التآزر بين عملية الاحتيال على موقع «API» على منصة Steam: الخداع والإهمال والمساءلة

1. مقدمة: تآزر بين الإهمال المتعمد

لطالما كان موقع Steam متقبلاً تمامًا لكل التطورات — بما في ذلك أي لوائح أو تغييرات (مثل تعليق عمليات التبادل أو حظرها بعد تغيير الاسم المستعار). هذه إجراءات قسرية، لكنها غير فعالة وغير كافية. لا توجد لدى Valve رغبة حقيقية في مكافحة هذا الأمر، لأنها تدرك أن منصتها تعتمد على كل من عمليات الاحتيال والمقامرة، بالإضافة إلى بقية الاقتصاد الموازي الذي ولّدته Steam وسمحت بظهوره واستمراره لسنوات عديدة. الأمر لا يتعلق بمهاجمة Steam؛ بل هو علاقة تكافلية — تعود بالفائدة على الطرفين وتفهمها كلا الطرفين المشاركين في هذه العلاقة.

نشأت عملية الاحتيال الشهيرة المعروفة باسم «API» (والتي تُعرف عمومًا باسم «مبادلة العروض» أو «استبدال العروض») منذ زمن بعيد. لطالما اعتمد التصيد الاحتيالي على استبدال المعاملات. وظهرت هذه الحيلة في شكلها المستمر حوالي ربيع عام 2019 (قبل ذلك، كانت موجودة كحيلة تصيد منفصلة، والتي تطورت في النهاية إلى استبدال بحدود زمنية تبلغ 1 أو 4 أو 8 ساعات). بحلول ربيع عام 2019، جعلت جميع الأدوات النشطة في سوق الاحتيال الجلسة المخترقة «متنقلة». وهكذا استمرت هذه الحيلة في تحقيق شعبيتها الهائلة. ووفقًا لتقديراتنا الأكثر تحفظًا، سمح ذلك بسرقة ما لا يقل عن 10 ملايين دولار وأكثر. لكن يجب أن تفهم أن هذا، بشكل عام، يغذي نشاط المجرمين الإلكترونيين. تحمي «ستيم» المحتالين من خلال الترويج لفكرة أن «السكينز لا قيمة لها». جاء إدخال «تجميد التداول» بعد أن كانت آلية مبادلة العروض قد أصبحت راسخة بالفعل. تمت إضافة فترة تعليق التداول التي لا نهاية لها لمدة 7 أيام بشكل مفاجئ ودون سبب. هذا ليس إجراءً لمكافحة الاحتيال؛ إنه تنظيم.

دعونا نوضح كيف يعمل نظام تبادل العروض، ولماذا يُعدّ موقع Steam ومحاولاته لمكافحة الاحتيال عرضًا هزليًّا تمامًا (وقد كان كذلك دائمًا).

2. خطة العمل للفترة 2017–2018: خمس خوارزميات خاصة

لفهم حجم هذه العملية، يمكننا إلقاء نظرة على لوحات الاحتيال الخاصة التي كانت تعمل في الفترة من عام 2017 حتى ربيع عام 2018. خلال هذه الفترة، صمم المطورون خمس خوارزميات تشغيلية متميزة لطريقة «مبادلة العروض». تضمن هذا التحديث الخاص جميع الخوارزميات الخمس: حيث كان روبوت اللوحة يسجل الدخول إلى حساب المستخدم ويعمل وفقًا لإحدى الخوارزميات الخمس التالية، متجاوزًا المصادقة الثنائية (2FA) باستخدام التحقق من Guard. وكان بإمكان المحتالين تكوين هذه الإعدادات (إرسال الألعاب، وتصفية الحد الأدنى لسعر العرض، وما إلى ذلك) مباشرةً من خلال لوحة الإدارة الخاصة بهم.

ملحق تقني: أنماط استبدال العروض وتطور لوحة التحكم

الخوارزمية رقم 1: المبادلة الكلاسيكية

• يتحقق من العرض: هل هو من موقع تداول؟ إذا كانت الإجابة نعم، فإنه يقوم بالإجراءات التالية.
• يلغي العرض المقدم من روبوت التداول الرسمي.
• يقوم بتحليل الاسم المستعار والصورة الرمزية ورسالة التبادل من حساب الروبوت الرسمي، ثم يضبطها جميعًا على حساب روبوت المحتال.
• يرسل العرض نفسه بالضبط، ولكن من حساب المحتال، مع نفس العناصر، ونفس الاسم المستعار، ونفس الصورة الرمزية.

الخوارزمية رقم 2: المبادلة المؤجلة

• يتحقق من العرض: هل هو من موقع تداول؟ إذا كانت الإجابة نعم، فإنه يقوم بالإجراءات التالية.
• لا يقوم بإلغاء العرض المقدم من الروبوت الرسمي على الفور، بل ينتظر حتى يقبله المستخدم على جهاز الكمبيوتر الخاص به (وليس على الهاتف).
• بمجرد أن يوافق المستخدم على ذلك (على جهاز الكمبيوتر)، يقوم الروبوت بإلغاء العرض الرسمي.
• يقوم بتحليل الاسم المستعار والصورة الرمزية ورسالة التداول من حساب الروبوت الرسمي، ثم يضبطها على حساب المحتال.
• يرسل العرض نفسه تمامًا من حساب المحتال، مع نفس العناصر ونفس الاسم المستعار ونفس الصورة الرمزية.
• يقبل العرض (الوارد من روبوت المحتال) على جهاز الكمبيوتر.
• ونتيجة لذلك، يقوم المستخدم بتأكيد الصفقة عبر تطبيق الهاتف المحمول الخاص به، معتقدًا أنها صادرة عن الروبوت الرسمي، في حين أنها في الواقع صادرة عن المحتال.

الخوارزمية رقم 3: اختطاف حركة المرور الصادرة

• يقوم المستخدم بإرسال عرض باستخدام رابط التداول الخاص بروبوت المحتال، ثم ينتقل لتأكيد العرض عبر تطبيق الهاتف المحمول الخاص به.
• يقوم الروبوت التابع للمحتال بإلغاء عرض المستخدم.
• يرسل عرضًا من حساب المستخدم يتضمن جميع عناصره (يمكن تحديد الألعاب المؤهلة في لوحة الإدارة) إلى رابط التبادل الخاص بروبوت المحتال.
• ثم يقوم المستخدم بتأكيد هذه الصفقة المعدلة عبر تطبيق الهاتف المحمول الخاص به.

الخوارزمية رقم 4: عمليات التبديل ثنائية الاتجاه

• العروض الواردة:
  • عندما يتم إرسال عرض إلى المستخدم يطلب منه فقط تقديم عناصره، تتم عملية التبادل عندما يقوم المستخدم بقبول العرض على هاتفه (بعد قبوله على الكمبيوتر) [باستخدام الخوارزمية رقم 2].
  • عندما يتم إرسال عرض إلى المستخدم يشمل كلًّا من أصنافه وأصناف الطرف المقابل، تتم عملية المبادلة عندما يقوم المستخدم بقبول العرض عبر هاتفه (بعد قبوله على الكمبيوتر).
• العروض الصادرة:
  • عندما يرسل المستخدم عرضًا إلى شخص ما يتضمن سلعًا خاصة به، يتم تنفيذ عملية التبادل في الوقت الذي يتجه فيه المستخدم لتأكيد العرض عبر تطبيق الهاتف المحمول الخاص به. ويتم التعامل مع عملية التحقق من تأكيد المستخدم عبر الهاتف المحمول من جانب الروبوت من خلال القبول التلقائي للصفقة.

الخوارزمية رقم 5: «ممسحة المخزون»

• مطابق للخوارزمية رقم 4، باستثناء أنه أثناء عملية تبديل العرض الصادر، يتم أولاً إضافة العناصر الخاصة بالمستخدم التي كانت بالفعل جزءًا من الصفقة، ثم يتم إلحاق المخزون الكامل للألعاب المختارة أسفلها. يمكن اختيار الألعاب المؤهلة لإفراغ مخزونها من خلال لوحة الإدارة (CS، DOTA، H1Z1، PUBG).

3. البنية التحتية للوحة الاحتيال وميزات الإدارة

تُدار شبكات الاحتيال بنفس الطريقة التي تُدار بها شركات SaaS الشرعية. وتشتمل لوحات التحكم الإدارية الخاصة بها على ميزات قوية ومتعددة الخيوط مصممة من أجل التسريب السريع للبيانات والتحكم فيها:

• جدول السجلات التفصيلي عرض معرّفات SteamID النشطة قيد الاستبدال: «SteamID»، «المخزون ($)»، «الوقت المتبقي حتى انتهاء جلسة التبادل»، «العروض التي تم تبادلها»، «خوارزمية التشغيل»، «مرشح السعر»، «وقت بدء جلسة التبادل»، «ملاحظة»، «الإجراءات».
• ميزات إدارة المستخدمين: إيقاف مؤقت، استئناف، حذف، تحديث رابط الصفقة.
• مرشح الحد الأدنى للسعر بالدولار الأمريكي (لن يتم تبادل العروض التي تقل القيمة الإجمالية لعناصرها عن هذا الحد، لتجنب إضاعة الوقت في العناصر ذات القيمة المنخفضة). يمكن الوصول إلى هذا الخيار من علامة التبويب «الإعدادات». يتم تحديث أسعار ألعاب CS وDOTA وH1Z1 وPUBG يوميًا بين الساعة 5:00 صباحًا و7:00 صباحًا.
• التحديثات اليدوية لروابط التداول في حالة قيام المستخدم بتغيير عنوان URL الخاص بصفحته التجارية.
• توفير إمكانية التحكم في الروبوت (بدء، إيقاف، إعادة التشغيل).
• متصفح Steam المدمج (ملحق مدفوع).
• وغير ذلك الكثير من الميزات...

حزمة التصيد الاحتيالي الخاصة «maFile»

هناك أيضًا حزمة منفصلة تستهدف ملفات maFiles (ملفات أداة المصادقة عبر الهاتف المحمول). وتتمثل الآلية الأساسية في الحصول على رمز الرسالة القصيرة (SMS)، والانتظار لمدة يومين حتى انتهاء فترة الحظر، وإفراغ الأسطح الخارجية، والاستيلاء الكامل على الحساب.

يقوم الضحية بتسجيل الدخول إلى موقع تصيد احتيالي باستخدام اسم المستخدم وكلمة المرور (اللذين يتم التحقق من صحتهما في الوقت الفعلي). بعد ذلك، تظهر مطالبة بإدخال رمز الرسالة القصيرة (بدلاً من Steam Guard)، مع عرض آخر رقمين من رقم الهاتف الذي أُرسلت إليه الرسالة القصيرة. وبمجرد إدخال رمز الرسالة القصيرة الصحيح، تقوم لوحة الإدارة تلقائيًا بإنشاء maFile. باستخدام هذا الملف، يمكن للمحتالين إنشاء رموز المصادقة الثنائية (2FA) لـ Steam Guard وإجراء عمليات التبادل مباشرةً. ومع ذلك، يخضع ملف maFile الذي تم إنشاؤه حديثًا لقيود التبادل لمدة يومين (تجميد): أي عمليات تبادل يتم بدؤها خلال أول يومين من تاريخ إنشاء ملف maFile يتم تجميدها لمدة 48 ساعة ويمكن للمالك إلغاؤها.

