Steam-illusionen: Hvordan Valve driver en skyggeøkonomi, muliggør datatyveri og ignorerer international ret

En eksklusiv undersøgende rapport af PhishDestroy

PhishDestroy-projektet opstod ikke, fordi tiderne var gode. Vores eksistens er ikke et vidnesbyrd om Steams succes, men en kritisk nødvendighed, der er opstået som følge af Valves totale ligegyldighed over for brugernes sikkerhed. Faktisk har vores kamp mod phishing direkte forstyrret Valves forretningsmodel og ødelagt deres omhyggeligt udformede økonomi baseret på kontoforbud og videresalg af genstande. (Vi vil på et senere tidspunkt udgive en separat, detaljeret artikel, der afslører virksomhedens sande »værdier« og deres parodi på cybersikkerhed).

I over et årti har Valve Corporation gemt sig bag en nøje udvalgt, forbrugervenlig facade. Men under overfladen ligger en kynisk virksomhedsmaskine. Gennem en omfattende intern undersøgelse har PhishDestroy-teamet afdækket de politikker, som Valve helst vil holde hemmelige. Dette er en analyse af en platform, der fungerer som et ureguleret finansielt syndikat, imødekommer sanktionerede stater, beskytter kompromitteret outsourcet support og behandler europæisk lovgivning som valgfrie forslag.

1. Sanktionsfarcen og den pro-russiske partiskhed

For Valve er brugere i EU og USA intet andet end pengemaskiner. Mens europæiske spillere betaler fuld pris, tilbyder Steam fortsat aggressive rabatter på 70 % til 80 % på det russiske marked. Et spil i Rusland koster en brøkdel af, hvad det koster i Tyskland. Sådan ser internationale »sanktioner« ud i Valves ordbog.

Platformen gør alt for at imødekomme og fremme denne tendens: De letter skift mellem regioner, ser gennem fingre med hvidvaskning af penge via genstande i spillet og angiver udtrykkeligt i deres servicevilkår, at de underkaster sig enhver russisk domstols jurisdiktion. Det når et absurd niveau: I de sjældne tilfælde, hvor Steam-serverne oplever massive nedbrud, er den første instans, der officielt kommenterer de tekniske fejl, ofte Roskomnadzor (det russiske føderale censuragentur).

2. Kartellet for outsourcet support

Myten om en »streng, sikker amerikansk teknisk support« bryder sammen i det øjeblik, man indser, hvem der sidder med nøglerne til Steams backend. Valve har uddelegeret supporten i SNG-regionen til et dybt kompromitteret, outsourcet netværk.

Vi har med succes afanonymiseret dele af dette netværk. En nøgleperson, der administrerer eller kuraterer denne supportgren, er en person ved navn Nikita. Vores undersøgelse afslørede, at denne person (eller i det mindste hans primære e-mailadresse) er registreret og aktiv som bruger på undergrunds-hackerfora som Lolzteam (Zelenka) – et berygtet darknet-knudepunkt, der udelukkende er dedikeret til salg af stjålne kreditkort, kompromitterede databaser og brute-force-logfiler.

Valve er fuldt ud klar over denne korruption. De har tidligere erkendt tidligere tilfælde, hvor outsourcet personale systematisk tømte brugernes lagre af høj værdi. Alligevel er det stadig mere rentabelt for dem at opretholde en billig, uansvarlig outsourcet arbejdsstyrke end at ansætte kvalificerede, interne cybersikkerhedseksperter.

3. Svindel som forretningsmodel og offshore-valuta

Steams skins i spil er blevet en allestedsnærværende, sporbar valuta på darknet – en finansiel vaskemaskine, der omgår internationale tilsynsmyndigheder og skattemyndigheder.

