La simbiosi tra la truffa di Steam e quella di "API": Inganno, negligenza e responsabilità

1. Introduzione: una simbiosi di negligenza calcolata

Steam ha sempre accettato senza problemi ogni sviluppo, comprese eventuali normative e modifiche (ad esempio, i blocchi o i divieti di scambio dopo la modifica del nickname). Si tratta di misure imposte, ma sono inefficaci e incomplete. Valve non ha alcuna reale intenzione di combattere questo fenomeno, perché comprende che la propria piattaforma dipende sia dalle truffe che dal gioco d’azzardo, così come dal resto dell’economia sommersa che Steam ha alimentato, permesso di emergere e lasciato esistere per molti anni. Non è che stiano attaccando Steam; si tratta di una simbiosi — reciprocamente vantaggiosa e compresa da entrambi i partecipanti a tale simbiosi.

La famigerata truffa “API” (comunemente nota come “offer swapping” o “replacement”) ha avuto origine molto tempo fa. Il phishing si è sempre basato sulla sostituzione delle transazioni. Nella sua forma persistente, è apparsa intorno alla primavera del 2019 (prima di allora, esisteva come phishing autonomo, che alla fine si è evoluto in una sostituzione con limiti di durata di 1, 4 o 8 ore). Entro la primavera del 2019, tutti gli strumenti attivi sul mercato delle truffe avevano reso la sessione dirottata "mobile". Ed è così che ha raggiunto la sua popolarità estrema. Secondo le nostre stime più prudenti, ciò ha permesso il furto di almeno 10 milioni di dollari e oltre. Ma bisogna capire che, in generale, ciò alimenta i criminali informatici. Steam protegge i truffatori sostenendo che “gli skin non hanno valore”. L’introduzione del blocco delle transazioni è avvenuta dopo che il meccanismo di scambio delle offerte era già stato stabilito. Il blocco delle transazioni di 7 giorni, a tempo indeterminato, è stato aggiunto all’improvviso e senza motivo. Questa non è una misura anti-truffa; è una regolamentazione.

Spieghiamo come funziona lo “swap” delle offerte e perché Steam e i suoi tentativi di contrastare le truffe sono una vera e propria farsa (e lo sono sempre stati).

2. Il piano d'azione 2017–2018: cinque algoritmi privati

Per comprendere la portata dell’operazione, possiamo ripercorrere i panel privati dedicati alle truffe attivi dal 2017 alla primavera del 2018. Durante questo periodo, gli sviluppatori hanno progettato cinque distinti algoritmi operativi per il metodo dello “scambio di offerte”. Questo aggiornamento privato includeva tutti e cinque gli algoritmi: il bot del panel accedeva all’account dell’utente e operava secondo uno dei cinque algoritmi riportati di seguito, aggirando l’autenticazione a due fattori (2FA) tramite la convalida Guard. I truffatori potevano configurare queste impostazioni (invio di giochi, filtro del prezzo minimo dell’offerta, ecc.) direttamente dal proprio pannello di amministrazione.

Appendice tecnica: varianti della sostituzione delle offerte ed evoluzione del pannello

Algoritmo n. 1: lo swap classico

• Verifica l'offerta: proviene da un sito web di trading? Se sì, esegue le azioni riportate di seguito.
• Annulla l'offerta proveniente dal bot di trading ufficiale.
• Analizza il nickname, l'avatar e il messaggio relativo allo scambio provenienti dall'account ufficiale del bot e li imposta tutti sull'account del bot del truffatore.
• Invia esattamente la stessa offerta, ma dall'account del truffatore, con gli stessi articoli, lo stesso nickname e lo stesso avatar.

Algoritmo n. 2: Scambio ritardato

• Verifica l'offerta: proviene da un sito web di trading? Se sì, esegue le azioni riportate di seguito.
• Non annulla immediatamente l'offerta inviata dal bot ufficiale, ma attende che l'utente la accetti sul proprio computer (non sul telefono).
• Una volta che l'utente l'ha accettata (sul computer), il bot annulla l'offerta ufficiale.
• Analizza il nickname, l'avatar e il messaggio relativo allo scambio provenienti dall'account ufficiale del bot e li imposta sull'account del truffatore.
• Invia esattamente la stessa offerta dall'account del truffatore, con gli stessi articoli, lo stesso nickname e lo stesso avatar.
• Accetta l'offerta (proveniente dal bot del truffatore) sul computer.
• Di conseguenza, l'utente conferma l'operazione sulla propria app mobile, credendo che provenga dal bot ufficiale, quando in realtà proviene da quello del truffatore.

Algoritmo n. 3: Dirottamento in uscita

• L'utente invia un'offerta utilizzando il link di transazione del bot del truffatore e procede a confermarla sulla propria app mobile.
• Il bot del truffatore annulla l'offerta dell'utente.
• Invia un'offerta dall'account dell'utente, contenente tutti i suoi oggetti (i giochi idonei possono essere selezionati nel pannello di amministrazione), al link di scambio del bot del truffatore.
• L'utente conferma quindi questa operazione modificata tramite la propria app mobile.

Algoritmo n. 4: Scambi bidirezionali

• Offerte in arrivo:
  • Quando all'utente viene inviata un'offerta in cui gli vengono richiesti solo i suoi oggetti, lo scambio avviene nel momento in cui l'utente la accetta sul proprio telefono (dopo averla accettata sul computer) [utilizzando l'algoritmo n. 2].
  • Quando all'utente viene inviata un'offerta relativa sia ai propri articoli che a quelli della controparte, lo scambio avviene nel momento in cui l'utente la accetta sul proprio telefono (dopo averla accettata sul computer).
• Offerte in uscita:
  • Quando l'utente invia a qualcuno un'offerta contenente i propri articoli, lo scambio viene eseguito nel momento in cui l'utente sta per confermarla tramite l'app mobile. La verifica della conferma da parte dell'utente tramite l'app mobile, da parte del bot, avviene tramite l'accettazione automatica dello scambio.

Algoritmo n. 5: Inventory Sweeper

• È identico all'Algoritmo n. 4, tranne per il fatto che, durante lo scambio dell'offerta in uscita, aggiunge prima gli oggetti dell'utente che facevano già parte dello scambio e poi aggiunge sotto l'intero inventario dei giochi selezionati. I giochi idonei a essere svuotati possono essere scelti nel pannello di amministrazione (CS, DOTA, H1Z1, PUBG).

