Steam-illuusio: kuinka Valve ylläpitää varjotaloutta, mahdollistaa tietojen varastamisen ja sivuuttaa kansainvälisen oikeuden

PhishDestroy:n eksklusiivinen tutkiva raportti

PhishDestroy-projekti ei syntynyt siksi, että ajat olisivat olleet hyvät. Olemassaolomme ei ole osoitus Steamin menestyksestä, vaan kriittinen välttämättömyys, joka syntyi Valven täydellisestä piittaamattomuudesta käyttäjien turvallisuudesta. Itse asiassa taistelumme tietojenkalastelua vastaan häiritsi suoraan Valven liiketoimintamallia ja horjutti heidän huolellisesti rakennettua talouttaan, joka perustui tilien sulkemiseen ja esineiden jälleenmyyntiin. (Julkaisemme myöhemmin erillisen, yksityiskohtaisen artikkelin, jossa paljastamme yrityksen todelliset ”arvot” ja heidän parodiansa kyberturvallisuudesta).

Valve Corporation on yli vuosikymmenen ajan piiloutunut huolellisesti rakennetun, kuluttajaystävällisen julkisivun taakse. Pinnan alla piilee kuitenkin kyyninen yrityskoneisto. Laajan sisäisen tutkimuksen avulla PhishDestroy-tiimi on purkanut osiin ne toimintaperiaatteet, joista Valve mieluummin vaientaa. Tämä on anatomia alustasta, joka toimii sääntelemättömänä rahoitusyhtymänä, lepyttelee pakotteiden kohteena olevia valtioita, suojelee vaarallisia ulkoistettuja tukipalveluita ja kohtelee eurooppalaisia lakeja vapaaehtoisina suosituksina.

1. Pakotteiden farssi ja venäläismielinen puolueellisuus

Valvelle EU:n ja Yhdysvaltojen käyttäjät ovat pelkkää rahasampoa. Kun eurooppalaiset pelaajat maksavat täyden hinnan, Steam tarjoaa edelleen aggressiivisia 70–80 prosentin alennuksia Venäjän markkinoille. Peli maksaa Venäjällä vain murto-osan siitä, mitä se maksaa Saksassa. Tältä näyttävät kansainväliset ”pakotteet” Valven sanakirjassa.

Alusta tekee kaikkensa tämän suuntauksen suosiolliseksi ja suosituksi: se helpottaa alueiden vaihtamista, sulkee silmänsä pelin sisäisten esineiden kautta tapahtuvalta rahanpesulta ja ilmoittaa käyttöehdoissaan nimenomaisesti alistuvansa minkä tahansa venäläisen tuomioistuimen lainkäyttövaltaan. Tilanne on jo lähes absurdi: niissä harvoissa tapauksissa, joissa Steamin palvelimilla esiintyy laajamittaisia häiriöitä, ensimmäinen taho, joka virallisesti kommentoi teknisiä vikoja, on usein Roskomnadzor (Venäjän liittovaltion sensuurivirasto).

2. Ulkoistetun tuen kartelli

Myytti ”tiukasta ja turvallisesta amerikkalaisesta teknisestä tuesta” romahtaa heti, kun tajuaa, kenen käsissä Steamin taustajärjestelmän avaimet ovat. Valve on ulkoistanut tuen IVY-alueella syvästi vaarantuneelle ulkoistetulle verkostolle.

Olemme onnistuneesti paljastaneet tämän verkoston osien takana olevat henkilöt. Tärkeä henkilö, joka hallinnoi tai kuratoi tätä tukipalvelua, on Nikita-niminen henkilö. Tutkimuksemme paljasti, että tämä henkilö (tai ainakin hänen ensisijainen sähköpostiosoitteensa) on rekisteröitynyt ja aktiivinen käyttäjä Lolzteam (Zelenka) -tyyppisillä pimeän verkon hakkerointifoorumeilla – kyseessä on pahamaineinen darknet-keskus, joka on kokonaan omistettu varastettujen luottokorttien, vaarantuneiden tietokantojen ja brute-force-hyökkäysten lokitietojen myynnille.

