La ilusión de Steam: cómo Valve gestiona una economía sumergida, facilita el robo de datos e ignora el derecho internacional

Un reportaje de investigación exclusivo de PhishDestroy

El proyecto PhishDestroy no surgió porque las cosas fueran bien. Nuestra existencia no es un testimonio del éxito de Steam, sino una necesidad crítica surgida del absoluto desprecio de Valve por la seguridad de los usuarios. De hecho, nuestra lucha contra el phishing interfirió directamente en el modelo de negocio de Valve, alterando su economía, cuidadosamente diseñada, basada en las suspensiones de cuentas y la reventa de artículos. (Publicaremos más adelante un artículo detallado e independiente en el que se pondrán al descubierto los verdaderos «valores» de la empresa y su parodia de la ciberseguridad).

Durante más de una década, Valve Corporation se ha ocultado tras una fachada cuidadosamente diseñada y orientada al consumidor. Sin embargo, bajo la superficie se esconde una cínica maquinaria corporativa. A través de una exhaustiva investigación interna, el equipo de PhishDestroy ha desmontado las políticas que Valve prefiere mantener en secreto. Esta es la anatomía de una plataforma que actúa como un sindicato financiero no regulado, complace a los Estados sancionados, da cobijo a servicios de asistencia externalizados comprometidos y trata las leyes europeas como sugerencias opcionales.

1. La farsa de las sanciones y el sesgo prorruso

Para Valve, los usuarios de la UE y de EE. UU. no son más que fuentes de ingresos. Mientras que los jugadores europeos pagan el precio completo, Steam sigue ofreciendo descuentos agresivos del 70 % al 80 % para el mercado ruso. Un juego en Rusia cuesta una fracción de lo que cuesta en Alemania. Así es como se definen las «sanciones» internacionales en el diccionario de Valve.

La plataforma hace todo lo posible por complacer y popularizar esta línea de actuación: facilita el cambio de región, hace la vista gorda ante el blanqueo de capitales a través de objetos del juego y establece explícitamente en sus Condiciones de servicio que se somete a la jurisdicción de cualquier tribunal ruso. Se llega a un punto absurdo: en las raras ocasiones en que los servidores de Steam sufren interrupciones masivas del servicio, la primera entidad en comentar oficialmente los fallos técnicos suele ser Roskomnadzor (la agencia federal rusa de censura).

2. El cártel de la asistencia externalizada

El mito de un «servicio de asistencia técnica estadounidense estricto y seguro» se desmorona en el momento en que se comprende quién tiene las llaves del backend de Steam. Valve ha delegado la asistencia en la región de la CEI a una red subcontratada profundamente comprometida.

Hemos logrado desanonimizar con éxito algunos segmentos de esta red. Una figura clave que gestiona o supervisa esta rama de asistencia es una persona llamada Nikita. Nuestra investigación reveló que esta persona (o, como mínimo, su dirección de correo electrónico principal) está registrada y es usuaria activa en foros clandestinos de piratería informática como Lolzteam (Zelenka), un notorio centro de la darknet dedicado por completo a la venta de tarjetas de crédito robadas, bases de datos comprometidas y registros de ataques de fuerza bruta.

Valve es plenamente consciente de esta corrupción. Ya ha reconocido anteriormente casos en los que personal subcontratado vaciaba sistemáticamente los inventarios de alto valor de los usuarios. Sin embargo, mantener una plantilla subcontratada, barata y sin rendir cuentas les sigue resultando más rentable que contratar a profesionales de ciberseguridad cualificados y propios.

3. La estafa como modelo de negocio y la divisas extraterritoriales

Las skins de Steam se han convertido en una moneda omnipresente e imposible de rastrear en la darknet: una «lavandería financiera» que elude a los reguladores internacionales y a las autoridades fiscales.