3. Infrastruttura del pannello antitruffa e funzionalità amministrative

Le reti fraudolente sono gestite come vere e proprie aziende SaaS. Le loro dashboard amministrative includono funzionalità avanzate e multithread progettate per consentire un’esfiltrazione rapida e un controllo efficace:

• Tabella dettagliata dei registri visualizza gli SteamID attivi in fase di sostituzione: 'SteamID', 'Inventario ($)', 'Tempo rimanente fino alla scadenza della sessione di scambio', 'Offerte scambiate', 'Algoritmo operativo', 'Filtro prezzo', 'Ora di inizio della sessione di scambio', 'Nota', 'Azioni'.
• Funzionalità di gestione degli utenti: metti in pausa, riprendi, elimina, aggiorna il collegamento dell'operazione.
• Filtro per soglia di prezzo minimo in USD (le offerte il cui valore totale degli oggetti è inferiore a questa soglia non verranno scambiate, evitando così di perdere tempo con oggetti di scarso valore). Questa opzione è accessibile dalla scheda “Impostazioni”. I prezzi per CS, DOTA, H1Z1 e PUBG vengono aggiornati quotidianamente tra le 5:00 e le 7:00 del mattino.
• Aggiornamenti manuali dei link commerciali se l'utente modifica il proprio URL di trading.
• Controllo del bot di offerta (avvio, arresto, riavvio).
• Browser Steam integrato (modulo a pagamento).
• E tante altre funzionalità...

Il pacchetto speciale "maFile" dedicato al phishing

Esiste inoltre un pacchetto separato mirato ai maFiles (file dell’autenticatore mobile). Il meccanismo di base consiste nell’acquisire un codice SMS, attendere il termine di un periodo di attesa di 2 giorni, svuotare le skin e prendere il pieno controllo dell’account.

La vittima effettua l'autenticazione su un sito di phishing utilizzando il proprio nome utente e la propria password (convalidati in tempo reale). Successivamente, viene visualizzata una richiesta di inserimento del codice SMS (al posto di Steam Guard), che mostra le ultime due cifre del numero di telefono a cui è stato inviato l'SMS. Una volta inserito un codice SMS valido, il pannello di amministrazione genera automaticamente un maFile. Con questo file, i truffatori possono generare codici 2FA di Steam Guard ed effettuare scambi direttamente. Tuttavia, questo maFile appena generato è soggetto a una restrizione sugli scambi della durata di 2 giorni (blocco): qualsiasi scambio avviato entro i primi 2 giorni dalla creazione del maFile viene bloccato per 48 ore e può essere annullato dal proprietario.

Una volta generato il nuovo maFile nel pannello di controllo del truffatore, il vecchio autenticatore mobile della vittima inizierà a generare codici non validi, anche se alla vittima sembrerà che l'app funzioni in modo del tutto normale. Il testo dell'SMS in arrivo che l'utente riceve recita: "Il codice per disattivare o spostare Authenticator è: 13204". La dashboard di amministrazione offre inoltre opzioni per scaricare il maFile, verificarne la validità, generare codici 2FA (simili a quelli dello Steam Desktop Authenticator - SDA), avviare un’offerta contenente tutti gli oggetti dell’inventario con un solo clic oppure eseguire un’offerta automatica con un periodo di attesa di 2 giorni immediatamente dopo la generazione del maFile. Inoltre, con una licenza di bypass automatico del phishing, la dashboard sblocca le funzionalità di “phishing automatico” e di dirottamento dell’account con un solo clic. Per comodità, un timer visivo con conto alla rovescia tiene traccia della durata residua della sospensione proprio accanto al maFile.

3b. Metodi operativi

1) Lotta contro il furto di pelle:

• Esfiltrazione ritardata: Attendere 2 giorni dopo la generazione del maFile, quindi inviare un'offerta di scambio al proprio account di destinazione (un singolo pulsante nel pannello di amministrazione invia tutte le skin al link di scambio di destinazione). Requisiti per il successo dell'operazione: la vittima non deve cambiare il proprio numero di telefono o la propria password durante questi 2 giorni (poiché ciò invalida il maFile nel pannello).
• Offerta automatica immediata: Invia un'offerta automatica contenente tutti gli articoli dell'inventario al link di scambio di destinazione immediatamente dopo la generazione del file maFile. Non accettare subito questa offerta, in modo che gli articoli non scompaiano prematuramente dall'account della vittima. Basta attendere 2 giorni e poi accettarla. Con questo metodo, cambiare la password o collegare un nuovo autenticatore mobile non bloccherà lo scambio; tuttavia, se la vittima aggiorna il proprio autenticatore, il periodo di attesa si azzera, richiedendo un'ulteriore attesa di 2 giorni. Requisiti per il successo: la vittima non deve annullare manualmente l'offerta di scambio in sospeso durante le 48 ore di attesa.

2) Attacchi mirati al furto di account (phishing):

• Vendita diretta tramite conto: Vendere l’account con il maFile già caricato. Dopo aver generato un maFile, la vittima è molto meno propensa a sospettare un inganno rispetto al phishing tradizionale, che spesso fa scattare immediatamente il blocco “Red Sign” sull’account. Di conseguenza, i truffatori hanno più tempo a disposizione per rivendere l’account sui mercati. Tuttavia, esiste sempre il rischio che la vittima tenti di effettuare l’accesso da un nuovo browser o PC e rigeneri il maFile sul proprio telefono, oppure reimposti la password.
• Auto-Phishing (richiede una licenza di phishing): Una volta acquisito il file maFile, l'account viene automaticamente inserito in coda per la rimozione automatica delle credenziali e bloccato con un ban della community. L'attacco di phishing, combinato con la generazione del file maFile, prende di mira e rimuove esclusivamente lo Steam Guard mobile.
• Phishing con un solo clic (richiede una licenza di phishing): Applica un ban dalla community e attiva la revoca automatica delle credenziali su comando.

Inoltre, questo bot può essere integrato con la funzione di analisi dei cookie di OPSkins (se si dispone della licenza) e con la verifica 2FA. Il backend è multithread e in grado di elaborare innumerevoli account al secondo.