Valve on täysin tietoinen tästä korruptiosta. Yritys on aiemmin myöntänyt tapauksia, joissa ulkoistettu henkilöstö on järjestelmällisesti tyhjentänyt arvokkaita käyttäjien varastoja. Silti halvan ja tilivelvottoman ulkoistetun työvoiman ylläpitäminen on yritykselle edelleen kannattavampaa kuin pätevien, sisäisten kyberturvallisuusammattilaisten palkkaaminen.

3. Huijaus liiketoimintamallina ja offshore-valuutta

Steamin pelinsisäisistä skineistä on tullut darknetissä kaikkialla läsnä oleva, jäljittämätön valuutta – rahanpesukone, joka kiertää kansainväliset sääntelyviranomaiset ja veroviranomaiset.

Valven talousosastolle huijarit eivät ole uhka, vaan ulkoisia toimijoita, jotka vauhdittavat markkinoita. Perinteinen ”yksi käyttäjä, yksi peli” -malli tuottaa vain rajallisia tuloja. Kompromitoitunut ekosysteemi luo kuitenkin erittäin kannattavan kierteen: käyttäjä joutuu hakkeroinnin uhriksi, esineet varastetaan, huijarin tilille määrätään ”kauppakielto” ja uhri joutuu luomaan uuden profiilin ja ostamaan omaisuutensa uudelleen.

Kun Valve sulkee huijarin tilin, se ei palauta varastettuja varoja oikealle omistajalle. Se jäädyttää ne pysyvästi. Tämä luo keinotekoista niukkuutta. Markkinoiden tarjonnan väheneminen nostaa jäljellä olevien tuotteiden hintoja, mikä puolestaan moninkertaistaa Valven 15 prosentin provision Community Marketissa. Yritys ei halua estää huijauksia, vaan se hyötyy niistä.

4. CEVA Logisticsin tietoturvaloukkaus: kiistaton todiste huolimattomuudesta

Jos luulet, että Valve suojelee edes fyysisiä, todellisia tietojasi, CEVA Logisticsia koskenut äskettäinen tapaus osoittaa toisin. 29. heinäkuuta ja 1. elokuuta 2026 välisenä aikana hakkerit murtautuivat Valven eurooppalaiseen laitteistologistiikkakumppaniin. Valve myönsi tietomurron vasta 7. elokuuta, jolloin käyttäjien tiedot olivat pahantahtoisten toimijoiden käsissä viikon ajan.

Vuotaneet tiedot sisältävät fyysistä laitteistoa tilanneiden eurooppalaisten asiakkaiden oikeat nimet, täydelliset kotiosoitteet, puhelinnumerot ja Steamiin liitetyt sähköpostiosoitteet. Valve yrittää rauhoittaa käyttäjiä väittämällä, että ”salasanoja ja maksutietoja” ei vuotanut. Mutta koko nimi, kotiosoite, puhelinnumero ja Steam-sähköpostiosoite ovat juuri se tietopaketti, jota tarvitaan tuhoisan tehokkaaseen kohdennettuun tietojenkalasteluun ja tilien kaappaamiseen – todellinen kultakaivos edellä mainituille ulkoistetuille työntekijöille ja huijausverkostoille. Valve käytännössä luovutti tietosi heille.

5. Toimenpidekehotus: Euroopan kanta yritysten koskemattomuutta vastaan

Jokaisen eurooppalaisen pelaajan on herättävä karuun todellisuuteen: maksat peleistä viisi kertaa enemmän kuin venäläiset käyttäjät, mutta eurooppalaiset oikeutesi ja lait (GDPR) sivuutetaan täysin. Henkilötietosi vuotavat kolmansille osapuolille, ja tukipyyntöjäsi käsittelee IVY-maiden ulkoistettu verkosto, jonka maine on erittäin kyseenalainen.

Lähetämme erityisen sarkastisen tervehdyksen Taylor Wessingin lakimiehille, joiden on väistämättä puolustettava Valven etuja eurooppalaisissa tuomioistuimissa. Valmistautukaa – EU:n lainsäädäntöä aktiivisesti halveksivan monopolin puolustaminen on pian huomattavasti vaikeampaa.