For Valves økonomiafdeling udgør svindlere ikke en trussel; de er eksterne aktører, der stimulerer markedets dynamik. Den traditionelle model med »én bruger, ét spil« genererer begrænsede indtægter. Et kompromitteret økosystem skaber imidlertid en yderst rentabel cirkel: en bruger bliver hacket, genstandene bliver stjålet, svindlerens konti får et »handelsforbud«, og offeret tvinges til at oprette en ny profil og genkøbe sine aktiver.

Når Valve udelukker en svindler, returnerer de ikke de stjålne aktiver til den retmæssige ejer. De fryser dem permanent. Dette skaber kunstig knaphed. Et fald i udbuddet på markedet får priserne på de tilbageværende varer til at stige, hvilket igen mangedobler Valves provision på 15 % på Community Market. De ønsker ikke at stoppe svindlen; de tjener penge på den.

4. CEVA Logistics-databruddet: Ubestrideligt bevis på uagtsomhed

Hvis du tror, at Valve i det mindste beskytter dine fysiske data i den virkelige verden, beviser den nylige hændelse vedrørende CEVA Logistics det modsatte. Mellem den 29. juli og den 1. august 2026 hackede hackere Valves europæiske partner inden for hardwarelogistik. Valve erkendte først bruddet den 7. august, hvilket efterlod brugernes data i hænderne på ondsindede aktører i en hel uge.

De lækkede data omfatter rigtige navne, fulde bopælsadresser, telefonnumre og Steam-tilknyttede e-mailadresser på europæiske kunder, der har bestilt fysisk hardware. Valve forsøger at berolige brugerne ved at påpege, at »adgangskoder og betalingsoplysninger« ikke er lækket. Men et fuldt navn, en bopælsadresse, et telefonnummer og en Steam-e-mailadresse udgør netop den opskrift, der kræves for katastrofalt effektiv spear-phishing og kontokapring – en guldgrube for netop de ovennævnte outsourcede medarbejdere og svindlernetværk. Valve har i praksis afleveret dine data til dem.

5. Opfordring til handling: Den europæiske modstand mod virksomheders immunitet

Alle gamere i Europa må indse en barsk virkelighed: I betaler fem gange mere for spil end brugere i Rusland, og alligevel bliver jeres europæiske rettigheder og love (GDPR) fuldstændig tilsidesat. Jeres personoplysninger lækkes til tredjepartsleverandører, og jeres supportanmodninger håndteres af et outsourcet netværk i SNG-landene med et yderst tvivlsomt ry.

Vi sender en særlig, sarkastisk hilsen til advokaterne hos Taylor Wessing, som uundgåeligt kommer til at skulle forsvare Valves interesser ved de europæiske domstole. Gør jer klar – det bliver snart betydeligt sværere at forsvare et monopol, der aktivt spytter på EU-lovgivningen.

Det er på tide at holde op med at være en bekvem sponsor. Tilgiv ikke disse datalækager.

Hvis de nægter, hævder, at de ikke fører logfiler, eller gemmer sig bag en virksomhedsaftale om fortrolighed (NDA) for at beskytte deres outsourcede medarbejdere, skal du videresende denne afvisning direkte til din datatilsynsmyndighed. Massesøgsmål er det eneste sprog, dette monopol forstår.

Forfatterens tillæg: Markedet bag platformen

På Steam-platformen er de anbefalede regionale priser for Rusland (og SNG-regionen som helhed) typisk 40–60 % lavere end basisprisen i amerikanske dollar. Rusland er klassificeret som et Tier 2-land: et vækstmarked, der generelt modtager en rabat på 40–50 % i forhold til basisprisen. For eksempel bør et standard indie-spil til en pris på 19,99 $ (hvilket ved direkte omregning ville svare til omkring 1.900 rubler) koste omkring 419–499 rubler ifølge Valves anbefalinger.

