Ubisoft coupe l’accès à Rainbow Six Siege en urgence après une compromission majeure

Dur weekend pour Ubisoft. L’éditeur a dû mettre Rainbow Six Siege hors ligne après une intrusion dans ses systèmes internes et engager une restauration complète du jeu.

Si vous n’avez pas pu accéder à Rainbow Six Siege ce weekend, vous n’êtes pas seul. Ubisoft a été contraint de couper les serveurs de son FPS ce samedi, après une intrusion ayant permis à des tiers de manipuler des outils d’administration critiques du jeu. En cause, un accès non autorisé à plusieurs services internes, détourné pour perturber les systèmes de modération, déverrouiller les inventaires et créditer des montants astronomiques de crédits R6 sur tous les comptes de joueurs et joueuses.

Des accès internes détournés et des milliards de crédits distribués gratuitement

Selon les confirmations d’Ubisoft et de nombreux témoignages directs, les attaquants disposaient de privilèges suffisamment élevés pour modifier en profondeur l’expérience de millions de joueurs et joueuses à l’échelle mondiale. En l’espace de quelques heures, ils ont pu bannir et débannir des comptes à l’envi, falsifier des messages de sanctions dans le fil public, déverrouiller l’ensemble des éléments de personnalisation du jeu, y compris des objets normalement réservés aux développeurs, et surtout créditer chaque compte actif d’environ 2 milliards de crédits R6.

C’est d’ailleurs cette dernière manipulation qui a immédiatement attiré l’attention. Les crédits R6 constituent une monnaie virtuelle premium vendue contre de l’argent réel, intégrée au modèle économique du jeu. À titre indicatif, Ubisoft facture environ 100 dollars pour 15 000 crédits, ce qui signifie que l’achat de 2 milliards de crédits R6 représenterait un peu plus de 13 millions de dollars au tarif public.

Un montant évidemment virtuel, qui ne correspond pas à un préjudice comptable direct dans la mesure où aucune somme n’a été effectivement dérobée. En revanche, la distribution gratuite de l’équivalent de 13 millions de dollars de monnaie virtuelle par compte aurait, si elle n’avait pas été rapidement contenue, directement remis en cause le système de monétisation du jeu.

Serveurs coupés, transactions annulées et rumeurs de compromission plus large

Face à l’ampleur de la situation, Ubisoft a choisi de désactiver volontairement Rainbow Six Siege et sa boutique intégrée, le temps de reprendre le contrôle des systèmes affectés et d’effectuer une restauration complète du jeu. L’éditeur a également précisé qu’aucune sanction ne serait appliquée aux joueurs et joueuses ayant dépensé les crédits reçus, tout en annonçant l’annulation rétroactive de toutes les transactions effectuées après 11h UTC (midi heure française) le samedi, afin de limiter les abus.

Ce lundi 29 décembre, le compte officiel de Rainbow Six Siege sur X a confirmé la reprise progressive du jeu, mais que la boutique resterait fermée jusqu’à nouvel ordre. Les joueurs et joueuses ne s’étant pas connectés entre le 27 décembre à 10h49 UTC et le 29 décembre ne devraient constater aucun changement dans leur inventaire. Celles et ceux s’étant connectés après le 27 décembre à 10h49 UTC pourraient en revanche perdre temporairement l’accès à certains éléments acquis avant l’intrusion. Ubisoft a précisé que l’enquête se poursuivait et que des ajustements seraient déployés au cours des deux prochaines semaines afin de restituer les contenus légitimes concernés.

L’éditeur n’a, pour le moment, fourni aucun détail sur l’origine de l’intrusion ni sur le vecteur ayant permis cet accès aux outils internes. Selon BleepingComputer, certaines allégations de chercheurs évoquent néanmoins l’exploitation possible d’une vulnérabilité récente affectant MongoDB, baptisée MongoBleed (CVE-2025-14847), susceptible, dans certaines configurations exposées, de permettre la lecture de la mémoire de serveurs et l’extraction d’identifiants ou de clés sensibles. D’autres vont jusqu’à mentionner un accès à des dépôts Git internes d’Ubisoft ou un vol de données utilisateurs.

À ce jour, aucune de ces informations n’a pu être vérifiée de manière indépendante. Ubisoft n’a, pour sa part, confirmé que les abus observés directement dans Rainbow Six Siege, sans faire état d’une compromission plus vaste de son infrastructure.

Sources : Rainbow Six Siege via X.com, BleepingComputer