4. L'anatomia dell'inganno

Come si svolge concretamente la truffa? Un ragazzo riceve un link su Steam (il dominio potrebbe presentarsi come un torneo, un airdrop o un sito di scambio di skin). La pagina presenta un pulsante di autorizzazione e interfacce di accesso molto sofisticate: una finta finestra pop-up "browser nel browser" che mostra letteralmente il "dominio ufficiale di Steam" (utilizzando about:blank (trucchi o finestre personalizzate per nascondere l’URL effettivo del sito di phishing). Oppure, invece di sovrapporre una finestra visiva, apre una pagina di accesso a Steam a schermo intero, perfettamente clonata, ospitata su un dominio contraffatto. Il ragazzo effettua l’autenticazione direttamente, digitando il proprio nome utente, la password e il codice Steam Guard. E questo è tutto. Non succede nulla: il sito di phishing reindirizza l’utente altrove o semplicemente visualizza nuovamente il modulo di accesso.

4a. Ma cosa è successo davvero dietro le quinte?

Sul server dell'autore dell'attacco, subito dopo l'autenticazione viene avviata una sessione attiva, che di fatto stabilisce una sessione dell'account con autorizzazione completa. Lo script richiede quindi immediatamente una chiave "API" per l'account (tramite steamcommunity.com/dev/apikey). Successivamente, i truffatori avrebbero introdotto browser headless integrati all’interno delle sessioni attive, insieme a strumenti di automazione per l’invio automatico di spam, la chiusura dei ticket di assistenza e altro ancora.

Per portare a termine questa operazione, i truffatori hanno bisogno di account bot pronti all’uso, con privilegi di trading attivi e senza limiti imposti dalla community. Si tratta di account registrati in massa in modo automatizzato (con un saldo precaricato di esattamente 5 dollari, lasciati inattivi per 14 giorni per sbloccare il trading). Sì, vengono registrati in modo completamente automatico tramite un software di registrazione. Steam, ovviamente, rileva queste registrazioni (anche con l’uso di proxy); è pienamente consapevole dei modelli di attività guidati dal software: account ricaricati con esattamente 5 dollari per rimuovere il limite, con i fondi che rimangono completamente intatti. Una volta acquistati, questi account vengono collegati al pannello di controllo della truffa. Da quel momento in poi, l’intero attacco opera quasi esclusivamente tramite richieste HTTP (API) grezze. L’unica eccezione è la vendita degli oggetti rubati: in genere, gli autori accedono manualmente al browser, mettono in vendita le skin, trasferiscono i fondi e incassano (anche se alcuni sostengono di aver raggiunto una completa automazione end-to-end, in cui un bot presumibilmente mette in vendita le skin, esegue le vendite e paga automaticamente i collaboratori, gli spammer e i generatori di traffico).

L'autenticazione ha origine da un IP nuovo di zecca e la sessione creata dal software proviene da un pool di hosting/ISP statico, prevalentemente Ihor. I dati e i file conservati di PhishDestroy da uno di questi prodotti mostrano più di un indirizzo sovraccaricato per coincidenza: alcuni IP Ihor erano consecutivi, inclusi gli indirizzi che terminavano con .156, .157 e .158, e ciascuno trasportava più di 1.000 sessioni attive dirottate contemporaneamente. Questa non è una stima esterna; proviene dall'infrastruttura esaminata nelle schede del prodotto. Successivamente è apparso uno schema separato sul lato del bot ricevente: un bot ha ricevuto uno slot IP; la sostituzione del bot in quello slot ha mantenuto l'indirizzo, assegnandolo di fatto per circa un mese. Tuttavia, l'accesso al server potrebbe comunque creare una chiave API e una sessione parallela indefinita. È un comportamento normale del giocatore?

Inoltre, su Steam, la chiave “API” rimane attiva a tempo indeterminato. Anche se la si elimina o la si modifica manualmente, la sessione la rigenera automaticamente in seguito a qualsiasi azione in background (come i controlli di integrità della sessione, la valutazione dell’inventario o i controlli di routine basati su timer, che i pannelli truffaldini eseguivano a migliaia). Questo accesso persistente alla sessione garantisce ai truffatori di poter monitorare gli account in tempo reale prima che gli utenti se ne accorgano. È raro che gli utenti se ne accorgano: in genere, una volta caduti vittima di un attacco di phishing, la loro sessione alla fine si interrompe o viene eliminata. Ma se una vittima si limita a cancellare o modificare la propria chiave API, lo script la ricrea immediatamente utilizzando la sessione attiva.

I bot sono account registrati in massa con un saldo di 5 dollari. Il mercato è enorme e la concorrenza è così agguerrita che gli account vengono venduti quasi al loro costo di produzione di 5 dollari. Steam rileva chiaramente, ad esempio, che il telefono di un ragazzino — la sessione attiva contenente l’autenticatore Steam Guard — si trova negli Stati Uniti; rileva che anche il suo computer e il suo browser si trovano negli Stati Uniti. E contemporaneamente, rileva una sessione attiva proveniente dalla Russia o dai Paesi Bassi (il provider Ihor è stato a lungo il punto nevralgico, poiché era pieno zeppo di questi specifici indirizzi IP).

Sì, i furti sono iniziati su larga scala. Steam non ha rilasciato alcun commento. Quando i ragazzi hanno scritto all’assistenza, Steam non ha nemmeno consigliato loro di cambiare la password; al contrario, l’assistenza ha inviato risposte standard in cui si affermava che le skin erano sparite e che «non era un nostro problema». In seguito (intorno al 2021–2022), i truffatori hanno iniziato a chiudere automaticamente i ticket di assistenza: un ragazzo apriva un ticket e lo script automatizzato del pannello lo chiudeva immediatamente. I ragazzi credevano che fosse l’assistenza di Steam a respingere le loro richieste. Non era così. Ma Steam, in sostanza, è rimasta a guardare e ha permesso che ciò accadesse.

L'ipocrisia di Steam e dei suoi aggiornamenti "anti-truffa" è sbalorditiva, se si considera la quantità di dati che Steam memorizza: tiene traccia dei paesi, della cronologia degli indirizzi IP e delle impronte digitali dei dispositivi. Steam ha consapevolmente nascosto il fatto che gli account fossero stati attivamente compromessi. E poi ci sono stati episodi in cui Steam ha emesso ban di massa nella community nei confronti degli account dei vittime che sono stati sorpresi durante sessioni di swap attive. Wow, ottimo lavoro, Steam! Steam ha bloccato gli account delle vittime semplicemente perché condividevano un IP proxy con altre sessioni, invece di, ad esempio, interrompere le sessioni non autorizzate. E quando le vittime hanno contattato l’assistenza per contestare i blocchi, l’assistenza ha fatto finta di niente, fingendo di non vedere né sapere nulla. Ma sappiamo che vedono tutto: i tuoi dispositivi, gli ID hardware, i registri delle transazioni, la cronologia delle modifiche, le password precedenti, i numeri di telefono, le e-mail e esattamente quando e da quale dispositivo sono state modificate (questa è la parte più divertente: Steam sa quando un account viene dirottato — registra l’ID esatto del dispositivo, il timestamp e l’indirizzo IP dell’autore dell’attacco).

