„Steami illusioon: kuidas Valve juhib varimajandust, võimaldab andmete vargust ja eirab rahvusvahelist õigust“

PhishDestroy eksklusiivne uurimus

PhishDestroy projekt ei sündinud sellepärast, et ajad olid head. Meie olemasolu ei ole tunnistuseks Steami edust, vaid kriitiline vajadus, mis on sündinud Valve’i täielikust hoolimatusest kasutajate turvalisuse suhtes. Tegelikult sekkus meie võitlus pettuste vastu otseselt Valve’i ärimudelisse, häirides nende hoolikalt väljatöötatud kontode blokeerimise ja esemete edasimüügi süsteemi. (Avaldame hiljem eraldi üksikasjaliku artikli, milles paljastame ettevõtte tõelised „väärtused“ ja nende küberturvalisuse paroodia).

Juba üle kümne aasta on Valve Corporation varjanud end hoolikalt kujundatud, tarbijasõbraliku fassaadi taha. Kuid pinna all peitub küüniline korporatiivne masinavärk. Ulatusliku sisemise uurimise käigus on PhishDestroy meeskond lahti harutanud need põhimõtted, millest Valve eelistab vaikida. See on sellise platvormi anatoomia, mis tegutseb reguleerimata finantssündikaadina, lepitab sanktsioonide all olevaid riike, varjab kompromiteeritud allhanke-tugiteenuseid ja suhtub Euroopa seadustesse kui vabatahtlikesse soovitustesse.

1. Sanktsioonide farss ja venemeelne eelarvamus

Valve jaoks ei ole ELi ja USA kasutajad midagi muud kui rahateenijad. Samal ajal, kui Euroopa mängijad maksavad täishinda, pakub Steam Venemaa turule jätkuvalt agressiivseid 70–80-protsendilisi allahindlusi. Mäng maksab Venemaal vaid murdosa sellest, mida see maksab Saksamaal. Just sellised on rahvusvahelised „sanktsioonid“ Valve’i sõnastikus.

Platvorm teeb kõik, et seda suunda soodustada ja populariseerida: nad hõlbustavad piirkonna vahetamist, pigistavad silma kinni mängusiseste esemete kaudu toimuva rahapesu suhtes ning märgivad oma kasutustingimustes selgesõnaliselt, et alluvad mis tahes Venemaa kohtu jurisdiktsioonile. See jõuab absurdsuseni: nendel harvadel juhtudel, kui Steami serverites esinevad ulatuslikud katkestused, on esimene asutus, kes tehnilisi rikkeid ametlikult kommenteerib, sageli Roskomnadzor (Venemaa föderaalne tsensuuriamet).

2. Allhanke-tugiteenuste kartell

Müüt „rangest ja turvalisest Ameerika tehnilisest tuest“ variseb kokku hetkel, kui saad aru, kelle käes on Steami tagapõhja võtmed. Valve on delegeerinud toe SRÜ piirkonnas sügavalt kompromiteeritud allhankevõrgustikule.

Meil on õnnestunud selle võrgustiku osad anonüümsusest vabastada. Selle tugiharuga tegeleva või seda haldava võtmeisikuks on isik nimega Nikita. Meie uurimine paljastas, et see isik (või vähemalt tema peamine e-posti aadress) on registreeritud ja aktiivne kasutajana sellistes underground-häkkerifoorumites nagu Lolzteam (Zelenka) – kurikuulsas darkneti keskuses, mis on täielikult pühendatud varastatud krediitkaartide, rünnatud andmebaaside ja jõuvõttega murdmisega saadud sisselogimisandmete müügile.

Valve on sellest korruptsioonist täielikult teadlik. Nad on varem tunnistanud juhtumeid, kus allhanke töötajad on süstemaatiliselt tühjendanud kasutajate väärtuslikke varusid. Siiski on odava ja vastutuseta allhanke tööjõu säilitamine neile endiselt tulusam kui kvalifitseeritud ettevõttesiseste küberturvalisuse spetsialistide palkamine.

3. Pettus kui ärimudel ja offshore-valuuta

Steami mängusiseste nahkade kasutamine on muutunud darknetis igal pool levinud ja jälitamatuks valuutaks – rahapesu masinaks, mis möödub rahvusvahelistest reguleerivatest asutustest ja maksuametitest.

