A Steam-illúzió: Hogyan működtet a Valve egy árnyékgazdaságot, teszi lehetővé az adatlopást és figyelmen kívül hagyja a nemzetközi jogot

Exkluzív oknyomozó riport a PhishDestroy-tól

A PhishDestroy projekt nem azért jött létre, mert jó idők jártak. Létünk nem a Steam sikerének bizonyítéka, hanem egy kritikus szükségszerűség, amely a Valve felhasználói biztonság iránti teljes figyelmen kívül hagyásából fakad. Valójában a phishing elleni küzdelmünk közvetlenül ütközött a Valve üzleti modelljével, megzavarva a gondosan kidolgozott, fiókletiltásokon és tárgyak viszonteladásán alapuló gazdasági rendszerüket. (Később külön, részletes cikket fogunk közzétenni, amelyben feltárjuk a vállalat valódi „értékeit” és a kiberbiztonságról alkotott paródiájukat).

Több mint egy évtizede a Valve Corporation egy gondosan kialakított, fogyasztóbarát látszat mögé rejtőzik. A felszín alatt azonban egy cinikus vállalati gépezet rejtőzik. Kiterjedt belső vizsgálat révén a PhishDestroy csapata feltárta azokat a szabályzatokat, amelyekről a Valve inkább hallgat. Ez egy olyan platform anatómiája, amely szabályozatlan pénzügyi szindikátusként működik, szankcionált államokat kedvezményez, kompromittált kiszervezett ügyfélszolgálatot rejteget, és az európai törvényeket csupán opcionális javaslatoknak tekinti.

1. A szankciók farsza és az oroszbarát elfogultság

A Valve számára az EU-ban és az USA-ban élő felhasználók nem mások, mint tejelő tehenek. Míg az európai játékosok teljes árat fizetnek, a Steam továbbra is 70–80%-os agresszív kedvezményeket kínál az orosz piacon. Egy játék Oroszországban a németországi ár töredékébe kerül. Így néznek ki a nemzetközi „szankciók” a Valve szótárában.

A platform mindent megtesz ennek a tendenciának a kielégítése és népszerűsítése érdekében: megkönnyíti a régióváltást, szemet huny a játékon belüli tárgyakon keresztül történő pénzmosás felett, és a felhasználási feltételeiben kifejezetten kijelenti, hogy aláveti magát bármely orosz bíróság joghatóságának. Ez már az abszurditásig fajul: azokon a ritka alkalmakon, amikor a Steam-szervereknél hatalmas leállások történnek, gyakran a Roskomnadzor (az orosz szövetségi cenzúraügynökség) az első, aki hivatalosan nyilatkozik a műszaki meghibásodásokról.

2. A kiszervezett ügyfélszolgálati kartell

A „szigorú, biztonságos amerikai technikai támogatás” mítosza összeomlik abban a pillanatban, amikor rájössz, ki tartja kezében a Steam háttérrendszerének kulcsait. A Valve a FÁK-régióban a támogatást egy súlyosan kompromittált, kiszervezett hálózatra bízta.

Sikerült azonosítanunk e hálózat egyes szegmenseit. A támogatási ágat irányító vagy összeállító kulcsfigura egy Nikita nevű személy. Vizsgálatunk feltárta, hogy ez a személy (vagy legalábbis fő e-mail-címével) regisztrált és aktív felhasználó olyan underground hackeres fórumokon, mint a Lolzteam (Zelenka) – egy hírhedt darknet-központ, amely kizárólag lopott hitelkártyák, feltört adatbázisok és brute-force-támadásokból származó naplóadatok értékesítésére szakosodott.

A Valve teljes mértékben tisztában van ezzel a visszaéléssel. Korábban már elismerték azokat az eseteket, amikor kiszervezett munkatársak szisztematikusan kiürítették a nagy értékű felhasználói készleteket. Ennek ellenére számukra továbbra is jövedelmezőbb az olcsó, elszámoltathatatlan kiszervezett munkaerő fenntartása, mint képzett, házon belüli kiberbiztonsági szakemberek alkalmazása.

