Les comptes Steam de plusieurs développeurs de jeux ont été récemment compromis et utilisés pour propager des logiciels malveillants via des mises à jour de jeux. Selon Valve, moins de 100 utilisateurs ont installé le jeu après l'ajout du malware et ont été informés du risque par e-mail.
Bien que cet incident n'ait pas touché beaucoup de monde, Valve a pris des mesures importantes pour éviter que cela ne se reproduise. À partir du 24 octobre, les développeurs de jeux devront passer une vérification d’identité à deux facteurs avant de mettre à jour la version de branche par défaut d’un jeu publié. La « branche par défaut » est la version que Steam propose aux joueurs les plus installés dans les mises à jour automatiques.
Cette vérification à deux facteurs nécessite la réception de messages texte sur téléphone mobile, les futurs développeurs de jeux Steam doivent donc lier les numéros de téléphone mobile. Pour les développeurs qui n'ont pas de numéro de téléphone portable, Valve a déclaré qu'il était "désolé" pour ce changement, mais s'ils souhaitent continuer à mettre à jour le jeu, les développeurs doivent disposer d'un téléphone portable ou d'un autre moyen pour recevoir des messages texte.
Valve a déclaré à PCGamer que cet « inconvénient » pour les partenaires est « un compromis nécessaire pour assurer la sécurité des utilisateurs de Steam et pour que les développeurs soient conscients de toute menace potentielle sur leurs comptes ».
Et Valve a également déclaré qu'il ne s'agissait pas d'un incident isolé. La société a déclaré avoir constaté une augmentation récente des « attaques sophistiquées » ciblant les comptes de développeurs de jeux publiés sur Steam.
À l'avenir, les développeurs Steam devront également effectuer une vérification à deux facteurs par SMS lors de l'ajout de nouveaux utilisateurs aux groupes d'entreprise. Valve a déclaré qu'il prévoyait d'ajouter à l'avenir la vérification à deux facteurs à d'autres opérations backend Steam.
L'un des jeux concernés inclut NanoWar : CellsVSVirus. Le développeur Benoit Freslon a déclaré sur Twitter (X) avoir lui-même été victime d'un malware qui a volé le jeton d'accès de son navigateur, permettant à l'attaquant d'accéder à n'importe quel service Web auquel il s'est connecté. "Je pense que c'est quelques heures avant le piratage que j'ai sorti le jeu en utilisant mon compte de développement", a-t-il déclaré.