بمجرد إنشاء ملف maFile الجديد في لوحة التحكم الخاصة بالمحتال، سيبدأ تطبيق المصادقة القديم على الهاتف المحمول الخاص بالضحية في إصدار رموز غير صالحة، على الرغم من أن التطبيق يبدو للضحية وكأنه يعمل بشكل طبيعي تمامًا. ونص الرسالة النصية القصيرة (SMS) الواردة التي يتلقاها المستخدم هو: "الرمز اللازم لتعطيل تطبيق Authenticator أو نقله هو: 13204". كما تضم لوحة تحكم المسؤول خيارات لتنزيل ملف maFile، والتحقق من صلاحيته، وإنشاء رموز المصادقة الثنائية (2FA) (على غرار أداة المصادقة المكتبية لـ Steam - SDA)، وإطلاق عرض يحتوي على جميع عناصر المخزون بضغطة زر واحدة، أو تنفيذ عرض تلقائي مع فترة تعليق مدتها يومان فور إنشاء ملف maFile. علاوة على ذلك، مع ترخيص تجاوز التصيد الاحتيالي التلقائي، تفتح لوحة التحكم ميزات «التصيد الاحتيالي التلقائي» واختطاف الحساب بنقرة واحدة. وللراحة، يتتبع مؤقت العد التنازلي المرئي مدة الانتظار المتبقية بجوار ملف maFile مباشرةً.

3ب. الأساليب التشغيلية

1) مكافحة سرقة الجلود:

• التسريب المتأخر: انتظر يومين بعد إنشاء ملف maFile، ثم أرسل عرض تداول إلى حسابك المستهدف (يؤدي النقر على زر واحد في لوحة الإدارة إلى إرسال جميع السكينات إلى رابط التداول المستهدف). شروط النجاح: يجب ألا يقوم الضحية بتغيير رقم هاتفه أو كلمة مروره خلال هذين اليومين (لأن القيام بذلك يؤدي إلى إبطال صلاحية ملف maFile في لوحة الإدارة).
• عرض تلقائي فوري: أرسل عرضًا تلقائيًّا يتضمن جميع عناصر المخزون إلى رابط التداول المستهدف فور إنشاء ملف maFile. لا تقبل هذا العرض على الفور حتى لا تختفي العناصر من حساب الضحية قبل الأوان. ما عليك سوى الانتظار لمدة يومين ثم قبوله. وبموجب هذه الطريقة، لن يؤدي تغيير كلمة المرور أو ربط أداة مصادقة جديدة عبر الهاتف المحمول إلى إيقاف عملية التبادل؛ ولكن إذا قامت الضحية بتحديث أداة المصادقة الخاصة بها، فسيتم إعادة تعيين فترة الانتظار، مما يتطلب الانتظار لمدة يومين آخرين. شروط النجاح: يجب ألا تقوم الضحية بإلغاء عرض التبادل المعلق يدويًّا خلال فترة الانتظار البالغة 48 ساعة.

2) استهداف سرقة الحسابات (التصيد الاحتيالي):

• البيع المباشر للحسابات: بيع الحساب مزودًا مسبقًا بملف maFile الخاص به. بعد إنشاء ملف maFile، تقل احتمالية شك الضحية في وجود عملية احتيال بشكل كبير مقارنةً بأساليب التصيد الاحتيالي التقليدية، التي غالبًا ما تؤدي إلى تفعيل قفل «Red Sign» الفوري على الحساب. ونتيجةً لذلك، يتوفر للمحتالين نافذة زمنية أوسع لبيع الحساب في الأسواق. ومع ذلك، هناك دائمًا خطر أن تحاول الضحية تسجيل الدخول من متصفح أو جهاز كمبيوتر جديد وتعيد إنشاء ملف maFile على هاتفها، أو تعيد تعيين كلمة مرورها.
• التصيد التلقائي (يتطلب ترخيصًا للتصيد): بعد التقاط ملف maFile، يتم إدراج الحساب تلقائيًا في قائمة الانتظار لإجراء عملية إزالة بيانات الاعتماد آليًّا، ويتم حظره بحظر مجتمعي. وتستهدف عمليات التصيد الاحتيالي المقترنة بإنشاء ملف maFile نظام Steam Guard على الأجهزة المحمولة فقط، وتقوم بإزالة بيانات الاعتماد الخاصة به.
• التصيد الاحتيالي بنقرة واحدة (يتطلب ترخيصًا للتصيد الاحتيالي): يفرض حظرًا مجتمعيًّا ويُفعِّل عملية الحذف التلقائي لبيانات الاعتماد عند الطلب.

بالإضافة إلى ذلك، يمكن دمج هذا البوت مع ميزة تحليل ملفات تعريف الارتباط من OPSkins (في حالة الحصول على الترخيص) والتحقق ثنائي العوامل (2FA). وتتميز البنية الخلفية بأنها متعددة الخيوط وقادرة على معالجة عدد لا يحصى من الحسابات في الثانية.

4. تشريح الخداع

كيف تتم عملية الاحتيال فعليًّا؟ يتلقى أحد الأطفال رابطًا على منصة Steam (قد يتنكر النطاق في صورة بطولة أو توزيع مجاني أو موقع لتبادل السكينات). تحتوي الصفحة على زر للتفويض وواجهات تسجيل دخول متطورة للغاية: نافذة منبثقة مزيفة من نوع «متصفح داخل متصفح» تعرض حرفياً «نطاق Steam الرسمي» (باستخدام about:blank (حيل أو نوافذ مخصصة لإخفاء عنوان URL الفعلي لعمليات التصيد). أو، بدلاً من تراكب نافذة مرئية، تفتح الصفحة نافذة بشاشة كاملة، وهي نسخة مطابقة تمامًا لصفحة تسجيل الدخول إلى Steam، ومستضافة على نطاق مزيف. يقوم الطفل بتسجيل الدخول مباشرةً، عن طريق كتابة اسم المستخدم وكلمة المرور ورمز Steam Guard. وهذا كل شيء. لا يحدث شيء — فموقع التصيد إما يعيد توجيه المستخدم إلى مكان آخر أو يعرض نموذج تسجيل الدخول مرة أخرى ببساطة.

4أ. لكن ما الذي حدث فعليًّا وراء الكواليس؟

على خادم المهاجم، يتم إنشاء جلسة عمل نشطة فورًا بعد المصادقة — مما يؤدي في الأساس إلى إنشاء جلسة حساب تتمتع بصلاحيات كاملة. ثم يطلب البرنامج النصي على الفور مفتاح «API» الخاص بالحساب (عبر steamcommunity.com/dev/apikey). وفي وقت لاحق، قام المحتالون بإدخال متصفحات مدمجة تعمل بدون واجهة مستخدم داخل الجلسات النشطة، إلى جانب أنظمة آلية لإرسال الرسائل غير المرغوب فيها تلقائيًّا، وإغلاق تذاكر الدعم، وغير ذلك.

لتنفيذ هذه العملية، يحتاج المحتالون إلى حسابات بوت جاهزة للاستخدام تتمتع بامتيازات تداول نشطة وخالية من أي قيود مجتمعية. وهي عبارة عن حسابات آلية مسجلة بشكل جماعي (محملة مسبقًا بمبلغ 5 دولارات بالضبط، وتُترك لمدة 14 يومًا لفتح إمكانية التداول). نعم، يتم تسجيلها بشكل آلي بالكامل باستخدام برامج التسجيل. وبالطبع، ترى «ستيم» هذه التسجيلات وتكتشفها (حتى عند استخدام البروكسيات)؛ فهي على دراية تامة بأنماط النشاط التي تحركها البرامج — الحسابات التي يتم تمويلها بمبلغ 5 دولارات بالضبط لرفع الحد، مع بقاء الأموال دون أن يُلمس منها شيء على الإطلاق. بمجرد شرائها، يتم توصيل هذه الحسابات بلوحة الاحتيال. ومن تلك اللحظة فصاعدًا، يتم تنفيذ الهجوم بأكمله بشكل حصري تقريبًا عبر طلبات API الأولية. الاستثناء الوحيد هو بيع العناصر المسروقة: عادةً ما يقومون بالوصول يدويًّا إلى المتصفح، وإدراج الأسطح، وتحويل الأموال، وسحبها (على الرغم من أن البعض يدعي أنه حقق أتمتة كاملة من البداية إلى النهاية، حيث يُفترض أن يقوم روبوت بإدراج الأسطح، وتنفيذ المبيعات، ودفع الأموال تلقائيًّا للعاملين، ومرسلي الرسائل غير المرغوب فيها، وموفري حركة المرور).

تنشأ المصادقة من عنوان IP جديد تمامًا، وتأتي الجلسة التي تم إنشاؤها بواسطة البرنامج من استضافة ثابتة/تجمع مزودي خدمات الإنترنت - في الغالب Ihor. تُظهر البيانات والملفات المحفوظة لـ PhishDestroy من أحد هذه المنتجات أكثر من عنوان تم تحميله بشكل زائد عن طريق الصدفة: بعض عناوين IP Ihor كانت متتالية، بما في ذلك العناوين التي تنتهي بـ .156 و.157 و.158، وحمل كل منها أكثر من 1000 جلسة مختطفة نشطة في وقت واحد. هذا ليس تقديرا خارجيا. فهو يأتي من البنية التحتية التي تم فحصها في ملفات المنتج. ظهر مخطط منفصل لاحقًا على جانب الروبوت المتلقي: تلقى أحد الروبوتات فتحة IP واحدة؛ أدى استبدال الروبوت في تلك الفتحة إلى الاحتفاظ بالعنوان، مما أدى إلى تعيينه بشكل فعال لمدة شهر تقريبًا. ومع ذلك، لا يزال بإمكان تسجيل الدخول إلى الخادم إنشاء مفتاح API وجلسة متوازية غير محددة. هل هذا سلوك طبيعي للاعب؟

علاوة على ذلك، على منصة Steam، يظل مفتاح «API» الخاص بك ساريًا إلى أجل غير مسمى. وحتى إذا قمت بحذفه أو تغييره يدويًّا، فستقوم جلستك بإعادة إنشائه تلقائيًّا عند أي إجراء يتم في الخلفية (مثل فحوصات سلامة الجلسة، أو تقييم المخزون، أو الفحوصات الروتينية القائمة على المؤقت، والتي كانت لوحات الاحتيال تُجريها بالآلاف). يضمن هذا الوصول المستمر إلى الجلسة أن يتمكن المحتالون من مراقبة الحسابات في الوقت الفعلي قبل أن يلاحظ المستخدمون ذلك. ومن النادر أن يدرك المستخدمون ما يحدث: فعادةً، بمجرد تعرضهم لعملية التصيد الاحتيالي، تنتهي جلستهم في النهاية أو يتم التخلص منها. ولكن إذا اكتفى الضحية بحذف مفتاح API أو تغييره، فإن البرنامج النصي يعيد إنشاؤه على الفور باستخدام الجلسة النشطة.