3. A csalás mint üzleti modell és az offshore valuták

A Steam játékon belüli skinjei a darkneten mindenütt jelen lévő, lenyomozhatatlan fizetőeszközzé váltak – egy pénzmosó gépezet, amely megkerüli a nemzetközi szabályozó hatóságokat és az adóhatóságokat.

A Valve pénzügyi részlege számára a csalók nem jelentenek fenyegetést; ők a piac dinamikáját serkentő külső szereplők. A hagyományos „egy felhasználó, egy játék” modell korlátozott bevételt hoz. A kompromittált ökoszisztéma azonban rendkívül jövedelmező körforgást hoz létre: a felhasználót feltörik, az tárgyakat ellopják, a csaló fiókjait „kereskedési tilalommal” sújtják, az áldozat pedig kénytelen új profilt létrehozni és újra megvásárolni az eszközeit.

Amikor a Valve letilt egy csalót, nem adja vissza az ellopott eszközöket a jogos tulajdonosnak. Véglegesen befagyasztja azokat. Ez mesterséges hiányt teremt. A piaci kínálat csökkenése felhajtja a fennmaradó tárgyak árait, ami viszont megsokszorozza a Valve 15%-os jutalékát a Közösségi Piacon. Nem akarnak véget vetni a csalásoknak; profitálnak belőlük.

4. A CEVA Logistics adatvédelmi incidense: a gondatlanság tagadhatatlan bizonyítéka

Ha úgy gondolja, hogy a Valve legalább a fizikai, valós világbeli adatait védi, a CEVA Logistics-szal kapcsolatos legutóbbi incidens az ellenkezőjét bizonyítja. 2026. július 29. és augusztus 1. között hackerek feltörték a Valve európai hardverlogisztikai partnerét. A Valve csak augusztus 7-én ismerte el az adatlopást, így a felhasználók adatai egy héten át rosszindulatú szereplők kezében maradtak.

A kiszivárgott adatok között szerepelnek a fizikai hardvert megrendelő európai ügyfelek valódi nevei, teljes lakcímük, telefonszámuk és a Steam-fiókjukhoz kapcsolódó e-mail-címek. A Valve azzal próbálja megnyugtatni a felhasználókat, hogy a „jelszavak és fizetési adatok” nem szivárogtak ki. De a teljes név, a lakcím, a telefonszám és a Steam-e-mail-cím pontosan az a tervrajz, amelyre szükség van a pusztító hatású célzott adathalászathoz és a fiókok eltérítéséhez – igazi aranybánya a fent említett kiszervezett munkatársak és csalóhálózatok számára. A Valve lényegében átadta nekik az adataidat.

5. Cselekvésre szólítás: Európa fellépése a vállalati mentesség ellen

Minden európai játékosnak szembe kell néznie a kemény valósággal: ötször többet fizet a játékokért, mint az orosz felhasználók, mégis európai jogait és törvényeit (GDPR) teljesen figyelmen kívül hagyják. Személyes adatai harmadik fél alvállalkozókhoz szivárognak ki, ügyfélszolgálati jegyeit pedig egy rendkívül megkérdőjelezhető hírű, a FÁK-ból származó kiszervezett hálózat kezeli.

Különleges, szarkasztikus üdvözletet küldünk a Taylor Wessing ügyvédeinek, akiknek elkerülhetetlenül meg kell majd védeniük a Valve érdekeit az európai bíróságokon. Készüljenek fel – egy olyan monopólium védelme, amely nyíltan megsérti az uniós jogot, hamarosan jelentősen nehezebbé válik.

Ideje abbahagyni a kényelmes szponzor szerepét. Ne bocsássák meg ezeket az adatszivárgásokat.