4b. L’illusione del “trade hold”

E così, un ragazzino terrorizzato scrive all’assistenza di Steam: "Aaa, aiuto, mi hanno rubato le skin! Le stavo inviando a un mio amico, a un commerciante o a un sito di scambio, ma sono finite su un account completamente diverso con lo stesso identico nickname e avatar, non su quello che avevo accettato nello scambio!"

Ma come è potuto succedere, in realtà?

In effetti, il sostituto non dirotta immediatamente lo scambio. Nel browser, controlli l’offerta di scambio originale, clicchi su “conferma” — oggetto per oggetto, oppure inviando gli oggetti all’account verificato del tuo amico. Verifichi i dettagli e tutto quadra. Ma in quel breve lasso di tempo che intercorre tra l’accettazione dello scambio sul PC e l’apertura del telefono per confermarlo, è proprio in quel momento che il bot del truffatore, clonato con lo stesso nome e avatar, annulla lo scambio legittimo e ne invia uno proprio.

Sì, sullo schermo del telefono stai guardando la transazione scambiata. Inizialmente, vengono mostrati gli oggetti che stai inviando, ma in fondo alla pagina non ricevi assolutamente nulla in cambio. E gli utenti ignorano gli avvisi perché hanno già verificato tutto sul proprio computer. La precisione psicologica di questa truffa e la vulnerabilità degli utenti sono sbalorditive, soprattutto perché le vittime sono pienamente convinte di stare effettuando un trasferimento sicuro. Eppure i server di Steam rilevano una sessione, creata settimane o mesi fa da un indirizzo IP completamente diverso, annullano uno scambio attivo e ne avviano e accettano immediatamente uno nuovo, trattandolo come una transazione del tutto normale e legittima. Sembra davvero molto credibile, non è vero?

Vorrei sottolineare che, molto prima che Steam introducesse i suoi aggiornamenti mal concepiti e inefficaci, i siti di scambio di terze parti si erano già attivati. Tenevano alla loro reputazione e forse provavano semplicemente compassione per i bambini vittime di frodi. Ad esempio, il sito tradeit.gg avevano implementato un sistema per cui, se la loro offerta di scambio ufficiale veniva annullata, sullo schermo dell’utente compariva un enorme avviso con la scritta “ANNULLATO”. Si trattava di una soluzione concreta, ed è per questo che li riconosciamo come pionieri che hanno davvero cercato di fare qualcosa. Quindi, un sito esterno che utilizzava l’APIe di Steam era in grado di rilevare uno scambio in tempo reale, ma Steam stesso non ci riusciva? Oppure si sono semplicemente rifiutati di interrompere una sessione non autorizzata che ovviamente non aveva alcuna relazione con l’utente legittimo? Sì, i ticket di assistenza di Steam ripetevano continuamente: «I tuoi oggetti sono spariti, non possiamo aiutarti», e i bot di ricezione dei truffatori venivano raramente bannati (e se lo erano, avveniva molto tempo dopo il fatto). Anche dopo l’introduzione dei blocchi sugli scambi, il tasso medio di ban per i bot truffaldini attivi (blocchi che alla fine avvantaggiano l’economia di Steam piuttosto che restituire gli oggetti alle vittime) si aggirava intorno al 15–25% nei periodi di picco. Nel frattempo, il provider di hosting su cui operavano i bot rimaneva Ihor, e queste sessioni automatizzate non hanno mai utilizzato proxy rotanti residenziali o mobili.

4c. Prova dell'infrastruttura statica

Possiamo dimostrarlo. Come sapete, PhishDestroy è un progetto radicale contro il phishing. Abbiamo inondato i moduli di phishing con frasi seed false su larga scala per esaurire le capacità di carico ed elaborazione dei loro server. È proprio da qui che è nato il concetto: Steam impone limiti di frequenza ai tentativi di accesso per indirizzo IP. Anni fa, abbiamo messo in atto questa strategia utilizzando proxy pubblici gratuiti, inviando infiniti tentativi di accesso non validi o prendendo di mira account protetti da Steam Guard via e-mail. Alla fine, Valve ha iniziato a bloccare questi tentativi e, dato che non acquistavamo reti proxy commerciali, con il passare del tempo questa strategia si è rivelata sempre meno praticabile. Tuttavia, come ora ci rendiamo conto, avrebbe potuto essere altamente dirompente; eppure, secondo la contorta logica di Valve, interferire con le operazioni dei truffatori era considerato «non etico».

Attraverso i nostri test di stress sui portali di accesso dei truffatori — che hanno reso i loro sistemi di autenticazione completamente offline per ore — abbiamo confermato che non stavano utilizzando enormi reti di proxy residenziali (che avrebbero coperto milioni di indirizzi IP). Si affidavano invece a proxy statici e a servizi di hosting VPS a basso costo. Nello specifico, la loro configurazione assegnava esattamente 1 bot a 1 IP, e tali IP appartenevano esclusivamente ai server VPS di Ihor.

In sintesi: una scena del crimine ancora aperta

Steam ha visto tutto, sapeva tutto, eppure si è limitato a tacere invece di intervenire per proteggere i propri utenti. Che bella piattaforma, che sostiene che la sicurezza sia la sua massima priorità.

Inoltre, un malintenzionato con una sessione del browser attiva potrebbe monitorare contemporaneamente il tuo account, leggere le tue chat o modificare il tuo profilo (ad esempio, simulando un falso avviso di “VAC Ban”) per farti prendere dal panico e spingerti a trasferire rapidamente tutti i tuoi oggetti a un amico o a un account secondario “sicuro”, conducendoti direttamente nella trappola dello scambio di offerte. Sì, potrebbe leggere attivamente le tue chat private con gli amici e visualizzare i tuoi contenuti multimediali in tempo reale proprio insieme a te. A quanto pare, Steam considera le sessioni parallele da paesi completamente diversi come un comportamento standard per una piattaforma di gioco (forse ragionando che, dato che esiste la Condivisione Famiglia, «va bene se rubano, purché non stiano giocando a CS:GO contemporaneamente»).