On aika lopettaa mukavan sponsorin rooli. Älä anna anteeksi näitä tietovuotoja.

Jos he kieltäytyvät, väittävät, etteivät he säilytä lokitietoja, tai piiloutuvat yrityksen salassapitosopimuksen taakse suojellakseen ulkoistettua henkilöstöään, välitä tämä kieltäytyminen suoraan tietosuojaviranomaisellesi. Massiiviset oikeustoimet ovat ainoa kieli, jota tämä monopoli ymmärtää.

Kirjoittajan lisäys: Alustan takana oleva markkina

Steam-alustalla Venäjälle (ja koko IVY-alueelle) suositellut alueelliset hinnat ovat tyypillisesti 40–60 % alhaisemmat kuin Yhdysvaltain dollarin perushinta. Venäjä on luokiteltu Tier 2: Emerging Market -alueeksi, jolle myönnetään yleensä 40–50 %:n alennus perushinnasta. Esimerkiksi tavallisen indie-pelin, jonka hinta on 19,99 dollaria (suoraan muunnettuna noin 1 900 ruplaa), pitäisi Valven suositusten mukaan maksaa noin 419–499 ruplaa.

On mainittava selvästi, että ulkoistettu tukipalvelu sijaitsee Irlannissa, mutta sen henkilökunta koostuu venäläisistä – ja osa henkilökunnasta työskentelee suoraan Venäjällä. Ai niin, ja muuten, CSGOFast omistaa suositun SteamInventoryHelper-laajennuksen, jota käytetään yksinomaan heidän lapsille suunnatun kasinonsa mainostamiseen (kasino, joka on kielletty useissa Euroopan maissa). Ja kuka omistaa tämän kasinon? Aivan oikein, venäläiset, aivan kuten suurin osa vastaavista sivustoista. Eikö Steam tiedä tätä? Vai eivätkö he vain halua tietää, kun otetaan huomioon, että pimeän markkinan liikevaihto on uskoakseni noin miljardi dollaria.

Lisäksi arvioin, että 40 % IVY-maiden huijareista, jotka tällä hetkellä harjoittavat kryptovaluuttahuijauksia, aloitti toimintansa Steamissa. Tiedän henkilökohtaisesti ainakin kaksi konkreettista tapausta, joissa rahaa on pesty skineillä. En aio kuvata niitä tässä yksityiskohtaisesti, mutta voin tehdä niin tarvittaessa – en kuitenkaan julkisesti, sillä en halua mainita alustojen nimiä jne. Steam on kuitenkin hyvin tietoinen tästä. Vai odottavatko he todella meidän uskovan, että pelaajat, joilla ei edes ole kyseistä peliä, ostavat täsmälleen samaa esinettä yhä uudelleen vain ”leikkiäkseen” sillä? Niin, aivan, se on vitsi.

Koska pelkään Taylor Wessingin harjoittamaa seksuaalista häirintää, en aio kirjoittaa ja pyytää välittämään viestiäni tietovuodon uhreille – niille ihmisille, joita Valve petti ja jotka saivat kyseiset ilmoitusviestit. Satire / Joke

Steamin prioriteetit ovat mahdollisimman venäläismielisiä – niin hinnoittelun ja oikeudellisten seikkojen osalta kuin Putinin, lippujen ja kiellettyjen terroristien popularisoinnissakin. Mutta Steam näyttää pitävän siitä, aivan kuten se suvaitsee antisemitismiä, syrjintää, häirintää, ahdistelua ja huumekauppaa. Steamin mielestä tämä on täysin hyväksyttävää, aivan kuten 18+ -pelitkin. He ilmeisesti nauttivat siitä.

