Iluze Steam: Jak společnost Valve provozuje stínovou ekonomiku, umožňuje krádeže dat a ignoruje mezinárodní právo

Exkluzivní investigativní reportáž od PhishDestroy

Projekt PhishDestroy nevznikl proto, že by se dařilo. Naše existence není důkazem úspěchu platformy Steam, ale kritickou nutností, která vzešla z naprostého přehlížení bezpečnosti uživatelů ze strany společnosti Valve. Náš boj proti phishingu ve skutečnosti přímo zasáhl do obchodního modelu společnosti Valve a narušil její pečlivě vybudovaný systém blokování účtů a opětovného prodeje předmětů. (V pozdějším termínu zveřejníme samostatný, podrobný článek odhalující skutečné „hodnoty“ společnosti a její parodii na kyberbezpečnost).

Již více než deset let se společnost Valve Corporation skrývá za pečlivě vytvořenou, spotřebitelsky přívětivou fasádou. Pod povrchem se však skrývá cynický korporátní stroj. Na základě rozsáhlého interního vyšetřování tým PhishDestroy rozebral zásady, o nichž společnost Valve raději mlčí. Toto je anatomie platformy, která funguje jako neregulovaný finanční syndikát, uspokojuje sankcionované státy, poskytuje útočiště kompromitované externí podpoře a považuje evropské zákony za volitelné doporučení.

1. Fraška kolem sankcí a proruská zaujatost

Pro společnost Valve nejsou uživatelé v EU a USA ničím jiným než dojnými krávami. Zatímco evropští hráči platí plnou cenu, Steam nadále nabízí na ruském trhu agresivní slevy ve výši 70 % až 80 %. Hra v Rusku stojí zlomek toho, co stojí v Německu. Takto vypadají mezinárodní „sankce“ ve slovníku společnosti Valve.

Platforma dělá vše pro to, aby tento směr uspokojila a popularizovala: usnadňuje změnu regionu, přivírá oči nad praním špinavých peněz prostřednictvím herních předmětů a ve svých Podmínkách služby výslovně uvádí, že se podřizuje jurisdikci jakéhokoli ruského soudu. Dosahuje to až absurdity: v ojedinělých případech, kdy servery Steam zaznamenají masivní výpadky, je prvním subjektem, který se oficiálně vyjádří k technickým poruchám, často Roskomnadzor (ruská federální cenzurní agentura).

2. Kartel outsourcované podpory

Mýtus o „přísné a bezpečné americké technické podpoře“ se rozpadá v okamžiku, kdy si uvědomíte, kdo drží klíče k backendu služby Steam. Společnost Valve svěřila technickou podporu v regionu SNS do rukou silně kompromitované externí sítě.

Podařilo se nám odhalit totožnost některých členů této sítě. Klíčovou postavou, která řídí nebo spravuje tuto podpůrnou větev, je osoba jménem Nikita. Naše vyšetřování odhalilo, že tato osoba (nebo přinejmenším její primární e-mailová adresa) je registrována a aktivní jako uživatel na podzemních hackerských fórech, jako je Lolzteam (Zelenka) – notoricky známém uzlu na darknetu, který se výhradně věnuje prodeji odcizených kreditních karet, kompromitovaných databází a záznamů o hrubé síle.

Společnost Valve si je této korupce plně vědoma. V minulosti již uznala případy, kdy externí pracovníci systematicky vykrádali cenné uživatelské zásoby. Přesto je pro ni udržování levné a nekontrolovatelné externí pracovní síly stále výnosnější než najímání kvalifikovaných interních odborníků na kyberbezpečnost.

3. Podvody jako obchodní model a offshore měny

Herní skiny ze služby Steam se staly všudypřítomnou, nevystopovatelnou měnou na darknetu – finančním prádelně, která obchází mezinárodní regulační orgány a daňové úřady.