Para el departamento financiero de Valve, los estafadores no suponen una amenaza, sino que son agentes externos que estimulan la dinámica del mercado. El modelo tradicional de «un usuario, un juego» genera unos ingresos limitados. Sin embargo, un ecosistema vulnerable crea un círculo vicioso altamente rentable: se piratea la cuenta de un usuario, se le roban los artículos, las cuentas de los estafadores reciben una «suspensión de intercambios» y la víctima se ve obligada a crear un nuevo perfil y volver a comprar sus activos.

Cuando Valve bloquea a un estafador, no devuelve los activos robados a su legítimo propietario. Los congela de forma permanente. Esto genera una escasez artificial. La disminución de la oferta en el mercado hace que suban los precios de los artículos restantes, lo que a su vez multiplica la comisión del 15 % que Valve cobra en el Mercado de la Comunidad. No quieren poner fin a las estafas; se benefician de ellas.

4. La filtración de CEVA Logistics: prueba irrefutable de negligencia

Si cree que Valve protege al menos sus datos físicos, del mundo real, el reciente incidente relacionado con CEVA Logistics demuestra lo contrario. Entre el 29 de julio y el 1 de agosto de 2026, unos piratas informáticos violaron la seguridad del socio logístico europeo de Valve encargado del hardware. Valve no reconoció la violación de seguridad hasta el 7 de agosto, dejando los datos de los usuarios en manos de actores malintencionados durante una semana.

Los datos filtrados incluyen nombres reales, direcciones postales completas, números de teléfono y direcciones de correo electrónico vinculadas a Steam de clientes europeos que realizaron pedidos de hardware físico. Valve intenta tranquilizar a los usuarios afirmando que «las contraseñas y los datos de pago» no se han filtrado. Sin embargo, el nombre completo, la dirección postal, el número de teléfono y la dirección de correo electrónico de Steam constituyen precisamente la información necesaria para llevar a cabo ataques de spear-phishing y suplantación de cuentas de una eficacia devastadora: una mina de oro para el personal subcontratado y las redes de estafadores mencionados anteriormente. En esencia, Valve les ha entregado sus datos.

5. Llamada a la acción: La postura europea contra la inmunidad corporativa

Todos los jugadores de Europa deben tomar conciencia de una cruda realidad: están pagando cinco veces más por los videojuegos que los usuarios de Rusia, y, sin embargo, sus derechos y la legislación europea (RGPD) quedan completamente silenciados. Sus datos personales se filtran a terceros contratistas, y sus solicitudes de asistencia son gestionadas por una red subcontratada de la CEI con una reputación muy cuestionable.

Enviamos un saludo especial y sarcástico a los abogados de Taylor Wessing, quienes, inevitablemente, tendrán que defender los intereses de Valve ante los tribunales europeos. Prepárense: defender un monopolio que pisotea abiertamente la legislación de la UE está a punto de volverse considerablemente más difícil.

Es hora de dejar de ser un patrocinador complaciente. No perdone estas fugas de datos.

Si se niegan, alegan que no conservan registros o se escudan tras un acuerdo de confidencialidad corporativo para proteger a su personal subcontratado, remita dicha negativa directamente a su autoridad de protección de datos. Las acciones legales colectivas son el único lenguaje que entiende este monopolio.

Apéndice del autor: El mercado que hay detrás de la plataforma

En la plataforma Steam, los precios regionales recomendados para Rusia (y la región de la CEI en su conjunto) suelen ser entre un 40 % y un 60 % inferiores al precio base en dólares estadounidenses. Rusia está clasificada como un mercado emergente de nivel 2, lo que generalmente conlleva un descuento del 40-50 % sobre el precio base. Por ejemplo, un juego independiente estándar con un precio de 19,99 dólares (lo que equivaldría a unos 1.900 rublos en conversión directa) debería costar entre 419 y 499 rublos según las recomendaciones de Valve.

