Ares Games sous DDoS : Le pledge manager devient critique

🔥 Après trois jours d’attaques DDoS, Ares Games découvre qu’une boutique servant aussi de pledge manager est devenue une infrastructure critique du jeu.

Ares Games : trois jours d’attaque, dix heures de silence

Vous pouvez écouter cet article sous forme de podcast ici, généré par IA. Et nous sommes également sur Apple Podcast & sur YouTube Podcast ici :

L’essentiel en 3 points

• L’éditeur de jeux de société Ares Games a été victime d’une cyber-attaque.
• Boutique, précommandes et pledge manager partagent la même infrastructure e-commerce.
• La vente directe augmente les marges possibles, mais aussi le risque informatique.

Pendant trois jours, Ares Games a subi des épisodes de déni de service distribué qui ont rendu ses sites indisponibles environ dix heures au total. Le problème n’est pas seulement qu’une boutique ait fermé : la même infrastructure sert aussi aux précommandes et à la gestion de contributions crowdfunding. Ce petit incident, sans compromission connue de données clients, révèle un grand changement : dans le jeu de société, le serveur fait désormais partie du canal de distribution.

Le jeu de société adore parler de carton, de conteneurs et de droits de douane. Il va devoir apprendre à parler de bande passante.

Cette semaine, Ares Games, l’éditeur italien notamment connu pour La Guerre de l’Anneau, vient de subir sa première attaque DDoS déclarée. Des milliers de requêtes artificielles auraient saturé à plusieurs reprises la bande passante et le processeur de ses serveurs. Les perturbations, intermittentes, se sont étalées sur environ trois jours et ont représenté quelque dix heures d’indisponibilité cumulée. Pas cool.

Deux environnements ont été touchés : le site principal d’Ares Games et son site e-commerce. Or ce second domaine ne sert pas seulement à vendre des boîtes disponibles en stock. Il accueille aussi des précoss et le pledge manager de campagnes de financement participatif.

La communication publiée sur la page Facebook officielle d’Ares ce mercredi 19 août confirme des épisodes DDoS intermittents sur les deux sites :

Nous ne connaissons ni la puissance exacte de l’attaque, ni l’identité de ses auteurs. Aucun bilan financier chiffré n’a été publié. Ares Games estime par ailleurs avoir probablement été choisie au hasard plutôt que visée pour une raison particulière. Enfin, et c’est plutôt une bonne nouvelle, Ares affirme qu’aucune donnée client n’a été compromise.

Un DDoS, ce n’est pas forcément un vol de données

Imaginez une boutique de jeux. Personne ne force la serrure. Personne ne dérobe la caisse. Des milliers de personnes se massent simplement devant la porte, sans intention d’acheter, jusqu’à empêcher les vrais clients d’entrer.

C’est l’image la plus simple d’un DDoS, pour Distributed Denial of Service, ou attaque distribuée par déni de service. Un grand nombre de machines envoie suffisamment de trafic ou de requêtes pour épuiser la bande passante, les équipements réseau ou les ressources de l’application. Le service devient lent, instable ou inaccessible.

La cible première est donc la disponibilité. Une attaque DDoS peut accompagner une intrusion, servir de diversion ou être suivie d’autres opérations, mais elle n’implique pas automatiquement une fuite de données. Dans le cas Ares, rien de public ne permet de parler de vol d’adresses, de comptes ou de moyens de paiement.

Cela ne rend pas l’incident anodin. La disponibilité est un actif commercial. Une boutique dont personne ne peut ouvrir la porte ne vend rien, même si sa base clients reste parfaitement intacte.

Le site marchand d’Ares n’est plus une simple boutique

Voilà le cœur de l’affaire. Si le domaine touché n’avait été qu’une vitrine institutionnelle, les dix heures de panne auraient surtout produit de l’agacement. Mais l’environnement e-commerce d’Ares Games concentre plusieurs fonctions transactionnelles.

L’exemple de Mega Empires: The Far East est particulièrement parlant. Sa campagne Kickstarter, menée du 21 avril au 14 mai 2026, a réuni 230 618 dollars auprès de 877 contributeurs, pour un objectif initial de 25 000 dollars. Après la campagne, la page Kickstarter a renvoyé les retardataires vers le site d’Ares pour les late pledges.