Valve'i rahandusosakonna jaoks ei ole petturid oht, vaid välised tegurid, mis stimuleerivad turu kiirust. Traditsiooniline mudel „üks kasutaja, üks mäng“ toob sisse piiratud tulu. Kuid ohustatud ökosüsteem loob väga tulusa tsükli: kasutaja konto häkitatakse, esemed varastatakse, petturi kontodele kehtestatakse „kaubanduskeeld“ ning ohver on sunnitud looma uue profiili ja oma varad uuesti ostma.

Kui Valve blokeerib petturi, ei tagasta nad varastatud vara õigele omanikule. Nad külmutavad selle püsivalt. See loob kunstliku nappuse. Turupakkumise vähenemine tõstab järelejäänud esemete hindu, mis omakorda mitmekordistab Valve’i 15-protsendilist komisjonitasu Community Marketil. Nad ei taha pettusi peatada; nad teenivad neilt kasu.

4. CEVA Logisticsi andmeleke: vaieldamatu tõend hooletusest

Kui arvate, et Valve kaitseb vähemalt teie füüsilisi, reaalses maailmas olevaid andmeid, siis hiljutine CEVA Logisticsiga seotud intsident tõestab vastupidist. 29. juulist kuni 1. augustini 2026 murdsid häkkerid sisse Valve'i Euroopa riistvaralogistika partneri süsteemi. Valve tunnistas rikkumist alles 7. augustil, jättes kasutajate andmed nädalaks pahatahtlike isikute kätte.

Lekkinud andmed sisaldavad füüsilist riistvara tellinud Euroopa klientide tegelikke nimesid, täielikke elukoha aadresse, telefoninumbreid ja Steamiga seotud e-posti aadresse. Valve püüab kasutajaid rahustada, väites, et „paroolid ja makseandmed“ ei lekkinud. Kuid täisnimi, elukoha aadress, telefoninumber ja Steami e-posti aadress on just see teave, mida on vaja laastavalt tõhusaks sihtpüügipettuseks ja kontode kaaperdamiseks – tõeline kullakaevandus eespool mainitud allhanke töötajatele ja pettusvõrgustikele. Valve andis teie andmed sisuliselt neile kätte.

5. Üleskutse tegutsemiseks: Euroopa seisukoht ettevõtete puutumatuse vastu

Iga Euroopa mängija peab ärkama karmile reaalsusele: te maksate mängude eest viis korda rohkem kui Venemaa kasutajad, kuid teie Euroopa õigused ja seadused (GDPR) on täielikult kõrvale jäetud. Teie isikuandmed lekivad kolmandatele osapooltele ning teie klienditoe päringuid käsitleb SRÜ riikidest pärit allhankijate võrgustik, mille maine on äärmiselt kahtlane.

Saadame erilise, sarkastilise tervituse Taylor Wessingu advokaatidele, kes peavad paratamatult kaitsma Valve’i huve Euroopa kohtutes. Valmistuge – ELi õigust aktiivselt eirava monopoli kaitsmine muutub peagi märkimisväärselt raskemaks.

On aeg lõpetada mugava sponsorina tegutsemine. Ärge andestage neid andmelekkeid.

Kui nad keelduvad, väidavad, et nad ei säilita logifaile, või varjuvad end ettevõtte konfidentsiaalsuslepingu taha, et kaitsta oma allhankijaid, edastage see keeldumine otse oma andmekaitseasutusele. Massilised õiguslikud meetmed on ainus keel, millest see monopol aru saab.

Autori lisandus: Platvormi taga peituv turg

Steam-platvormil on Venemaale (ja kogu SRÜ piirkonnale) soovitatavad piirkondlikud hinnad tavaliselt 40–60% madalamad kui baashind USA dollarites. Venemaa on klassifitseeritud 2. taseme riigiks: arenev turg, millele antakse üldjuhul 40–50% allahindlust baashinnast. Näiteks peaks tavaline indie-mäng, mille hind on 19,99 dollarit (mis otsese konverteerimise korral oleks umbes 1900 rubla), Valve'i soovituste kohaselt maksma umbes 419–499 rubla.

Tuleb selgelt märkida, et allhanke korras osutatav tugi asub Iirimaal, kuid selle töötajad on venelased – ja osa neist töötab otse Venemaal. Ah ja, muide, CSGOFastile kuulub populaarne laiendus SteamInventoryHelper, mida kasutatakse üksnes nende lastele suunatud kasiino reklaamimiseks (kasiino, mis on mitmes Euroopa riigis keelustatud). Ja kellele see kasiino kuulub? Just nii, venelastele, nagu enamik sarnaseid veebisaite. Kas Steam ei tea seda? Või ei taha nad lihtsalt teada, arvestades, et varimüügi käive on minu teada umbes miljard dollarit.

