Arnaques à la clé API Steam et fausses offres d'échange : la défense d'un joueur de Rust

L'arnaque à la clé API Steam est discrète par construction. Tes skins restent dans ton inventaire, ton mot de passe fonctionne toujours, et rien ne paraît anormal jusqu'au moment où tu fais un vrai échange. Alors ton offre disparaît, une offre quasi identique arrive d'un compte déguisé en ton partenaire d'échange, et tu la confirmes sur ton téléphone sans y regarder à deux fois. Les skins partent chez un inconnu.

Les joueurs de Rust sont une cible naturelle parce que nous sommes nombreux à échanger avec des bots chaque semaine, pour des dépôts de gambling, des ventes sur des places de marché et des retraits. Ce guide explique comment fonctionne l'arnaque, comment les comptes sont compromis au départ, les vérifications qui la repèrent, et que faire si elle t'est déjà arrivée.

Comment fonctionne l'arnaque à la clé API

Une clé API Web Steam est un identifiant de développeur. Les développeurs légitimes en utilisent une pour créer des outils qui lisent les données de Steam. Entre de mauvaises mains, une clé enregistrée sur ton compte permet à quelqu'un de surveiller tes offres d'échange au moment de leur création et d'agir dessus automatiquement. L'attaque se déroule généralement ainsi :

1. Tu te connectes à Steam via une fausse page, ou un programme malveillant ou une extension de navigateur copie ta session connectée. Quelqu'un peut désormais agir comme toi sur le site de Steam.
2. Il enregistre une clé API Web sur ton compte, ou en trouve une que tu avais créée et oubliée.
3. Il attend. Rien n'est volé, donc un coup d'œil rapide à ton inventaire te dit que tout va bien.
4. Tu lances un vrai échange, par exemple un dépôt sur un site de gambling Rust.
5. Un script voit la nouvelle offre, l'annule, et t'envoie une offre de remplacement depuis un compte monté pour ressembler au vrai partenaire : même nom, même avatar, les mêmes objets listés.
6. Tu confirmes le remplacement dans l'application Steam. Les skins vont à l'escroc, et le dépôt du site expire tout simplement.

Le détail important est la dernière étape. La clé permet à l'escroc de surveiller et de réagir, mais approuver un échange demande toujours ton téléphone. Chaque version de cette arnaque a quand même besoin que tu confirmes un échange que tu n'as pas vérifié correctement, et c'est exactement là que tu peux l'arrêter.

Valve a ajouté des frictions à l'enregistrement des clés au fil des ans, et les escrocs se sont adaptés en poussant les joueurs à approuver eux-mêmes les étapes. Considère comme hostile tout site web qui te demande de créer, coller ou confirmer une clé API. Un site de gambling Rust n'en a pas besoin.

Comment les comptes sont compromis au départ

Fausses pages de connexion Steam

La voie classique est une page qui ressemble à une connexion Steam et envoie tes identifiants à quelqu'un d'autre. Elles apparaissent derrière des giveaways de skins gratuits, de faux sites de gambling avec caisses gratuites, des liens qui te demandent de voter pour l'équipe de quelqu'un dans un tournoi, et des versions clonées de vrais sites Rust.

Une variante plus convaincante dessine une fausse popup de connexion dans la page elle-même, avec une fausse barre d'adresse montrant steamcommunity.com. Deux tests rapides attrapent la plupart d'entre elles. Essaie de faire glisser la popup hors de la fenêtre de ton navigateur : une vraie fenêtre peut sortir, une fausse dessinée par la page ne le peut pas. Et surveille ton gestionnaire de mots de passe : il ne proposera pas de remplir une connexion sur le mauvais domaine, aussi vraie que la page paraisse.

Connexions par QR code

Steam te permet de te connecter en scannant un QR code avec l'application mobile. Les escrocs en abusent en t'affichant un code sur une page tierce, ou en t'en envoyant un en message privé, et en te demandant de le scanner pour te connecter ou récupérer quelque chose. Le scanner approuve leur connexion sur ton compte. Ne scanne qu'un code affiché sur un écran de connexion Steam que tu as ouvert toi-même, dans le client Steam ou sur steamcommunity.com.