الروبوتات هي حسابات مسجلة بشكل جماعي برصيد قدره 5 دولارات. السوق ضخم، والمنافسة شديدة لدرجة أن الحسابات تُباع تقريبًا بسعر تكلفتها الأولية البالغة 5 دولارات. ترى منصة Steam بوضوح، على سبيل المثال، أن هاتف الطفل — الجلسة النشطة التي تحتوي على أداة المصادقة Steam Guard — موجود في الولايات المتحدة؛ كما ترى جهاز الكمبيوتر والمتصفح الخاصين به في الولايات المتحدة. وفي الوقت نفسه، ترى جلسة نشطة تنشأ من روسيا أو هولندا (مزود الخدمة إيهور (كانت تمثل المحور الرئيسي لفترة طويلة، حيث كانت مليئة بهذه العناوين IP المحددة).

نعم، بدأت عمليات السرقة على نطاق واسع. ولم تعلق «ستيم» على أي شيء. وعندما كتب الأطفال إلى قسم الدعم، لم تطلب منهم «ستيم» حتى تغيير كلمة مرورهم؛ بل أرسل قسم الدعم ردودًا نمطية عامة تفيد بأن «السكينات» قد اختفت وأن الأمر «ليس من مشكلتنا». في وقت لاحق (حوالي 2021–2022)، بدأ المحتالون في إغلاق تذاكر الدعم تلقائيًا بأنفسهم: كان الطفل يفتح تذكرة، فيقوم البرنامج النصي الآلي للوحة بإغلاقها على الفور. اعتقد الأطفال أن فريق دعم Steam هو الذي يرفض حالاتهم. لم يكن الأمر كذلك. لكن Steam وقفت مكتوفة الأيدي وسمحت بحدوث ذلك.

إن نفاق منصة «ستيم» وتحديثاتها «المضادة للاحتيال» أمر مذهل، لا سيما بالنظر إلى حجم البيانات التي تخزنها «ستيم»: فهي تتعقب البلدان، وسجلات عناوين IP، وبصمات الأجهزة. وقد أخفت «ستيم» عن عمد حقيقة أن الحسابات كانت تتعرض للاختراق بشكل فعلي. ثم وقعت حوادث قامت فيها «ستيم» بفرض حظر جماعي على حسابات أعضاء المجتمع الضحايا الذين تم ضبطهم أثناء جلسات تبادل نشطة. واو، عمل رائع يا Steam! فقد فرضت Steam حظرًا على حسابات الضحايا لمجرد أنهم تشاركوا عنوان IP بروكسي مع جلسات أخرى، بدلاً من، على سبيل المثال، إنهاء الجلسات غير المصرح بها. وعندما اتصل الضحايا بفريق الدعم للاعتراض على الحظر، تظاهر فريق الدعم بالجهل، مدّعين أنهم لا يرون أو يعرفون شيئًا. لكننا نعلم أنهم يرون كل شيء: أجهزتك، ومعرّفات الأجهزة، وسجلات المعاملات، وسجل التغييرات، وكلمات المرور السابقة، وأرقام الهواتف، وعناوين البريد الإلكتروني، والوقت المحدد الذي تم فيه التعديل ومن أي جهاز (وهذا هو الجزء الأكثر إثارة للضحك: تعرف Steam متى يتم اختراق حساب ما — فهي تسجل معرّف الجهاز الدقيق، والطابع الزمني، وعنوان IP للمهاجم).

4ب. وهم الاحتفاظ بالأوراق المالية

لذا، كتب طفل مرعوب رسالة إلى خدمة دعم «ستيم»: "آآآه، النجدة، لقد سُرقت أشكالي! كنت أرسلها إلى صديق لي، أو إلى تاجر، أو إلى موقع تداول، لكنها ذهبت إلى حساب مختلف تمامًا يحمل نفس الاسم المستعار والصورة الرمزية بالضبط، وليس الحساب الذي وافقت عليه في الصفقة!"

كيف حدث هذا بالضبط؟

في الواقع، لا يقوم البديل باختطاف الصفقة على الفور. ففي متصفحك، تقوم بمراجعة عرض الصفقة الأصلي، ثم تنقر على «تأكيد» — سواء كان ذلك بتبادل العناصر مباشرةً، أو إرسالها إلى الحساب المؤكد لصديقك. تتحقق من التفاصيل، وتجد أن كل شيء متطابق. لكن في الفترة الزمنية القصيرة التي تفصل بين قبول الصفقة على جهاز الكمبيوتر الخاص بك وفتح هاتفك لتأكيدها — في تلك اللحظة بالذات، يقوم الروبوت التابع للمحتال، الذي تم استنساخه بنفس الاسم والصورة الرمزية، بإلغاء الصفقة الشرعية وإرسال صفقة خاصة به.

نعم، على شاشة هاتفك، أنت تنظر إلى صفقة التبادل. في البداية، تظهر العناصر التي سترسلها، لكن في الجزء السفلي، لا تتلقى أي شيء على الإطلاق في المقابل. ويتجاهل المستخدمون التحذيرات لأنهم قد تحققوا بالفعل من كل شيء على أجهزة الكمبيوتر الخاصة بهم. إن الدقة النفسية لهذه الحيلة ونقاط الضعف لدى قاعدة المستخدمين مذهلة، خاصة وأن الضحايا يعتقدون تمامًا أنهم يقومون بعملية تحويل آمنة. ومع ذلك، تراقب خوادم Steam جلسة تم إنشاؤها منذ أسابيع أو أشهر من عنوان IP مختلف تمامًا، وتلغي صفقة نشطة وتبدأ على الفور في إجراء صفقة جديدة وتقبلها — وتتعامل معها على أنها معاملة طبيعية وشرعية تمامًا. يبدو الأمر شرعيًا للغاية، أليس كذلك؟

أود أن أشدد على أنه قبل وقت طويل من قيام «ستيم» بطرح تحديثاتها غير الملائمة وغير الفعالة، بادرت مواقع التداول التابعة لأطراف ثالثة إلى اتخاذ إجراءات. فقد كانت هذه المواقع تولي أهمية كبيرة لسمعتها، وربما كانت تشعر ببساطة بالأسف تجاه الأطفال الذين تعرضوا للاحتيال. على سبيل المثال، الموقع tradeit.gg قاموا بتطبيق نظام يتم بموجبه عرض تنبيه ضخم بعبارة «تم الإلغاء» على شاشة المستخدم في حالة إلغاء عرض التبادل الرسمي الخاص به. كان هذا حلاً حقيقيًّا، ولهذا السبب نعتبرهم روادًا حاولوا فعليًّا القيام بشيء ما. إذن، هل كان بمقدور موقع خارجي يستخدم أداة تتبع التبادل (API) الخاصة بـ Steam اكتشاف عملية تبادل في الوقت الفعلي، بينما لم يستطع Steam نفسه ذلك؟ أم أنهم رفضوا ببساطة إنهاء جلسة غير مصرح بها من الواضح أنها لا علاقة لها بالمستخدم الشرعي؟ نعم، كانت تذاكر الدعم في Steam تزعم مرارًا وتكرارًا: «لقد ضاعت أغراضك، ولا يمكننا مساعدتك»، ونادرًا ما تم حظر روبوتات الاستلام الخاصة بالمحتالين (وإذا تم حظرها، فقد كان ذلك بعد مرور وقت طويل على وقوع الحادثة). حتى بعد تطبيق تعليق عمليات التبادل، ظل متوسط معدل حظر الروبوتات النشطة المستخدمة في عمليات الاحتيال (وهي إجراءات حظر تعود في النهاية بالنفع على اقتصاد Steam بدلاً من إعادة العناصر إلى الضحايا) يتراوح بين 15 و25٪ في أوقات الذروة. وفي الوقت نفسه، ظل مزود خدمة الاستضافة الذي تعمل منه الروبوتات إيهور، ولم تستخدم هذه الجلسات الآلية أبدًا بروكسيات سكنية أو بروكسيات متنقلة متناوبة.

4ج. إثبات وجود البنية التحتية الثابتة

يمكننا إثبات ذلك. كما تعلمون، موقع PhishDestroy هو مشروع جذري لمكافحة التصيد الاحتيالي. لقد أغرقنا نماذج التصيد بعبارات البذرة المزيفة على نطاق واسع لاستنزاف قدرات التحميل والمعالجة لدى خوادمهم. في الواقع، هذا هو المكان الذي نشأ فيه المفهوم: تفرض Steam قيودًا على معدل محاولات تسجيل الدخول لكل عنوان IP. منذ سنوات، قمنا بتنفيذ ذلك باستخدام بروكسيات عامة مجانية، حيث أرسلنا محاولات تسجيل دخول غير صالحة لا حصر لها أو استهدفنا الحسابات المحمية بواسطة Steam Guard عبر البريد الإلكتروني. في النهاية، بدأت شركة Valve في حجب هذه المحاولات، وبما أننا لم نكن نشتري شبكات بروكسي تجارية، فقد ثبت أن هذه الطريقة أصبحت أقل جدوى بمرور الوقت. ومع ذلك، كما ندرك الآن، كان من الممكن أن يكون ذلك مسببًا لاضطراب كبير، لكن وفقًا لمنطق Valve الملتوي، اعتُبر التدخل في عمليات المحتالين أمرًا «غير أخلاقي».

من خلال الاختبارات المكثفة التي أجريناها على بوابات تسجيل الدخول الخاصة بالمحتالين — والتي أدت إلى تعطيل أنظمة المصادقة الخاصة بهم تمامًا عن الإنترنت لعدة ساعات — تأكدنا من أنهم لم يكونوا يستخدمون شبكات بروكسي سكنية ضخمة (تضم ملايين عناوين IP). وبدلاً من ذلك، اعتمدوا على بروكسيات ثابتة واستضافة VPS رخيصة. وعلى وجه التحديد، خصصت بنيتهم التشغيلية روبوتًا واحدًا لكل عنوان IP بالضبط، وكانت تلك العناوين مملوكة حصريًّا لخوادم Ihor VPS.

خلاصة القول: مسرح جريمة مفتوح

لقد شهدت «ستيم» كل شيء، وعرفت كل شيء، واكتفت بالصمت بدلاً من التحرك لحماية مستخدميها. يا لها من منصة تدعي أن الأمن هو أولويتها القصوى.