Ha elutasítják a kérést, azt állítják, hogy nem vezetnek naplókat, vagy vállalati titoktartási megállapodás mögé bújnak a kiszervezett munkatársaik védelme érdekében, akkor azt az elutasítást közvetlenül továbbítsa az adatvédelmi hatóságának. A tömeges jogi lépések az egyetlen nyelv, amelyet ez a monopólium megért.

A szerző kiegészítése: A platform mögött álló piac

A Steam platformon az Oroszországra (és a FÁK-régió egészére) ajánlott regionális árak általában 40–60%-kal alacsonyabbak, mint az alapár amerikai dollárban kifejezve. Oroszország a 2. szintű (Tier 2: Emerging Market) kategóriába tartozik, amely általában 40–50%-os kedvezményt kap az alapárból. Például egy 19,99 dollárba kerülő standard indie játék (amely közvetlen átváltás esetén körülbelül 1 900 rubel lenne) a Valve ajánlásai szerint körülbelül 419–499 rubelbe kerülne.

Egyértelműen ki kell emelni, hogy a kiszervezett ügyfélszolgálat Írországban található, de oroszok dolgoznak ott – és a személyzet egy része közvetlenül Oroszországból dolgozik. Ó, és mellesleg: a CSGOFast tulajdonában van a népszerű SteamInventoryHelper kiterjesztés, amelyet kizárólag a gyermekeket célzó kaszinójuk reklámozására használnak (egy olyan kaszinó, amelyet több európai országban is betiltottak). És kié ez a kaszinó? Pontosan, oroszoké, akárcsak a hasonló oldalak többségének. A Steam nem tud erről? Vagy egyszerűen csak nem akar tudni róla, tekintve, hogy a feketepiaci forgalom – ha jól tudom – körülbelül egymilliárd dollárra rúg?

Ezenkívül becslésem szerint a jelenleg kriptovaluta-csalásokat működtető FÁK-beli csalók 40%-a a Steamen kezdte. Személyesen is ismerek legalább két konkrét esetet, amikor skin-eken keresztül pénzmosás történt. Itt nem fogom részletezni őket, de szükség esetén megtehetem – csak nem nyilvánosan, mivel nem akarom megnevezni a platformokat stb. A Steam azonban tisztában van ezzel. Vagy tényleg azt várják tőlünk, hogy elhiggyük, hogy azok a játékosok, akiknek még a játékuk sincs, csak azért vásárolják újra és újra pontosan ugyanazt a tárgyat, hogy „játszhassanak” vele? Igen, persze, ez vicc.

Mivel félek a Taylor Wessing részéről érkező szexuális zaklatástól, nem fogok levelet írni, és nem fogom megkérni, hogy továbbítsák az üzenetemet az adat szivárgás áldozatainak – azoknak az embereknek, akiket a Valve cserben hagyott, és akik megkapták azokat az értesítő e-maileket. Satire / Joke

A Steam prioritásai a lehető leginkább oroszbarátok – mind az árazás és a jogi szempontok tekintetében, mind pedig Putyin, a zászlók és a betiltott terroristák népszerűsítése terén. De a Steamnek ez úgy tűnik, tetszik, ahogyan az antiszemitizmust, a diszkriminációt, a zaklatást, a követést és a kábítószer-kereskedelmet is tolerálja. A Steam számára ez teljesen rendben van, akárcsak a 18+ besorolású játékok. Úgy tűnik, élvezik is.

Ez nem egy rövid életű politikai vita. Az orosz tisztviselők és az iparági munkacsoportok jóval több mint egy évet töltöttek egy olyan videojáték-ellenőrzési rendszer kidolgozásával, amely magában foglalja a játékosok azonosítását orosz telefonszám, a Gosuslugi állami identitásportál vagy az állami biometrikus rendszer segítségével. A Steamet és a GOG-ot kifejezetten megnevezték azok között a platformok között, amelyekre a javaslat hatással lehet, és a résztvevők szerint a háttérben működő kormányzati munkacsoport 2024 decemberére már közel másfél éve ülésezett. A Valve nem tett hasonló nyilvános kötelezettségvállalást arra vonatkozóan, hogy inkább kivonulna az orosz piacról, mintsem felhasználóit ehhez az állami irányítású azonosítási rendszerhez kapcsolja.