Extensions et téléchargements malveillants

Les extensions de navigateur qui promettent des contrôles de prix de skins, des aides à l'échange, des outils de skins gratuits, des cheats de jeu, et les fichiers envoyés par un ami qui te demande d'essayer son jeu sont tous des vecteurs courants. Certains volent les données de session de ton navigateur, ce qui permet à quelqu'un d'utiliser ta session Steam connectée sans connaître ton mot de passe ni voir un code Steam Guard. N'installe de logiciels que depuis des sources que tu as cherchées toi-même, supprime les extensions que tu n'utilises pas, et méfie-toi beaucoup de tout fichier envoyé dans un message, même par un ami dont le compte est peut-être déjà compromis.

Donner soi-même la clé

Certains sites et prétendus bots d'échange te demandent de coller ta clé API pour vérifier des échanges ou aller plus vite. Ne le fais pas. Même quand le site ne veut aucun mal, une clé active sur ton compte est à une fuite de base de données du script de quelqu'un d'autre.

Un audit de compte en cinq minutes

Fais-le maintenant, et à nouveau chaque fois que tu soupçonnes t'être connecté quelque part où tu n'aurais pas dû. Fais-le d'une traite, car l'ordre compte : tu veux couper l'accès avant de nettoyer.

1. Change ton mot de passe Steam depuis le client Steam ou une page Steam que tu as tapée toi-même. Choisis-en un propre à Steam.
2. Ouvre Gérer Steam Guard dans les paramètres de ton compte et utilise Désautoriser tous les autres appareils. Cela met fin à toutes les autres sessions connectées, y compris celle qu'un escroc utilise peut-être.
3. Tape steamcommunity.com/dev/apikey dans la barre d'adresse. Tu dois voir un formulaire pour enregistrer une clé, pas une clé existante. Si une clé est listée, clique sur Révoquer.
4. Vérifie que l'adresse e-mail et le numéro de téléphone du compte sont bien les tiens, et que le compte e-mail n'a aucune règle de redirection que tu n'as pas créée.
5. Parcours les extensions de ton navigateur et supprime tout ce que tu ne reconnais pas ou n'utilises plus. Lance une analyse antimalware sur le PC.
6. Si ton URL d'échange a été publiée publiquement, crée-en une nouvelle dans tes paramètres d'offres d'échange et mets-la à jour sur les sites que tu utilises.

Vérifie à nouveau la page de la clé API un jour plus tard. Une clé qui revient après l'avoir révoquée signifie que quelqu'un a encore accès : répète donc les étapes et contacte le support Steam.

Lire une offre d'échange qui pourrait être fausse

Les bots imposteurs copient ce qui est facile à copier. Un nom d'affichage et un avatar peuvent être changés en quelques secondes. Un Steam ID, un lien de profil, un niveau Steam et l'ancienneté d'un compte ne se falsifient pas aussi facilement, et c'est ce que tu vérifies.

• Ouvre l'offre en entier. Utilise le client Steam ou steamcommunity.com, pas seulement la notification du téléphone.
• Clique jusqu'au profil du partenaire depuis l'offre. Compare le niveau, l'ancienneté du compte et le lien du profil avec ce que le site affiche pour son bot. Les imposteurs sont généralement des comptes neufs ou récemment achetés.
• Fais correspondre le code de sécurité si le site en affiche un dans le message de l'offre et à l'écran.
• Vérifie les objets ligne par ligne. Sur un dépôt, seul ce que tu as sélectionné part. Sur un retrait, rien ne part du tout.
• Méfie-toi d'une seconde offre. Si une offre s'est volatilisée et qu'une nouvelle est apparue quelques secondes plus tard, traite la nouvelle comme hostile jusqu'à l'avoir vérifiée de zéro.
• Lis la confirmation mobile. Ouvre-la et vérifie le partenaire et les objets avant d'approuver.

