres entreprises clientes achèvent leur propre revue juridique. CEVA affirme de son côté avoir isolé les systèmes compromis et engagé des enquêteurs externes, tout en refusant de communiquer un volume précis de données ou de confirmer l’existence d’une demande de rançon.

Le risque fournisseur, nouvelle porte d’entrée favorite des pirates

L’incident CEVA illustre une tendance documentée depuis plusieurs années par les chercheurs en sécurité. Selon les données compilées par Secureframe, qui s’appuie notamment sur les travaux de Gartner, une brèche impliquant un tiers coûte en moyenne environ 40 % de plus à traiter qu’un incident purement interne, en raison de la complexité supplémentaire liée à la coordination entre plusieurs entités, plusieurs juridictions et plusieurs environnements de données. Le coût moyen d’une brèche liée à un tiers se situe, selon les mêmes sources croisées avec les études Gartner et IBM, dans une fourchette d’environ 4,9 à 5,1 millions de dollars par incident à l’échelle mondiale.

Concrètement, cela signifie que le maillon le plus faible de la sécurité d’une plateforme de jeu n’est plus nécessairement la plateforme elle-même. Steam dispose de mécanismes d’authentification à deux facteurs matures et d’un historique de sécurité des comptes plutôt solide ; CEVA Logistics, elle, n’avait aucune raison de se penser comme une cible à haut risque avant cet été. C’est précisément ce calcul que font les attaquants : plutôt que de s’attaquer frontalement à un géant comme Valve, il est plus efficace de compromettre un prestataire qui dessert des dizaines de marques à la fois.

RGPD : ce que la fuite CEVA déclenche pour les autorités européennes

Parce que les entrepôts touchés et la majorité des clients nommés de CEVA se trouvent en Europe, cet incident relève pleinement du régime de notification des violations de données prévu par le RGPD. L’article 33 du règlement impose en principe aux organisations de notifier une violation qualifiée à leur autorité de contrôle dans un délai de 72 heures après en avoir eu connaissance. C’est cette mécanique qui explique pourquoi Bol, Ajax, ING et Valve n’ont pas communiqué le même jour malgré une source commune : chaque entreprise touchée mène sa propre analyse juridique, notifie sa propre autorité de référence et informe ses propres clients selon son calendrier interne.

Pour les acheteurs français, la situation reste à préciser : rien n’indique à ce stade qu’un signalement distinct ait été fait à la CNIL, et Valve n’a pas détaillé la répartition par pays des clients concernés au sein des huit entrepôts européens touchés. Mais le mécanisme du RGPD s’applique indépendamment du pays où siège l’autorité qui reçoit la première notification : un résident français dont les données de livraison Steam Machine figuraient dans la fenêtre de rétention de 90 jours de CEVA bénéficie des mêmes droits d’information, d’accès et, le cas échéant, de réclamation auprès de la CNIL que n’importe quel autre citoyen européen concerné.

Concrètement, un acheteur français concerné dispose de plusieurs leviers prévus par le règlement européen : le droit d’accès (article 15) pour demander à CEVA ou à Valve la confirmation exacte des données le concernant qui ont été exposées, le droit de rectification (article 16) si les informations conservées sont erronées, et le droit d’introduire une réclamation auprès de la CNIL (article 77) s’il estime que le traitement de son cas n’a pas été satisfaisant. Ces droits existent indépendamment du fait que la faille ait eu lieu chez un sous-traitant – CEVA – plutôt que chez le responsable de traitement principal, Valve, qui reste in fine responsable vis-à-vis de ses clients de la manière dont leurs données sont protégées tout au long de la chaîne logistique.

Comparatif : la fuite CEVA face aux grandes brèches par la chaîne d’approvisionnement

Pour resituer l’ampleur de l’incident, voici comment il se compare aux plus grandes attaques ayant transité par un fournisseur ou un prestataire technique ces dernières années.