A kontraszt felháborító. Az iparág főbb szereplői felfüggesztették az értékesítést vagy a szolgáltatásnyújtást Oroszországban – a Microsoft leállította az összes új értékesítést, míg a konzolplatformok és a kiadók bejelentették saját kivonulásukat –, a Steam azonban a folytonosság mellett döntött. Továbbra is kereskedelmi és társadalmi infrastruktúrát biztosít egy olyan országnak, amelyet az Európai Parlament hivatalosan is elismert terrorizmust támogató államként, és amely terrorizmusra irányuló eszközöket alkalmaz.

Ez a támogatás a Valve saját gazdasági rendszerén belül is látható. A hivatalos Steam Community Market kínálatában szerepel egy megvásárolható „Putin & Trump” profilháttér, valamint több ezer olyan termék, amelynek neve „Putin forever”, „Putin smile”, „Putin like” és „Putin angry”. Ezeket a képeket nem a Valve készítette, de a Valve által üzemeltetett piactéren keresztül terjeszti, listázza és pénzzé teszi őket. Ugyanakkor a PhishDestroy által dokumentált esetekben a nemzetiség alapján történő zaklatás látható maradhat, vagy egyszerű közösségi konfliktusként kezelik. A Steam üzenete egyértelmű: a politikai propaganda pénzzé tehető, míg azoknak, akiket nemzeti származásuk miatt bántalmaznak, nincs más választásuk, mint elviselni azt.

A magántulajdon nem jelent jogi mentességet

A Valve magántulajdonban van, részvényeit nem forgalmazzák nyilvánosan. Ez azt jelenti, hogy tulajdonosi szerkezete, befektetői, belső ellenőrzési rendszere és pénzügyi ösztönzői sokkal kevesebb rendszeres nyilvános ellenőrzés alá esnek, mint egy tőzsdén jegyzett vállalat esetében. Ez azonban nem jelenti azt, hogy a fogyasztóvédelmi jog, a gyermekbiztonsági kötelezettségek, az adatvédelmi jog vagy a nemzeti szabályozó hatóságok megszűnnének. Ha egy platformot nem figyelnek elég szorosan, az a felügyelet kudarca – nem pedig engedély arra, hogy olyan hellyé váljon, ahol a gyermekek szexuális tartalmaknak, szerencsejáték-reklámoknak, zaklatásnak és szervezett megfélemlítésnek vannak kitéve.

A Valve saját felhasználói megállapodása szerint a Steam nem 13 év alatti gyermekek számára készült. Ezzel is hatalmas tizenéves közönség marad ugyanazon az áruházban, amely a szokásos játékok mellett kifejezetten felnőtteknek szóló és hentai címeket is árul. Az önként megadott születési dátum, a figyelmeztető oldal és a beállítási szűrők nem jelentenek érdemi korellenőrzést. A probléma nem az, hogy léteznek felnőtt tartalmak; a probléma az, hogy ezeket egy kiskorúak által is használt, tömegpiaci játékplatformon helyezik el, majd úgy tesznek, mintha egy kozmetikai korlát eltüntetné a kockázatot. Ha Gabe Newell, a Valve vezetése vagy a támogató alvállalkozói felnőtt tartalmakat kínáló platformot akarnak, akkor azt nyíltan és külön kellene üzemeltetniük, ahelyett, hogy minden játékkiadót arra kényszerítenének, hogy kereskedelmi polcát megossza vele.