5. La trappola delle password dell’API: cambiare la password non basta

Anche se avessi cambiato la password ma ti fossi dimenticato di revocare la chiave API attiva, i truffatori potrebbero comunque derubarti. Sì, senza una sessione attiva, il loro script non potrebbe più navigare nel tuo profilo né accettare automaticamente gli scambi. Tuttavia, l’API ufficiale di Steam permetteva loro comunque di eseguire le azioni più critiche: monitorare l’attività del tuo account e annullare gli scambi in sospeso (tramite CancelTradeOffer).

Con la sola chiave di API, il bot avrebbe immediatamente individuato e annullato la tua transazione legittima, per poi inviare subito un’offerta clonata dal proprio account (indirizzata al link della tua transazione). A quel punto, lo script si limitava ad aspettare. Non poteva cliccare su “Conferma” al posto tuo. L’intera truffa si basava sul fatto che tu aprissi l’app mobile e confermassi volontariamente lo scambio sostituito in Steam Guard. E ha funzionato alla perfezione.

C'è una sfumatura tecnica fondamentale: se si dispone solo di una chiave API (e non c'è una sessione attiva), lo script non può inserire direttamente uno scambio nelle conferme di Steam Guard. Deve inviare una nuova offerta di scambio in arrivo. Ciò significa che devi prima cliccare manualmente su "Accetta scambio" sul tuo PC, prima che l'operazione venga visualizzata nell'app di Steam Guard.

Si potrebbe pensare che questo passaggio aggiuntivo riduca il tasso di successo della truffa: dopotutto, quando si accetta uno scambio da uno sconosciuto, Steam mostra avvisi ben visibili (“Non siete amici”, “Questo account è stato segnalato”). Ma i truffatori hanno sfruttato la psicologia umana e la memoria muscolare. Poiché era stata la vittima stessa ad avviare lo scambio originale, era già mentalmente preparata a separarsi dai propri oggetti. Quando ha visto lo scambio annullarsi improvvisamente e ne è arrivato immediatamente uno nuovo con gli stessi identici oggetti, nickname e avatar, ha pensato: "Il sito ha avuto un rallentamento e ha rielaborato l'operazione."

L'utente ha cliccato meccanicamente, quasi in modo automatico, sulle avvertenze di Steam, ha accettato la falsa transazione e l'ha confermata sul proprio telefono. La truffa è andata a buon fine non aggirando le misure di sicurezza di Steam Guard, ma sfruttando l'inerzia umana.

6. Il verdetto: complici per scelta

Il nostro messaggio principale rimane lo stesso: dobbiamo un ringraziamento speciale a Valve e al suo staff di assistenza, che hanno trovato incredibilmente comodo “non vedere nulla e non sapere nulla”.

Amano sostenere che, tecnicamente, non dispongano degli strumenti o delle capacità necessarie per fornire assistenza. Ma la realtà è completamente diversa. Per recuperare un account dirottato, l’assistenza non ha in realtà bisogno di qualche CD key antiquato e impolverato di dieci anni fa. Steam acquisisce una vasta gamma di altri parametri che vengono deliberatamente ignorati durante le controversie relative al recupero. Stiamo parlando dell’identificatore univoco del dispositivo. Non si tratta di un semplice HWID, del numero di serie del disco rigido o della versione del BIOS: è un’impronta hardware unica che Steam recupera, probabilmente allo stesso livello del kernel o del sistema profondo, proprio come il loro sistema anti-cheat VAC.

Quindi, quando Valve si rifiuta di ripristinare il tuo account semplicemente perché “ti manca un codice CD”, non si tratta di un limite tecnico. È una strategia commerciale. È il tentativo di costringerti a ricomprare i tuoi giochi da zero e un rifiuto categorico di restituirti il controllo su un inventario di skin di grande valore.

È immorale, ma è profondamente “in stile Steam”. Lo stesso vale per il loro sistema di assistenza: un servizio clienti economico ed esternalizzato, le cui politiche interne sono concepite per evitare di fornire un aiuto concreto o anche solo una cortesia di base. Tutto si riduce a risposte standardizzate copiate e incollate e alla chiusura unilaterale dei ticket.

Ma a Steam questo non crea alcun problema.

7. Domande che il Congresso deve porre a Valve

Brief congressuale/normativo

Non chiedere informazioni sulle figurine del baseball. Segui il denaro e il registro degli oggetti.

Se Valve dovesse comparire davanti al Congresso o ad un regolatore, le analogie non costituirebbero una prova. Chiedere risposte giurate e verificabili sul valore che immobilizza, sulle vittime che rifiuta di ripristinare e sui controlli che sceglie di imporre.

Quanto valore del giocatore è bloccato?

Quanti articoli CS2 e Dota si trovano in account vietati dal commercio o dalla comunità? Quale percentuale dell'offerta circolante e quale valore di mercato rappresentano, suddivisi per anno, tipo di restrizione, rarità dell'articolo e tempo congelato?

Domanda:Totali aggregati, metodologia, fasce di età, audit indipendente e divulgazione ispezionabile degli inventari dei bot vietati. Se i dati confutano le accuse, pubblicateli.

Perché le prove sono nascoste?

Quando un inventario o un profilo diventa non pubblico dopo una restrizione, a quale scopo di sicurezza serve? La politica di visibilità è cambiata intorno al 2020 e perché nascondere il registro invece di visualizzare un avviso pubblico ben visibile simile a un avviso VAC?

Domanda:La storia politica, la logica interna, le regole di accesso e il percorso di ricorso.

Perché le pipeline dei bot non vengono fermate alla nascita?

Lo stesso Steam afferma che gli utenti malintenzionati utilizzano comunemente account fittizi e utilizzano una soglia di $ 5. Cosa rileva la registrazione automatizzata, il provisioning del telefono e dell'autenticatore, il finanziamento esattamente alla soglia, l'assenza di attività di gioco, una lunga inattività e quindi i flussi di oggetti simili a quelli di una macchina?

Domanda:Tassi di falsi positivi e falsi negativi e se i ban si verificano prima che l'account acquisisca valore o solo dopo l'arrivo degli oggetti di valore.

La “duplicazione” è ancora una scusa credibile?

