Steamova iluzija: Kako Valve vodi sjenovitu ekonomiju, omogućuje krađu podataka i zanemaruje međunarodno pravo

Ekskluzivno istraživačko izvješće PhishDestroy

Projekt PhishDestroy nije nastao zato što su vremena bila dobra. Naše postojanje nije svjedočanstvo uspjeha Steama, već kritična nužnost proizašla iz Valveove potpune nebrige za sigurnost korisnika. Zapravo, naša borba protiv phishinga izravno je ometala Valveov poslovni model, remeteći njihovu pomno osmišljenu ekonomiju zabrana računa i preprodaje predmeta. (Kasnije ćemo objaviti zaseban, detaljan članak koji razotkriva prave "vrijednosti" tvrtke i njihovu parodiju kibernetičke sigurnosti).

Više od desetljeća Valve Corporation skriva se iza pažljivo odabrane, potrošačima prilagođene fasade. No ispod površine leži cinična korporativna mašina. Kroz opsežnu internu istragu tim PhishDestroy razložio je politike koje Valve radije drži u tajnosti. Ovo je anatomija platforme koja djeluje kao neregulirani financijski sindikat, udovoljava sankcioniranim državama, pruža utočište kompromitiranoj vanjskoj podršci i tretira europske zakone kao neobavezne prijedloge.

1. Farse sankcija i pristranost prema Rusiji

Za Valve, korisnici u EU i SAD-u nisu ništa više od krava muzara. Dok europski igrači plaćaju punu cijenu, Steam nastavlja nuditi agresivne popuste od 70% do 80% za rusko tržište. Igra u Rusiji košta djelić onoga što košta u Njemačkoj. Ovako u Valveovom rječniku izgledaju međunarodne "sankcije".

Platforma čini sve da umiri i popularizira ovaj vektor: omogućuje promjenu regije, zatvara oči pred pranjem novca putem predmeta u igri i izričito navodi u svojim Uvjetima pružanja usluge da se podvrgava nadležnosti bilo kojeg ruskog suda. To doseže razinu apsurda: u rijetkim prilikama kada Steamovi poslužitelji dožive masovne prekide, prvi subjekt koji službeno komentira tehničke kvarove često je Roskomnadzor (ruska savezna agencija za cenzuru).

2. Kartel vanjske podrške

Mit o "strogoj, sigurnoj američkoj tehničkoj podršci" ruši se u trenutku kad shvatite tko drži ključeve za Steamov backend. Valve je delegirao podršku u regiji Zajednice neovisnih država (ZND) duboko kompromitiranoj vanjskoj mreži.

Uspješno smo deanonimizirali dijelove ove mreže. Ključna osoba koja upravlja ili nadgleda ovu podržnu granu je pojedinac po imenu Nikita. Naša je istraga otkrila da je taj pojedinac (ili barem njegova glavna adresa e-pošte) registriran i aktivan kao korisnik na podzemnim hakerskim forumima poput Lolzteam (Zelenka) — zloglasnog čvorišta darkneta posvećenog isključivo prodaji ukradenih kreditnih kartica, kompromitiranih baza podataka i zapisa brute-force napada.

Valve je u potpunosti svjestan ove korupcije. Ranije su priznali presedane u kojima su vanjski suradnici sustavno isisavali vrijedne korisničke inventare. Ipak, održavanje jeftine, neovlašteno angažirane vanjske radne snage za njih je profitabilnije nego zapošljavanje kvalificiranih, internih stručnjaka za kibernetičku sigurnost.

3. Prevarantstvo kao poslovni model i offshore valuta

Steamovi in-game skinovi postali su sveprisutna, neotkrivljiva valuta diljem darkneta – pralnica novca koja zaobilazi međunarodne regulatore i porezne vlasti.