Sur le pledge manager maison, les backers choisissent leurs récompenses, ajoutent éventuellement des options, fournissent les informations nécessaires à l’expédition et passent par un véritable panier e-commerce. Les personnes n’ayant pas participé à Kickstarter peuvent, elles, ajouter les produits souhaités puis valider directement leur commande. Un coupon déduit du panier la somme déjà versée pendant la campagne.

Ce n’est donc plus un questionnaire administratif posé entre la collecte et l’usine. C’est un checkout, un dossier de commande, une interface de vente complémentaire et un maillon de la préparation logistique.

Le pledge manager, le deuxième acte du crowdfunding

On continue parfois à raconter une campagne de jeu en trois temps : lancement, financement, fabrication. Cette chronologie est devenue trop courte.

Après la clôture, il faut encore confirmer les niveaux de contribution, recueillir les adresses, choisir les variantes, ajouter des produits, calculer les frais de transport, percevoir les taxes, traiter des paiements complémentaires, corriger les commandes et verrouiller les données avant le fulfillment. Bref, tout un programme. Kickstarter, Gamefound et BackerKit ont tous développé des outils pour cette longue phase post-campagne.

Cette couche peut rester ouverte pendant des semaines ou des mois. Elle manipule aussi des échéances : fermeture du pledge manager, changement de tarif, date limite de modification d’adresse, paiement du transport, réservation d’une édition limitée. Dans ce contexte, dix heures de panne ne valent pas toujours dix heures reportées au lendemain.

Ares Games estime qu’une grande partie des commandes manquées reviendra probablement plus tard, et que le chiffre d’affaires a davantage été retardé que perdu. C’est plausible. Mais si une interruption tombe dans les dernières heures d’une fenêtre de préco ou au moment où des milliers de backers doivent finaliser leur dossier, l’effet peut devenir beaucoup plus difficile à rattraper.

Plus de marge, plus de risque

Pourquoi un éditeur héberge-t-il lui-même ce type d’outil ? Parce que chaque intermédiaire rend un service, mais prélève aussi sa part. La vente directe permet de conserver davantage de marge, de maîtriser la relation client et de recueillir des données commerciales plus fines.

Chez Ares, cette stratégie est explicite. En mai 2025, l’entreprise voulait développer ses ventes directes pour compenser la réduction des profits dans les étages traditionnels de la distribution. Le contexte américain pesait lourd : les États-Unis représentaient alors, selon lui, environ un tiers de l’activité mondiale d’Ares, tandis que l’incertitude douanière poussait l’éditeur à réduire les stocks, augmenter certains prix et sélectionner plus strictement ses projets.

Le paradoxe est évident. En raccourcissant le circuit commercial, l’éditeur récupère de la valeur. Il récupère aussi les responsabilités qui allaient avec les intermédiaires : disponibilité du checkout, protection du domaine, capacité à absorber un pic de trafic, communication de crise et reprise après incident.

On pourrait résumer la nouvelle règle économique ainsi : plus vous internalisez votre marge, plus vous internalisez votre risque.

Le vrai sujet ? La concentration fonctionnelle

Dans l’ancien modèle, le jeu suivait grossièrement une chaîne éditeur, distributeur, boutique, joueur. Dans le modèle direct, on aime écrire éditeur, joueur. C’est tentant. Mais la version complète ressemble plutôt à éditeur, serveur, joueur.

Lorsque boutique, précommandes, late pledges et gestion post-campagne passent par le même environnement, une seule indisponibilité affecte plusieurs canaux à la fois. C’est ce que les informaticiens appellent un point unique de défaillance : un maillon dont la panne peut perturber plusieurs fonctions simultanément.

Mais bon, rien ne prouve que toutes les opérations d’Ares Games dépendent exclusivement d’une seule machine. Les ventes sont notamment servies par des entrepôts tiers aux États-Unis et en Italie, et les opérations de précommande ou de crowdfunding peuvent mobiliser d’autres partenaires logistiques.

La panne du site ne signifie donc pas que les entrepôts cessent physiquement de fonctionner. Elle signifie que, pendant l’indisponibilité, les clients et backers ne peuvent plus accéder au point d’entrée transactionnel. C’est déjà largement suffisant pour que le serveur devienne une partie du magasin.