Incident	Année	Vecteur	Organisations touchées	Ampleur
SolarWinds (Sunburst)	2020	Mise à jour logicielle piégée	~18 000 organisations clientes	9 agences fédérales américaines confirmées touchées
Kaseya VSA	2021	Rançongiciel REvil via un logiciel MSP	~60 prestataires MSP	800 à 1 500 entreprises clientes touchées, 17 pays
MOVEit Transfer	2023	Faille zero-day exploitée par Cl0p	2 618+ organisations (suivi Emsisoft, nov. 2023)	Plus de 95 millions de personnes selon le suivi ultérieur d’Emsisoft
CEVA Logistics / Steam	2026	Cyberattaque chez un prestataire d’expédition	Au moins 10 organisations notifiées aux Pays-Bas	Données de livraison de clients Steam Deck, Controller et Machine en Europe

De SolarWinds à CEVA : l’essor des attaques par la chaîne d’approvisionnement

Le schéma qui touche aujourd’hui Steam n’a rien d’inédit. En 2020, l’attaque SolarWinds Sunburst a montré qu’une seule mise à jour logicielle piégée pouvait atteindre environ 18 000 organisations clientes, dont neuf agences fédérales américaines confirmées. En 2021, l’attaque par rançongiciel contre Kaseya VSA, revendiquée par le groupe REvil, a étendu ce principe aux prestataires de services managés : une soixantaine de MSP compromis ont suffi à toucher entre 800 et 1 500 entreprises clientes réparties dans 17 pays, REvil réclamant à l’époque une rançon de 70 millions de dollars pour un déchiffreur universel, selon la CISA.

La brèche MOVEit Transfer de 2023, provoquée par le groupe Cl0p exploitant une faille zero-day dans un logiciel de transfert de fichiers, reste l’exemple le plus marquant du genre : le décompte d’Emsisoft recensait déjà 2 618 organisations touchées en novembre 2023, un chiffre qui a continué de grimper avec le temps pour dépasser 95 millions de personnes concernées selon les mises à jour ultérieures du suivi. Le point commun entre ces incidents et celui de CEVA n’est pas le secteur d’activité, mais le mécanisme : un fournisseur unique, situé sous des dizaines voire des centaines d’entreprises clientes, devient le point de défaillance unique de tout un écosystème.

Steam, Xbox, PlayStation, Nintendo : qui protège le mieux les données matérielles ?

Valve n’est pas le seul détenteur de plateforme à expédier du matériel directement aux joueurs. Sony opère PlayStation Direct, Microsoft vend consoles et accessoires via le Microsoft Store, et Nintendo gère sa propre boutique My Nintendo Store – trois circuits qui reposent, eux aussi, sur une chaîne logistique externalisée à un moment ou à un autre du parcours de livraison.

Aucune faille comparable signalée ailleurs – pour l’instant

Aucun des trois autres grands éditeurs de plateformes n’a, à ce jour, communiqué sur une brèche logistique comparable à celle qui touche Steam. Cela ne garantit pas leur immunité – cela signifie seulement qu’aucun incident de ce type n’a encore été rendu public les concernant. Chacun traverse par ailleurs sa propre zone de turbulence en 2026 : Sony a dû gérer plusieurs pannes du PlayStation Network et fait face à un recours collectif visant le PlayStation Store, chiffré à 2,3 milliards d’euros pour environ 12,2 millions de joueurs concernés selon les informations déjà publiées par shattered.io. Valve, de son côté, doit également gérer un procès antitrust intenté par 32 000 développeurs et portant sur 3,1 milliards de dollars, sans lien direct avec la fuite CEVA mais qui alimente la même question : la confiance dans les grandes plateformes de jeu tient-elle encore à la hauteur de leur poids économique ?

Plateforme	Canal de vente matériel direct	Incident logistique 2026 confirmé
Valve / Steam	Boutique Steam + expédition via CEVA Logistics (Europe)	Oui – fuite de données de livraison, août 2026
Sony / PlayStation	PlayStation Direct	Aucun signalé publiquement à ce jour
Microsoft / Xbox	Microsoft Store	Aucun signalé publiquement à ce jour
Nintendo	My Nintendo Store	Aucun signalé publiquement à ce jour

Impact sur le marché : Valve risque-t-il de perdre du terrain ?