Un symptôme mérite sa propre ligne. Si tes offres d'échange sont annulées sans que tu y touches, pars du principe que ton compte est compromis et fais l'audit ci-dessus avant d'échanger quoi que ce soit d'autre. Notre guide sur comment déposer et retirer des skins en sécurité contient une liste de contrôle complète pour les offres de dépôt et de retrait.

Faux support et faux admins sur Discord

La deuxième grande famille d'arnaques saute la technologie et agit directement sur toi. La plus courante dans les cercles Rust et CS2 commence par un message disant que quelqu'un a signalé ton compte par erreur, et que tu dois parler à un admin Steam pour régler ça. L'admin est un escroc avec un nom convaincant et un logo Valve, et la conversation se termine par une demande de tes identifiants, d'un code Steam Guard, d'un partage d'écran ou d'un échange pour vérifier tes objets.

Le support Steam passe par help.steampowered.com. Le personnel de Valve ne contacte pas les joueurs sur Discord pour régler des bannissements ou des signalements, et personne d'authentique n'a besoin de ton mot de passe ni de tes codes.

Le support des sites de gambling est usurpé de la même façon. Plains-toi dans le chat public ou le Discord d'un site d'un retrait bloqué, et tu peux recevoir en quelques minutes un message privé d'un agent de support qui propose de t'aider. Les escrocs surveillent les canaux publics exactement pour cela. Le vrai support d'un site répond via le chat en direct du site ou le système de tickets, et ne te demande pas d'envoyer des skins ni de la crypto pour réparer quoi que ce soit.

Les arnaques que les joueurs de Rust croisent le plus

L'angle du contrôle de prix des skins mérite qu'on s'y attarde si tu valorises régulièrement un inventaire. Notre explication sur le fonctionnement des prix des skins Rust montre comment valoriser des objets avec la seule page du Marché Steam, sans aucune extension.

Si c'est déjà arrivé

La rapidité compte plus que tout ici, car un compte compromis peut être vidé à nouveau pendant que tu cherches à comprendre ce qui s'est passé.

1. Fais tout de suite l'audit de compte ci-dessus : mot de passe, Désautoriser tous les autres appareils, puis révocation de toute clé API.
2. Signale le compte qui a reçu tes objets avec Signaler le joueur sur son profil Steam.
3. Ouvre un ticket auprès du support Steam via help.steampowered.com et explique ce qui s'est passé, avec les dates et les détails de l'échange.
4. Préviens le support du site de gambling, via son propre chat en direct, du bot qui a été imité et du moment. Les sites ne peuvent normalement pas annuler un échange Steam, mais ils veulent savoir que leurs bots sont copiés.
5. Change le mot de passe de tout autre compte qui partageait le même, en commençant par ton e-mail.

Sois réaliste sur la récupération. La politique de Steam est que les objets perdus dans des échanges ne sont en général pas restitués. Quiconque te contacte pour te proposer de récupérer des skins volés contre rémunération monte la prochaine arnaque de la liste.

Des habitudes pour rester hors de la liste

Rien de tout cela n'exige de compétence technique. Cela se résume à une poignée d'habitudes que tu répètes jusqu'à ce qu'elles soient automatiques : accède aux sites via des favoris que tu as créés, garde l'authentificateur mobile Steam Guard activé, ne colle jamais une clé API nulle part, ne scanne jamais un QR code que tu n'as pas demandé, et lis chaque offre d'échange en entier avant de la confirmer. Considère chaque message privé non sollicité comme hostile.

La sécurité des comptes fait aussi partie de la façon dont nous notons les sites. Notre méthode de notation donne à la confiance et à la sécurité le plus gros poids des six critères, et chaque avis de notre section des avis indique le domaine que nous avons testé pour que tu puisses vérifier que tu es sur le vrai.

Perdre des skins face à un escroc peut ressembler beaucoup à les perdre sur une mauvaise série, et l'envie de les regagner est tout aussi forte. Si tu te surprends à déposer davantage pour compenser un vol, fais une pause et lis notre page sur le jeu responsable, qui recense des services de soutien gratuits.