Pro finanční oddělení společnosti Valve nepředstavují podvodníci hrozbu; jsou to externí činitelé, kteří stimulují dynamiku trhu. Tradiční model „jeden uživatel, jedna hra“ přináší omezené příjmy. Kompromitovaný ekosystém však vytváří vysoce ziskový cyklus: uživatel je napaden hackery, jeho předměty jsou ukradeny, účty podvodníků dostanou „zákaz obchodování“ a oběť je nucena si vytvořit nový profil a znovu si zakoupit svá aktiva.

Když společnost Valve zablokuje podvodníka, nevrací ukradené prostředky oprávněnému majiteli. Trvale je zmrazí. Tím vytváří umělý nedostatek. Snížení nabídky na trhu zvyšuje ceny zbývajících položek, což zase znásobuje 15% provizi společnosti Valve na Community Marketu. Nechtějí podvodům zabránit; naopak z nich profitují.

4. Únik dat ve společnosti CEVA Logistics: Nepopiratelný důkaz nedbalosti

Pokud se domníváte, že společnost Valve alespoň chrání vaše fyzická data v reálném světě, nedávný incident týkající se společnosti CEVA Logistics dokazuje opak. Mezi 29. červencem a 1. srpnem 2026 se hackerům podařilo proniknout do systému evropského partnera společnosti Valve v oblasti hardwarové logistiky. Společnost Valve tento únik přiznala až 7. srpna, čímž nechala data uživatelů po celý týden v rukou zlovolných aktérů.

Mezi uniklými údaji jsou skutečná jména, úplné adresy bydliště, telefonní čísla a e-mailové adresy propojené se službou Steam evropských zákazníků, kteří si objednali fyzický hardware. Společnost Valve se snaží uživatele uklidnit tvrzením, že „hesla a platební údaje“ neunikly. Celé jméno, adresa bydliště, telefonní číslo a e-mailová adresa na Steam však představují přesně ten plán, který je zapotřebí k provedení ničivě účinného cíleného phishingu a převzetí účtů – zlatý důl pro právě ty externí pracovníky a podvodné sítě, o nichž byla řeč výše. Společnost Valve jim v podstatě vaše údaje předala.

5. Výzva k akci: Evropský postoj proti imunitě korporací

Každý hráč v Evropě si musí uvědomit krutou realitu: za hry platíte pětkrát více než uživatelé v Rusku, přesto jsou vaše evropská práva a zákony (GDPR) zcela potlačeny. Vaše osobní údaje unikají třetím stranám a vaše žádosti o podporu vyřizuje síť externích dodavatelů ze zemí SNS s velmi pochybnou reputací.

Zvláštní, sarkastický pozdrav zasíláme právníkům z kanceláře Taylor Wessing, kteří budou nevyhnutelně muset hájit zájmy společnosti Valve před evropskými soudy. Připravte se – obhajoba monopolu, který aktivně plive na právo EU, bude brzy podstatně těžší.

Je na čase přestat být pohodlným sponzorem. Tyto úniky dat neodpouštějte.

Pokud odmítnou, tvrdí, že nevedou záznamy, nebo se schovávají za firemní dohodu o mlčenlivosti (NDA) s cílem chránit své externí zaměstnance, přepošlete toto odmítnutí přímo vašemu úřadu pro ochranu osobních údajů (DPA). Hromadné právní kroky jsou jediným jazykem, kterému tento monopol rozumí.

Dodatek autora: Trh za platformou

Na platformě Steam jsou doporučené regionální ceny pro Rusko (a region SNS jako celek) obvykle o 40–60 % nižší než základní cena v amerických dolarech. Rusko je zařazeno do kategorie Tier 2: rozvíjející se trh, pro který se obecně uplatňuje sleva 40–50 % z základní ceny. Například standardní nezávislá hra s cenou 19,99 USD (což by při přímém přepočtu činilo přibližně 1 900 rublů) by podle doporučení společnosti Valve měla stát přibližně 419–499 rublů.

Je třeba jasně uvést, že outsourcovaná podpora sídlí v Irsku, ale její personál tvoří Rusové – a někteří zaměstnanci působí přímo v Rusku. A mimochodem, společnost CSGOFast vlastní populární rozšíření SteamInventoryHelper, které slouží výhradně k reklamě na jejich kasino zaměřené na děti (kasino, které je v několika evropských zemích zakázáno). A komu toto kasino patří? Správně, Rusům, stejně jako většina podobných webů. Copak to Steam neví? Nebo to prostě nechtějí vědět, vzhledem k tomu, že obrat na černém trhu se pohybuje kolem miliardy dolarů, pokud se nemýlím.