Valveovom financijskom odjelu prevaranti nisu prijetnja; oni su vanjski čimbenici koji potiču brzinu tržišta. Tradicionalni model "jedan korisnik, jedna igra" donosi ograničene prihode. Međutim, kompromitirani ekosustav stvara izrazito profitabilan krug: korisnik je hakiran, predmeti su ukradeni, računi prevaranata dobivaju "Trade Ban", a žrtva je prisiljena stvoriti novi profil i ponovno kupiti svoju imovinu.

Kad Valve zabrani prevaranta, ne vraća ukradene resurse pravom vlasniku. Zadržava ih trajno. To stvara umjetni nedostatak. Smanjenje ponude na tržištu podiže cijene preostalih artikala, što zauzvrat povećava Valveovu proviziju od 15 % na Tržištu zajednice. Ne žele zaustaviti prevare; profitiraju od njih.

4. Proboj sigurnosti u CEVA Logistics: Nepobitan dokaz nemara

Ako mislite da Valve barem štiti vaše fizičke, stvarne podatke, nedavni incident vezan uz CEVA Logistics dokazuje suprotno. Između 29. srpnja i 1. kolovoza 2026. hakeri su provalili kod Valveovog europskog partnera za hardversku logistiku. Valve je proboj priznao tek 7. kolovoza, ostavivši podatke korisnika u rukama zlonamjernih aktera tijekom tjedan dana.

Procurijeli podaci uključuju stvarna imena, potpune adrese prebivališta, brojeve telefona i adrese e-pošte povezane sa Steamom europskih kupaca koji su naručili fizički hardver. Valve pokušava umiriti korisnike tvrdeći da "lozinke i podaci o plaćanju" nisu procurili. No puno ime, adresa prebivališta, broj telefona i adresa e-pošte na Steamu točan su nacrt potreban za iznimno učinkovitu ciljanu phishing-kampanju i preuzimanje računa – prava zlatna žila za gore spomenuto vanjsko osoblje i mreže prevaranata. Valve im je u suštini predao vaše podatke.

5. Poziv na akciju: Europski stav protiv korporativnog imuniteta

Svaki igrač u Europi mora se probuditi u surovu stvarnost: plaćate pet puta više za igre nego korisnici u Rusiji, a vaša europska prava i zakoni (GDPR) potpuno su ušutkani. Vaši se osobni podaci prosljeđuju trećim izvođačima, a vaše zahtjeve za podršku obrađuje mreža vanjskih suradnika iz zemalja CIS-a s vrlo upitnom reputacijom.

Šaljemo poseban, sarkastičan pozdrav odvjetnicima iz Taylor Wessinga, koji će neizbježno morati braniti interese Valvea pred europskim sudovima. Pripremite se – obrana monopola koji aktivno pljuje po zakonima EU-a uskoro će postati znatno teža.

Vrijeme je prestati biti zgodan sponzor. Ne oprastajte ove curenja podataka.

Ako odbijaju, tvrde da ne vode zapise ili se skrivaju iza korporativnog NDA kako bi zaštitili svoje vanjske suradnike, proslijedite taj odbijaj direktno svojoj agenciji za zaštitu podataka (DPA). Masovna pravna akcija jedini je jezik koji ovaj monopol razumije.

Dodatak autora: Tržište iza platforme

Na platformi Steam preporučene regionalne cijene za Rusiju (i regiju ZND-a u cjelini) obično su 40–60% niže od osnovne cijene u američkim dolarima. Rusija je klasificirana kao tržište u nastajanju 2. razine (Tier 2: Emerging Market), što općenito podrazumijeva popust od 40–50 % na osnovnu cijenu. Na primjer, standardna indie igra s cijenom od 19,99 USD (što bi po izravnoj konverziji bilo oko 1.900 rubalja) trebala bi koštati oko 419–499 rubalja prema Valveovim preporukama.