Lisaks hindan, et 40% SRÜ petturitest, kes praegu krüptopettusi korraldavad, alustasid oma tegevust just Steamis. Isiklikult tean vähemalt kahte konkreetset juhtumit, kus nahkade kaudu toimus rahapesu. Ma ei hakka neid siin üksikasjalikult kirjeldama, kuid võin seda vajadusel teha – lihtsalt mitte avalikult, kuna ma ei soovi nimetada platvorme jne. Aga Steam on sellest hästi teadlik. Või ootavad nad tõesti, et me usuksime, et mängijad, kellel pole isegi mängu, ostavad lihtsalt ikka ja jälle täpselt sama eset, et sellega „mängida”? Jah, muidugi, see on nali.

Kuna ma kardan Taylor Wessingu poolt toimuva seksuaalse ahistamise eest, ei kirjuta ma ise, vaid palun edastada minu sõnum andmelekke ohvritele – neile inimestele, keda Valve alt vedas ja kes said need teavituskirjad. Satire / Joke

Steami prioriteedid on nii venemeelsed, kui üldse võimalik – nii hinnakujunduse ja õiguslike tingimuste osas kui ka Putini, lipude ja keelustatud terroristide populariseerimisel. Kuid Steamile tundub see meeldivat, täpselt nagu nad sallivad antisemitismi, diskrimineerimist, ahistamist, jälitamist ja uimastikaubandust. Steami jaoks on see täiesti normaalne, täpselt nagu 18+ mängud. Ilmselt naudivad nad seda.

Tegemist ei ole lühiajalise poliitilise vaidluse. Venemaa ametnikud ja tööstusharu töörühmad on veetnud tublisti üle aasta, töötades välja videomängude kontrollisüsteemi, mis hõlmab mängijate identifitseerimist Venemaa telefoninumbri, riikliku Gosuslugi identiteediportaali või riikliku biomeetrilise süsteemi kaudu. Steam ja GOG nimetati selgesõnaliselt nende platvormide hulgas, mida ettepanek võiks mõjutada, ning osalejad ütlesid, et selle taga olev valitsuse töörühm oli 2024. aasta detsembriks juba peaaegu poolteist aastat koos istunud. Valve ei ole andnud ühtegi võrreldavat avalikku lubadust, et ta lahkub Venemaa turult, selle asemel et ühendada oma kasutajad selle riigi juhitud identiteedisüsteemiga.

Kontrast on šokeeriv. Suured tööstusharu tegijad peatasid müügi või teenuste osutamise Venemaal – Microsoft lõpetas kogu uue müügi, samal ajal kui konsooliplatvormid ja mänguavaldajad teatasid oma tegevuse lõpetamisest –, kuid Steam otsustas tegevust jätkata. See pakub jätkuvalt kaubanduslikku ja sotsiaalset infrastruktuuri riigile, mida Euroopa Parlament on ametlikult tunnistanud terrorismi toetavaks riigiks ja riigiks, mis kasutab terrorismivahendeid.

See toetus on nähtav Valve’i enda majandussüsteemis. Ametlikul Steam Community Marketil on müügil profiili taustapilt „Putin & Trump“ ning tuhandeid esemeid nimedega „Putin forever“, „Putin smile“, „Putin like“ ja „Putin angry“. Valve ei ole neid pilte ise joonistanud, kuid levitab, loetleb ja teenib nendega raha Valve’i poolt hallatava turu kaudu. Samal ajal lubatakse PhishDestroy poolt dokumenteeritud juhtumites rahvusele tuginevat ahistamist nähtavaks jääda või käsitletakse seda tavalise kogukonnasisese konfliktina. Steami sõnum on ühemõtteline: poliitilist propagandat saab rahaliselt ära kasutada, samas kui rahvuslikul päritolul põhineva ahistamise sihtmärgiks olevad inimesed peavad sellega leppima.

