Илюзията „Steam“: Как Valve управлява сенчеста икономика, позволява кражба на данни и пренебрегва международното право

Ексклузивен разследващ репортаж от PhishDestroy

Проектът PhishDestroy не се появи, защото времената бяха добри. Нашето съществуване не е доказателство за успеха на Steam, а критична необходимост, породена от абсолютното пренебрежение на Valve към сигурността на потребителите. Всъщност нашата борба срещу фишинга пряко се намеси в бизнес модела на Valve, нарушавайки внимателно изработената им икономика на забрани на акаунти и препродажба на предмети. (По-късно ще публикуваме отделна, подробна статия, разкриваща истинските „ценности“ на компанията и тяхната пародия на киберсигурността).

Вече повече от десетилетие Valve Corporation се крие зад подбрана, потребителски ориентирана фасада. Но под повърхността се крие цинична корпоративна машина. Чрез обширно вътрешно разследване екипът на PhishDestroy разкри политиките, за които Valve предпочита да мълчи. Това е анатомията на една платформа, която действа като нерегулиран финансов синдикат, угажда на държави, подложени на санкции, приютява компрометирана аутсорсинг поддръжка и третира европейските закони като незадължителни препоръки.

1. Фарсът със санкциите и проруската пристрастност

За Valve потребителите в ЕС и САЩ не са нищо повече от „доилни крави“. Докато европейските геймъри плащат пълната цена, Steam продължава да предлага агресивни отстъпки от 70% до 80% за руския пазар. Една игра в Русия струва само част от цената ѝ в Германия. Ето как изглеждат международните „санкции“ според речника на Valve.

Платформата прави всичко възможно, за да угоди и популяризира този вектор: улеснява смяната на региона, си затваря очите пред изпирането на пари чрез предмети в игрите и изрично посочва в Общите си условия, че се подчинява на юрисдикцията на всеки руски съд. Това стига до абсурд: в редките случаи, когато сървърите на Steam претърпяват масивни прекъсвания, първата институция, която официално коментира техническите проблеми, често е „Роскомнадзор“ (руската федерална агенция за цензура).

2. Картелът за аутсорсинг на поддръжката

Митът за „строгата и сигурна американска техническа поддръжка“ се разпада в момента, в който осъзнаете кой държи ключовете към бекенда на Steam. Valve е делегирала поддръжката в региона на ОНД на силно компрометирана външна мрежа.

Успяхме да разкрием самоличността на части от тази мрежа. Ключова фигура, която управлява или координира този клон на поддръжката, е лице на име Никита. Нашето разследване разкри, че това лице (или поне основният му имейл адрес) е регистрирано и активно като потребител в подземни хакерски форуми като Lolzteam (Zelenka) — прочут център в даркнета, изцяло посветен на продажбата на откраднати кредитни карти, компрометирани бази данни и логове от атаки с груба сила.

Valve е напълно наясно с тази корупция. Те вече са признавали случаи, при които аутсорсиран персонал систематично е източвал ценни запаси на потребителите. Въпреки това поддържането на евтина и неподлежаща на отчетност аутсорсирана работна сила остава по-изгодно за тях, отколкото наемането на квалифицирани вътрешни специалисти по киберсигурност.

3. Измамите като бизнес модел и офшорните валути

Скиновете в игрите на Steam са се превърнали в повсеместна, непроследима валута в даркнета – финансова „праченица“, която заобикаля международните регулатори и данъчните органи.

За финансовия отдел на Valve измамниците не представляват заплаха; те са външни агенти, които стимулират динамиката на пазара. Традиционният модел „един потребител, една игра“ носи ограничени приходи. Компрометираната екосистема обаче създава изключително печеливша верига: потребителят бива хакнат, предметите му се открадват, акаунтите на измамника получават „забрана за търговия“, а жертвата е принудена да си създаде нов профил и да си купи отново активите.

Когато Valve блокира измамник, компанията не връща откраднатите активи на законния им собственик. Тя ги замразява завинаги. Това създава изкуствен дефицит. Намаляването на предлагането на пазара повишава цените на останалите артикули, което от своя страна увеличава 15-процентната комисионна на Valve на Community Market. Те не искат да спрат измамите; те печелят от тях.

4. Нарушението на сигурността в CEVA Logistics: неоспоримо доказателство за небрежност

Ако смятате, че Valve поне защитава вашите физически данни в реалния свят, неотдавнашният инцидент, свързан с CEVA Logistics, доказва обратното. Между 29 юли и 1 август 2026 г. хакери проникнаха в системата на европейския партньор на Valve за хардуерна логистика. Valve призна пробива едва на 7 август, като остави данните на потребителите в ръцете на злонамерени лица в продължение на цяла седмица.