Jasno treba navesti da se vanjska podrška nalazi u Irskoj, ali je zaposlena Rusima — a neki od zaposlenika rade izravno iz Rusije. Oh, usput, CSGOFast posjeduje popularan dodatak SteamInventoryHelper, koji se koristi isključivo za oglašavanje njihovog kazina usmjerenog na djecu (kazina koji je zabranjen u nekoliko europskih zemalja). A tko posjeduje taj kasino? Upravo tako, Rusi, kao i većina sličnih stranica. Zar Steam to ne zna? Ili jednostavno ne žele znati, s obzirom na to da je promet na sivoj tržištu, vjerujem, oko milijardu dolara.

Štoviše, procjenjujem da je 40 % prevaranata iz zemalja ZND-a koji trenutno provode kriptoprevaru započelo na Steamu. Osobno znam za najmanje dva konkretna slučaja pranja novca putem skinova. Neću ih ovdje detaljno opisivati, ali mogu ako bude potrebno – samo ne javno, jer ne želim imenovati platforme itd. Ali Steam je itekako svjestan toga. Ili doista očekuju da povjerujemo da igrači koji nemaju ni igru kupuju istu stvar iznova i iznova samo da bi se "igrali" njome? Da, naravno, to je šala.

Budući da se bojim seksualnog uznemiravanja od strane Taylor Wessing, neću pisati i tražiti da proslijede moju poruku žrtvama curenja podataka—ljudima kojima je Valve zakazao, koji su primili te e-mailove s obavijestima. Satire / Joke

Prioriteti Steama su maksimalno proruski – i u pogledu cijena i pravnih uvjeta, kao i u popularizaciji Putina, zastava i zabranjenih terorista. Ali čini se da se Steam s tim slaže, baš kao što tolerira antisemitizam, diskriminaciju, uznemiravanje, uhođenje i trgovinu drogom. Za Steam je to sasvim u redu, baš kao i igre za 18+. Očito u tome uživaju.

Ovo nije kratkotrajni politički spor. Ruskih dužnosnika i industrijskih radnih skupina provelo je više od godinu dana razvijajući režim kontrole videoigara koji uključuje identifikaciju igrača putem ruskog telefonskog broja, državnog identitetskog portala Gosuslugi ili državnog biometrijskog sustava. Steam i GOG izričito su navedeni među platformama na koje bi prijedlog mogao utjecati, a sudionici su rekli da je temeljna vladina radna skupina već sastajala se gotovo godinu i pol do prosinca 2024. Valve nije dao usporedivu javnu obvezu da će napustiti rusko tržište radije nego da poveže svoje korisnike s ovom državom vođenom arhitekturom identiteta.

Kontrast je opscen. Veliki igrači u industriji obustavili su prodaju ili pružanje usluga u Rusiji—Microsoft je prekinuo svu novu prodaju, dok su konzolne platforme i izdavači najavili vlastito povlačenje—no Steam je odabrao kontinuitet. I dalje pruža komercijalnu i društvenu infrastrukturu zemlji koju je Europski parlament formalno priznao kao državu sponzora terorizma i državu koja koristi terorističke metode.

Ta podrška je vidljiva unutar Valveove vlastite ekonomije. Službeni Steam Community Market nudi za kupnju pozadinu profila "Putin & Trump" i tisuće stavki nazvanih "Putin forever", "Putin smile", "Putin like" i "Putin angry". Valve nije izradio te slike, ali ih distribuira, navodi i unovčava putem tržnice kojom upravlja Valve. Istovremeno, u slučajevima koje je dokumentirao PhishDestroy, uznemiravanje na temelju nacionalnosti dopušta se da ostane vidljivo ili se tretira kao običan sukob u zajednici. Poruka Steama je nedvojbena: politička propaganda se može unovčiti, dok su ljudi na koje je usmjereno zlostavljanje zbog nacionalnog podrijetla prepušteni da ga trpe.