Det skal klart fremgå, at den outsourcede support er placeret i Irland, men at den bemandes af russere – og at nogle af medarbejderne er baseret direkte i Rusland. Åh, og forresten: CSGOFast ejer den populære udvidelse »SteamInventoryHelper«, som udelukkende bruges til at reklamere for deres casino rettet mod børn (et casino, der er forbudt i flere europæiske lande). Og hvem ejer dette casino? Nemlig, russere, ligesom størstedelen af lignende sider. Ved Steam ikke dette? Eller vil de bare ikke vide det, i betragtning af at omsætningen på det sorte marked ligger på omkring en milliard dollars, tror jeg.

Desuden vurderer jeg, at 40 % af svindlerne fra SNG-landene, der i øjeblikket driver kryptosvindel, startede deres svindel på Steam. Jeg kender personligt til mindst to konkrete tilfælde af hvidvaskning af penge via skins. Jeg vil ikke gå i detaljer med dem her, men jeg kan gøre det, hvis det er nødvendigt – bare ikke offentligt, da jeg ikke ønsker at nævne platformene osv. Men Steam er udmærket klar over dette. Eller forventer de faktisk, at vi skal tro, at spillere, der ikke engang ejer spillet, bare køber nøjagtig den samme genstand igen og igen, bare for at »lege« med den? Ja, klart, det er en vits.

Da jeg frygter seksuel chikane fra Taylor Wessing, vil jeg ikke skrive og bede om at videregive min besked til ofrene for datalækagen – de mennesker, som Valve svigtede, og som modtog disse notifikations-e-mails. Satire / Joke

Steams prioriteter er så pro-russiske, som det overhovedet kan blive – både hvad angår priser og juridiske forhold, samt når det gælder popularisering af Putin, flag og forbudte terrorister. Men Steam synes tilsyneladende at kunne lide det, ligesom de tolererer antisemitisme, diskrimination, chikane, stalking og narkohandel. For Steam er dette helt i orden, ligesom spil for 18+. De nyder tilsyneladende det.

Dette er ikke en kortvarig politisk strid. Russiske embedsmænd og arbejdsgrupper fra branchen har brugt langt over et år på at udvikle et kontrolsystem for videospil, der omfatter identifikation af spillere via et russisk telefonnummer, den statslige identitetsportal Gosuslugi eller det statslige biometriske system. Steam og GOG blev udtrykkeligt nævnt blandt de platforme, som forslaget kunne berøre, og deltagerne oplyste, at den underliggende regeringsarbejdsgruppe allerede i december 2024 havde holdt møder i næsten halvandet år. Valve har ikke offentligt givet noget tilsvarende tilsagn om, at selskabet vil forlade det russiske marked frem for at koble sine brugere til denne statsstyrede identitetsarkitektur.

Kontrasten er skandaløs. Store aktører i branchen har indstillet salg eller tjenester i Rusland – Microsoft har standset alt nyt salg, mens konsolplatforme og udgivere har annonceret deres egne tilbagetrækninger – men Steam har valgt at fortsætte. Tjenesten leverer fortsat kommerciel og social infrastruktur til et land, som Europa-Parlamentet formelt har anerkendt som en stat, der støtter terrorisme, og en stat, der anvender terroristiske midler.

Denne støtte er synlig inden for Valves egen økonomi. Det officielle Steam Community Market tilbyder en profilbaggrund med navnet »Putin & Trump«, som kan købes, samt tusindvis af varer med navne som »Putin forever«, »Putin smile«, »Putin like« og »Putin angry«. Valve har ikke tegnet disse billeder, men distribuerer, viser og tjener penge på dem via en markedsplads, der drives af Valve. Samtidig tillades det i tilfælde, der er dokumenteret af PhishDestroy, at chikane baseret på nationalitet forbliver synlig eller behandles som en almindelig konflikt i fællesskabet. Steams budskab er umiskendeligt: politisk propaganda kan omsættes til penge, mens de mennesker, der er mål for krænkelser på grund af national oprindelse, må finde sig i det.