Изтеклите данни включват истински имена, пълни адреси на местоживеене, телефонни номера и имейл адреси, свързани със Steam, на европейски клиенти, които са поръчали физически хардуер. Valve се опитва да успокои потребителите, като заявява, че „пароли и данни за плащания“ не са били изтекли. Но пълното име, адресът на местоживеене, телефонният номер и имейлът в Steam са точно необходимите данни за изключително ефективен целенасочен фишинг и отвличане на акаунти – златна мина за споменатите по-горе аутсорсирани служители и мрежи за измами. Valve на практика им е предала вашите данни.

5. Призив за действие: Европейската позиция срещу корпоративния имунитет

Всеки геймър в Европа трябва да осъзнае суровата реалност: плащате 5 пъти повече за игри, отколкото потребителите в Русия, а вашите европейски права и закони (GDPR) са напълно пренебрегнати. Вашите лични данни се изтичат към външни подизпълнители, а заявките ви за поддръжка се обработват от аутсорсинг мрежа от страните от ОНД с изключително съмнителна репутация.

Изпращаме специален, саркастичен поздрав към адвокатите от Taylor Wessing, които неизбежно ще трябва да защитават интересите на Valve в европейските съдилища. Пригответе се – защитата на монопол, който активно плюе върху законодателството на ЕС, ще стане значително по-трудна.

Време е да спрете да бъдете удобен спонсор. Не прощавайте тези изтичания на данни.

Ако откажат, твърдят, че не водят регистри, или се крият зад корпоративно споразумение за неразкриване на информация (NDA), за да защитят своите външни сътрудници, препратете този отказ директно до вашия орган за защита на данните (DPA). Масовите съдебни действия са единственият език, който този монопол разбира.

Допълнение от автора: Пазарът зад платформата

На платформата Steam препоръчителните регионални цени за Русия (и региона на ОНД като цяло) обикновено са с 40–60% по-ниски от базовата цена в щатски долари. Русия е класифицирана като „Tier 2: Emerging Market“ (Ниво 2: Развиващ се пазар), което обикновено получава отстъпка от 40–50% от базовата цена. Например, стандартна инди игра на цена 19,99 долара (което при директно превръщане би било около 1 900 рубли) би трябвало да струва около 419–499 рубли според препоръките на Valve.

Трябва да се посочи ясно, че аутсорсингът на поддръжката се намира в Ирландия, но персоналът се състои от руснаци – а част от служителите работят директно в Русия. О, и между другото, CSGOFast притежава популярното разширение SteamInventoryHelper, което се използва единствено за реклама на тяхното казино, насочено към деца (казино, което е забранено в няколко европейски държави). А кой притежава това казино? Точно така, руснаци, точно както и по-голямата част от подобните сайтове. Steam не знае ли това? Или просто не искат да знаят, като се има предвид, че оборотът на сенчестия пазар е около един милиард долара, ако не се лъжа.

Освен това, според моите оценки, 40% от измамниците от ОНД, които в момента извършват криптоизмами, са започнали кариерата си в Steam. Лично знам за поне два конкретни случая на пране на пари чрез скинове. Няма да ги описвам подробно тук, но мога да го направя, ако се наложи — просто не публично, тъй като не искам да назовавам платформите и т.н. Но Steam е напълно наясно с това. Или всъщност очакват да повярваме, че играчи, които дори не притежават играта, просто купуват един и същ предмет отново и отново, само за да „си играят“ с него? Да, точно, това е шега.

Тъй като се страхувам от сексуален тормоз от страна на Taylor Wessing, няма да пиша и да моля да предадете моето послание на жертвите на изтичането на данни — хората, които Valve е подвела и които са получили тези имейли с уведомления. Satire / Joke

Приоритетите на Steam са максимално проруски – както по отношение на ценообразуването и правните аспекти, така и по отношение на популяризирането на Путин, знамена и забранени терористи. Но изглежда, че на Steam това им харесва, точно както толерират антисемитизма, дискриминацията, тормоза, преследването и търговията с наркотици. За Steam това е напълно приемливо, точно както игрите за възрастни 18+. Явно им доставя удоволствие.