Navíc odhaduji, že 40 % podvodníků ze zemí SNS, kteří v současné době provozují kryptopodvody, začalo právě na Steamu. Osobně znám alespoň dva konkrétní případy praní špinavých peněz prostřednictvím skinů. Nebudu je zde podrobně popisovat, ale v případě potřeby to mohu udělat – jen ne veřejně, protože nechci jmenovat platformy atd. Steam si toho však je dobře vědom. Nebo snad opravdu očekávají, že uvěříme, že hráči, kteří hru ani nevlastní, si prostě kupují stále dokola úplně stejný předmět jen proto, aby si s ním „hráli“? Jo, jasně, to je vtip.

Jelikož se obávám sexuálního obtěžování ze strany společnosti Taylor Wessing, nebudu psát a žádat, aby byla moje zpráva předána obětem úniku dat – lidem, které společnost Valve zklamala a kteří obdrželi tyto oznamovací e-maily. Satire / Joke

Priority služby Steam jsou maximálně proruské – a to jak z hlediska cenové politiky a právních aspektů, tak i v oblasti propagace Putina, vlajek a zakázaných teroristů. Zdá se však, že se to službě Steam líbí, stejně jako toleruje antisemitismus, diskriminaci, obtěžování, stalking a obchod s drogami. Pro Steam je to naprosto v pořádku, stejně jako hry pro hráče starší 18 let. Zjevně si to užívá.

Nejedná se o krátkodobý politický spor. Ruští úředníci a odvětvové pracovní skupiny strávily více než rok vývojem režimu kontroly videoher, který zahrnuje identifikaci hráčů prostřednictvím ruského telefonního čísla, státního identifikačního portálu Gosuslugi nebo státního biometrického systému. Mezi platformami, na které by se návrh mohl vztahovat, byly výslovně jmenovány Steam a GOG, a účastníci uvedli, že příslušná vládní pracovní skupina se v prosinci 2024 scházela již téměř rok a půl. Společnost Valve se veřejně nijak podobně nezavázala, že by raději opustila ruský trh, než aby své uživatele napojila na tuto státem řízenou identifikační architekturu.

Kontrast je šokující. Hlavní hráči v oboru pozastavili prodej nebo služby v Rusku – společnost Microsoft zastavila veškerý nový prodej, zatímco platformy pro herní konzole a vydavatelé oznámili své vlastní stažení z trhu – Steam se však rozhodl pokračovat. Nadále poskytuje komerční a sociální infrastrukturu zemi, kterou Evropský parlament formálně uznal jako stát podporující terorismus a stát, který využívá teroristické prostředky.

Tato podpora je patrná i uvnitř vlastní ekonomiky společnosti Valve. Oficiální Steam Community Market nabízí k prodeji pozadí profilu „Putin & Trump“ a tisíce položek s názvy jako „Putin forever“, „Putin smile“, „Putin like“ a „Putin angry“. Společnost Valve tyto obrázky nevytvořila, ale distribuuje je, uvádí v nabídce a zpeněžuje prostřednictvím tržiště provozovaného společností Valve. Zároveň v případech zdokumentovaných organizací PhishDestroy je obtěžování na základě národnosti ponecháno viditelné nebo je považováno za běžný konflikt v rámci komunity. Poselství platformy Steam je nezaměnitelné: politická propaganda může být zpeněžena, zatímco lidé, kteří jsou terčem urážek kvůli svému národnímu původu, jsou ponecháni tomu, aby to snášeli.