Steam contrôle toujours environ 74 à 75 % du marché mondial de la distribution numérique de jeux PC, une position bâtie sur des effets de réseau – listes d’amis, succès, bibliothèque de jeux – qu’une brèche chez un prestataire d’expédition ne suffit pas, à elle seule, à ébranler. Sur le premier semestre 2026, la plateforme a d’ailleurs enregistré un chiffre d’affaires record de 11,1 milliards de dollars, en hausse de 14,5 % sur un an. La fuite CEVA diffère par nature d’un piratage du cœur de la plateforme : aucun compte Steam n’a été compromis, aucune bibliothèque de jeux n’a été touchée, et les informations exposées relèvent de la logistique, pas de l’infrastructure de Valve elle-même.

L’endroit où cela pourrait réellement peser est plus étroit et plus spécifique : la gamme matérielle de Steam. Les acheteurs qui hésitent encore à commander une Steam Machine ou une Steam Deck disposent désormais d’un argument supplémentaire suggérant que commander du matériel Valve, contrairement à l’achat de jeux dématérialisés, implique de confier ses coordonnées à un prestataire extérieur au contrôle direct de l’éditeur. Ce n’est probablement pas suffisant pour faire chuter les ventes de matériel, mais c’est exactement le genre d’histoire qui s’ajoute à une actualité Steam Machine déjà tendue, entre dépassement de budget annoncé et pénurie de mémoire ayant fait grimper les prix.

Le vrai test se jouera dans les prochaines semaines de précommandes européennes. Si les canaux de vente directe de Valve venaient à afficher un ralentissement mesurable en Allemagne, en France ou aux Pays-Bas – les marchés les plus probablement représentés parmi les huit entrepôts CEVA touchés –, ce serait le premier signe tangible que l’incident dépasse le strict cadre de la réputation pour affecter les ventes réelles. À ce stade, aucune donnée publique ne permet de l’affirmer : ni Valve ni CEVA n’ont communiqué de chiffres de précommandes ou d’annulations liées à l’incident.

Ce que les acheteurs français et européens de Steam Machine doivent faire maintenant

La consigne de Valve est volontairement limitée : pas de changement de mot de passe obligatoire, pas de réinitialisation de Steam Guard, seulement une vigilance accrue face à tout message faisant référence à une commande de matériel récente. Cette recommandation correspond à la manière dont les équipes de sécurité traitent habituellement une exposition de données de livraison plutôt qu’une fuite d’identifiants, puisque les attaquants ont obtenu des coordonnées postales, pas les clés d’accès à un compte.

Considérer comme suspecte toute communication (e-mail, SMS, appel) évoquant une commande Steam Machine, Steam Deck ou Steam Controller passée ces derniers mois.
Ne jamais cliquer sur un lien de suivi de colis reçu de manière non sollicitée, même s’il cite une vraie adresse ou un vrai numéro de commande.
Vérifier que l’authentification à deux facteurs Steam Guard reste active, même si Valve affirme qu’elle n’a pas été compromise.
Éviter de réutiliser le mot de passe Steam sur d’autres services, par précaution générale.
Signaler tout message suspect directement via le support officiel de Steam, sans répondre à l’expéditeur.

La confiance de Steam mise à l’épreuve tout au long de 2026

L’incident CEVA s’ajoute à une année déjà chargée pour la confiance dans les grandes plateformes de jeu. Valve doit gérer en parallèle un procès antitrust porté par 32 000 développeurs, tandis que Sony a multiplié les pannes du PlayStation Network et fait face à un recours collectif sur son PlayStation Store. Aucun de ces dossiers n’implique directement une fuite de données clients, mais tous alimentent la même interrogation de fond sur la capacité des géants du jeu vidéo à absorber leur propre croissance sans faille. L’industrie du jeu vidéo dans son ensemble n’est d’ailleurs pas épargnée par les fuites de données ces derniers mois : shattered.io a déjà documenté comment le groupe ShinyHunters a dérobé les données de 78,6 millions de comptes chez Rockstar Games, un rappel que le secteur du jeu vidéo manipule désormais des volumes de données personnelles comparables à ceux de la banque ou du commerce en ligne, sans toujours disposer des mêmes budgets de sécurité dédiés.