Това не е краткотраен политически спор. Руските власти и работни групи от бранша са отделили повече от година за разработването на режим за контрол на видеоигрите, който включва идентифициране на играчите чрез руски телефонен номер, държавния портал за идентификация „Gosuslugi“ или държавната биометрична система. Steam и GOG бяха изрично посочени сред платформите, които предложението би могло да засегне, а участниците заявиха, че съответната правителствена работна група вече се е срещала в продължение на почти година и половина към декември 2024 г. Valve не е поела подобен публичен ангажимент, че ще напусне руския пазар, вместо да свърже своите потребители с тази държавно направлявана архитектура за идентификация.

Контрастът е шокиращ. Големите играчи в индустрията преустановиха продажбите или услугите си в Русия – Microsoft спря всички нови продажби, а платформите за конзоли и издателите обявиха собственото си оттегляне – но Steam избра да продължи дейността си. Платформата продължава да предоставя търговска и социална инфраструктура на страна, която Европейският парламент официално призна за държава, подкрепяща тероризма, и държава, която използва терористични средства.

Тази подкрепа е видима в самата икономика на Valve. Официалният Steam Community Market предлага за продажба фон за профил „Путин и Тръмп“, както и хиляди артикули с имена като „Путин завинаги“, „Усмивката на Путин“, „Харесвам Путин“ и „Ядосаният Путин“. Valve не е създала тези изображения, но ги разпространява, предлага и печели от тях чрез пазара, управляван от Valve. В същото време, в случаи, документирани от PhishDestroy, тормозът на основата на националност се оставя да остане видим или се третира като обикновен конфликт в общността. Посланието на Steam е недвусмислено: политическата пропаганда може да се превръща в източник на приходи, докато хората, които са обект на нападки на основата на националния им произход, са оставени да понасят това.

Частната собственост не е правна имунитет

Valve е частна компания и акциите ѝ не се търгуват публично. Това означава, че нейната собственостна структура, инвеститорите, вътрешните контролни механизми и финансовите стимули са обект на много по-малко рутинно обществено наблюдение, отколкото тези на една публично търгувана компания. Това обаче не означава, че законите за защита на потребителите, задълженията за безопасност на децата, законите за защита на личните данни или националните регулаторни органи престават да съществуват. Ако дадена платформа не се наблюдава достатъчно внимателно, това е пропуск в надзора — а не разрешение тя да се превърне в място, където децата са изложени на сексуално съдържание, реклама на хазарт, преследване и организирано тормозене.

В собственото Споразумение с абонатите на Valve се посочва, че Steam не е предназначен за деца под 13 години. Това все пак оставя огромна тийнейджърска аудитория в същия магазин, който продава обикновени игри редом с експлицитни заглавия за възрастни и хентай. Самодекларираната дата на раждане, страницата с предупреждения и филтрите за предпочитания не представляват значима гаранция за възрастта. Проблемът не е в това, че съществуват медии за възрастни; проблемът е в поставянето им в платформа за игри за масовия пазар, използвана от непълнолетни, и след това преструването, че една козметична бариера прави риска да изчезне. Ако Гейб Нюъл, ръководството на Valve или неговите партньори за поддръжка искат платформа със съдържание за възрастни, те трябва да я управляват открито и отделно, вместо да принуждават всеки издател на игри да споделя търговска витрина с нея.

Притежателите на права трябва също така да обяснят защо приемат това съседство. Семейна игра, заглавие за деца или масова игра може да се намира само на една препоръка или резултат от търсене разстояние от експлицитно съдържание, докато Valve събира пари и от двете. Издателите харчат състояния, за да защитят своите марки, но изглеждат склонни да пренебрегват това, което заобикаля тези марки в Steam. Частната собственост не прави това отговорно, а пазарното господство не го прави неизбежно.

Принципите на Valve за модерация стават още по-трудни за защита, когато се сравнят с реакцията на компанията спрямо руската държавна цензура. През 2024 г. „Роскомнадзор“ обяви, че Steam е премахнал всички материали, изисквани от агенцията, и че вследствие на това 11 URL адреса на Steam ще бъдат премахнати от руския регистър на забранената информация. През 2025 г. Steam премахна материали от страницата на игра, предназначена само за възрастни, след поредно искане от „Роскомнадзор“ относно т.нар. ЛГБТ „пропаганда“. Това беше политическа цензура, приложена дори към произведение за лица над 18 години, а не защита на дете, което е заобиколило възрастовата бариера. Valve може да се съобрази с руския списък за цензура, но по някакъв начин остава безсилна, когато се изисква от нея да защити потребителите от злоупотреби, свързани с националния им произход, канали за незаконен хазарт или агресивно излагане на съдържание за възрастни. Това е избор на приоритети и повдига очевиден въпрос за свободата на изразяване.