Privat ejerskab er ikke det samme som juridisk immunitet

Valve er et privatejet selskab, og dets aktier handles ikke på børsen. Det betyder, at selskabets ejerstruktur, investorer, interne kontroller og økonomiske incitamenter er genstand for langt mindre rutinemæssig offentlig kontrol end hos et børsnoteret selskab. Det betyder ikke, at forbrugerbeskyttelseslovgivningen, forpligtelserne vedrørende børns sikkerhed, databeskyttelseslovgivningen eller de nationale tilsynsmyndigheder ophører med at eksistere. Hvis en platform ikke overvåges nøje nok, er det et svigt i tilsynet – ikke en tilladelse til at gøre den til et sted, hvor børn udsættes for seksuelt indhold, reklame for spil, stalking og organiseret chikane.

Valves egen abonnentaftale fastslår, at Steam ikke er beregnet til børn under 13 år. Det efterlader stadig et enormt teenagepublikum på den samme platform, der sælger almindelige spil side om side med eksplicitte voksen- og hentai-titler. En selvangivet fødselsdato, en advarselsside og præferencefiltre udgør ikke en meningsfuld alderskontrol. Problemet er ikke, at der findes voksenmedier; problemet er at placere dem på en spilplatform for massemarkedet, der bruges af mindreårige, og derefter lade som om, at en kosmetisk adgangskontrol får risikoen til at forsvinde. Hvis Gabe Newell, Valves ledelse eller deres supportpartnere ønsker en platform med voksenindhold, bør de drive en sådan åbent og separat i stedet for at tvinge alle spiludgivere til at dele en kommerciel hylde med den.

Rettighedshaverne bør også forklare, hvorfor de accepterer denne placering. Et familiespil, et børnespil eller en mainstream-udgivelse kan ligge kun én anbefaling eller ét søgeresultat væk fra eksplicit materiale, mens Valve tjener penge på begge dele. Udgivere bruger formuer på at beskytte deres mærker, men synes alligevel villige til at ignorere, hvad der omgiver disse mærker inden for Steam. Privat ejerskab gør det ikke ansvarligt, og markedsdominans gør det ikke uundgåeligt.

Valves moderationsprincipper bliver endnu sværere at forsvare, når man sammenligner dem med virksomhedens reaktion på den russiske statscensur. I 2024 meddelte Roskomnadzor, at Steam havde fjernet alt materiale, som myndigheden havde krævet, og at 11 Steam-URL'er derfor ville blive fjernet fra Ruslands register over forbudt information. I 2025 fjernede Steam materiale fra siden for et spil, der kun var for voksne, efter endnu et krav fra Roskomnadzor vedrørende såkaldt LGBT-»propaganda«. Det var politisk censur, der blev anvendt selv på et værk for 18+, ikke beskyttelse af et barn, der havde omgået en aldersgrænse. Valve kan efterkomme en russisk censurliste, men forbliver på en eller anden måde hjælpeløs, når man beder dem om at beskytte brugere mod chikane på grund af national oprindelse, kanaler til ulovligt spil eller aggressiv eksponering for voksenindhold. Det er et spørgsmål om prioritering, og det rejser et indlysende spørgsmål om ytringsfrihed.

Valve har heller ikke udsendt nogen offentlig virksomhedserklæring om Ruslands invasion af Ukraine, der kan sammenlignes med de virksomheder, der har indstillet driften eller åbent støttet Ukraine. Dens private kapitalstruktur kræver ikke den form for investoroplysning, der forventes af et børsnoteret selskab, så udefrakommende kan ikke fuldt ud undersøge, hvis interesser der beskyttes. Det, der fortsat er synligt, er en usædvanlig tilknytning til et lavpris-marked, der er forbundet med snyd i industriel skala, spil, kontotyveri og tjenester til omgåelse af sanktioner. Måske vil årsagen blive tydeligere, hvis Steam nogensinde indvilliger i en identitetsforbindelse til Gosuslugi.

