Valve divulgue 12 TB de données Steam2 couvrant une décennie de jeux

Contexte du leak

Un torrent de plus de 12 TB, qualifié de « terarelease », a circulé ce week‑end. Il regroupe l’ensemble des dépôts (depots) liés aux titres disponibles sur Steam entre 2003 et 2013, période correspondant à l’ancien système de distribution nommé Steam2. La diffusion s’est faite via un tracker BitTorrent public, rendant la suppression complète par Valve pratiquement impossible.

Architecture Steam2 et transition vers SteamPipe

Steam2 reposait sur un format propriétaire de fichiers stockés sur des serveurs dédiés. Chaque version d’un jeu était empaquetée dans un depot distinct, incluant les builds publics, les prototypes et les versions de test. En 2013, Valve a remplacé cette architecture par SteamPipe, qui utilise des arbres de fichiers HTTP standards et ne transmet que les différences entre versions (diffs). Ce changement a éliminé plusieurs goulots d’étranglement liés à l’approbation des mises à jour et a simplifié la distribution des correctifs.

Contenu du dump et méthode d’accès

Le dump comprend des milliers de dépôts, chacun contenant plusieurs itérations d’un même titre. Parmi les artefacts, on retrouve des builds jamais publiés, des prototypes de jeux majeurs et des versions de test de titres tiers. Selon le dataminer Gabe Follower, l’ensemble du contenu a été récupéré via un point d’accès API public, sans authentification ni chiffrement. Un analyste hispanophone a confirmé que le serveur était « 100 % accessible au public, sans mot de passe, caché en pleine vue ». Aucun mécanisme de protection n’a été détecté, ce qui indique que Valve n’a jamais restreint l’accès à ces dépôts dans le cadre de Steam2.

Implications pour la préservation et la sécurité

Du point de vue de la conservation numérique, le dump offre une source unique pour restaurer des versions de jeux considérées comme perdues. Les archives de jeux pré‑SteamPipe, auparavant accessibles uniquement via des machines locales anciennes, sont désormais récupérables en masse. Cependant, la disponibilité publique de code binaire non autorisé soulève des questions de propriété intellectuelle et de conformité légale. Sur le plan de la sécurité, la fuite expose la faiblesse d’une architecture qui ne prévoyait pas de contrôle d’accès granulaire, montrant que la simple exposition d’une API peut entraîner la divulgation de dizaines de téraoctets de données. La transition vers SteamPipe, avec son modèle HTTP et ses diff, semble répondre à ces lacunes en limitant la surface d’exposition.