Privatno vlasništvo nije pravna imunost

Valve je privatna tvrtka i njezine se dionice ne trguju javno. To znači da njezina vlasnička struktura, investitori, interni kontrolni mehanizmi i financijski poticaji podliježu znatno manjem rutinskom javnom nadzoru nego oni kod kotirane tvrtke. To ne znači da zakoni o zaštiti potrošača, obveze zaštite djece, zakoni o zaštiti podataka ili nacionalni regulatori prestaju postojati. Ako se platforma ne nadzire dovoljno pažljivo, to je propust u nadzoru — a ne dopuštenje da se pretvori u mjesto na kojem su djeca izložena seksualnom sadržaju, promociji kockanja, uhođenju i organiziranom uznemiravanju.

Valveov vlastiti Ugovor o pretplati navodi da Steam nije namijenjen djeci mlađoj od 13 godina. To i dalje ostavlja golemu tinejdžersku publiku na istoj trgovini koja prodaje obične igre uz eksplicitne naslove za odrasle i hentai naslove. Samoprijavljeni datum rođenja, stranica s upozorenjem i filtri za odabir postavki ne predstavljaju smisleno jamstvo dobi. Problem nije u tome što postoje mediji za odrasle; problem je u tome što ih se stavlja na masovnu gaming platformu koju koriste maloljetnici, a zatim se pretvara da kozmetička ograda uklanja rizik. Ako Gabe Newell, uprava Valvea ili njihovi vanjski suradnici za podršku žele platformu za sadržaj za odrasle, trebali bi je otvoreno i zasebno voditi, umjesto što tjeraju svakog izdavača igara da s njom dijeli komercijalnu policu.

Nositelji prava također bi trebali objasniti zašto prihvaćaju tu blizinu. Obiteljska igra, dječji naslov ili mainstream izdanje mogu se naći na samo jednu preporuku ili rezultat pretraživanja udaljeni od eksplicitnog sadržaja, dok Valve zarađuje novac i od jednog i od drugog. Izdavači troše bogatstvo na zaštitu svojih brendova, a ipak čine se spremnima ignorirati ono što okružuje te brendove unutar Steama. Privatno vlasništvo to ne čini odgovornim, a dominacija na tržištu to ne čini neizbježnim.

Valveovi principi moderacije postaju još teži za obraniti u usporedbi s njegovim odgovorom na rusku državnu cenzuru. Godine 2024. Roskomnadzor je objavio da je Steam uklonio sav materijal koji je agencija zahtijevala i da će stoga 11 Steam URL-ova biti uklonjeno iz ruskog registra zabranjenih informacija. Godine 2025. Steam je uklonio materijal s stranice igre namijenjene isključivo odraslima nakon još jednog zahtjeva Roskomnadzora u vezi s takozvanom LGBT "propagandom". To je bila politička cenzura primijenjena čak i na sadržaj za osobe starije od 18 godina, a ne zaštita djeteta koje je zaobišlo ograničenje dobne dobne granice. Valve može udovoljiti ruskoj listi cenzure, a opet nekako ostaje nemoćan kada se od njega traži da zaštiti korisnike od zlostavljanja zbog nacionalnog podrijetla, ilegalnih kanala za kockanje ili izloženosti predatoračkom sadržaju za odrasle. To je izbor prioriteta i postavlja očito pitanje slobode izražavanja.

Valve također nije izdao nikakav javni korporativni odgovor na rusku invaziju na Ukrajinu usporediv s onim tvrtki koje su obustavile poslovanje ili su otvoreno podržale Ukrajinu. Njegova struktura privatnog kapitala ne zahtijeva vrstu objavljivanja informacija za ulagače kakva se očekuje od javne tvrtke, pa vanjske osobe ne mogu u potpunosti ispitati čiji se interesi štite. Ono što ostaje vidljivo jest izvanredna privrženost tržištu nižih cijena povezanom s varanjem industrijskih razmjera, kockanjem, krađom računa i uslugama zaobilaženja sankcija. Možda će razlog postati jasniji ako se Steam ikada složi na povezivanje identiteta putem Gosuslugija.