Kyseessä ei ole lyhytaikainen poliittinen kiista. Venäläiset viranomaiset ja alan työryhmät ovat käyttäneet reilusti yli vuoden kehittäessään videopelien valvontajärjestelmää, johon kuuluu pelaajien tunnistaminen venäläisen puhelinnumeron, valtion Gosuslugi-tunnistusportaalin tai valtion biometrisen järjestelmän avulla. Steam ja GOG mainittiin nimenomaisesti alustoina, joihin ehdotus voisi vaikuttaa, ja osallistujat kertoivat, että asiaa käsittelevä hallituksen työryhmä oli kokoontunut jo lähes puolitoista vuotta joulukuuhun 2024 mennessä. Valve ei ole antanut vastaavaa julkista sitoumusta siitä, että se poistuu Venäjän markkinoilta sen sijaan, että liittäisi käyttäjänsä tähän valtion ohjaamaan tunnistusjärjestelmään.

Kontrasti on törkeä. Alan suuret toimijat keskeyttivät myynnin tai palvelut Venäjällä – Microsoft lopetti kaiken uuden myynnin, kun taas pelikonsolialustat ja pelijulkaisijat ilmoittivat omista vetäytymisistään – mutta Steam päätti jatkaa toimintaansa. Se tarjoaa edelleen kaupallista ja sosiaalista infrastruktuuria maalle, jonka Euroopan parlamentti on virallisesti tunnustanut terrorismin tukijaksi ja valtioksi, joka käyttää terrorismin keinoja.

Tämä tuki näkyy Valven omassa talousjärjestelmässä. Virallisella Steam Community Market -markkinapaikalla on myytävänä ”Putin & Trump” -profiilitausta sekä tuhansia tuotteita, joiden nimissä esiintyy ilmaisuja kuten ”Putin forever”, ”Putin smile”, ”Putin like” ja ”Putin angry”. Valve ei ole piirtänyt näitä kuvia, mutta se jakelee, listaa ja kaupallistaa niitä Valven ylläpitämän markkinapaikan kautta. Samaan aikaan PhishDestroy-sivuston dokumentoimissa tapauksissa kansallisuuteen perustuva häirintä saa jäädä näkyviin tai sitä käsitellään tavallisena yhteisön sisäisenä konfliktina. Steamin viesti on selvä: poliittisella propagandalla voi ansaita rahaa, kun taas kansallisuuteen perustuvan häirinnän kohteeksi joutuneet ihmiset joutuvat sietämään sitä.

Yksityisomistus ei tarkoita oikeudellista koskemattomuutta

Valve on yksityisomistuksessa, eikä sen osakkeilla käydä kauppaa pörssissä. Tämä tarkoittaa, että sen omistusrakenne, sijoittajat, sisäiset valvontamenettelyt ja taloudelliset kannustimet ovat huomattavasti harvemmin julkisen valvonnan kohteena kuin pörssiyhtiön. Se ei tarkoita, että kuluttajansuojalaki, lasten turvallisuutta koskevat velvollisuudet, tietosuojalaki tai kansalliset sääntelyviranomaiset lakkaisivat olemasta. Jos alustaa ei valvota riittävän tarkasti, kyseessä on valvonnan laiminlyönti – ei lupa muuttaa sitä paikaksi, jossa lapset altistuvat seksuaaliselle sisällölle, uhkapelien mainostamiselle, ahdistelulle ja järjestäytyneelle häirinnälle.

Valven omassa käyttäjäsopimuksessa todetaan, että Steamia ei ole tarkoitettu alle 13-vuotiaille lapsille. Tämä jättää kuitenkin valtavan teini-ikäisen yleisön samalle alustalle, jolla myydään tavallisia pelejä aikuisten ja hentai-sisältöä sisältävien nimikkeiden rinnalla. Itse ilmoitettu syntymäaika, varoitussivu ja suodatusasetukset eivät ole merkityksellisiä ikätarkistuksen keinoja. Ongelmana ei ole se, että aikuisille suunnattua mediaa on olemassa; ongelmana on sen sijoittaminen alaikäisten käyttämälle massamarkkinoille suunnatulle pelialustalle ja sen jälkeen teeskenteleminen, että kosmeettinen este poistaa riskin. Jos Gabe Newell, Valven johto tai sen tukipalvelujen alihankkijat haluavat aikuisille suunnatun sisältöalustan, heidän tulisi ylläpitää sitä avoimesti ja erillään sen sijaan, että pakottavat jokaisen pelijulkaisijan jakamaan kaupallisen hyllyn sen kanssa.