علاوة على ذلك، يمكن للمهاجم الذي لديه جلسة متصفح نشطة أن يراقب حسابك في الوقت نفسه، أو يقرأ محادثاتك، أو يعدّل ملفك الشخصي (على سبيل المثال، عن طريق تزوير إشعار «حظر VAC» مزيف) لإثارة الذعر لديك ودفعك إلى تحويل جميع أغراضك بسرعة إلى صديق أو إلى حساب بديل «آمن» — مما يدفعك مباشرةً إلى فخ «مقايضة العروض». نعم، يمكنهم قراءة محادثاتك الخاصة مع الأصدقاء وعرض ملفاتك الوسائطية في الوقت الفعلي جنبًا إلى جنب معك. ويبدو أن Steam تعتبر الجلسات المتوازية من بلدان مختلفة تمامًا سلوكًا عاديًا لمنصة ألعاب (ربما استنادًا إلى المنطق القائل بأنه نظرًا لوجود ميزة «مشاركة العائلة»، «لا بأس إذا سرقوا، طالما أنهم لا يلعبون CS:GO في نفس الوقت»).

5. فخ «API»: تغيير كلمة المرور ليس كافياً

حتى لو قمت بتغيير كلمة مرورك ولكنك نسيت إلغاء مفتاح API النشط، فقد يتمكن المحتالون من سرقة أموالك. نعم، فبدون جلسة عمل نشطة، لن يتمكن البرنامج النصي الخاص بهم من تصفح ملفك الشخصي أو القبول التلقائي للصفقات. ومع ذلك، فإن رابط Steam الرسمي API لا يزال يسمح لهم بتنفيذ الإجراءات الأكثر أهمية: مراقبة نشاط حسابك وإلغاء الصفقات المعلقة (عبر CancelTradeOffer).

وبمجرد حصوله على مفتاح «API» الخاص بك، كان البوت يكتشف على الفور صفقتك الشرعية ويلغيها، ثم يرسل فوراً عرضاً مزيفاً من حسابه الخاص (موجهًا إلى رابط صفقتك). ومن تلك اللحظة، كان البرنامج النصي ينتظر فحسب. فلم يكن بإمكانه النقر على زر «تأكيد» نيابة عنك. فقد اعتمدت عملية الاحتيال برمتها على قيامك بفتح تطبيق الهاتف المحمول وتأكيد الصفقة المُبدَّلة طواعيةً في Steam Guard. وقد نجحت الخدعة بشكل لا تشوبه شائبة.

هناك فارق فني مهم: في حالة وجود مفتاح «API» فقط (ودون وجود جلسة نشطة)، لا يمكن للبرنامج النصي إدراج صفقة مباشرةً في تأكيدات Steam Guard الخاصة بك. بل يجب عليه إرسال عرض تداول وارد جديد. وهذا يعني أنه يتعين عليك أولاً النقر يدويًّا على «قبول التداول» على جهاز الكمبيوتر الخاص بك، قبل أن يظهر العرض في تطبيق Steam Guard الخاص بك.

قد يظن المرء أن هذه الخطوة الإضافية تقلل من معدل نجاح عملية الاحتيال — ففي النهاية، عند قبول صفقة جديدة من شخص غريب، تعرض منصة Steam تحذيرات كبيرة («لستما أصدقاء»، «تم الإبلاغ عن هذا الحساب»). لكن المحتالين استغلوا نفسية الإنسان و«الذاكرة الحركية». ونظرًا لأن الضحية هي التي بادرت بإجراء عملية التبادل الأصلية بنفسها، فقد كانت مستعدة ذهنيًّا بالفعل للتخلي عن أغراضها. وعندما رأت أن عملية التبادل قد ألغيت فجأة وظهرت عملية جديدة على الفور تحتوي على نفس الأغراض بالضبط، ونفس الاسم المستعار، ونفس الصورة الرمزية، افترضت أن: "كان الموقع بطيئًا وأعاد إنشاء الصفقة."

قام المستخدم بالنقر تلقائيًّا على تحذيرات «ستيم» دون وعي، وقبل صفقة التبادل المزيفة، ثم أكدها عبر هاتفه. ولم تنجح عملية الاحتيال هذه من خلال التغلب على إجراءات أمان «ستيم غارد»، بل من خلال استغلال القصور البشري.

6. الحكم: التواطؤ المتعمد

تظل رسالتنا الرئيسية كما هي: نحن مدينون بشكر خاص لشركة Valve وفريق الدعم التابع لها، الذين وجدوا أنه من المريح للغاية «ألا يروا شيئًا ولا يعلموا شيئًا».

يحبون الادعاء بأنهم يفتقرون تقنيًّا إلى الأدوات أو القدرة على تقديم المساعدة. لكن الواقع مختلف تمامًا. لاستعادة حساب تم اختراقه، لا يحتاج فريق الدعم في الواقع إلى مفتاح CD قديم ومغبر يعود إلى عشر سنوات مضت. فـ«ستيم» يسجل مجموعة واسعة من المعلمات الأخرى التي يتم تجاهلها عمدًا خلال النزاعات المتعلقة باستعادة الحسابات. نحن نتحدث هنا عن معرّف جهازك الفريد. هذا ليس مجرد رقم HWID بسيط، أو رقم تسلسلي لمحرك الأقراص الصلبة، أو إصدار BIOS — بل هو بصمة فريدة للأجهزة تستردها Steam، على الأرجح على نفس مستوى النواة/النظام العميق الذي يعمل عليه نظام VAC لمكافحة الغش.

لذا، عندما ترفض شركة «فالفي» استعادة حسابك لمجرد «عدم امتلاكك لمفتاح القرص المضغوط»، فإن هذا لا يمثل قيدًا تقنيًّا. بل هو استراتيجية تجارية. إنه رغبة في إجبارك على شراء ألعابك من جديد، ورفض قاطع لإعادة السيطرة على مخزونات «السكينز» ذات القيمة العالية.

هذا أمر غير أخلاقي، لكنه ينمُّ عن طابع «ستيم» بامتياز. وينطبق الأمر نفسه على نظام الدعم الخاص بهم — وهو نظام خدمة عملاء رخيص يتم إسناده إلى جهات خارجية، وتُصمم سياساته الداخلية بهدف تجنب تقديم مساعدة حقيقية أو حتى إبداء أدنى درجات اللباقة. فكل شيء يُختزل إلى ردود معدة مسبقًا يتم نسخها ولصقها، وإغلاق التذاكر من جانب واحد.

لكن «ستيم» لا ترى في ذلك أي مشكلة على الإطلاق.

7. الأسئلة التي يجب على الكونجرس طرحها على Valve

موجز الكونغرس/التنظيمي

لا تسأل عن بطاقات البيسبول. اتبع الأموال ودفتر الأستاذ البند.

إذا مثل Valve أمام الكونجرس أو إحدى الهيئات التنظيمية، فإن القياسات ليست دليلاً. اطلب إجابات محلفة وقابلة للتدقيق حول القيمة التي تجمدها، والضحايا التي ترفض استعادتهم، والضوابط التي تختار فرضها.

كم قيمة اللاعب مقفل؟

كم عدد عناصر CS2 وDota الموجودة في الحسابات المحظورة تجاريًا أو مجتمعيًا؟ ما هي النسبة المئوية للعرض المتداول وما هي القيمة السوقية التي تمثلها، مقسمة حسب السنة ونوع القيود وندرة السلعة والوقت المجمد؟

الطلب:الإجماليات الإجمالية والمنهجية ومجموعات الأعمار والتدقيق المستقل والكشف القابل للفحص عن مخزونات الروبوتات المحظورة. إذا كانت الأرقام تدحض الإدعاءات، قم بنشرها.

لماذا تم إخفاء الأدلة؟

عندما يصبح المخزون أو الملف الشخصي غير عام بعد التقييد، ما هو الغرض الأمني الذي يخدمه ذلك؟ هل تغيرت سياسة الرؤية في عام 2020 تقريبًا، ولماذا إخفاء دفتر الأستاذ بدلاً من عرض تحذير عام بارز مشابه لإشعار VAC؟

الطلب:تاريخ السياسة والأساس المنطقي الداخلي وقواعد الوصول ومسار الاستئناف.

لماذا لا تتوقف خطوط الأنابيب الروبوتية عند الولادة؟

يقول Steam نفسه أن المستخدمين الضارين عادةً ما يقومون بتشغيل حسابات وهمية ويستخدمون حدًا قدره 5 دولارات. ما الذي يكتشف التسجيل الآلي، وتوفير الهاتف والمصدق، والتمويل عند الحد الأدنى بالضبط، وعدم وجود نشاط في اللعبة، والسكون الطويل، ثم تدفقات العناصر الشبيهة بالآلة؟

الطلب:المعدلات الإيجابية الكاذبة والسلبية الكاذبة - وما إذا كان الحظر يحدث قبل أن يصبح الحساب ذو قيمة أم فقط بعد وصول العناصر القيمة.

هل لا يزال "الازدواجية" عذراً جديراً بالثقة؟

يعود مبرر الازدواجية إلى ممارسات الاستعادة وقصص إساءة استخدام الدعم منذ منتصف عام 2010. العنصر الحديث له سجل فريد وسلسلة نقل معروفة وعقود تجارية. لماذا يؤدي إلغاء نفس العنصر من مستلم غير مشروع وإعادة تعيينه إلى المالك السابق الذي تم التحقق منه إلى إنشاء نسخة؟ في أي خطوة بالضبط يظهر العنصر الثاني في عام 2026؟

الطلب:تاريخ السياسة منذ عام 2014، وشرح فني قابل للتكرار وعدد الحوادث المكررة الفعلية التي تسببت فيها الاستعادة منذ عام 2019.

تحت أي سلطة يتم تجميد العنصر؟

هل يتعامل Valve مع المظهر كملكية أو ترخيص أو مجرد استحقاق لقاعدة البيانات؟ ما هو شرط العقد والنظرية القانونية التي تسمح بالتجميد الدائم بعد السرقة مع رفض التعويض للمالك السابق الذي تم التحقق منه؟ الممتلكات المستردة من اللص لا تصبح إيرادات للشرطة؛ لماذا يبقى المعادل الرقمي تحت السيطرة الحصرية للمنصة بدلاً من العودة إلى الضحية؟

الطلب:الإشعار، الكشف عن الأدلة، المراجعة البشرية، الاستئناف، الحدود الزمنية والقاعدة الدقيقة التي تحكم التصرف النهائي لكل عنصر.

من يحمي الحظر – وما هو المبلغ الذي كسبه Valve بالفعل؟

تسرد الأسئلة الشائعة الرسمية لـ Valve رسوم معاملات Steam بنسبة 5% بالإضافة إلى رسوم خاصة باللعبة بنسبة 10% لـ CS2 وDota، يدفعها المشتري على مبيعات Community Market. لا يمكن سحب عائدات Steam Wallet إلى بنك أو تحويلها إلى حساب آخر. وبالتالي فإن السؤال الذي يمكن الدفاع عنه ليس ما إذا كان Valve يتلقى السعر الاسمي الكامل مرة أخرى في كل عملية إعادة بيع، ولكن ما هو مقدار أموال الحلقة المغلقة وإيرادات الرسوم التراكمية التي تم ربطها بعنصر ما قبل إغلاقه - وكيف يؤثر إزالة العرض على ندرة وسعر كل شيء متبقي.