Soukromé vlastnictví neznamená právní imunitu

Společnost Valve je v soukromém vlastnictví a její akcie nejsou veřejně obchodovatelné. To znamená, že její vlastnická struktura, investoři, vnitřní kontroly a finanční pobídky podléhají mnohem menší rutinní veřejné kontrole než u kótované společnosti. Neznamená to však, že přestávají platit zákony na ochranu spotřebitelů, povinnosti v oblasti bezpečnosti dětí, zákony na ochranu osobních údajů nebo pravomoci národních regulačních orgánů. Pokud není platforma dostatečně pečlivě sledována, jedná se o selhání dohledu – nikoli o povolení proměnit ji v místo, kde jsou děti vystaveny sexuálnímu obsahu, propagaci hazardních her, stalkingu a organizovanému obtěžování.

Vlastní smlouva o předplatném společnosti Valve uvádí, že služba Steam není určena pro děti mladší 13 let. To však stále ponechává obrovské publikum teenagerů na stejném obchodním portálu, který prodává běžné hry vedle explicitních titulů pro dospělé a hentai. Vlastní uvedení data narození, varovná stránka a filtry podle preferencí nepředstavují smysluplnou kontrolu věku. Problémem není existence médií pro dospělé; problémem je jejich umístění na herní platformu pro masový trh, kterou využívají nezletilí, a následné předstírání, že kosmetická bariéra riziko odstraní. Pokud Gabe Newell, vedení společnosti Valve nebo její smluvní partneři v oblasti podpory chtějí platformu s obsahem pro dospělé, měli by ji provozovat otevřeně a odděleně, místo aby nutili každého vydavatele her sdílet s ní komerční prostor.

Držitelé práv by také měli vysvětlit, proč s touto sousedností souhlasí. Rodinná hra, titul pro děti nebo mainstreamová novinka se může nacházet jen o jedno doporučení či výsledek vyhledávání dál od explicitního obsahu, zatímco společnost Valve inkasuje peníze z obou. Vydavatelé utrácejí jmění za ochranu svých značek, přesto se zdá, že jsou ochotni ignorovat to, co tyto značky na platformě Steam obklopuje. Soukromé vlastnictví to nečiní zodpovědným a dominantní postavení na trhu to nečiní nevyhnutelným.

Zásady moderování společnosti Valve se jeví jako ještě hůře obhajitelné, když je porovnáme s její reakcí na ruskou státní cenzuru. V roce 2024 Roskomnadzor oznámil, že Steam odstranil veškerý materiál, který úřad požadoval, a že 11 URL adres služby Steam bude následně vyřazeno z ruského registru zakázaných informací. V roce 2025 Steam odstranil materiál ze stránky hry určené pouze pro dospělé po dalším požadavku Roskomnadzoru týkajícího se takzvané LGBT „propagandy“. Jednalo se o politickou cenzuru uplatněnou dokonce i na dílo určené pro osoby starší 18 let, nikoli o ochranu dítěte, které obešlo věkové omezení. Společnost Valve dokáže vyhovět ruskému cenzurnímu seznamu, přesto však zůstává bezmocná, když je požádána o ochranu uživatelů před urážkami na základě národnosti, nelegálními kanály pro hazardní hry nebo predátorským vystavováním obsahu pro dospělé. Jedná se o volbu priorit, která vyvolává zřejmou otázku týkající se svobody projevu.

Společnost Valve rovněž nevydala žádné veřejné firemní prohlášení k ruské invazi na Ukrajinu, které by bylo srovnatelné s reakcemi firem, které pozastavily provoz nebo otevřeně podpořily Ukrajinu. Její struktura soukromého kapitálu nevyžaduje takový druh zveřejňování informací pro investory, jaký se očekává od veřejně obchodované společnosti, takže vnější pozorovatelé nemohou plně posoudit, čí zájmy jsou chráněny. Zřetelná zůstává mimořádná vazba na trh s nižšími cenami, který je spojen s podvody v průmyslovém měřítku, hazardem, krádežemi účtů a službami umožňujícími obcházení sankcí. Možná se důvod vyjasní, pokud Steam někdy souhlasí s propojením s identitou Gosuslugi.