Debe indicarse claramente que el servicio de asistencia subcontratado se encuentra en Irlanda, pero que su personal está compuesto por rusos —y que parte de la plantilla tiene su sede directamente en Rusia—. Ah, y por cierto, CSGOFast es propietaria de la popular extensión SteamInventoryHelper, que se utiliza exclusivamente para publicitar su casino dirigido a menores (un casino que está prohibido en varios países europeos). ¿Y quién es el propietario de este casino? Así es, rusos, al igual que la mayoría de los sitios web similares. ¿Acaso Steam no lo sabe? ¿O es que simplemente no quiere saberlo, teniendo en cuenta que el volumen de negocio del mercado negro ronda los mil millones de dólares, según tengo entendido?

Además, calculo que el 40 % de los estafadores de la CEI que actualmente llevan a cabo estafas con criptomonedas comenzaron su andadura en Steam. Conozco personalmente al menos dos casos concretos de blanqueo de capitales a través de skins. No los detallaré aquí, pero podría hacerlo si fuera necesario —aunque no públicamente, ya que no deseo nombrar las plataformas, etc.—. No obstante, Steam es plenamente consciente de ello. ¿O es que realmente esperan que creamos que los jugadores que ni siquiera poseen el juego están comprando exactamente el mismo objeto una y otra vez solo para «jugar» con él? Sí, claro, es una broma.

Dado que temo sufrir acoso sexual por parte de Taylor Wessing, no escribiré para pedir que se transmita mi mensaje a las víctimas de la filtración de datos —las personas a las que Valve falló y que recibieron esos correos electrónicos de notificación—. Satire / Joke

Las prioridades de Steam son de lo más prorrusas que pueden ser, tanto en lo que respecta a los precios y los aspectos legales, como a la popularización de Putin, las banderas y los terroristas proscritos. Sin embargo, a Steam parece gustarle eso, del mismo modo que tolera el antisemitismo, la discriminación, el acoso, el acecho y el tráfico de drogas. Para Steam, esto es perfectamente aceptable, al igual que los juegos para mayores de 18 años. Al parecer, lo disfrutan.

No se trata de una disputa política pasajera. Las autoridades rusas y los grupos de trabajo del sector llevan más de un año desarrollando un régimen de control de los videojuegos que incluye la identificación de los jugadores a través de un número de teléfono ruso, el portal de identidad estatal Gosuslugi o el sistema biométrico estatal. Steam y GOG fueron mencionadas expresamente entre las plataformas a las que podría afectar la propuesta, y los participantes indicaron que el grupo de trabajo gubernamental responsable ya llevaba reuniéndose desde hacía casi un año y medio en diciembre de 2024. Valve no ha asumido ningún compromiso público comparable en el sentido de que abandonaría el mercado ruso antes que vincular a sus usuarios a esta arquitectura de identidad dirigida por el Estado.

El contraste es escandaloso. Los principales actores del sector suspendieron sus ventas o servicios en Rusia —Microsoft detuvo todas las nuevas ventas, mientras que las plataformas de consolas y las editoras anunciaron sus propias retiradas—, pero Steam optó por la continuidad. Sigue proporcionando infraestructura comercial y social a un país que el Parlamento Europeo ha reconocido formalmente como Estado patrocinador del terrorismo y que recurre a medios terroristas.

Ese apoyo es visible dentro de la propia economía de Valve. El Mercado de la Comunidad de Steam oficial incluye un fondo de perfil de «Putin y Trump» a la venta, así como miles de artículos denominados «Putin para siempre», «Sonrisa de Putin», «Me gusta de Putin» y «Putin enfadado». Valve no ha creado estas imágenes, pero las distribuye, las incluye en su catálogo y las monetiza a través de un mercado gestionado por la propia empresa. Al mismo tiempo, en los casos documentados por PhishDestroy, se permite que el acoso por motivos de nacionalidad siga siendo visible o se trata como un conflicto comunitario habitual. El mensaje de Steam es inequívoco: la propaganda política puede monetizarse, mientras que las personas objeto de abusos por su origen nacional se ven obligadas a soportarla.

