Passer son statut Steam en « Invisible » ou « Hors ligne » est considéré depuis des années comme un moyen simple de préserver sa confidentialité. Cependant, des rapports récents indiquent qu'il s'agit d'un simple changement d'apparence qui ne fonctionne pas comme prévu. L'auteur anonyme du blog Xmrcat affirme que le client Steam transmet toujours les heures de connexion et de déconnexion, même lorsqu'un utilisateur est invisible ou hors ligne. Selon son analyse, le serveur de la plateforme continue de diffuser des horodatages Unix bruts à la liste d'amis. La seule différence est que l'interface de réception masque l'activité et affiche le profil comme étant hors ligne.  Ce problème ne concerne peut-être pas le joueur moyen, mais les personnes ayant des connaissances en programmation peuvent (d'après l'auteur) intercepter les messages ClientPersonaState et les utiliser pour reconstituer les habitudes de l'utilisateur. En pratique, cela permet d'estimer le temps de sommeil, d'activité et de jeu, même si le profil est privé.

Xmrcat affirme avoir signalé le problème à Valve via la plateforme HackerOne, en fournissant notamment des preuves de la possibilité de reconstituer la routine quotidienne d'un utilisateur, restée longtemps « invisible ». Cependant, le signalement a été classé sans suite. Valve aurait conclu que les données n'avaient été envoyées qu'aux personnes figurant dans la liste d'amis de l'utilisateur, ce qui suppose un certain niveau de confiance entre les parties. Cela soulève une question cruciale. De nombreux utilisateurs de Steam ajoutent des amis qu'ils ne connaissent pas personnellement, comme des partenaires de matchmaking ou des membres de la communauté. Dans ce cas, l'accès potentiel à des données d'activité détaillées peut soulever des préoccupations légitimes en matière de respect de la vie privée.

Bien que cette situation ne constitue pas nécessairement une fuite de données massive, elle remet en cause l'efficacité même du mode « Hors ligne » en tant qu'outil de protection de la vie privée. Si ces informations sont confirmées, Valve devrait enfin prendre des mesures.