الطلب:الرسوم مدى الحياة التي يتم تحصيلها على كل عنصر تم تجميده لاحقًا، وتعويض الضحايا، ومعدلات التدخل قبل الخسارة، ونموذج لتأثير السعر للإمدادات المجمدة. لا تعتبر الحظر دون التعويض بمثابة مساعدة للضحية.

هل يدافع Valve عن افتراض الذنب؟

إن تقييد الجلد ليس حكماً بالسجن؛ القياس يختبر الإجراء. إذا واجهت Valve أو مديريها التنفيذيين عقوبة غير مبررة، وأدلة غير معلنة، واستئنافًا اسميًا تم الرد عليه بـ "اقرأ القانون"، فهل سيطلق محاموها على هذه العدالة؟ ومع ذلك، بالنسبة للمخزونات عالية القيمة، يمكن أن يبدو Valve كمتهم ومحكم وحارس للقيمة المجمدة. ما هو الاختيار المستقل الذي يعالج هذا الصراع؟

الطلب:القاعدة الدقيقة، الفعل المزعوم، ملخص الأدلة، المراجع البشري، القرار المسبب، التصعيد المستقل والكشف عن كيفية التعامل مع القيمة المجمدة.

لماذا لا يمكن الوصول إلى نداء ذي معنى؟

إن الاستجابة النمطية والارتباط الواسع بـ Steam Subscriber Agreement لا يمثلان اكتشافًا للحقيقة. لماذا يمكن حرمان المستهلك العادي من الادعاءات والأدلة، ثم يواجه عوائق فنية وقانونية ومالية تجعل تحدي التقييد الآلي أو الخاطئ غير عملي؟

الطلب:استئناف بشري مجاني، وقرار بلغة واضحة، ومواعيد نهائية للرد، والوصول إلى النزاعات الخارجية، وإحصائيات حول الحظر التلقائي، والمراجعات البشرية، والإلغاءات، والردود المتكررة على النماذج.

المجتمع والتعافي وجلسة Valve اختار عدم القتل

ما هو "المجتمع" في Steam Community؟

بعد أن رفع المدعي العام لـ New York دعوى قضائية ضد Valve في فبراير 2026، نشرت Valve بيان دعم Steam الذي يستهدف المستخدمين ويستحضر التأثيرات على المستخدمين والعملية العامة. ولكن عندما تؤثر قرارات المنصة على المخزونات القيمة لهؤلاء المستخدمين، ما هي السلطة الرسمية التي يتمتع بها هذا "المجتمع" - الأصوات، أو الأسباب، أو التشاور بشأن السياسات، أو الإشراف، أو حتى الرؤية في نتائج التقرير؟

الطلب:حدد حقوق حوكمة المجتمع وانشر سجلات الاستشارة، وأبلغ عن النتائج وآلية مستقلة لمراقبة المستخدم - أو اعترف بأن "المجتمع" هو عبارة عن علامة تجارية، وليس تمثيلًا.

لماذا يرث التنفيذ العادي السرية VAC؟

إن الحفاظ على سرية توقيعات الكشف عن مكافحة الغش يمكن أن يحمي طريقة الكشف. يختلف المجتمع أو القيود التجارية. ما هي المخاطر الأمنية التي تمنع Valve من تسمية القاعدة والطابع الزمني والإجراء المزعوم وفئة الأدلة؟ ما هو عدد تقارير المستخدمين وتقارير الروبوتات التي تؤدي إلى اتخاذ إجراء، وما هي ضوابط النزاهة التي تغطي الموظفين والمقاولين والمتطوعين؟

الطلب:معدلات الخطأ والعكس، وإحصائيات التقرير إلى الإجراء، وعمليات تدقيق النزاهة المستقلة، وقواعد تضارب المصالح، والنتائج التأديبية الإجمالية.

هل تم تصميم استرداد الحساب بناءً على الأدلة التي من غير المرجح أن يحتفظ بها المستخدمون؟

يقول Steam أن مفتاح القرص المضغوط للبيع بالتجزئة قد يثبت الملكية ويوصي بالاحتفاظ به؛ وتقول أيضًا إن الهاتف الذي تم التحقق منه يوفر خيارات استرداد إضافية. لماذا نطالب بمفتاح فعلي عمره عشر سنوات في حين أن Valve قد يحتفظ بسجلات الدفع والبريد الإلكتروني التاريخي والهاتف والجهاز وتسجيل الدخول؟ تشير تقديرات PhishDestroy داخليًا إلى أن 15-20% من أصحاب المطالبات لا يكملون عملية الاسترداد بعد هذا الطلب، على الرغم من أن البعض لا يزال يكتب من المزود القديم ومن جهاز الكمبيوتر ويتحكم في البريد الإلكتروني أو الهاتف. يمكن لـ Valve دحض هذا التقدير من خلال نشر بياناته.

الطلب:المحاولات والموافقات والرفض والإجراءات المتروكة حسب نوع الدليل؛ نتائج أصحاب المطالبات الذين يحتفظون بالبريد الإلكتروني أو الهاتف أو الجهاز؛ وشرح قابل للتدقيق لترجيح الإشارة.

لماذا معاقبة الضحية بدلا من إلغاء الجلسة العدائية؟

في البنية التحتية التي تم فحصها، عقدت عدة عناوين IP متتالية Ihor - بما في ذلك العناوين التي تنتهي بـ .156 و.157 و.158 - أكثر من 1000 جلسة مختطفة نشطة بينما ظل المالكون على أجهزة معروفة في مكان آخر. يمكن لهذه الجلسات إعادة إنشاء مفاتيح API والانتظار وتغيير الصفقات وقراءة الدردشة بالتوازي. يهدد Steam Subscriber Agreement بإنهاء الحساب بسبب وكيل IP الذي يخفي مكان الإقامة، بما في ذلك "لأي غرض آخر". لماذا لا يؤدي وكيل الخادم الذي يحتوي على آلاف الحسابات غير المرتبطة إلى إلغاء الجلسة؟

الطلب:إلغاء جلسة الاستضافة تلقائيًا ومفتاح API الخاص بها والتأكيدات عندما تقوم بتجميع حسابات غير مرتبطة على نطاق واسع؛ ثم تطلب إعادة المصادقة النظيفة دون تقييد الضحية.

سبع سنوات و79 موظفًا في Steam و1.16 مليون ساعة اسمية: الفشل أم نموذج العمل؟

يمكن لـ PhishDestroy إثبات مجموعات مكونة من أكثر من 1000 جلسة على IP واحد، وعناوين متتالية في مزود واحد وفتحات IP مستقرة منفصلة لاستقبال الروبوتات. ومع ذلك، فإن النمط من جانب الخادم لم يثير الاستجابة الواضحة: قم بإلغاء جلسة الاستضافة، وإبطال وصولها إلى API، وطلب مصادقة نظيفة من المالك. يفرض Valve بالفعل قواعد الاستخدام المتزامن حول جلسات اللعبة. لماذا لم يتم تطبيق منطق المخاطر المكافئ عندما كان عنوان استضافة روسي يقع بين المالك وSteam بينما كان يحتفظ بألف حساب غير ذي صلة؟

تم الكشف عن لقطة منظمة لعام 2021 عن طريق الخطأ خلال دعوى مكافحة الاحتكار Wolfire في عام 2024، حيث ورد أنها أدرجت 79 شخصًا في فئة "Valve" في Steam و76,446,633 دولارًا أمريكيًا في إجمالي الأجر الإجمالي - حوالي 968,000 دولارًا أمريكيًا لكل موظف مدرج كمتوسط فئة، وليس راتبًا فرديًا. لا تثبت هذه اللقطة أن 79 مهندسًا أمنيًا عملوا على تبادل العروض، أو أن عدد الموظفين ظل ثابتًا، أو أن كل وقت الموظف كان متاحًا لهذه المشكلة. إنه يحدد المقياس الذي يجب أن يفسره Valve.

≈88 شهراتبديل عرض جلسة الهاتف المحمول المستمر من ربيع 2019 إلى هذا المنشور: حوالي 2700 يوم

79 شخصاتم الإبلاغ عن لقطة فئة Steam لعام 2021 - وليست عددًا لفريق الأمان

1,162,880ساعات القدرة التوضيحية: 79 × 14,720 — ساعات التحقيق في الاحتيال غير المطالب بها

Run Liability Audit Simulate Attack Sequence

جلسة موازية

التدفقات التجارية

الاستجابة الأمنية

إلى: ضحايا سرقة الأصول وفريق «فالفي» القانوني المخادع

لقد كنتم تحاولون إقناع المحاكم واللاعبين على حد سواء بأن سرقة العناصر تقع مسؤوليتها حصريًّا على «الأطفال الأغبياء» وأن بنية منصتكم لا تتحمل أي مسؤولية. دعونا نخلع أقنعة الشركات ونشرح، بأبسط العبارات، لماذا يوجد نظام التصيد الاحتيالي المتطور للغاية والمربح للغاية الخاص بكم، وذلك حصريًّا بسبب الثغرات الموجودة في بنية Steam. التصيد الاحتيالي هو مجرد عملية سرقة مفتاح باب المدخل. لكن حقيقة أن وراء هذا الباب يوجد جهاز تحكم في الخزنة غير محروس على الإطلاق — فهذا خطأ يقع بالكامل على عاتق مطوري Valve.

دعونا نستعرض بعض الأمثلة التوضيحية لنموذج الأمان الخاص بكم لفهم الحجم الهائل لهذا الفشل.

1. أنت لست «GitHub» (حكاية المطور الخيالية)

تبرر شركة Valve عدم أمان خدمة "API" الخاصة بها بالادعاء بأن Steam هي «منصة مفتوحة للمطورين». حسنًا، دعونا نقارنكم بموقع GitHub. ماذا يحدث عندما تحاول إنشاء رمز وصول شخصي (PAT) على الموقع GitHub؟

• يُجبرك النظام على إعادة إدخال كلمة المرور.
• يطلب منك إدخال رمز المصادقة الثنائية (2FA).
• وهذا يُلزمك بتحديد أذونات النطاق (فصل الصلاحيات) بشكل صريح بالنسبة للرمز المميز.
• والأهم من ذلك، أنه يطلب منك تعيين تاريخ انتهاء الصلاحية (TTL) للرمز المميز.

وماذا تفعل «ستيم»؟ إنها تصدر بصمت، بنقرة واحدة، مفتاحًا لا نهائيًا وذو سلطة مطلقة، دون الحاجة إلى أي تأكيدات، ويمنح حق الوصول غير المقيد للقراءة والكتابة لإلغاء واستبدال عروض التبادل إلى الأبد. أنتم لستم منصة مفتوحة للمطورين؛ بل أنتم بوابة مفتوحة.

2. أنت أسوأ من خدمات خلط العملات المشفرة الخاضعة للعقوبات (متلازمة تورنادو كاش)

إذا لم تكن «ستيم» منصة للمطورين، فربما تكون بورصة مالية؟ دعونا لا نقارنها بالبورصات الشرعية، بل بخدمات خلط العملات المشفرة السرية والمنصات الخاضعة للعقوبات التي تقوم وزارة الخزانة الأمريكية ومكتب التحقيقات الفيدرالي (FBI) بتفكيكها بسبب غسل الأموال (مثل «تورنادو كاش» و«بيتزلاتو» و«غارانتكس»).