A jogtulajdonosoknak azt is meg kell magyaráznia, miért fogadják el ezt a szomszédos elhelyezést. Egy családi játék, egy gyermekeknek szóló cím vagy egy mainstream kiadás akár egy ajánlásnyira vagy keresési eredménynyire is elhelyezkedhet explicit tartalmú anyagoktól, miközben a Valve mindkettőből pénzt szed be. A kiadók vagyonokat költenek márkáik védelmére, mégis hajlandónak tűnnek figyelmen kívül hagyni, mi veszi körül ezeket a márkákat a Steam-en belül. A magántulajdon nem teszi ezt felelősségteljessé, a piaci dominancia pedig nem teszi elkerülhetetlenné.

A Valve moderációs elvei még nehezebben védhetők meg, ha összehasonlítjuk őket az orosz állami cenzúrára adott válaszaival. 2024-ben a Roskomnadzor bejelentette, hogy a Steam eltávolította az ügynökség által kért összes anyagot, és ennek következtében 11 Steam-URL-t törölnek Oroszország tiltott információk nyilvántartásából. 2025-ben a Steam eltávolította az anyagot egy kizárólag felnőtteknek szóló játék oldaláról, miután a Roskomnadzor újabb követelést fogalmazott meg az úgynevezett LGBT-„propagandával” kapcsolatban. Ez politikai cenzúra volt, amelyet még egy 18 éven felülieknek szóló alkotásra is alkalmaztak, nem pedig egy olyan gyermek védelme, aki kijátszotta a korhatár-ellenőrzést. A Valve képes megfelelni az orosz cenzúralistának, mégis valahogy tehetetlen marad, amikor arra kérik, hogy védje meg a felhasználókat a nemzeti származáson alapuló zaklatástól, az illegális szerencsejáték-csatornáktól vagy a kizsákmányoló jellegű felnőtt tartalmaknak való kitettségtől. Ez a prioritások választása, és nyilvánvaló kérdéseket vet fel a véleménynyilvánítás szabadságával kapcsolatban.

A Valve emellett nem adott ki olyan nyilvános vállalati nyilatkozatot Oroszország ukrajnai inváziójával kapcsolatban, mint azok a cégek, amelyek felfüggesztették működésüket, vagy nyíltan támogatták Ukrajnát. Magántulajdonú tőkeszerkezete nem követeli meg azt a fajta befektetői tájékoztatási kötelezettséget, amelyet egy tőzsdén jegyzett vállalattól elvárnak, így kívülállók nem tudják teljes mértékben megvizsgálni, kinek az érdekeit védik. Ami viszont látható marad, az az ipari méretű csaláshoz, szerencsejátékhoz, fióklopáshoz és szankciókerülési szolgáltatásokhoz kapcsolódó, alacsonyabb árfekvésű piac iránti rendkívüli ragaszkodás. Talán az ok világosabbá válik, ha a Steam valaha is beleegyezik a Gosuslugi azonosítóval való összekapcsolódásba.

A kiszervezéssel kapcsolatos történet ugyanazt az átláthatatlansági mintát követi. A Valve cégekkel köt szerződést, nem pedig az egyes, a felhasználók számára látható ügyfélszolgálati munkatársakkal. Egy elsődleges forrás és a PhishDestroy által áttekintett anyagok szerint egy személy, aki kapcsolatban állt a korábbi, nagy értékű készletlopási botránnyal, nem tűnt el a kis ügyfélszolgálati alvállalkozói ökoszisztémából: egyszerűen csak egy másik ügynökséghez került. Később azt állította, hogy nem a Steamnek dolgozott, és nem tudta, hogy a fiók a Steamhez kapcsolódik. A nyomok azonban visszavezettek Írországba, ugyanahhoz a személyhez és ismét a Steamhez. Ezt az esetet kiszervezési és hozzáférés-ellenőrzési mulasztásként kell kivizsgálni; itt nem bűnügyi ítéletként kerül bemutatásra. A Valve-nak nyilvánosságra kellene hoznia, hogy mely ügynökségek férhetnek hozzá a fiókrendszerekhez, hogyan történik a személyzet újbóli átvilágítása, amikor szolgáltatók között váltanak, és hogy egy bizonyos személy, akit eltávolítottak az egyik alvállalkozótól, egyszerűen újra megjelenhet-e egy másiknál.