La propiedad privada no es sinónimo de inmunidad legal

Valve es una empresa privada y sus acciones no cotizan en bolsa. Esto significa que su estructura de propiedad, sus inversores, sus controles internos y sus incentivos financieros son objeto de un escrutinio público mucho menos habitual que los de una empresa que cotiza en bolsa. No significa, sin embargo, que dejen de existir la legislación en materia de protección del consumidor, las obligaciones relativas a la seguridad infantil, la legislación sobre protección de datos o los organismos reguladores nacionales. Si no se supervisa una plataforma con la suficiente atención, se trata de un fallo de supervisión, no de un permiso para convertirla en un lugar donde los menores se vean expuestos a contenidos sexuales, a la promoción del juego, al acoso y al hostigamiento organizado.

El propio Acuerdo de Suscriptor de Valve establece que Steam no está destinado a menores de 13 años. Esto sigue dejando a una enorme audiencia adolescente en la misma tienda que vende juegos normales junto a títulos explícitos para adultos y hentai. Una fecha de nacimiento autodeclarada, una página de advertencia y los filtros de preferencias no constituyen una garantía de edad significativa. El problema no es que existan contenidos para adultos; el problema es situarlos dentro de una plataforma de videojuegos dirigida al gran público que utilizan menores y, a continuación, fingir que una barrera superficial hace que el riesgo desaparezca. Si Gabe Newell, la dirección de Valve o sus proveedores de servicios de asistencia desean una plataforma de contenidos para adultos, deberían gestionarla de forma abierta y separada, en lugar de obligar a todos los editores de videojuegos a compartir un espacio comercial con ella.

Los titulares de los derechos también deberían explicar por qué aceptan esta proximidad. Un juego familiar, un título infantil o un lanzamiento para el gran público puede encontrarse a solo una recomendación o un resultado de búsqueda de distancia de material explícito, mientras que Valve obtiene ingresos de ambos. Los editores gastan fortunas en proteger sus marcas, pero parecen dispuestos a ignorar lo que rodea a dichas marcas dentro de Steam. La propiedad privada no hace que esto sea responsable, y el dominio del mercado no lo hace inevitable.

Los principios de moderación de Valve resultan aún más difíciles de defender si se comparan con su respuesta a la censura estatal rusa. En 2024, Roskomnadzor anunció que Steam había eliminado todo el material exigido por la agencia y que, en consecuencia, 11 direcciones URL de Steam serían eliminadas del registro de información prohibida de Rusia. En 2025, Steam eliminó material de la página de un juego solo para adultos tras otra exigencia de Roskomnadzor relativa a la denominada «propaganda» LGBT. Se trataba de censura política aplicada incluso a una obra para mayores de 18 años, no de la protección de un menor que hubiera eludido el control de edad. Valve puede cumplir con una lista de censura rusa, pero, de alguna manera, se muestra impotente cuando se le pide que proteja a los usuarios frente a abusos por motivos de origen nacional, canales de apuestas ilegales o la exposición abusiva a contenidos para adultos. Se trata de una elección de prioridades, y plantea una cuestión evidente en materia de libertad de expresión.

Valve tampoco ha emitido ninguna respuesta corporativa pública ante la invasión de Ucrania por parte de Rusia comparable a la de las empresas que suspendieron sus operaciones o apoyaron abiertamente a Ucrania. Su estructura de capital privado no exige el tipo de información a los inversores que se espera de una empresa que cotiza en bolsa, por lo que los observadores externos no pueden examinar plenamente qué intereses se están protegiendo. Lo que sigue siendo evidente es un apego extraordinario a un mercado de precios más bajos asociado a las trampas a escala industrial, el juego, el robo de cuentas y los servicios de evasión de sanciones. Quizás el motivo quede más claro si Steam llegara a aceptar alguna vez una conexión de identidad con Gosuslugi.

