Credential stuffing : comment bien protéger ses comptes de jeu ?

Une ancienne fuite de données peut suffire à compromettre un compte Steam, PlayStation ou Epic Games si le même mot de passe est utilisé ailleurs… Voici comment fonctionne le credential stuffing et comment s’en protéger quand on aime les jeux vidéo.

Le credential stuffing, c’est quoi ?

Un inventaire Counter-Strike 2 joliment garni, un compte Fortnite ouvert depuis la première saison, une bibliothèque Steam qu’il a fallu plus de douze ans à construire ou un profil Riot chargé de souvenirs : derrière un identifiant tout simple se cachent parfois des centaines d’euros et des milliers d’heures de jeu. Pour un pirate, ces comptes représentent donc bien plus qu’un pseudo et quelques trophées.

Les comptes en question peuvent donner accès à des objets échangeables, à des moyens de paiement enregistrés, à des contacts de confiance ou à d’autres services liés… Et pour en prendre le contrôle, nul besoin de découvrir une faille chez Valve, Sony ou Epic Games. Il suffit parfois que le propriétaire ait réutilisé un mot de passe déjà exposé ailleurs.

Le « bourrage d’identifiants » (la façon de dire credential stuffing en français), ça consiste à tester automatiquement des couples formés d’une adresse email et d’un mot de passe qui proviennent d’une fuite de données. Contrairement à une attaque par force brute, le pirate ne cherche pas à deviner un code secret caractère après caractère : à la place, il recycle une combinaison qui a déjà fonctionné sur un autre site web, comme l’explique justement cette comparaison des deux méthodes.

Les failles qui profitent au credential stuffing

Des outils automatisés peuvent ensuite essayer ces identifiants sur Steam, le PlayStation Network, Xbox, Epic Games, Riot Games, Battle.net, Nintendo voire Discord… Si l’utilisateur emploie la même combinaison sur plusieurs services, une seule fuite ancienne peut donc provoquer une série de connexions frauduleuses, sans que les plateformes de jeu elles-mêmes aient été piratées.

Dès qu’un accès fonctionne, l’attaquant peut tenter de modifier l’adresse de récupération, de déconnecter les appareils reconnus, d’examiner l’inventaire ou d’utiliser le compte pour envoyer des messages crédibles aux amis de la victime. L’objectif varie : revendre le profil, transférer des objets, effectuer des achats ou préparer une nouvelle tentative de fraude.

Pourquoi les comptes de joueurs sont-ils si convoités ?

De nos jours, un compte de jeu concentre toute une vie numérique. Par exemple, celui-ci peut rassembler : une ludothèque, des sauvegardes dans le cloud, des abonnements, des monnaies virtuelles, une liste d’amis, des années et des années de progression… En outre, certains objets cosmétiques et contenus liés à CS2 ou d’autres jeux possèdent une valeur d’échange qui attire les fraudeurs.

Les habitudes des joueurs leur facilitent aussi parfois la tâche… Beaucoup ont créé leurs premiers comptes à l’adolescence, avec une adresse email désormais peu consultée et un mot de passe mémorisable utilisé partout. À cela s’ajoutent les comptes secondaires : un ancien smurf, un personnage abandonné sur un MMO, une inscription à une bêta, un profil ouvert pour essayer un free-to-play, oublié depuis.

Si le phishing et le credential stuffing ne doivent pas être confondus, ces derniers peuvent se renforcer mutuellement… Un faux cadeau permet ainsi de dérober des identifiants ; une fois le compte compromis, son carnet d’adresses permet d’envoyer le même piège sous le nom d’une personne célèbre ou connue. Plus le profil est ancien et actif, plus cette identité numérique paraît crédible.

Un mot de passe unique pour chaque service

Face au credential stuffing, la protection la plus directe consiste à attribuer un code secret différent à chaque plateforme. Comme personne n’a intérêt à mémoriser une quinzaine de mots de passe complexes, un gestionnaire de mot de passe peut générer et conserver un mot de passe long et unique pour chaque compte. Si une boutique en ligne subit une fuite demain, à l’aide d’un tel gestionnaire, les identifiants dérobés ne permettront pas d’ouvrir automatiquement Discord, Steam ou le PlayStation Network.