Příběh o outsourcingu se vyznačuje stejnou mírou neprůhlednosti. Společnost Valve uzavírá smlouvy s firmami, nikoli s jednotlivými pracovníky podpory, kteří se uživatelům prezentují. Podle primárního zdroje a materiálů prověřených serverem PhishDestroy osoba spojená s dřívějším skandálem týkajícího se krádeže cenného inventáře nezmizela z malého ekosystému dodavatelů podpory: přešla do jiné agentury. Později tvrdila, že pro Steam nepracovala a nevěděla, že daný účet je se Steamem spojen. Stopa však vedla zpět do Irska, ke stejné osobě a opět ke službě Steam. Tento případ by měl být vyšetřován jako selhání outsourcingu a kontroly přístupu; není zde prezentován jako trestněprávní posouzení. Společnost Valve by měla zveřejnit, které agentury mají přístup k systémům účtů, jakým způsobem jsou zaměstnanci znovu prověřováni při přechodu mezi dodavateli a zda se osoba odstraněná z jednoho dodavatele může jednoduše znovu objevit prostřednictvím jiného.

Vietnam již prokázal, že status společnosti Valve jako soukromého podniku ji nestaví nad vnitrostátní právo. Steam tam byl zablokován poté, co úřady prohlásily, že společnost Valve nespolupracovala. Vietnam existuje. Právo EU existuje. Existuje každá jurisdikce, ve které společnost Valve vydělává peníze, i když se chová, jako by záleželo pouze na „jakémkoli soudu v Rusku“. A pokud platí teorie, že Steam může fungovat kdekoli chce, na základě jakýchkoli skrytých dohod, které si zvolí, a bez jakékoli smysluplné odpovědnosti, možná bychom si měli přímo položit tuto absurdní otázku: existuje snad i speciální Steam pro Severní Koreu, o kterém zatím nikdo neinformoval?

Jedná se o prokázané skutečnosti: tým technické podpory je ruský a tento tým opakovaně kradl nebo předával informace třetím stranám za účelem obnovení přístupu k neaktivním účtům, aby je mohl převzít a vydělat na nich.

Jsem si tedy jistý, že vás informovat o úniku vašich údajů pro ně absolutně nic neznamená, zvláště s tak obrovským zpožděním (na 100 % čekali na odpověď od Taylor Wessing; je zázrak, že nečekali tři týdny).

Nikdy předtím jsem nic takového neudělal, nikdy jsem nikoho nepodněcoval ani neprovokoval k čemukoli a ani teď bych to nechtěl dělat. Ale přesně takovou situaci si Steam přeje. Domnívají se, že otevřený nátlak a diskriminace uživatelů z EU jsou naprosto v pořádku a že Taylor Wessing vše vyřeší pouhým otevřeným vyhrožováním lidem v souvislosti s žádostmi podle GDPR. To je můj názor, moje zkušenost a informace z primárního zdroje, o kterém jsem přesvědčen.

Ať tak či onak, podání stížnosti zabere jen pár kliknutí. Možná se pak Steam konečně naučí respektovat zahraniční zákony – a ne jen zákony „jakéhokoli soudu v Rusku“. Možná konečně přestanou hrát hloupé a předstírat, že nejsou vůbec schopni blokovat autorizační domény nelegálních hazardních webů. Místo současné reality, kdy jsou všichni v jednom loži – ruští majitelé dětských kasin i pracovníci podpory, kteří na Lolzteamu diskutují o tom, jak pomocí hrubé síly prolomit účty.

PhishDestroy bude i nadále sledovat, vyšetřovat a odhalovat. Stínová ekonomika bude vynesena na světlo.

Jsem si jistý, že komunikace se zástupci společnosti Valve pro vás bude zajímavým zážitkem. Pokud se ukáže, že jde o společnost Taylor Wessing, je zcela normální, že s vámi budou jednat povýšeně, vyhrožovat vám a hrát o čas – to je jejich práce. Obecně jsou známí hlavně díky žalobě za sexuální obtěžování podané proti jejich vlastní firmě, a jinak toho moc není. Ach ano, firmy s až příliš velkým množstvím peněz si je najímají právě proto, aby vás vyčerpaly, a přitom jim platí obrovskou hodinovou sazbu.