La historia de la subcontratación sigue el mismo patrón de opacidad. Valve contrata a empresas, no a los trabajadores de asistencia individuales que se presentan a los usuarios. Según una fuente primaria y materiales revisados por PhishDestroy, una persona relacionada con el anterior escándalo de robo de inventario de gran valor no desapareció del pequeño ecosistema de subcontratistas de asistencia: se trasladó a otra agencia. Posteriormente afirmó que no trabajaba para Steam y que no sabía que la cuenta estuviera vinculada a Steam. Sin embargo, el rastro conducía de nuevo a Irlanda, a la misma persona y, una vez más, a Steam. Este caso debería investigarse como un fallo en la subcontratación y en el control de acceso; no se presenta aquí como un juicio penal. Valve debería revelar qué agencias pueden acceder a los sistemas de cuentas, cómo se vuelve a evaluar al personal cuando cambia de proveedor y si una persona retirada de un contratista puede simplemente reaparecer a través de otro.

Vietnam ya ha demostrado que la condición de empresa privada de Valve no la sitúa por encima de la legislación nacional. Steam fue bloqueado en ese país después de que las autoridades afirmaran que Valve no había cooperado. Vietnam existe. La legislación de la UE existe. Todas las jurisdicciones en las que Valve obtiene beneficios existen, incluso cuando Valve se comporta como si solo importara «cualquier tribunal de Rusia». Y si la teoría es que Steam puede operar donde quiera, bajo los acuerdos ocultos que desee y sin una rendición de cuentas significativa, tal vez deberíamos plantear directamente esta pregunta absurda: ¿existe también un Steam especial para Corea del Norte que nadie haya revelado todavía?

Estos son hechos contrastados: el equipo de asistencia es ruso, y dicho equipo ha robado o cedido en repetidas ocasiones información a terceros con el fin de restablecer el acceso a cuentas inactivas y apropiarse de ellas para obtener beneficios.

Por lo tanto, estoy convencido de que notificarle la filtración de sus datos no significa absolutamente nada para ellos, sobre todo con un retraso tan considerable (estaban esperando al 100 % la respuesta de Taylor Wessing; es un milagro que no esperaran tres semanas).

Nunca he hecho algo así antes, nunca he incitado ni provocado a nadie a hacer nada, y tampoco querría hacerlo ahora. Pero esta es precisamente la situación que Steam desea. Creen que la presión abierta y la discriminación contra los usuarios de la UE están totalmente justificadas, y que Taylor Wessing lo resolverá todo simplemente amenazando abiertamente a las personas por las solicitudes relacionadas con el RGPD. Esa es mi opinión, mi experiencia y la información procedente de una fuente primaria en la que confío.

En cualquier caso, presentar una reclamación solo requiere unos pocos clics. Quizá entonces Steam aprenda por fin a respetar las leyes extranjeras —y no solo las leyes de «cualquier tribunal de Rusia»—. Quizá dejen por fin de hacerse los tontos, fingiendo que son completamente incapaces de bloquear los dominios de autorización de los sitios web de apuestas ilegales. En lugar de la realidad que tenemos ahora: todos están compinchados —los propietarios rusos de los casinos infantiles y el personal de soporte que se pasa el día en Lolzteam discutiendo cómo forzar el acceso a las cuentas mediante fuerza bruta—.

PhishDestroy seguirá vigilando, investigando y sacando a la luz la información. La economía sumergida saldrá a la luz.

Estoy seguro de que tendrá una experiencia interesante al comunicarse con los representantes de Valve. Si resulta que se trata de Taylor Wessing, es totalmente normal que le hablen con condescendencia, le amenacen y le hagan perder el tiempo; ese es su trabajo. En general, son conocidos principalmente por una demanda por acoso sexual contra su propio bufete, y poco más. Ah, claro, las empresas con demasiado dinero los contratan específicamente para agotarle, a la vez que les pagan una tarifa por hora desorbitada.