La logica della duplicazione risale alle pratiche di ripristino e alle storie di abusi di sostegno della metà degli anni 2010. Un oggetto moderno ha un record unico, una catena di trasferimento nota e blocchi commerciali. Perché revocare lo stesso articolo a un destinatario illecito accertato e riassegnarlo al precedente detentore verificato dovrebbe creare una copia? In quale fase esatta appare un secondo elemento nel 2026?

Domanda:La storia delle politiche dal 2014, una spiegazione tecnica riproducibile e il numero di incidenti duplicati effettivi causati dal ripristino dal 2019.

Sotto quale autorità viene immobilizzato l'oggetto?

Valve tratta una skin come una proprietà, una licenza o semplicemente un diritto al database? Quale clausola contrattuale e teoria giuridica consente l'immobilizzazione permanente dopo il furto negando la restituzione al precedente detentore verificato? La proprietà recuperata da un ladro non diventa entrate della polizia; perché l'equivalente digitale rimane sotto il controllo esclusivo della piattaforma invece di tornare alla vittima?

Domanda:Avviso, divulgazione delle prove, revisione umana, ricorso, termini e la regola precisa che governa la disposizione finale di ciascuna voce.

Chi protegge il divieto e quanto ha già guadagnato Valve?

Le FAQ ufficiali di Valve elencano una commissione di transazione Steam del 5% più una commissione specifica del gioco del 10% per CS2 e Dota, pagata dall'acquirente sulle vendite di Community Market. I proventi Steam Wallet non possono essere ritirati su una banca o trasferiti su un altro conto. La questione difendibile quindi non è se Valve riceve nuovamente l’intero prezzo nominale a ogni rivendita, ma quanto denaro a circuito chiuso e entrate cumulative delle commissioni erano collegati a un articolo prima che fosse bloccato e in che modo la rimozione dell’offerta influisce sulla scarsità e sul prezzo di tutto ciò che rimane.

Domanda:Commissioni a vita riscosse su ogni articolo successivamente congelato, tassi di restituzione alle vittime e di intervento pre-smarrimento e un modello dell'effetto prezzo dell'offerta congelata. Non considerare un divieto senza restituzione come un aiuto alla vittima.

Valve difende una presunzione di colpa?

Una restrizione cutanea non è una pena detentiva; l'analogia mette alla prova la procedura. Se Valve o i suoi dirigenti dovessero affrontare una sanzione inspiegabile, prove non divulgate e un appello nominale con risposta “leggere la legge”, i suoi avvocati chiamerebbero giustizia quella cosa? Tuttavia, per gli inventari di valore elevato, Valve può sembrare accusatore, giudice e custode del valore congelato. Quale controllo indipendente risolve questo conflitto?

Domanda:La regola esatta, l'atto presunto, la sintesi delle prove, il revisore umano, la decisione motivata, l'escalation indipendente e la divulgazione di come viene trattato il valore congelato.

Perché un appello significativo è inaccessibile?

Una risposta standard e un ampio collegamento allo Steam Subscriber Agreement non sono una constatazione di fatto. Perché a un consumatore comune possono essere negate le accuse e le prove e poi affrontare barriere tecniche, legali e finanziarie che rendono impraticabile contestare una restrizione automatizzata o errata?

Domanda:Appello umano gratuito, decisioni espresse in un linguaggio semplice, scadenze per le risposte, accesso alle controversie esterne e statistiche su divieti automatizzati, revisioni umane, annullamenti e modelli di risposta ripetuti.

La community, il recupero e la sessione Valve hanno scelto di non uccidere

Cos'è la “comunità” in Steam Community?

Dopo che il procuratore generale di New York ha citato in giudizio Valve nel febbraio 2026, Valve ha pubblicato una dichiarazione di supporto Steam rivolta agli utenti e ha invocato effetti sugli utenti e sul processo pubblico. Ma quando le decisioni della piattaforma influenzano i preziosi inventari di quegli utenti, quale potere formale ha questa “comunità”: voti, motivazioni, consultazione politica, supervisione o persino visibilità sui risultati dei report?

Domanda:Definire i diritti di governance della comunità e pubblicare documenti di consultazione, riferire sui risultati e un meccanismo indipendente di supervisione degli utenti, oppure ammettere che “comunità” è marchio, non rappresentazione.

Perché l'esecuzione ordinaria eredita la segretezza VAC?

Mantenere segrete le firme di rilevamento anti-cheat può proteggere un metodo di rilevamento. Una restrizione comunitaria o commerciale è diversa. Quale rischio per la sicurezza impedisce a Valve di nominare la regola, il timestamp, l'azione presunta e la categoria di prova? Quanti report degli utenti e dei bot portano all'azione e quali controlli di integrità riguardano il personale, gli appaltatori e i volontari?

Domanda:Tassi di errore e inversione di tendenza, statistiche report-to-action, audit di integrità indipendenti, regole sul conflitto di interessi e risultati disciplinari aggregati.

Il recupero dell'account è progettato in base alle prove che difficilmente gli utenti conserveranno?

Steam afferma che una chiave CD al dettaglio può stabilire la proprietà e consiglia di mantenerla; dice anche che un telefono verificato offre ulteriori opzioni di ripristino. Perché richiedere una chiave fisica vecchia di dieci anni quando Valve può contenere record di pagamento, e-mail e telefono storici, dispositivo e accesso? PhishDestroy stima internamente che il 15-20% dei ricorrenti non completi il ​​recupero dopo tale richiesta, sebbene alcuni scrivano ancora dal fornitore di lunga data e dal computer e controllino l'e-mail o il telefono. Valve può confutare tale stima pubblicando i suoi dati.

Domanda:Tentativi, approvazioni, rifiuti e procedure abbandonate per tipologia di prova; risultati per i richiedenti che conservano un'e-mail, un telefono o un dispositivo; e una spiegazione verificabile della ponderazione del segnale.

Perché punire la vittima invece di revocare la sessione ostile?

Nell'infrastruttura esaminata, diversi IP Ihor consecutivi, inclusi gli indirizzi che terminano con .156, .157 e .158, contenevano ciascuno più di 1.000 sessioni attive dirottate mentre i proprietari rimanevano su dispositivi noti altrove. Tali sessioni potrebbero ricreare le chiavi API, attendere, modificare le operazioni e leggere la chat in parallelo. Steam Subscriber Agreement minaccia la chiusura dell'account per proxy IP che nasconde la residenza, incluso "per qualsiasi altro scopo". Perché un server proxy che detiene un migliaio di account non correlati non attiva nemmeno la revoca della sessione?