Oikeudenhaltijoiden tulisi myös selittää, miksi he hyväksyvät tämän vierekkäisyyden. Perhepeli, lastenpeli tai valtavirran julkaisu voi sijaita vain yhden suosituksen tai hakutuloksen päässä eksplisiittisestä materiaalista, samalla kun Valve kerää rahaa molemmista. Julkaisijat käyttävät omaisuuksia brändiensä suojelemiseen, mutta näyttävät kuitenkin olevan valmiita sivuuttamaan sen, mikä ympäröi näitä brändejä Steamin sisällä. Yksityisomistus ei tee tästä vastuullista, eikä markkinavalta tee siitä väistämätöntä.

Valven moderointiperiaatteita on entistä vaikeampi puolustaa, kun niitä verrataan sen reaktioon Venäjän valtion harjoittamaan sensuuriin. Vuonna 2024 Roskomnadzor ilmoitti, että Steam oli poistanut kaiken viraston vaatiman materiaalin ja että 11 Steam-URL-osoitetta poistettaisiin tämän seurauksena Venäjän kiellettyjen tietojen rekisteristä. Vuonna 2025 Steam poisti materiaalia aikuisille tarkoitetun pelin sivulta Roskomnadzorin esittämän uuden vaatimuksen seurauksena, joka koski niin sanottua LGBT-”propagandaa”. Kyseessä oli poliittista sensuuria, jota sovellettiin jopa 18+ -teokseen, ei ikärajan ohittaneen lapsen suojelua. Valve pystyy noudattamaan venäläistä sensuuriluetteloa, mutta on silti jotenkin avuton, kun sitä pyydetään suojelemaan käyttäjiä kansallisuuteen perustuvalta häirinnältä, laittomilta uhkapelikanavilta tai ahneelta aikuisviihteen altistamiselta. Kyseessä on prioriteettien valinta, ja se herättää ilmeisen kysymyksen sananvapaudesta.

Valve ei myöskään ole julkaissut mitään julkista yritysvastetta Venäjän hyökkäykseen Ukrainaan verrattuna niihin yrityksiin, jotka keskeyttivät toimintansa tai tukivat avoimesti Ukrainaa. Sen yksityinen pääomarakenne ei vaadi sellaista sijoittajille suunnattua tiedonantoa, jota odotetaan pörssiyhtiöltä, joten ulkopuoliset eivät voi täysin selvittää, kenen etuja suojellaan. Selvästi näkyvissä on kuitenkin poikkeuksellinen kiintymys edullisempaan markkinaan, johon liittyy teollisen mittakaavan huijaamista, uhkapelejä, tilien varastamista ja pakotteiden kiertämispalveluita. Ehkä syy selviää, jos Steam suostuu joskus Gosuslugi-tunnistautumiseen.

Ulkoistamista koskeva tarina noudattaa samaa epäselvyyden kaavaa. Valve tekee sopimuksia yritysten kanssa, ei käyttäjille esiteltyjen yksittäisten tukityöntekijöiden kanssa. PhishDestroy:n tarkastaman ensisijaisen lähteen ja aineiston mukaan henkilö, jolla oli yhteys aiempaan arvokkaiden tuotteiden varkausskandaaliin, ei kadonnut pienistä tukipalvelujen alihankkijoiden verkostosta: hän siirtyi toiseen toimistoon. Myöhemmin hän väitti, ettei työskennellyt Steamin puolesta eikä tiennyt, että tili oli yhteydessä Steamiin. Jäljet johtivat kuitenkin takaisin Irlantiin, samaan henkilöön ja jälleen Steamiin. Tätä tapausta tulisi tutkia ulkoistamisen ja pääsynvalvonnan epäonnistumisena; sitä ei esitetä tässä rikosoikeudellisena tuomiona. Valven tulisi paljastaa, millä toimistoilla on pääsy tilijärjestelmiin, miten henkilöstöä tarkastetaan uudelleen heidän siirtyessään toimittajalta toiselle ja voiko yhdestä alihankkijasta poistettu henkilö yksinkertaisesti ilmestyä uudelleen toisen kautta.