Historien om outsourcing følger det samme mønster af uigennemsigtighed. Valve indgår kontrakter med virksomheder, ikke med de enkelte supportmedarbejdere, som brugerne møder. Ifølge en primær kilde og materiale, der er gennemgået af PhishDestroy, forsvandt en person, der var knyttet til den tidligere skandale om tyveri af varer til høj værdi, ikke fra det lille økosystem af supportentreprenører: han skiftede blot til et andet bureau. Han hævdede senere, at han ikke arbejdede for Steam og ikke vidste, at kontoen var knyttet til Steam. Alligevel førte sporet tilbage til Irland, til den samme person og til Steam igen. Denne sag bør undersøges som en fejl i forbindelse med outsourcing og adgangskontrol; den præsenteres ikke her som en strafferetlig dom. Valve bør oplyse, hvilke bureauer der har adgang til kontosystemerne, hvordan personalet genvurderes, når de skifter mellem leverandører, og om en person, der er fjernet fra én underleverandør, blot kan dukke op igen via en anden.

Vietnam har allerede vist, at Valves status som privat virksomhed ikke sætter den over national lovgivning. Steam blev blokeret der, efter at myndighederne sagde, at Valve ikke havde samarbejdet. Vietnam eksisterer. EU-lovgivningen eksisterer. Alle de jurisdiktioner, hvor Valve tjener penge, eksisterer, selv når Valve opfører sig, som om kun »enhver domstol i Rusland« har betydning. Og hvis teorien er, at Steam kan operere, hvor det vil, under hvilke skjulte aftaler det vil, uden meningsfuldt ansvar, bør vi måske stille det absurde spørgsmål direkte: Findes der også et særligt Steam til Nordkorea, som ingen endnu har afsløret?

Dette er fastslåede kendsgerninger: supportteamet er russisk, og denne support har gentagne gange stjålet eller videregivet oplysninger til tredjeparter for at genoprette adgangen til inaktive konti med det formål at kapre dem med henblik på at opnå økonomisk gevinst.

Så jeg er sikker på, at det ikke betyder noget som helst for dem at underrette dig om, at dine data er lækket, især med en så enorm forsinkelse (de ventede 100 % på Taylor Wessings svar; det er et mirakel, at de ikke ventede tre uger).

Jeg har aldrig gjort dette før, jeg har aldrig opfordret eller provokeret nogen til at gøre noget, og det ønsker jeg heller ikke at gøre nu. Men det er netop den situation, Steam ønsker. De mener, at åbenlys pression og diskrimination mod EU-brugere er helt i orden, og at Taylor Wessing blot vil løse alt ved åbent at true folk i forbindelse med GDPR-anmodninger. Det er min mening, min erfaring og oplysninger fra en primær kilde, som jeg har tillid til.

Uanset hvad kræver det kun et par klik at indgive en klage. Måske vil Steam så endelig lære at respektere udenlandske love – og ikke kun lovene i »enhver domstol i Rusland«. Måske vil de endelig holde op med at spille dumme og lade som om, de er fuldstændig ude af stand til at blokere autorisationsdomæner for ulovlige spillesider. I stedet for den virkelighed, vi har nu: alle er i ledtog med hinanden – de russiske ejere af børnekasinoer og supportmedarbejderne, der sidder på Lolzteam og diskuterer, hvordan man kan hacke konti ved hjælp af brute-force-angreb.

PhishDestroy vil fortsat overvåge, undersøge og afsløre. Den sorte økonomi vil blive bragt frem i lyset.

Jeg er sikker på, at du vil få en interessant oplevelse med at kommunikere med Valves repræsentanter. Hvis det viser sig at være Taylor Wessing, er det helt normalt, at de taler ned til dig, fremsætter trusler og trækker tiden ud — det er deres job. Generelt er de mest kendt for en retssag om seksuel chikane mod deres eget firma og ikke meget andet. Nå ja, virksomheder med alt for mange penge ansætter dem netop for at udmatte dig, samtidig med at de betaler dem en enorm timeløn.