هل تريد أن تعرف المفارقة الأكبر يا غابي؟ حتى شبكات غسل العملات المشفرة غير القانونية والخاضعة للعقوبات على الويب المظلم تطبق إجراءات أمان أفضل API من تلك الموجودة في منصة Steam! حتى مشغلو خدمات الخلط السرية يدركون أنه لإنشاء مفتاح API قادر على إدارة أرصدة المستخدمين، يجب عليهم إجبار المستخدم على إدخال رمز المصادقة الثنائية (2FA)، والتأكيد عبر البريد الإلكتروني، وربط المفتاح بعناوين IP محددة. ومع ذلك، فإن شركة Valve — وهي شركة أمريكية قانونية تبلغ قيمتها عدة مليارات من الدولارات — تسمح لبرنامج نصي غير مرئي يعمل على خادم في روسيا بالحصول على وصول دائم وخالٍ من أي تأكيد إلى مخزونات المستخدمين التي تبلغ قيمتها عشرات الآلاف من الدولارات بنقرة واحدة. هل يطبق مجرمو الإنترنت بالفعل معايير أمان أعلى من تلك التي يطبقها مطوروكم الذين يتقاضون رواتب بملايين الدولارات؟

3. أثبتت الأسواق الرمادية أنها أكثر ذكاءً من شركة تبلغ قيمتها عدة مليارات من الدولارات

والجزء الأكثر إثارة للضحك هو أسواق المقامرة وتداول السكينز التابعة لأطراف ثالثة (مثل OPSkins أو BitSkins القديمة) التي استهدفتها شركة Valve بقوة. في عام 2017، واجهوا بالضبط نفس مشكلة استبدال العروض (API) ومبادلة العروض (Offer-Swap). وهل تعلمون ماذا فعلوا؟ هم — مجموعة صغيرة من المطورين المستقلين الذين لا يملكون ميزانيات بمليارات الدولارات — قاموا ببساطة بإصلاح المشكلة في غضون أيام عن طريق إضافة خطوات تأكيد، مما أدى إلى إحباط مخططات المحتالين على الفور.

وفي الوقت نفسه، أمضت شركة «فالف» 7 سنوات في إجراء تجارب على الأطفال، حيث راقبت المدة التي يستمر فيها المستخدمون في شراء أشكال جديدة لتعويض تلك التي سُرقت، ومقدار الأموال غير المشروعة التي يمكن للمحتالين غسلها من خلال هذه الحلقة.

4. حلول مؤقتة ذكية بدلاً من الحلول الحقيقية

بدلاً من سد الثغرة الأمنية، قدمت شركة «فالف» حلولاً «عبقرية». حظر التداول لمدة 7 أيام. قفل التداول لمدة 4 ساعات عند تغيير الاسم المستعار. على مدى 7 سنوات، كنتم تعالجون كسرًا مفتوحًا بضمادة لاصقة. لم تُعاد السكين المسروقة أبدًا إلى ضحيتها؛ بل تم تجميدها ببساطة إلى الأبد على روبوت محظور، مما أدى بشكل مصطنع إلى خفض العرض المتداول ورفع القيمة السوقية. كان هذا دورة اقتصادية مثالية: المحتالون يسرقون، وValve تحظر، والعرض ينخفض، والأسعار ترتفع، ويحصل غابي على رسوم معاملات مربحة على كل عملية بيع جديدة.

السؤال الرئيسي الذي لا تستطيع شركة «فالفي» الإجابة عليه:

STEAM، لماذا بحق السماء لم تتمكنوا ببساطة من إضافة خطوة تأكيد إلزامية أو إشعار فوري عبر الهاتف المحمول في «STEAM GUARD» لإنشاء مفتاح «API» — تلك الأداة ذات الصلاحيات المطلقة التي تتحكم في آلاف الدولارات من الأصول الافتراضية؟!

أنتم تجبرون المستخدمين على تأكيد بيع بطاقة تداول بقيمة 3 سنتات عبر تطبيقكم على الهاتف المحمول. ومع ذلك، فقد سمحتم على مدى 7 سنوات لبرنامج نصي خفي بالسيطرة بشكل دائم على مخزونهم بالكامل دون إرسال أي إشعار. هذا ليس «تصيدًا». بل هو إهمال متعمد ومدروس، وقد دفع مستخدموكم ثمن ذلك.

«يوميات غرفة التجميد»: ما فات شركة «فالفي» خلال 7 سنوات مرر المؤشر فوق النص لقراءته

النص مخفي. مرر المؤشر فوقه لإظهاره

إذا كانت الإدارة التنفيذية لشركة «فالف» قد أخضعت مهندسي الأمن التابعين لها لتجارب تجميد مبردة غير قانونية في ربيع عام 2017 ولم توقظهم إلا اليوم — فإننا نتراجع عن جميع ادعاءاتنا. فهذا من شأنه أن يفسر كل شيء. فالعلم يتطلب تضحيات (في هذه الحالة، مخزونات المستخدمين).

ولكن إذا كان موظفوك في كامل وعيهم وكانوا يتقاضون رواتبهم طوال هذه السنوات السبع، فلدينا أخبار سيئة. فبينما أمضى مطوروكم 1.16 مليون ساعة في محاولة تأمين مفاتيح لعبة «API» دون تطبيق إجراء تأكيد بسيط عبر «Steam Guard»، إليكم لمحة موجزة عما تمكن بقية البشر من تحقيقه أثناء فترة سكونكم:

الإنجازات التكنولوجية والعلمية للبشرية (2017–2024):

• ثورة الذكاء الاصطناعي: ابتكرت البشرية الشبكات العصبية التوليدية. وأطلقت OpenAI برنامج ChatGPT، الذي نجح في اجتياز امتحانات نقابة المحامين، وتعلم كتابة أكواد برمجية معقدة، وتشخيص الأمراض، ورسم لوحات فنية واقعية، مما أدى إلى إحداث تحول جذري في الاقتصاد العالمي.
• استكشاف الفضاء: نجحت وكالة ناسا في هبوط المركبة الجوالة «بيرسيفييرانس» على سطح المريخ، وإقلاع المروحية «إنجينيوتي» في الغلاف الجوي للمريخ، وإطلاق التلسكوب الفضائي «جيمس ويب» الذي يتيح لنا إلقاء نظرة إلى بداية الزمان. أما شركة «سبيس إكس»، فقد أتقنت التقاط معززات الصواريخ المتساقطة التي يبلغ طولها 50 متراً في الهواء باستخدام أذرع ميكانيكية عملاقة.
• الطب: واجه العالم جائحة كوفيد-19. وفي وقت قياسي، تمكن العلماء من تسلسل الجينوم الخاص بالفيروس، وتطوير واختبار لقاحات ثورية تعتمد على الحمض النووي الريبي المرسال (mRNA)، وتطعيم مليارات الأشخاص لوقف انتشار الجائحة.
• القفزة الكمية: حققت شركتا «جوجل» و«آي بي إم» رسميًا «التفوق الكمي»، حيث قامتا ببناء حواسيب كمومية قادرة على حل معادلات في ثوانٍ معدودة، وهي معادلات كانت ستستغرق آلاف السنين لحلها باستخدام الحواسيب الفائقة التقليدية.
• ثورات في مجال الأجهزة: تخلت شركة آبل عن بنية المعالج التي اعتمدت عليها لعقود، وصممت من الصفر رقائقها الخاصة عالية الأداء من سلسلة M. وفي الوقت نفسه، تمكنت شركة Valve بنفسها من تصميم وتصنيع وإطلاق منصة الألعاب المبتكرة Steam Deck.

"إنجازات" فريق أمن Steam خلال نفس السنوات السبع:

• تم فرض حظر تداول لمدة 7 أيام (لم ينجح في وقف السرقات).
• أمضى 5 سنوات في التفكير، ثم حظر تداول العناصر لمدة 4 ساعات بعد تغيير الاسم المستعار (مما أثار ضحك المحتالين).

ملخص: في الفترة التي استغرقتها البشرية للوصول إلى المريخ، واختراع الذكاء الاصطناعي، والتغلب على جائحة عالمية، وبناء أجهزة الكمبيوتر الكمومية، لم تتمكن شركة «فالف» — وهي شركة تبلغ قيمتها عدة مليارات من الدولارات — من إضافة مربع منبثق واحد يحتوي على زر «التأكيد في تطبيق الهاتف المحمول» إلى صفحة dev/apikey.

أيها السادة في شركة «فالف»، مرحبًا بكم في المستقبل. لقد انتهى نومكم المبرد. لقد قفزت البشرية قفزة كبيرة إلى الأمام. فلنقم أخيرًا بتفعيل المصادقة الثنائية (2FA) على خدمة «API» الخاصة بكم، حتى يتوقف الأطفال عن خسارة ملايين الدولارات بسبب كسل شركتكم. أم هل علينا الانتظار 7 سنوات أخرى حتى يستعمر إيلون ماسك كوكب المريخ؟

تستر «API» على منصة «Steam»: كيف قامت شركة «Valve» بإضفاء الشرعية على التجسس الخفي

قضت شركة «فالفي» السنوات السبع الماضية في إلقاء اللوم على مستخدميها فيما يتعلق بعمليات الاحتيال الضخمة المتعلقة باستبدال العملات في لعبة «API». ويقوم فريق دعم «ستيم» في رده المعتاد بتجاهل الضحايا، مدعياً أنهم وقعوا ببساطة ضحية لعمليات التصيد الاحتيالي وتسببوا بأنفسهم في اختراق حساباتهم.

هذه كذبة مدروسة من جانب الشركة. ما تسميه شركة «فالفي» بـ«سرقة الحساب» هو، في الواقع، عملية مراقبة آلية ومستمرة من نوع «الرجل في الوسط» (MITM)، تيسرها البنية التحتية المعيبة الخاصة بها.

سرقة الحساب مقابل التجسس الخفي عبر هجوم «الوسيط» (MITM)

تحظر شروط خدمة Steam استخدام البرامج النصية الآلية بشكل صارم. ومع ذلك، فإن نظام الخلفية التابع لشركة Valve يتغاضى عن الأمر عندما تقوم هذه البرامج النصية بالذات باختطاف جلسات المستخدمين.

• السرقة العادية: يؤدي تسجيل الدخول من جهاز غير مصرح به إلى فرض حظر من المجتمع، مما يؤدي إلى قفل الحساب مع الاحتفاظ بمخزون المستخدم.
• API التجسس: يقوم خادم ضار بإنشاء اتصال موازٍ، حيث يراقب الحساب في الخلفية على مدار الساعة طوال أيام الأسبوع دون إثارة أي تنبيهات أو حظر.
• كذبة الواجهة: أثناء إجراء عملية تداول، يعرض تطبيق Steam للهواتف المحمولة معاملة تبدو شرعية، مما يجبر المستخدم على الموافقة على عملية تداول يقوم برنامج نصي خفي بإلغائها واستبدالها في غضون أجزاء من الألف من الثانية.