Domanda:Revoca automaticamente una sessione di hosting, la sua chiave API e le conferme quando raggruppa account non correlati su larga scala; quindi richiedere una riautenticazione pulita senza limitare la vittima.

Sette anni, 79 dipendenti Steam e 1,16 milioni di ore nominali: fallimento o modello di business?

PhishDestroy può creare pool di oltre 1.000 sessioni su un IP, indirizzi consecutivi presso un provider e slot IP stabili separati per la ricezione di bot. Tuttavia, il modello lato server non ha innescato la risposta ovvia: revocare la sessione di hosting, invalidarne l’accesso API e richiedere un’autenticazione pulita da parte del proprietario. Valve applica già le regole di utilizzo simultaneo nelle sessioni di gioco. Perché non è stata applicata la logica del rischio equivalente quando un indirizzo di hosting russo si trovava tra il proprietario e Steam mentre deteneva un migliaio di account non correlati?

Secondo quanto riferito, un'istantanea di un'organizzazione del 2021 esposta accidentalmente durante il contenzioso antitrust Wolfire nel 2024 elencava 79 persone nella categoria "Steam" di Valve e $ 76.446.633 di retribuzione lorda aggregata: circa $ 968.000 per dipendente elencato come media della categoria, non come stipendio individuale. Questa istantanea non prova che 79 ingegneri della sicurezza abbiano lavorato allo scambio di offerte, che l’organico sia rimasto costante o che tutto il tempo dei dipendenti fosse dedicato a questo problema. Stabilisce la scala che Valve deve spiegare.

≈88 mesiScambio persistente dell'offerta di sessioni mobili dalla primavera del 2019 a questa pubblicazione: circa 2.700 giorni

79 personeIstantanea della categoria Steam del 2021 segnalata: non un conteggio del team di sicurezza

1.162.880Ore di capacità illustrativa: 79 × 14.720: ore di indagine sulle frodi non dichiarate

Run Liability Audit Simulate Attack Sequence

Sessione parallela

Flussi commerciali

Risposta in materia di sicurezza

A: Le vittime del furto di beni e il team legale ingannevole di Valve

Avete cercato di convincere sia i tribunali che i giocatori che il furto di oggetti sia esclusivamente colpa di “ragazzini stupidi” e che l’architettura della vostra piattaforma non abbia alcuna responsabilità. Lasciamo da parte le maschere aziendali e spieghiamo, nei termini più semplici, perché il vostro ecosistema di phishing, altamente sofisticato e redditizio, esiste esclusivamente a causa delle falle architetturali di Steam. Il phishing non è altro che l’atto di rubare la chiave della porta d’ingresso. Ma il fatto che dietro quella porta si trovi un controller del caveau completamente incustodito è interamente colpa degli sviluppatori di Valve.

Esaminiamo alcune analogie relative al vostro modello di sicurezza per comprendere la portata di questo fallimento.

1. Non sei “GitHub” (La favola dello sviluppatore)

Valve giustifica il proprio "API" (sistema di autenticazione) poco sicuro sostenendo che Steam sia una "piattaforma aperta per gli sviluppatori". Va bene, confrontiamola con GitHub. Cosa succede quando si prova a generare un Personal Access Token (PAT) su GitHub?

• Il sistema ti obbliga a reinserire la password.
• Ti chiede di inserire un codice 2FA.
• Ti obbliga a selezionare esplicitamente le autorizzazioni di ambito (separazione dei privilegi) per il token.
• Cosa fondamentale, ti chiede di impostare una data di scadenza (TTL) per il token.

E cosa fa Steam? Con un solo clic emette silenziosamente una chiave infinita e onnipotente, senza richiedere alcuna conferma, concedendo un accesso illimitato in lettura e scrittura per annullare e sostituire per sempre le offerte di scambio. Non siete una piattaforma aperta per gli sviluppatori; siete un cancello aperto.

2. Sei peggio dei crypto-mixer sottoposti a sanzioni (la sindrome di Tornado Cash)

Se Steam non è una piattaforma per sviluppatori, allora forse è una borsa valori? Non ti paragoneremo alle borse valori ufficiali, ma ai servizi di crypto-mixing clandestini e alle piattaforme soggette a sanzioni che il Tesoro degli Stati Uniti e l’FBI smantellano per riciclaggio di denaro (come Tornado Cash, Bitzlato o Garantex).

Vuoi sapere qual è l’ironia suprema, Gabe? Persino i servizi illegali e sanzionati di riciclaggio di criptovalute sul dark web garantiscono una sicurezza “API” migliore di quella di Steam! Persino gli amministratori dei mixer clandestini capiscono che, per generare una chiave “API” in grado di gestire i saldi degli utenti, devono obbligare l’utente a inserire un codice 2FA, confermare via e-mail e associare la chiave a indirizzi IP specifici. Eppure, Valve — una società americana legale e multimiliardaria — permette a uno script invisibile in esecuzione su un server in Russia di ottenere, con un solo clic, l’accesso permanente e senza conferma agli inventari degli utenti, del valore di decine di migliaia di dollari. I criminali informatici applicano davvero standard di sicurezza più elevati rispetto ai vostri sviluppatori che guadagnano stipendi milionari?

3. I mercati grigi si sono dimostrati più astuti di una multinazionale da miliardi di dollari

La cosa più divertente sono le piattaforme di terze parti dedicate al gioco d’azzardo e allo scambio di skin (come OPSkins o il vecchio BitSkins) che Valve ha preso di mira in modo così aggressivo. Già nel 2017 si erano trovati ad affrontare lo stesso identico problema di sostituzione "API" (offerta-scambio). E sapete cosa hanno fatto? Loro — un piccolo gruppo di sviluppatori indipendenti senza budget multimiliardari — l'hanno semplicemente risolto in pochi giorni aggiungendo delle conferme, mandando immediatamente all'aria gli schemi dei truffatori.

Nel frattempo, Valve ha trascorso 7 anni a condurre esperimenti sui bambini, osservando per quanto tempo gli utenti avrebbero continuato ad acquistare nuove skin per sostituire quelle rubate e quanta denaro di provenienza illecita i truffatori potessero riciclare attraverso questo circolo vizioso.