Eraomand ei tähenda õiguslikku puutumatust

Valve on eraettevõte ja selle aktsiad ei ole avalikult kaubeldavad. See tähendab, et selle omandistruktuuri, investoreid, sisekontrolli ja rahalisi stiimuleid kontrollitakse avalikkuse poolt palju harvemini kui börsil noteeritud ettevõtte puhul. See ei tähenda, et tarbijakaitse seadused, laste ohutuse tagamise kohustused, andmekaitse seadused või riiklikud reguleerivad asutused enam ei kehtiks. Kui platvormi ei jälgita piisavalt tähelepanelikult, on tegemist järelevalve puudumisega – mitte loaga muuta seda kohaks, kus lapsed puutuvad kokku seksuaalse sisuga, hasartmängude reklaamiga, jälitamisega ja organiseeritud ahistamisega.

Valve’i enda kasutajatingimustes on öeldud, et Steam ei ole mõeldud alla 13-aastastele lastele. See tähendab siiski, et samas poes, kus müüakse tavalisi mänge kõrvuti selgesõnaliste täiskasvanutele mõeldud ja hentai-mängudega, on endiselt tohutu teismeliste publik. Ise deklareeritud sünnikuupäev, hoiatusleht ja eelistuste filtrid ei ole piisav vanuse kontroll. Probleem ei ole selles, et täiskasvanutele mõeldud meedia üldse olemas on; probleem on selles, et see paigutatakse massiturule suunatud mänguplatvormile, mida kasutavad alaealised, ja seejärel tehakse nägu, nagu kaob risk tänu kosmeetilisele tõkkele. Kui Gabe Newell, Valve’i juhtkond või selle tugiteenuste osutajad soovivad täiskasvanutele mõeldud sisu platvormi, peaksid nad seda avalikult ja eraldi haldama, selle asemel et sundida iga mängu väljaandjat seda kaubanduslikul riiulil jagama.

Õiguste omanikud peaksid ka selgitama, miks nad selle kõrvuti paigutamisega nõustuvad. Perekonnamäng, laste mäng või laia publikule suunatud mäng võib asuda vaid ühe soovituse või otsingutulemuse kaugusel eksplitsiitsest materjalist, samal ajal kui Valve teenib raha mõlemalt. Väljaandjad kulutavad suuri summasid oma brändide kaitsmisele, kuid näivad olevat valmis eirama seda, mis neid brände Steamis ümbritseb. Eraomand ei tee seda vastutustundlikuks ega turuvalitsev seisund seda vältimatuks.

Valve'i modereerimispõhimõtteid on veelgi raskem kaitsta, kui võrrelda neid ettevõtte reaktsiooniga Venemaa riiklikule tsensuurile. 2024. aastal teatas Roskomnadzor, et Steam oli eemaldanud kogu ameti nõutud materjali ning et seetõttu kustutatakse 11 Steami URL-i Venemaa keelatud teabe registrist. 2025. aastal eemaldas Steam materjali ainult täiskasvanutele mõeldud mängu lehelt pärast järjekordset Roskomnadzori nõuet seoses niinimetatud LGBT-„propagandaga“. See oli poliitiline tsensuur, mida kohaldati isegi 18+ teose suhtes, mitte aga vanusepiirangu ületanud lapse kaitsmine. Valve suudab järgida Venemaa tsensuurinimekirja, kuid jääb ometi kuidagi abituks, kui temalt palutakse kaitsta kasutajaid rahvusliku päritolu alusel toimuva kuritarvitamise, ebaseaduslike hasartmängukanalite või ahistava täiskasvanutele mõeldud sisu eest. See on prioriteetide valik ja tõstatab ilmselge sõnavabaduse küsimuse.

Valve ei ole samuti avaldanud ühtegi avalikku ettevõtte seisukohta Venemaa sissetungi kohta Ukrainasse, mis oleks võrreldav nende ettevõtetega, kes peatasid tegevuse või toetasid avalikult Ukrainat. Ettevõtte erakapitali struktuur ei nõua sellist investoritele avalikustamist, mida oodatakse börsiettevõttelt, seega ei saa välisvaatlejad täielikult uurida, kelle huve kaitstakse. Silma jääb erakordne kiindumus odavama turu poole, mis on seotud tööstuslikul tasemel pettuste, hasartmängude, kontode varguste ja sanktsioonidest kõrvalehoidmise teenustega. Võib-olla selgub põhjus paremini, kui Steam kunagi nõustub Gosuslugi identiteedi ühendamisega.