«اتفاقية الشبح»: كيف تكذب منصة «ستيم» بشأن «موافقتك»

لنتحدث عن الحجة المفضلة التي يسوقها فريق دعم Steam عندما يرفضون إعادة العناصر المسروقة إليك: «أنت مسؤول عن أمن حسابك وعن الإجراءات التي تُتخذ من خلاله».

إنهم يلمحون إلى أنك، أيها المستخدم، وافقت على الشروط التي سمحت بحدوث هذه السرقة. حقًا؟ لم ترَ قط صفحة اتفاقية المطور هذه: https:// steamcommunity.com /dev/apiterms. ولم تنقر قط على زر «موافق». بل إن أحد المتسللين هو من وافق على هذا العقد نيابة عنك، بعد أجزاء من الثانية من تسجيل الدخول إلى حسابك من عنوان IP روسي.

لذا، فإننا نتحدى أي محامٍ أو ممثل عن شركة «فالفي» أن يوضح لنا بالضبط أين ورد في «اتفاقية المشترك في Steam» ما يلي: «باستخدامك لـ Steam، فإنك توافق على المراقبة الخلفية لحسابك أو حساب طفلك على مدار الساعة طوال أيام الأسبوع بواسطة خادم آلي يقع في روسيا.»

في 90% من حالات الاستبدال التجاري، لا يعرف الضحية حتى ما هو مفتاح «API» على الويب. ولم يسبق له استخدامه قط. ومع ذلك، ظلت شركة «فالفي» مكتوفة الأيدي لمدة 7 سنوات، متجاهلة تمامًا الحل الذي يطالب به المجتمع بصوت عالٍ منذ اليوم الأول: ما عليكم سوى إضافة تأكيد إلزامي عبر «Steam Guard» لإنشاء مفتاح «API»!

ستيم: لا ينبغي إجبار الأطفال على رعاية المخترقين

تخيل مراهقًا عاديًّا من أوروبا. إنه يلعب الألعاب، ويدخر المال لشراء «السكينات» المفضلة لديه، وفي مرحلة ما، يرتكب خطأً — فيقوم بتسجيل الدخول إلى موقع تصيد احتيالي. في النظام البيئي الرقمي العادي، يكون الإجراء بسيطًا: يتم قفل الحساب تلقائيًّا (حظر من المجتمع)، وتُعاد تعيين كلمات المرور، ويتم استعادة الوصول بأمان. يدرك المراهق خطأه، لكن النظام يحميه من العواقب الوخيمة.

لكن في Steam، تسير الأمور بشكل مختلف. فبدلاً من حظر النشاط المشبوه، تفتح شركة Valve باباً خفياً دون أن يلاحظ أحد. يحصل خادم من ولاية قضائية خاضعة للعقوبات (روسيا) على وصول متوازي وغير مصرح به إلى حساب هذا الطفل. دون أي تأكيد ثانوي، ودون أي مطالبة من Steam Guard، يقوم برنامج نصي غريب بإنشاء مفتاح Web API. ويقبل هذا البرنامج الاتفاقيات القانونية نيابة عن المستخدم ويبدأ في مراقبة محادثاته ومعاملاته ومخزونه على مدار الساعة طوال أيام الأسبوع.

لم يوافق أي مراهق من الاتحاد الأوروبي قط على المراقبة الخفية. وهو ليس ملزماً برعاية قراصنة من إقليم خاضع لعقوبات مكتب مراقبة الأصول الأجنبية (OFAC) لمجرد أن شركة تبلغ قيمتها عدة مليارات من الدولارات تتكاسل عن تأمين موقعها API. ومن خلال الاحتفاظ بالجلود المسروقة ورفض إعادتها، تتستر شركة «فالف» على إهمالها في البنية التحتية، مما يؤدي فعليًّا إلى إضفاء الشرعية على استنزاف الأصول الرقمية للمواطنين الأوروبيين لصالح الأقاليم الخاضعة للعقوبات.

لماذا يشكل برنامج «API» من «Steam» وإجراءات الأمان المتعلقة بالرموز انتهاكًا للقانون

تسمح منصة Steam لأطراف ثالثة بإنشاء مفاتيح "API" واختطاف رموز الجلسة عبر بروكسيات MitM دون أي تنبيهات للمستخدم أو عمليات تحقق من المصادقة الثنائية (2FA). ويشكل هذا الإهمال انتهاكًا مباشرًا لقوانين حماية البيانات وقوانين حماية المستهلك الرئيسية:

• 🇪🇺 اللائحة العامة لحماية البيانات الخاصة بالاتحاد الأوروبي (GDPR) (المادتان 25 و32): يطالب بـ«الأمن منذ التصميم» وبتوفير الحماية التقنية الكافية. ويُعد إنشاء مفاتيح الوصول الحساسة دون استخدام المصادقة الثنائية (2FA) إخفاقًا أمنيًا خطيرًا.
• 🇺🇸 قانون لجنة التجارة الفيدرالية الأمريكية (المادة 5): تُعاقب على «الممارسات غير العادلة» والافتقار إلى «أمن معقول للبيانات». تتخذ لجنة التجارة الفيدرالية (FTC) إجراءات بشكل روتيني ضد المنصات التي تفتقر إلى المصادقة متعددة العوامل (MFA) عند تنفيذ الإجراءات الحساسة المتعلقة بالحسابات.
• ⚖️ توجيه الاتحاد الأوروبي رقم 2019/770: يجب أن تفي الخدمات الرقمية بالتوقعات الأساسية للمستهلكين في مجال الأمن. وتُعد ثغرة «API» الموجودة في منصة Steam منذ 7 سنوات خرقًا تامًا لهذه المتطلبات.
• 🛡️ التوجيه رقم 2 الخاص بـ NIS: تفرض قواعد صارمة للنظام الأمني الإلكتروني، بما في ذلك المصادقة متعددة العوامل (MFA) الإلزامية لإدارة الوصول، وهو ما تتجاهله شركة Valve في الجيل الحالي من ألعاب «API».

خلاصة القول: عندما تقوم منصة ما بتسليم مفاتيح «API» الخاصة بك إلى جلسة وكيل دون أي تنبيه أو تأكيد، فإن هذا لا يُعد مجرد عيب فحسب، بل هو انتهاك جسيم للامتثال.

هل أنت مستعد للرد؟ قم بإعداد إشعار النزاع الخاص بك

لا تقبل رفضهم الآلي لشروط الخدمة. اجعل شركة Valve تتحمل المسؤولية القانونية بموجب القوانين الدولية لحماية المستهلك وحماية البيانات. استخدم أداة الإنشاء التفاعلية المجانية التي نوفرها لإعداد «إشعار رسمي بالنزاع» (PDF) خاص بمنطقتك على الفور.

إنشاء إشعار وحفظه بصيغة PDF

هل يحتفظ Valve بسجلات على مستوى الجلسة للمصادقة وإنشاء مفتاح API وعرض الإلغاء والاستبدال والتأكيدات وسجل IP وإجراءات الدعم؟ إذا كانت هذه السجلات موجودة، فهل يمكن لـ Valve أن تثبت متى شاهدت مجموعات Ihor لأول مرة ولماذا تركتها نشطة؟ إذا لم تكن موجودة، فلماذا فشلت منصة تتعامل مع المخزونات عالية القيمة في الحفاظ على مسار التدقيق المطلوب للتحقيق في فئة هجوم معروفة؟

على مدار 88 شهرًا تقريبًا، كم عدد المستخدمين - بما في ذلك القُصَّر المعروفين - الذين فتحوا تذاكر خصيصًا لاستبدال العرض؟ كم عدد التذاكر التي أظهرت جلسة أجنبية موازية ولكنها تلقت ردًا مكتوبًا بدلاً من الإلغاء الفوري؟ كم عدد الحالات التي أدت إلى المنع قبل الخسارة، أو الاسترداد الفعلي للعنصر، أو حظر الروبوت المتلقي الذي يعزى إلى تلك التذكرة أو التقرير بدلاً من اكتشاف لاحق غير ذي صلة؟ لم تجد مراجعة PhishDestroy لتقارير الضحايا العامة ومناقشات Reddit أي حالة يمكن ربطها بثقة بتقرير الضحية؛ وهذا ليس دليلاً على عدم وجود أي منها، ويمكن لـ Valve تصحيح السجل عن طريق نشر إجمالياته الداخلية.

يتطلب سؤال المال أيضًا محاسبة دقيقة. بالنسبة لعملية بيع CS2 أو Dota Community Market التي يحصل فيها البائع على 100 وحدة بقيمة Steam Wallet، يدفع المشتري ما يقرب من 115 بعد رسوم Steam المدرجة البالغة 5% ورسوم اللعبة 10%، مع مراعاة التقريب. الـ 15 الإضافية هي رسوم؛ إن مبلغ 100 للبائع هو قيمة المحفظة، وليس 100 أخرى كعمولة، لذا فإن عبارة "ربح بنسبة 115%" ستكون غير دقيقة. ولكن إذا تمت سرقة هذا العنصر وتجميده لاحقًا دون استرداده، فلا يزال Valve يتحكم في أموال الحلقة المغلقة، وقد قام بتحصيل الرسوم وأزال العنصر من التداول. ما هي إجمالي مدفوعات المشتري، ورسوم Valve، والتزامات المحفظة، وقيمة العنصر المجمد، وتأثيرات السعر، ومبالغ الاسترداد لفئة الهجوم هذه؟

الطلب:نشر العدد الفعلي لموظفي الأمن والدعم حسب السنة؛ الساعات والميزانية المخصصة لمنع مبادلة العروض؛ الجدول الزمني الكامل للتقارير والقرارات والتجمعات الجماعية المفقودة؛ إلغاء التذكرة إلى الجلسة، وحظر التذكرة إلى الروبوت، ومعدلات الاسترداد؛ سجلات الطلب/الإجراء المحفوظة؛ ومقارنة مدققة لكشوف مرتبات Steam وأرباح المنصة مع خسائر المستخدمين والرسوم المحصلة وقيمة المحفظة والعناصر المجمدة. الإجابة المسجلة: هل كان هذا فشلًا في التوظيف، أم فشلًا في سياسة الدعم، أم اختيارًا تجاريًا متعمدًا؟

الدعم الخارجي والوصول المميز

هل يمكن للوكيل الخارجي الاستعلام عن أي مستخدم Steam في جميع أنحاء العالم؟

تنص سياسة خصوصية Valve على أن موفري الدعم الخارجيين قد يتلقون البيانات الشخصية فقط عند الضرورة. يعرف PhishDestroy مجموعة الحقول ونموذج الوصول للواجهة التي تم فحصها؛ يُطلب من Valve تأكيد ذلك أو نفيه في السجل. هل يمكن لوكيل المقاولات في أيرلندا - أو في أي مكان آخر - فتح مستخدم في الولايات المتحدة أو ألمانيا أو أستراليا أو الصين أو روسيا؟ هل يمكنهم رؤية سجلات البريد الإلكتروني والهاتف وIP والجهاز الحالية والتاريخية أو الجلسات أو تغييرات الحساب أو المعاملات أو الدردشات الخاصة؟ هل التذكرة المخصصة مطلوبة؟

الطلب:سجل المعالج والمعالج الفرعي، وكل بلد معالجة، ومصفوفة الوصول لكل دور على حدة، والقيود الإقليمية، والوصول في الوقت المناسب على نطاق التذاكر، وإجابة واضحة على الدردشة والمعرفات التاريخية.

