Un logiciel malveillant a exposé des cartes privatives

Selon Jurojin et WIRED, un attaquant a glissé un logiciel d’accès à distance dans les mises à jour de deux outils de poker tiers très utilisés, dans le but de voir les cartes privatives d’une liste ciblée de joueurs, surtout à gros enjeux. Les outils sont Jurojin et IntuitiveTables, deux programmes tiers de multi-tabling. Les salles de poker concernées ont réagi de manière très différente, des bannissements et remboursements à un refus net de rembourser, et ACR Poker active sa protection de table ScreenShield par défaut à partir du 4 novembre.

Comment l’attaque a fonctionné

Dans un avis de sécurité mis à jour pour la dernière fois le 2 octobre, Jurojin affirme qu’entre juin 2025 et janvier 2026, un attaquant « a pu remplacer par intermittence le paquet de mise à jour livré à un groupe précis d’utilisateurs de Jurojin par une version altérée », et que « certains de ces paquets contenaient un outil d’accès à distance ». Jurojin parle d’« une opération très ciblée, pas d’une attaque de masse », visant des adversaires précis « dans le but de voir leurs cartes privatives à distance ». Cette période ne concerne que le canal de mise à jour de Jurojin ; selon Jurojin, plus rien n’a été téléversé sur ses serveurs après le 28 janvier 2026.

WIRED, dans une enquête publiée le 29 octobre, nomme le programme d’accès à distance MeshAgent. Selon le chercheur en sécurité WolfSec, qui a donné l’alerte le premier sur X le 29 septembre, le développeur d’IntuitiveTables avait Jurojin sur un PC de test, et cette machine a été infectée par la mise à jour altérée. WolfSec affirme que l’attaquant a ensuite ajouté du code malveillant à IntuitiveTables avant que le développeur ne signe une nouvelle version, et que cette version a été diffusée en téléchargement public. WIRED attribue ce cheminement à WolfSec et ne cite pas le développeur d’IntuitiveTables à ce sujet.

Selon WolfSec, la version altérée d’IntuitiveTables n’agissait que sur les noms d’utilisateur figurant sur une liste hébergée sur les serveurs de l’attaquant. WolfSec a déclaré à WIRED : « Si vous étiez sur une liste codée en dur … il agissait comme un programme malveillant … Si vous n’étiez pas sur cette liste, il devenait le programme normal. » Selon WIRED, la liste se composait surtout de joueurs réguliers à gros enjeux sur plusieurs sites.

L’ampleur de l’affaire

Ici, les versions divergent, et les chiffres ci-dessous sont des estimations, pas des totaux confirmés.

• WolfSec estime, via WIRED, que le logiciel altéré a touché plus de 1 000 utilisateurs. WIRED indique que des centaines de joueurs auraient été visés sur plusieurs années.

• Des sources interrogées par WIRED estiment que l’attaquant aurait dérobé entre 1,5 et 4 millions de dollars à des joueurs de GGPoker et d’ACR.

• Jurojin a une lecture plus étroite : « seule une poignée de joueurs à gros enjeux ont été lésés en jouant réellement contre l’attaquant alors que leurs cartes privatives étaient exposées. » Jurojin ajoute que « être exposé ne signifie pas qu’un appareil était infecté. »

WIRED précise que le joueur qu’il décrit n’a été inculpé d’aucun crime (au 29 octobre), et nous ne nommons pas la personne mise en cause dans les rapports de la communauté.

Ce que disent les salles de poker

ACR Poker / Winning Poker Network (WPN). Dans un communiqué du 16 octobre, WPN indique que son équipe Game Integrity a examiné plus de 2 000 000 de mains de joueurs dont les appareils avaient été détectés avec MeshAgent, « sans trouver de preuve qu’un joueur de cet examen ait utilisé la connaissance de cartes privatives sur WPN ». Un compte examiné a été fermé pour d’autres motifs d’intégrité et de gestion des risques, et WPN précise que cette décision est distincte du constat sur les cartes privatives. Selon WIRED, ACR a écrit aux joueurs le 18 octobre qu’elle ne rembourserait pas.

À partir du 4 novembre, ScreenShield, qui masque le contenu des tables aux outils de capture et de partage d’écran, sera activé par défaut pour les joueurs d’ACR Poker ; WPN le décrit comme une norme à l’échelle du réseau. Les joueurs qui ont besoin de la capture d’écran pour le streaming, le coaching ou l’enregistrement peuvent le désactiver eux-mêmes dans les paramètres du client. WPN l’avait déjà activé depuis le 29 septembre pour les joueurs dont l’appareil remplissait ses critères de détection, et affirme que ScreenShield n’est pas « une réponse complète à toutes les menaces de cybersécurité ». WPN évalue aussi une règle qui pourrait interdire les logiciels tiers à côté de son client ; aucune décision n’a été prise.

Séparément, ACR a indiqué le 17 octobre qu’un bogue logiciel dans son client avait créé « une faille de sécurité potentielle », corrigée depuis, et qu’elle n’avait trouvé aucune preuve de compromission de comptes. ACR n’a pas dit quel était le bogue ni ne l’a relié aux mises à jour des outils.

GGPoker. Dans un billet de blog du 15 octobre, GGPoker a interdit tous les logiciels de poker et outils d’automatisation tiers, dont Jurojin et Intuitive Tables, et a ajouté à ses contrôles d’intégrité la détection des taux de gain anormalement élevés. Elle a aussi introduit des fonctions de sécurité facultatives dans le client, dont Screen Guard, qui garde les tables hors des captures d’écran, des partages d’écran et des applications de visualisation à distance. GGPoker dit avoir remonté la trace des fonds jusqu’à un portefeuille crypto et partagé ses conclusions « avec Coinbase, où nous pensons que les fonds ont été déposés », en demandant de restreindre le compte.

CoinPoker et ClubWPT Gold. Selon WIRED, CoinPoker a banni le compte et remboursé plus de 100 000 dollars aux joueurs touchés, et ClubWPT Gold a banni le compte et remboursé un joueur de ses pertes.

Notre lecture

Dans les comptes rendus ci-dessus, le logiciel malveillant a voyagé dans des outils tiers que les joueurs font tourner à côté du client de poker. Le bogue distinct du client d’ACR ne leur a pas été relié. Si vous utilisez Jurojin, son avis recommande une réinstallation propre de Windows si vous avez reçu son e-mail ou constaté des signes d’alerte, et propose un outil de vérification, Jurojin Mesh Check, sur jurojinpoker.com ; selon l’avis, « un résultat propre n’est pas une garantie ». Ne téléchargez les outils que sur le site du développeur et méfiez-vous des messages qui proposent une « vérification » ou un remboursement : Jurojin affirme que le même acteur exploitait des sites d’hameçonnage imitant des salles de poker et des outils connus. Les remboursements dépendent de chaque salle et, au 31 octobre, ils diffèrent beaucoup.

Pour en savoir plus sur les salles de poker et leurs litiges : la plainte de Bryn Kenney contre le propriétaire de GGPoker, le lancement du poker régulé de 888 en Alberta et la consultation norvégienne sur le poker en ligne de Norsk Tipping. Pour une intrusion sur un site crypto, voir l’incident de hot wallet chez Gamdom.

Disponibilité : ACR Poker, GGPoker, CoinPoker et ClubWPT Gold ne sont pas agréés dans tous les pays ; pouvoir y jouer dépend de l’endroit où l’on vit.