Allhanke lugu järgib sama läbipaistmatuse mustrit. Valve sõlmib lepinguid ettevõtetega, mitte kasutajatele esitatud üksikute tugitöötajatega. PhishDestroy poolt läbi vaadatud esmase allika ja materjalide kohaselt ei kadunud varasema suure väärtusega varade varguse skandaaliga seotud isik väikeste tugiteenuste osutajate ökosüsteemist: ta liikus teise agentuuri. Hiljem väitis ta, et ta ei töötanud Steami heaks ega teadnud, et konto oli Steamiga seotud. Siiski viis jälg tagasi Iirimaale, sama isiku juurde ja taas Steami juurde. Seda juhtumit tuleks uurida allhanke ja juurdepääsukontrolli ebaõnnestumisena; seda ei esitata siin kriminaalõigusliku hinnanguna. Valve peaks avalikustama, millistel agentuuridel on juurdepääs kontosüsteemidele, kuidas personali uuesti kontrollitakse, kui nad liiguvad ühe teenusepakkuja juurest teise juurde, ning kas ühe alltöövõtja juurest eemaldatud isik võib lihtsalt teise kaudu uuesti ilmuda.

Vietnam on juba näidanud, et Valve’i eraettevõtte staatus ei seata seda riikliku õiguse kohal. Steam blokeeriti seal pärast seda, kui ametivõimud väitsid, et Valve ei olnud koostööd teinud. Vietnam on olemas. ELi õigus on olemas. Iga jurisdiktsioon, millest Valve tulu teenib, eksisteerib, isegi kui Valve käitub nii, nagu oleks oluline ainult „mis tahes kohus Venemaal“. Ja kui teooria on, et Steam võib tegutseda kus iganes ta soovib, mis tahes varjatud kokkulepete alusel, ilma märkimisväärse vastutuseta, siis ehk peaksime esitama selle absurdsuse küsimuse otse: kas on olemas ka spetsiaalne Steam Põhja-Koreale, millest keegi veel avalikult rääkinud pole?

Need on tõestatud faktid: tugiteenistus on venelastest koosnev ning see tugiteenistus on korduvalt varastanud või edastanud teavet kolmandatele osapooltele, et taastada juurdepääs passiivsetele kontodele ja neid kasumi saamiseks üle võtta.

Seega olen kindel, et teavitamine teie andmete lekkimisest ei tähenda neile absoluutselt midagi, eriti sellise tohutu viivitusega (nad ootasid 100% kindlalt Taylor Wessingu vastust; on ime, et nad ei oodanud kolm nädalat).

Ma pole seda varem kunagi teinud, ma pole kunagi kedagi midagi tegema õhutanud ega provotseerinud, ja ma ei tahaks seda ka praegu teha. Aga just seda olukorda Steam tahabki. Nad arvavad, et avalik surve ja diskrimineerimine ELi kasutajate suhtes on täiesti normaalne ning et Taylor Wessing lahendab kõik probleemid lihtsalt sellega, et ähvardab inimesi avalikult seoses GDPR-taotlustega. See on minu arvamus, minu kogemus ja teave esmasest allikast, millesse ma usun.

Igal juhul võtab kaebuse esitamine vaid paar klõpsu. Võib-olla õpib Steam siis lõpuks austama välisriikide seadusi – ja mitte ainult „mis tahes Venemaa kohtu“ seadusi. Võib-olla lõpetavad nad lõpuks lollitamise, teeseldes, et nad on täiesti võimetud blokeerima ebaseaduslike hasartmängusaitide autoriseerimisdomeene. Selle asemel, et tegelikkus oleks selline, nagu see praegu on: kõik on omavahel ühes paadis – laste kasiinode Venemaa omanikud ja Lolzteamis istuvad tugitöötajad, kes arutavad, kuidas kontosid jõuvõttega lahti murda.

PhishDestroy jätkab jälgimist, uurimist ja paljastamist. Varimajandus tuuakse päevavalgele.

Olen kindel, et suhtlemine Valve’i esindajatega pakub sulle huvitavat kogemust. Kui tegemist osutub Taylor Wessinguga, on täiesti normaalne, et nad räägivad sinuga ülalt alla, ähvardavad ja venitavad aega – see ongi nende töö. Üldiselt on nad tuntud peamiselt omaenda firma vastu esitatud seksuaalse ahistamise kohtuasja poolest, muust eriti mitte. Ah jaa, ettevõtted, kellel on liiga palju raha, palkavad neid spetsiaalselt selleks, et sind kurnata, makstes neile samal ajal tohutut tunnitasu.