Vietnam on jo osoittanut, että Valven asema yksityisyrityksenä ei aseta sitä kansallisen lainsäädännön yläpuolelle. Steam estettiin siellä sen jälkeen, kun viranomaiset totesivat Valven laiminlyöneen yhteistyön. Vietnam on olemassa. EU:n lainsäädäntö on olemassa. Jokainen lainkäyttöalue, jolla Valve tuottaa tuloja, on olemassa, vaikka Valve käyttäytyisikin ikään kuin vain ”mikä tahansa tuomioistuin Venäjällä” olisi merkityksellinen. Ja jos teoria on, että Steam voi toimia missä tahansa, millä tahansa salaisilla järjestelyillä ja ilman merkittävää vastuullisuutta, ehkä meidän pitäisi esittää suoraan tämä absurdi kysymys: onko olemassa myös erityinen Steam Pohjois-Korealle, jota kukaan ei ole vielä paljastanut?

Seuraavat seikat ovat todistettuja tosiasioita: tukitiimi on venäläinen, ja tämä tukitiimi on toistuvasti varastanut tai luovuttanut tietoja kolmansille osapuolille palauttaakseen pääsyn käyttämättömiin tileihin ja kaapatakseen ne voittoa varten.

Olen siis varma, että ilmoitus tietojesi vuotamisesta ei merkitse heille mitään, varsinkin kun viivästys oli niin valtava (he odottivat 100-prosenttisesti Taylor Wessingin vastausta; on ihme, etteivät he odottaneet kolmea viikkoa).

En ole koskaan ennen tehnyt tällaista, en ole koskaan yllyttänyt tai provosoinut ketään tekemään mitään, enkä haluaisi tehdä niin nytkään. Mutta juuri tätä tilannetta Steam haluaa. He katsovat, että avointa painostusta ja EU-käyttäjiin kohdistuvaa syrjintää on täysin hyväksyttävää, ja että Taylor Wessing ratkaisee kaiken uhkaamalla avoimesti ihmisiä GDPR-pyyntöjen vuoksi. Tämä on mielipiteeni, kokemukseni sekä luotettavasta ensikäden lähteestä saamani tieto.

Joka tapauksessa valituksen tekeminen vaatii vain muutaman klikkauksen. Ehkä silloin Steam oppii vihdoin kunnioittamaan ulkomaisia lakeja – eikä vain ”minkä tahansa venäläisen tuomioistuimen” lakeja. Ehkä he lopettavat vihdoin tyhmän esittämisen ja teeskentelyn, etteivät he pysty lainkaan estämään laittomien uhkapelisivustojen valtuutusdomeeneja. Sen sijaan, että tilanne olisi sellainen kuin nyt: kaikki ovat tekemisissä keskenään – lasten kasinoiden venäläiset omistajat ja Lolzteamissa istuvat tukihenkilöt, jotka keskustelevat siitä, miten tilejä murretaan brute-force-menetelmällä.

PhishDestroy jatkaa seurantaa, tutkimusta ja paljastamista. Pimeä talous tuodaan päivänvaloon.

Olen varma, että sinulla tulee olemaan mielenkiintoinen kokemus kommunikoida Valven edustajien kanssa. Jos kyseessä osoittautuu olevan Taylor Wessing, on täysin normaalia, että he puhuvat sinulle ylenkatseisesti, esittävät uhkauksia ja viivyttelevät – se on heidän työnsä. Yleisesti ottaen heidät tunnetaan lähinnä omasta yrityksestään nostetusta seksuaalisen häirinnän oikeusjutusta, eikä juuri muusta. Ai niin, yritykset, joilla on aivan liikaa rahaa, palkkaavat heidät nimenomaan uuvuttamaan sinua, samalla kun maksavat heille valtavaa tuntipalkkaa.