Vietnam már bebizonyította, hogy a Valve magánvállalati státusza nem emeli a nemzeti jog felett. A Steam-et ott letiltották, miután a hatóságok szerint a Valve nem volt hajlandó együttműködni. Vietnam létezik. Az uniós jog is létezik. Minden olyan joghatóság létezik, ahol a Valve bevételt termel, még akkor is, ha a Valve úgy viselkedik, mintha csak „bármely orosz bíróság” számítana. És ha az az elmélet, hogy a Steam bárhol működhet, ahol csak akar, bármilyen rejtett megállapodás keretében, érdemi elszámoltathatóság nélkül, akkor talán közvetlenül fel kellene tennünk ezt az abszurd kérdést: létezik-e egy speciális Steam Észak-Koreának is, amit még senki sem hozott nyilvánosságra?

Ezek bizonyított tények: a támogatási csapat orosz, és ez a támogatási csapat többször is ellopott vagy átadott információkat harmadik feleknek, hogy helyreállítsa a nem aktív fiókokhoz való hozzáférést, és azokat nyereségszerzés céljából eltérítse.

Tehát biztos vagyok benne, hogy az, hogy értesítik Önt az adatai kiszivárgásáról, számukra egyáltalán semmit sem jelent, különösen ilyen hatalmas késedelemmel (100%-ig a Taylor Wessing válaszára vártak; csoda, hogy nem vártak három hetet).

Még soha nem csináltam ilyet, soha nem buzdítottam vagy provokáltam senkit semmire, és most sem szeretném. De pontosan ez az a helyzet, amit a Steam szeretne. Úgy gondolják, hogy a nyílt nyomásgyakorlás és az EU-s felhasználók elleni diszkrimináció teljesen rendben van, és hogy a Taylor Wessing egyszerűen mindent megold majd azzal, hogy nyíltan megfenyegeti az embereket a GDPR-rel kapcsolatos kérelmek miatt. Ez az én véleményem, a saját tapasztalatom, valamint olyan első kézből származó információ, amelyben bízom.

Akárhogy is, a panasz benyújtása csupán néhány kattintást igényel. Talán akkor a Steam végre megtanulja tiszteletben tartani a külföldi törvényeket – és nem csak „bármely orosz bíróság” törvényeit. Talán végre abbahagyják a hülyét játszást, és nem tesznek úgy, mintha teljesen képtelenek lennének blokkolni az illegális szerencsejáték-oldalak hitelesítési doménjeit. Ahelyett, hogy a jelenlegi helyzet fennmaradna: mindenki összejátszik egymással – a gyermekeknek szóló kaszinók orosz tulajdonosai és a Lolzteam-en ülő támogató személyzet, akik arról vitatkoznak, hogyan törjék fel brute-force módszerrel a fiókokat.

A PhishDestroy továbbra is figyelemmel kíséri, kivizsgálja és nyilvánosságra hozza az eseményeket. A feketegazdaság napvilágra kerül.

Biztos vagyok benne, hogy érdekes élményben lesz részed, amikor a Valve képviselőivel kommunikálsz. Ha kiderül, hogy a Taylor Wessingről van szó, akkor teljesen normális, ha lekezelően beszélnek veled, fenyegetőznek és időt húznak – ez a munkájuk. Általánosságban elmondható, hogy leginkább a saját cégük ellen indított szexuális zaklatási perről ismertek, és nem sok másról. Ó, igen, a túl sok pénzzel rendelkező cégek kifejezetten azért alkalmazzák őket, hogy kimerítsenek téged, miközben hatalmas óradíjat fizetnek nekik.