À la mi-juillet, le compte Microsoft de Joshua Khane a été piraté. La société a confirmé la compromission, a reconnu qu’il était le propriétaire légitime, puis a quand même supprimé le compte. Vingt-cinq ans d’achats de jeux Xbox, de fichiers OneDrive et des photos de bébé de son fils, perdus, Microsoft déclarant le dossier « inaccessible » et la décision irréversible.
L’indignation publique de Khane, qui a largement circulé sur les réseaux sociaux, est devenue un point de bascule dans un débat croissant sur ce que les joueurs possèdent réellement à l’ère numérique. Son cas n’est pas isolé. Une vulnérabilité d’authentification Xbox Live divulguée plus tôt cette année a exposé environ 89 millions de comptes agrégés sur les plateformes Xbox et PlayStation, selon un rapport de SecurityWeek. Les attaquants ont pu contourner l’authentification à deux facteurs via des vulnérabilités des services de jeu multiplateformes.
Microsoft a répondu à la brèche en déployant des correctifs d’urgence à 3 h 15 EST, en imposant des réinitialisations de mot de passe et en déployant une authentification multifacteur obligatoire sur toute la plateforme. Mais l’affaire Khane révèle un fossé entre la réponse sécuritaire de Microsoft au niveau de l’infrastructure et ses pratiques de récupération de comptes. Après que son compte a été compromis, probablement par la même catégorie d’attaques de vol d’identifiants qui affectent toutes les grandes plateformes de jeu, les systèmes automatisés de Microsoft ont signalé une activité suspecte, suspendu le compte, puis, bien qu’ayant confirmé la propriété de Khane, ont refusé de le restaurer.
Le timing est particulièrement embarrassant pour Microsoft. Quelques jours avant que l’affaire Khane ne devienne publique, un tribunal brésilien a statué contre la société dans un procès similaire, obligeant Microsoft à restaurer la collection de jeux numériques d’un utilisateur Xbox qui avait été perdue en raison d’une erreur système. La société avait initialement dit à cet utilisateur la même chose : rien ne pouvait être fait, créez un nouveau compte, rachetez vos jeux.
La brèche Xbox Live et l’exploit matériel Bliss, le premier piratage réussi de la ROM de démarrage de la Xbox One après 12 ans, présenté à la conférence de sécurité RE//verse en mars, illustrent ensemble que les comptes Xbox font face à des menaces sur plusieurs fronts. L’exploit Bliss nécessite un accès physique et n’affecte que la Xbox One originale de 2013, mais son existence sape l’affirmation de longue date de Microsoft selon laquelle la plateforme était effectument inviolable. Plus important encore, la brèche d’authentification a démontré qu’un attaquant n’a pas besoin d’accès physique pour causer des dommages catastrophiques.
Les comptes Xbox sont des comptes Microsoft, qui peuvent également contrôler l’accès à Office 365, Azure et la messagerie professionnelle. La CISA a averti que les plateformes de jeu représentent une cible croissante pour le vol d’identifiants, car de nombreux utilisateurs réutilisent les mêmes mots de passe pour leurs comptes de jeu et leurs comptes financiers. Les spécialistes de la sécurité conseillent de plus en plus de séparer complètement les comptes de jeu personnels des comptes Microsoft professionnels.
Microsoft a introduit de nouveaux outils de sécurité tout au long de l’année 2026, notamment une modération IA élargie, une vérification de l’âge au Royaume-Uni avec des plans de déploiement plus large, et une authentification multifacteur obligatoire. Mais l’affaire Khane et la décision du tribunal brésilien suggèrent que le fossé ne se situe pas dans la sécurité préventive de Microsoft, mais dans ce qui se produit après que les défenses échouent.
Traduit par Lydie
Sources: User loses all Xbox games and 25 years of data after account hack (Level Up, July 16, 2026); Xbox Bliss exploit and Live breach (Expert Zoom, April 7, 2026); Compromised Microsoft/Xbox account (Microsoft Learn, July 22, 2026)