Steam : un bug a permis d’avoir de l’argent en illimité sur son compte

Une faille de sécurité dans Steam permettait aux joueurs d’alimenter leur portefeuille virtuel à l’infini. Il fallait pour cela passer par une méthode de paiement Smart2Pay et intercepter la requête POST. La vulnérabilité a été détectée par un utilisateur et corrigée dans la foulée par Valve.

Steam l’a échappé belle. En permettant à ses utilisateurs d’alimenter leur portefeuille numérique, le service a sans le vouloir ouvert une faille de sécurité qui aurait pu lui coûter très cher. En effet, comme le rapporte l’utilisateur drbrix sur HackerOne, une vulnérabilité au niveau de l’ajout de fonds permet de mettre autant d’argent que l’on souhaite sur son portemonnaie. « Je pense que l’impact est assez évident, un hacker peut générer de l’argent et casser le marché de Steam, vendre des clés de jeux pas cher, etc. », commente-t-il.

Pour ce faire, drbrix explique qu’il faut commencer par changer l’adresse mail associée à son compte Steam en ajoutant la suite de caractères « amount100 ». Cette simple manipulation permet ensuite de modifier le montant que l’on souhaite importer dans son portefeuille, sans avoir à débourser plus d’un euro. Pour cela, il faut intercepter la requête POST intervenant après un paiement utilisant la méthode Smart2Pay. Une simple URL suffit pour modifier la somme que l’on désire avoir.

Sur le même sujet : Steam interdit désormais de changer le pays de votre compte trop régulièrement

Pour 1 euro, vous pouviez acheter tous les jeux que vous vouliez sur Steam

Steam n’a pas attendu bien longtemps pour déployer un correctif. Ce dernier est survenu le jour même de la publication du rapport par drbrix. ” Merci pour ce rapport », lui a rapidement répondu la firme. « Il était clairement rédigé et a permis d’identifier un risque commercial réel. Nous avons changé l’évaluation de la gravité en Critique, reflétant le coût potentiel pour l’entreprise, et avons appliqué une prime en conséquence. Nous espérons avoir d’autres échos de votre part à l’avenir ».

Sur le même sujet : Steam fixe le prix des jeux sur les plateformes concurrentes, des joueurs portent plainte

En guise de récompense, Valve a versé 7500 dollars à drbrix. Une somme qui peut paraître un brin petite compte tenu de l’ampleur des risques causés par la faille, que l’éditeur a par ailleurs lui-même souligné. Malgré tout, l’utilisateur ne se plaint pas et s’est dit reconnaissant.