Le DDoS n’est plus un monstre exotique

Ares n’a pas nécessairement eu une malchance exceptionnelle. L’ENISA, l’Agence de l’Union européenne pour la cybersécurité, souligne depuis plusieurs années que les attaques par déni de service sont devenues plus faciles, moins coûteuses et plus agressives.

Les chiffres publiés par les grands opérateurs donnent une idée de l’échelle. Cloudflare affirme avoir observé, sur son propre réseau, une hausse de 519 % des attaques DDoS hypervolumétriques au premier semestre 2026. Akamai rapporte de son côté une progression cumulée de 104 % des attaques DDoS de couche applicative entre 2023 et 2025.

Ces statistiques demandent une précaution : Cloudflare et Akamai vendent eux-mêmes des services de protection, et leurs mesures décrivent leurs infrastructures respectives, pas l’ensemble d’Internet. Leur intérêt tient néanmoins au volume massif de trafic observé et au fait que leur tendance générale rejoint l’analyse d’organismes publics.

Nous ne savons pas si l’attaque contre Ares Games était volumétrique, protocolaire, applicative ou mixte. La saturation simultanée de la bande passante et du CPU ne suffit pas à trancher. Et non, on ne va pas comparer cet épisode aux records de plusieurs térabits par seconde annoncés par les grands réseaux. Ce que nous savons est plus simple : l’attaque a suffi à rendre les sites indisponibles.

Le secteur possède déjà un rappel plus coûteux de sa dépendance numérique. En mars 2026, Hasbro a détecté un accès non autorisé à son réseau — un incident très différent d’un DDoS — qui a perturbé le traitement des commandes, les expéditions et la facturation. Le groupe a ensuite annoncé 11 millions de dollars de dépenses incrémentales directes et estimé à environ 25 millions de dollars l’impact sur le chiffre d’affaires. Les deux affaires ne sont clairement pas comparables, mais elles racontent la même évolution : l’informatique n’est plus périphérique à la vente de jeux.

Et les backers dans tout ça ?

Pour nous, joueuses et joueurs, c’est : « don’t panic ». Aucune fuite de données n’a été rapportée, et l’interruption a été limitée. Cet incident cyber rappelle néanmoins que remplir un pledge manager revient à utiliser une infrastructure transactionnelle, pas à répondre à un simple sondage envoyé par un auteur sympathique.

Lorsqu’une panne survient, les bons réflexes sont surtout organisationnels : vérifier les canaux officiels indépendants du site, conserver les confirmations de paiement et attendre les consignes avant de multiplier les tentatives. Côté éditeur, une communication claire doit préciser ce qui est touché, ce qui ne l’est pas, si une échéance sera prolongée et comment seront traitées les opérations incomplètes.

La confiance se joue alors moins dans la promesse impossible d’un service qui ne tombera jamais que dans la qualité de la réponse quand il tombe.

L’attaque contre Ares Games n’a pas provoqué de catastrophe. Pas de millions de comptes annoncés comme volés (coucou le fisc français…). Pas de rançon publique. Pas de paralysie d’un mois. Environ dix heures d’indispo cumulée, des commandes probablement retardées, quelques règles de sécurité supplémentaires et une protection plus robuste désormais envisagée.

On pourrait hausser les épaules. Se dire que ce n’est qu’une anecdote. Que chez Gus&Co, on n’a vraiment rien de mieux à faire, à écrire. Ce serait rater le sujet.

Le véritable événement n’est pas l’attaque. C’est ce qu’elle a touché : un environnement où se croisent vente directe, précos et gestion de pledges. À mesure que les éditeurs deviennent leurs propres boutiques (en France, il y en a déjà un paquet qui font de la vente directe : Super Meeple, Bombyx, Origames, Nuts! Publishing…) et intermédiaires de crowdfunding, leurs serveurs deviennent leur caisse, leur carnet de commandes, leur formulaire d’expédition et parfois une partie du financement du prochain jeu.

Le jeu de société voulait devenir plus direct, plus autonome et moins dépendant des circuits traditionnels. Il y parvient. Il découvre simplement le prix caché de cette indépendance : quand on devient sa propre boutique, on devient aussi son propre problème informatique.

Rejoignez notre chaîne WhatsApp