Priča o vanjskom surađivanju slijedi isti obrazac nejasnoće. Valve sklapa ugovore s tvrtkama, a ne s pojedinačnim radnicima podrške koji su predstavljeni korisnicima. Prema primarnom izvoru i materijalima koje je pregledao PhishDestroy, osoba povezana s ranijim skandalom krađe inventara visoke vrijednosti nije nestala iz malog ekosustava vanjskih suradnika za podršku: prešla je u drugu agenciju. Kasnije je tvrdio da nije radio za Steam i da nije znao da je račun povezan sa Steamom. Ipak, trag je vodio natrag u Irsku, do iste osobe i ponovno do Steama. Ovaj slučaj treba istražiti kao propust u outsourcingu i kontroli pristupa; ovdje se ne iznosi kao kaznena presuda. Valve bi trebao otkriti koje agencije imaju pristup sustavima računa, kako se osoblje ponovno provjerava kada prelazi između dobavljača i može li pojedinac uklonjen iz jednog ugovaratelja jednostavno ponovno pojaviti kroz drugog.

Vijetnam je već pokazao da Valveov status privatne tvrtke ne stavlja ga iznad nacionalnog zakonodavstva. Steam je ondje blokiran nakon što su vlasti rekle da Valve nije surađivao. Vijetnam postoji. Pravo EU postoji. Svaka jurisdikcija u kojoj Valve zarađuje postoji, čak i kada se Valve ponaša kao da je važan samo "bilo koji sud u Rusiji". A ako je teorija da Steam može poslovati gdje god želi, pod kakvim god skrivenim dogovorima želi, bez ikakve smisleno odgovornosti, možda bismo trebali izravno postaviti apsurdno pitanje: postoji li i poseban Steam za Sjevernu Koreju za koji nitko još nije saznao?

Ovo su utvrđene činjenice: tim za podršku je ruski, a ta je podrška više puta ukrala ili predala informacije trećim stranama kako bi obnovila pristup neaktivnim računima i preuzela ih radi zarade.

Stoga sam siguran da im obavještavanje o curenju vaših podataka apsolutno ništa ne znači, pogotovo uz tako masivan odmak (100 % su čekali odgovor Taylor Wessing; čudo je da nisu čekali tri tjedna).

Nikada prije nisam radio ovo, nikada nikoga nisam poticao ili provocirao da išta učini, i ne bih to želio ni sada. Ali ovo je upravo situacija koju Steam želi. Oni misle da je otvoreni pritisak i diskriminacija prema korisnicima EU potpuno u redu, i da će Taylor Wessing jednostavno riješiti sve otvorenim prijetnjama ljudima zbog zahtjeva vezanih uz GDPR. To je moje mišljenje, moje iskustvo i informacije iz primarnog izvora u koje imam povjerenja.

U svakom slučaju, podnošenje žalbe zahtijeva samo nekoliko klikova. Možda će Steam tada konačno naučiti poštovati strane zakone — a ne samo zakone "bilo kojeg suda u Rusiji". Možda će konačno prestati glumiti blesave i pretvarati se da uopće nisu u stanju blokirati domene za autorizaciju ilegalnih stranica za kockanje. Umjesto stvarnosti kakva sada jest: svi su pod jednim jorganom — ruski vlasnici dječjih kasina i osoblje podrške koje sjedi na Lolzteamu i raspravlja o tome kako brute-forčati račune.

PhishDestroy će nastaviti nadzirati, istraživati i razotkrivati. Sjenovita ekonomija bit će izvedena na svjetlo dana.

Siguran sam da ćete imati zanimljivo iskustvo u komunikaciji s predstavnicima Valvea. Ako se ispostavi da je riječ o Taylor Wessing, sasvim je normalno da će vas gledati s visoka, upućivati prijetnje i odugovlačiti — to im je posao. Općenito, najviše su poznati po tužbi za seksualno uznemiravanje protiv vlastite tvrtke i ne po mnogočemu drugom. Oh, da, tvrtke s previše novca zapošljavaju ih upravo da bi vas iscrpile, dok im plaćaju ogromnu satnicu.