هل يعرف Valve الإنسان الذي يقف وراء كل عملية بحث مميزة؟

قد يكون لموظف المقاول روابط شخصية أو سياسية أو حكومية غير معروفة للمستخدم. ما الذي يمنع المشغل من التعرض للرشوة أو الإكراه أو التكليف من قبل FSB - أو أي هيئة استخبارات أو هيئة إنفاذ قانون أخرى - لاسترداد سجل IP الخاص بشخص ما، أو أوقات النشاط، أو جهات الاتصال، أو تغييرات الحساب؟ هل يحدد Valve كل شخص طبيعي، ويحظر بيانات الاعتماد المشتركة، ويسجل كل بحث وعرض ميداني، ويكتشف الوصول خارج حالة معينة، ويمنع التصدير بالجملة ويطلب من جميع المطالب الحكومية المرور عبر الإجراءات القانونية لـ Valve؟

الطلب:سجلات التدقيق المنسوبة بشكل فردي، والمصادقة المرتبطة بالأجهزة، والتنبيهات الشاذة، ومراجعات الوصول الدورية، وفترات الاحتفاظ بالسجل، وإحصاءات إساءة الاستخدام من الداخل، وإجماليات الطلبات الحكومية المقدمة من المقاولين، والنتائج التأديبية، وتقرير الشفافية العامة حسب البلد.

التزام استرداد الأدلة

هل سيدعي Valve أنه لم يعد من الممكن العثور على الروبوتات والضحايا؟

إذا أخبر Valve جلسة استماع أن واجهته وأمانه ودعمه فشلوا - أو نقل الفشل إلى جهة خارجية - ثم وعد بالتعويض، فإن "لم يعد بإمكاننا التعرف على الروبوتات أو الضحايا" لا يمكن أن يصبح العذر التالي. PhishDestroy على استعداد لتقديم SteamIDs المحفوظة لروبوتات الاستقبال وسجلات التجارة والسرقة المرتبطة بها من المنتج الرئيسي الذي تم فحصه. تقديرنا الداخلي الحالي هو أن مطابقة هذه المادة مع دفتر الأستاذ التجاري الكامل لـ Valve يمكن أن يحدد ما يقرب من 80% من ضحايا مبادلة العروض الكلاسيكية - وليس حالات maFile أو التصيد الاحتيالي لبيانات الاعتماد أو RAT؛ ولا يمكن تحديد التغطية الدقيقة إلا من خلال المصالحة. وكان هناك فريقان آخران: قد يكون من الصعب الآن تحديد موقع مجموعة واحدة من المطورين، ولكن قد يتمكن المشاركون والباحثون الآخرون من تقديم قوائم إضافية.

إذا أبلغت Valve الكونجرس أن مخزونات الجلود المجمدة واسعة النطاق ليس لها أي تأثير على العرض أو الندرة أو الأسعار أو إيرادات المنصة، بينما تظهر بياناتها الداخلية خلاف ذلك، فسيكون ذلك بمثابة بيان كاذب للكونغرس. التأكيدات ليست كافية: فهي تتطلب البيانات الأساسية ونموذج التأثير المستقل. الوقت مهم. يفقد تبادل العروض أهميته مع تحول عمليات الاحتيال في Steam نحو حمولات RAT وإغراءات حظر VAC المزيفة التي يتم تسليمها من خلال الملفات؛ قد يختفي الأشخاص الذين يقفون وراء المنتجات القديمة مع ظهور الأدلة.

مسار التحقق المستقل

توقع عذر "الثقة": دفتر حسابات روبوتات مبادلة العروض البالغ عدده 213000

ونحن نتوقع الدفاع القياسي عن Valve: "لا يمكننا أن نثق بشكل أعمى في قائمة الضحايا المقدمة من طرف ثالث". ونحن نحترم هذه الشكوك. ولهذا السبب لا نقدم قائمة بالضحايا. نحن نقدم قائمة يمكن التحقق منها لروبوتات الاستقبال التي تستخدمها لوحات تبادل العروض الكلاسيكية.

لدينا الوسائل اللازمة لتأمين قواعد البيانات التي تغطي ما يقرب من 80% من حجم مبادلة العروض الكلاسيكية التاريخية API - الآلية التي ألغت عرضًا تجاريًا مشروعًا وأرسلت بديلاً - إذا التزمت Valve حقًا بالتعويض بدلاً من التحكم في أضرار العلاقات العامة. لا يغطي هذا التقدير سرقة maFile أو التصيد الاحتيالي العادي لبيانات الاعتماد أو حمولات RAT أو أنواع الاحتيال الأخرى: يمكن أن تستخدم هذه التدفقات روبوتات محدودة أو مخفية ولا يمكن إعادة بنائها بنفس الثقة. يمكننا أن نسأل مؤلفي لجنة الاحتيال مباشرة. إنهم مبرمجون يمكن الوصول إليهم: يمكننا الاتصال بواحد على الأقل على الفور ولدينا طريق إلى الآخر. الهدف ليس مطاردة المطورين الفرديين، ولكن إجبار Steam على تصحيح فشل منهجي دام سبع سنوات. بالمقارنة مع صمت شركة Valve، أظهر مطورو اللوحة في بعض الأحيان المزيد من الإنسانية والشفافية.

≈213,000عدد غير محدود من حسابات روبوت الاستلام والتصفية · مقايضة العروض الكلاسيكية فقط · التقدير الداخلي PhishDestroy · بعضها محظور بالفعلتم توفير معرفات الروبوت → يتحقق Valve داخل دفتر الأستاذ الخاص به → الضحايا والعناصر

حتى لو رفض المؤلفون مشاركة سجلاتهم، فإننا نمتلك طرقًا جنائية بديلة لتحديد شبكات الروبوتات المنشورة حصريًا لهذه الآلية المحددة لإلغاء العرض والاستبدال. بموجب معيار الاستخدام الحصري هذا، فإن كل صفقة واردة إلى روبوت استقبال لوحة تم التحقق منها تعتبر سرقة موثقة.

لا أحد يطلب من Valve تسليم سجلاته الداخلية إلى PhishDestroy. سنوفر SteamIDs أو عمليات تسجيل الدخول إلى الحساب للروبوتات المستخدمة فقط لتلقي وتصفية العناصر المسروقة من خلال استبدال العرض؛ يمكن لـ Valve الاحتفاظ بدفتر الأستاذ الخاص به داخل بيئته الخاصة وإجراء المطابقة بنفسه. نجحت العديد من هذه الروبوتات في بيع العناصر المسروقة، وبعضها محظور بالفعل، وحجم الصفقات الواردة هائل.

دليل التحقق هو خاص بـ Valve: سلوك حساب الروبوت فقط، وتوقيت إلغاء العرض الشرعي وإرسال بديل، وتاريخ العنصر الوارد والتصفية، والبنية التحتية الموثقة لـ Ihor، والتأكيد من المستخدمين المتأثرين. بالنسبة للحساب الذي تم التحقق منه باعتباره روبوتًا حصريًا لتلقي مقايضة العروض، فإن كل صفقة واردة خلال فترة تشغيله تعتبر بمثابة سجل سرقة - وليست نشاطًا عاديًا للاعب.

سؤال مباشر إلى Valve:هل ينتهك الاستلام والتصفية الآلية للجلود المسروقة بواسطة الروبوت قواعد Steam Subscriber Agreement والنظام الأساسي - أم فقط عندما يكون التنفيذ مناسبًا لـ Valve؟ هل تعتبر سرقة الجلد المنظمة نشاطًا تجاريًا، أم أن هذا التعريف يتغير أيضًا عندما يكون ذلك مناسبًا؟

لا يحتاج Valve إلى الثقة في تقييم الضحية. فهو يحتاج فقط إلى إحالة معرفات الروبوتات المقدرة بـ 213000 مع دفتر الأستاذ الخاص به والتحقق من وظيفتها بشكل مستقل. بمجرد التحقق، يصبح تحديد الضحايا واستعادة العناصر بمثابة استعلام في قاعدة البيانات. سنبذل كل ما في وسعنا لتسليم القائمة. العنصر الوحيد المفقود هو رغبة Valve في التصرف.

التزام PhishDestroy:إذا بدأت Valve في الاسترداد حقًا، فسنبذل كل جهد ممكن للحصول على القوائم المتاحة والحفاظ عليها وتسليمها بشكل آمن.الطلب على Valve:الاحتفاظ بالسجلات الداخلية الآن دون تسليمها إلينا، وفتح قناة محمية لمعرفات الروبوتات، والتوفيق بين SteamIDs والتداولات داخل دفتر الأستاذ الخاص به، وإخطار الضحايا الذين تم تحديدهم ونشر عدد العناصر المستعادة.

لقد دخلت الأموال الحقيقية بالفعل إلى الحلقة المغلقة لـ Steam، وقام Valve بتحصيل الرسوم أثناء تداول العنصر. إذا ظل تاريخها قابلاً للتتبع بالكامل، وكان المالك السابق معروفًا، ثم قام Valve بتجميده بشكل دائم مع رفض الاسترداد وإخفاء المخزون، فإن السؤال لا مفر منه: لماذا يجب على الجمهور أن يرى ذلك على أنه حماية بدلاً من تسييل ثغرة النظام الأساسي؟ الحظر الذي يترك الضحية خالي الوفاض ليس تعويضًا.

ملاحظة تحريرية:تعتمد مطالبات Ihor التشغيلية على البيانات والملفات المحفوظة الخاصة بـ PhishDestroy من منتج واحد تم فحصه ويمكن تقديمها للمراجعة المستقلة. تتطلب المجاميع الإجمالية والتنفيذ الانتقائي والدافع الاقتصادي سجلات Valve. الإشارات إلى أيرلندا أو روسيا أو FSB أو دولة أخرى تصف نموذج التهديد؛ ولا يتهمون مقاولًا أو مشغلًا بالكشف عن المعلومات دون دليل. تم الإبلاغ عن الأرقام المكونة من 79 شخصًا و 76.4 مليون دولار من جدول فئة 2021 المقدم إلى المحكمة والذي تم الكشف عنه قبل التنقيح المصحح. إن رقم 1,162,880 ساعة هو حساب توضيحي لقدرة الموظفين - وليس ادعاءً بأن 79 شخصًا كانوا مهندسين أمنيين أو أمضوا تلك الساعات في هذا الاحتيال.