L’adresse email principale mérite la même rigueur, car elle sert souvent à réinitialiser tous les autres accès… Et son mot de passe doit lui aussi être unique ! La solution Have I Been Pwned permet par ailleurs de déterminer si une adresse spécifique est apparue dans des fuites connues. Une alerte ne veut pas dire que tous les comptes associés ont d’ores et déjà été piratés… Toutefois, elle impose de remplacer immédiatement les mots de passe concernés et tous ceux qui auraient été réutilisés.

La double authentification change le rapport de force

Un mot de passe unique limite la propagation de l’attaque ; l’authentification multifacteur ajoute, quant à elle, une seconde barrière : même si les identifiants sont valides, le pirate est contraint de fournir un code ou de confirmer la connexion depuis un appareil reconnu ! Lorsqu’une plateforme le permet, mieux vaut privilégier une application d’authentification aux codes reçus par SMS ou par email.

Les clés d’accès, ou passkeys, vont encore plus loin en remplaçant le mot de passe saisi par une validation liée à l’appareil. PlayStation propose déjà cette option. Quoi qu’il en soit, il faut conserver les codes de secours dans un endroit sûr, maintenir les coordonnées de récupération à jour et vérifier régulièrement la liste des appareils connectés.

D’ailleurs, ces précautions complètent les réflexes présentés dans notre article consacré à la cybersécurité dans les jeux vidéo : il faut se méfier des faux cadeaux, éviter les lanceurs douteux et ne jamais saisir ses identifiants après avoir suivi un lien inattendu.

Le compte oublié : l’erreur que l’on sous-estime

Le compte principal n’est pas toujours le maillon le plus faible. Un compte ancien qui n’est plus utilisé peut encore conserver une adresse de récupération obsolète, une méthode de paiement, des applications autorisées ou, pire, un mot de passe partagé avec des services actifs. Parce qu’il ne reçoit presque plus d’attention, une connexion suspecte risque aussi de passer inaperçue…

Un rapide inventaire annuel permet de reprendre le contrôle : fermer les comptes devenus inutiles, retirer les cartes bancaires enregistrées, révoquer les sessions inconnues, enfin,  supprimer les applications liées et mettre à jour les informations de récupération. De plus, il peut aussi être pertinent de télécharger ou de conserver les justificatifs d’achat utiles à une éventuelle procédure de récupération.

Que faire si un compte de jeu est menacé de credential stuffing ?

La priorité consiste à sécuriser l’adresse email associée, c’est-à-dire changer son mot de passe, activer la double authentification et s’assurer qu’aucune règle de transfert inconnue n’a été ajoutée. Il est ensuite recommandé de passer uniquement par l’assistance officielle de la plateforme, de modifier les identifiants du compte, de fermer les sessions actives et de contrôler les achats, échanges ou changements de coordonnées récents.

Si l’ancien mot de passe a été employé ailleurs, tous les mots de passe concernés doivent être remplacés sur-le-champ. Lorsqu’il y a un doute sur l’origine de la compromission, une analyse de l’ordinateur ou du smartphone permet aussi de rechercher l’éventuelle présence d’un logiciel malveillant… Enfin, mieux vaut prévenir ses contacts : un pirate peut exploiter le compte volé pour diffuser de faux liens avant même de toucher à l’inventaire.

Le credential stuffing prospère moins grâce à une prouesse technique qu’à une habitude très « humaine », laquelle consiste à réutiliser ce que l’on connaît déjà… Or, un compte de jeu accumule parfois dix ans d’achats, de progression et de souvenirs ! Quelques minutes suffisent pour lui attribuer un mot de passe unique, consolider sa récupération et activer une seconde vérification. Et quand on y pense, c’est bien peu face au temps qu’il faudrait pour reconstruire toute une vie de gameur.