Ce n’est pas non plus la première fois que Steam attire l’attention des autorités européennes. Pour mémoire, la Commission européenne avait infligé en janvier 2021 une amende de 1,624 million d’euros à Valve – et de 6,3 millions d’euros cumulés à cinq éditeurs partenaires – pour blocage géographique de clés d’activation Steam au sein de l’Espace économique européen. Le Tribunal de l’Union européenne avait confirmé cette amende le 27 septembre 2023 (affaire T-172/21), rejetant le recours de Valve. Ce dossier, purement réglementaire et sans lien avec la fuite CEVA, rappelle simplement que Steam n’en est pas à son premier passage devant les autorités européennes.

5 prédictions pour la sécurité des plateformes de jeu après l’affaire CEVA

D’autres clients de CEVA vont se manifester. Avec déjà 10 organisations ayant notifié l’autorité néerlandaise et un prestataire opérant environ 1 000 entrepôts dans le monde, d’autres marques que Bol, De Bijenkorf, Ajax, ING, Ace & Tate et Valve devraient confirmer être concernées dans les prochaines semaines.
Valve va subir une pression accrue pour plus de transparence logistique. Les communautés de joueurs et de développeurs devraient réclamer davantage de détails sur les prestataires utilisés pour expédier le matériel Steam en Europe.
Les audits de sécurité des fournisseurs vont s’intensifier chez les éditeurs de matériel de jeu. Sony, Microsoft et Nintendo ont un intérêt direct à vérifier, en interne, que leurs propres prestataires logistiques ne présentent pas de vulnérabilités similaires.
Le sujet du risque fournisseur va s’inviter davantage dans la régulation européenne. À mesure que des incidents comme celui de CEVA touchent des secteurs aussi variés que la banque, le sport et le jeu vidéo, la pression pour un encadrement plus strict du risque tiers dans le RGPD ou dans des textes sectoriels devrait croître.
Les tentatives de hameçonnage ciblant les acheteurs Steam Machine vont augmenter à court terme. Les données exposées – noms, adresses, détails de commande – sont précisément celles qui rendent une campagne de phishing crédible ; une hausse des signalements est probable dans les semaines suivant la divulgation.

Foire aux questions

Les serveurs de Steam ont-ils été piratés directement ?
Non. L’intrusion a eu lieu chez CEVA Logistics, le prestataire qui expédie le matériel Steam en Europe, pas sur l’infrastructure de Valve elle-même.

Mon mot de passe Steam a-t-il été exposé ?
Non, selon Valve. CEVA n’a jamais eu accès aux mots de passe, aux moyens de paiement ni aux codes Steam Guard de ses clients.

Quelles données ont réellement fuité ?
Nom, adresse postale, code postal, ville, pays, numéro de téléphone, e-mail lié au compte Steam, ainsi que le type et le prix du matériel commandé.

Dois-je changer mon mot de passe Steam ?
Valve ne le recommande pas dans ce cas précis, puisque les identifiants n’ont pas été touchés. Rester vigilant face aux messages non sollicités reste toutefois une bonne pratique.

Quelles autres entreprises ont été touchées par la brèche CEVA ?
Selon TechCrunch, Bol, De Bijenkorf, Ajax, ING et Ace & Tate figurent parmi les autres clients de CEVA Logistics concernés par cet incident.

Les acheteurs français sont-ils concernés ?
Valve n’a pas détaillé la répartition par pays des clients affectés. Toute personne ayant commandé du matériel Steam livré en Europe dans les 90 jours précédant l’attaque peut potentiellement être concernée, quel que soit son pays de résidence.

Cette fuite va-t-elle affecter les ventes de la Steam Machine ?
Rien ne l’indique à court terme : Steam conserve environ 74 à 75 % du marché de la distribution numérique PC. L’impact, s’il existe, devrait rester circonscrit à la réputation de la ligne matérielle plutôt qu’à la plateforme dans son ensemble.

Steam Machine : la Fuite CEVA Touche 10 Entreprises [2026]