Valve също така не е публикувала официално корпоративно изявление относно руската инвазия в Украйна, подобно на компаниите, които преустановиха дейността си или открито подкрепиха Украйна. Нейната структура на частен капитал не изисква разкриване на информация пред инвеститорите, каквато се очаква от публична компания, така че външни лица не могат напълно да преценят чии интереси се защитават. Това, което остава видимо, е изключителната привързаност към пазар с по-ниски цени, свързан с измами в промишлен мащаб, хазарт, кражба на акаунти и услуги за заобикаляне на санкции. Може би причината ще стане по-ясна, ако Steam някога се съгласи на свързване с идентичността чрез Gosuslugi.

Историята с аутсорсинга следва същия модел на непрозрачност. Valve сключва договори с компании, а не с отделните служители от отдела за поддръжка, с които се свързват потребителите. Според първичен източник и материали, прегледани от PhishDestroy, лице, свързано с по-ранния скандал за кражба на стоки с висока стойност, не е изчезнало от малката екосистема на подизпълнителите за поддръжка: то се е преместило в друга агенция. По-късно той твърди, че не е работил за Steam и не е знаел, че акаунтът е свързан със Steam. И все пак следите водят обратно към Ирландия, към същото лице и отново към Steam. Този случай трябва да бъде разследван като провал в аутсорсинга и контрола на достъпа; той не се представя тук като наказателно осъждане. Valve трябва да разкрие кои агенции имат достъп до системите за акаунти, как се извършва повторна проверка на персонала, когато той преминава от един доставчик към друг, и дали дадено лице, отстранено от един подизпълнител, може просто да се появи отново чрез друг.

Виетнам вече доказа, че статутът на Valve като частна компания не я поставя над националното законодателство. Steam беше блокиран там, след като властите заявиха, че Valve не е сътрудничила. Виетнам съществува. Законодателството на ЕС съществува. Всяка юрисдикция, от която Valve извлича печалба, съществува, дори когато Valve се държи така, сякаш има значение само „някой съд в Русия“. И ако теорията е, че Steam може да оперира където си поиска, при каквито и да е скрити споразумения, без никаква значима отчетност, може би трябва да зададем директно абсурдния въпрос: има ли и специален Steam за Северна Корея, за който никой все още не е разкрил?

Това са установени факти: екипът за поддръжка е руски, а тази поддръжка многократно е крала или предавала информация на трети страни, за да възстанови достъпа до неактивни акаунти с цел да ги открадне с цел печалба.

Така че съм сигурен, че уведомяването ви за изтичането на вашите данни не означава абсолютно нищо за тях, особено при такова огромно закъснение (те със сигурност са чакали отговора на Taylor Wessing; чудо е, че не са чакали три седмици).

Никога преди не съм правил това, никога не съм подтиквал или провокирал никого да направи нещо и не бих искал да го правя сега. Но точно това е ситуацията, която Steam иска. Те смятат, че откритият натиск и дискриминацията срещу потребителите от ЕС са напълно приемливи и че Taylor Wessing просто ще реши всичко, като открито заплашва хората във връзка с исканията по GDPR. Това е моето мнение, моят опит и информация от първичен източник, в който имам доверие.

Във всеки случай, подаването на жалба отнема само няколко клика. Може би тогава Steam най-накрая ще се научи да зачита чуждестранните закони – а не само законите на „някой съд в Русия“. Може би най-накрая ще спрат да се правят на глупави, преструвайки се, че са напълно неспособни да блокират домейни за авторизация на сайтове за незаконни хазартни игри. Вместо сегашната реалност: всички са в заговор помежду си – руските собственици на детски казина и персоналът по поддръжката, който седи в Lolzteam и обсъжда как да пробива акаунти с брут-форс.

PhishDestroy ще продължи да наблюдава, разследва и разкрива. Сенчестата икономика ще бъде извадена на светло.

Сигурен съм, че ще имате интересно преживяване при общуването с представителите на Valve. Ако се окаже, че става дума за Taylor Wessing, напълно нормално е те да ви говорят отвисоко, да отправят заплахи и да печелят време — това е тяхната работа. Като цяло те са известни най-вече с дело за сексуален тормоз срещу собствената им фирма и не с много друго. А, да, компаниите с прекалено много пари ги наемат специално, за да ви изтощят, като им плащат огромна почасова ставка.