4. Soluzioni ingegnose al posto di soluzioni definitive

Invece di risolvere la vulnerabilità, Valve ha introdotto delle “geniali” soluzioni di ripiego. Un blocco delle transazioni di 7 giorni. Un blocco di 4 ore per cambiare il proprio nickname. Per 7 anni avete trattato una frattura esposta con un cerotto. Un coltello rubato non è mai stato restituito alla vittima; è stato semplicemente congelato per sempre su un bot bannato, riducendo artificialmente l’offerta in circolazione e facendo lievitare il valore di mercato. Era il ciclo economico perfetto: i truffatori rubano, Valve banna, l’offerta cala, i prezzi salgono e Gabe incassa una lucrosa commissione di transazione su ogni nuova vendita.

La domanda principale a cui Valve non sa rispondere:

STEAM, PERCHÉ DIAVOLO NON AVETE SEMPLICEMENTE AGGIUNTO UNA CONFERMA OBBLIGATORIA O UNA NOTIFICA PUSH SUL CELLULARE IN STEAM GUARD PER GENERARE UNA CHIAVE "API" — UNO STRUMENTO ONNIPOTENTE CHE CONTROLLA MIGLIAIA DI DOLLARI IN BENI VIRTUALI?!

Obbligate gli utenti a confermare la vendita di una figurina da 3 centesimi sulla vostra app mobile. Eppure, per 7 anni, avete permesso a uno script invisibile di assumere il controllo permanente dell’intero inventario degli utenti senza inviare una sola notifica. Questo non è “phishing”. Si tratta di negligenza deliberata e calcolata, e sono stati i vostri utenti a pagarne le conseguenze.

Le cronache della Cryo-Chamber: ciò che Valve si è lasciata sfuggire in 7 anni Passa il mouse per leggere

Testo nascosto. Passa il cursore sopra per visualizzarlo

Se la dirigenza di Valve avesse sottoposto i propri ingegneri della sicurezza a esperimenti illegali di congelamento criogenico nella primavera del 2017 e li avesse risvegliati solo oggi, ritireremmo tutte le nostre affermazioni. Questo spiegherebbe tutto. La scienza richiede sacrifici (in questo caso, gli inventari degli utenti).

Ma se i vostri dipendenti fossero stati pienamente coscienti e avessero ricevuto lo stipendio in questi 7 anni, abbiamo una brutta notizia. Mentre i vostri sviluppatori hanno trascorso 1,16 milioni di ore cercando di proteggere le chiavi di "API" senza implementare una semplice conferma tramite Steam Guard, ecco una breve panoramica di ciò che il resto dell’umanità è riuscito a realizzare mentre voi eravate in stasi:

Progressi tecnologici e scientifici dell’umanità (2017–2024):

• La rivoluzione dell'intelligenza artificiale: l'umanità ha inventato le reti neurali generative. OpenAI ha lanciato ChatGPT, che ha superato gli esami di abilitazione alla professione forense, ha imparato a scrivere codice complesso, a diagnosticare malattie e a realizzare opere d'arte fotorealistiche, trasformando radicalmente l'economia globale.
• Esplorazione spaziale: la NASA ha fatto atterrare con successo il rover Perseverance su Marte, ha fatto volare l’elicottero Ingenuity nell’atmosfera marziana e ha lanciato il telescopio spaziale James Webb, che osserva indietro fino all’inizio dei tempi. SpaceX è riuscita a catturare in volo, con giganteschi bracci meccanici, i booster dei razzi lunghi 50 metri mentre cadevano.
• Medicina: Il mondo ha dovuto affrontare la pandemia di COVID-19. In tempi record, gli scienziati hanno sequenziato il genoma del virus, sviluppato e testato vaccini rivoluzionari a base di mRNA e immunizzato miliardi di persone per porre fine alla pandemia.
• Il salto quantico: Google e IBM hanno ufficialmente raggiunto la “supremazia quantistica”, realizzando computer quantistici in grado di risolvere in pochi secondi equazioni che richiederebbero migliaia di anni ai supercomputer classici.
• Rivoluzioni hardware: Apple ha abbandonato l'architettura dei processori su cui faceva affidamento da decenni e ha progettato da zero i propri chip ad alte prestazioni della serie M. Nel frattempo, la stessa Valve è riuscita a progettare, produrre e lanciare sul mercato l'innovativa console Steam Deck.

I "risultati" del team di sicurezza di Steam negli stessi 7 anni:

• È stato introdotto un periodo di blocco delle transazioni di 7 giorni (che però non è riuscito a impedire i furti).
• Ha passato 5 anni a riflettere, poi ha vietato lo scambio di oggetti per 4 ore dopo un cambio di nickname (suscitando le risate dei truffatori).

Sintesi: Nel tempo che l'umanità ha impiegato per raggiungere Marte, inventare l'intelligenza artificiale, superare una pandemia globale e costruire computer quantistici, Valve — una società multimiliardaria — non è riuscita ad aggiungere una singola finestra pop-up con il pulsante "Conferma nell'app mobile" alla pagina dev/apikey.

Signori di Valve, benvenuti nel futuro. Il vostro sonno criogenico è finito. L’umanità ha fatto passi da gigante. Attiviamo finalmente l’autenticazione a due fattori (2FA) per il vostro API, così i bambini smetteranno di perdere milioni di dollari a causa della vostra pigrizia aziendale. O dovremmo aspettare altri 7 anni che Elon Musk colonizzi Marte?

L'insabbiamento della copertura di "API" su Steam: come Valve ha legalizzato lo spionaggio silenzioso

Negli ultimi 7 anni Valve ha continuato a scaricare la colpa della massiccia truffa relativa alla sostituzione degli oggetti in “API” sui propri utenti. La risposta standard dell’assistenza di Steam liquida le vittime sostenendo che siano semplicemente cadute vittime di un tentativo di phishing e abbiano compromesso i propri account.

Si tratta di una menzogna aziendale ben ponderata. Quello che Valve definisce “furto di account” è, in realtà, un’operazione di sorveglianza “Man-in-the-Middle” (MITM) automatizzata e ininterrotta, resa possibile dalla loro stessa infrastruttura difettosa.

Furto di account contro spionaggio MITM silenzioso

I Termini di servizio di Steam vietano severamente l'uso di script automatizzati. Tuttavia, il backend di Valve chiude un occhio quando proprio questi script dirottano le sessioni degli utenti.

• Furto semplice: Un accesso effettuato da un dispositivo non autorizzato comporta un ban dalla community, con il blocco dell'account e la conservazione dell'inventario dell'utente.
• API Spionaggio: Un server dannoso stabilisce una connessione parallela, monitorando l'account in background 24 ore su 24, 7 giorni su 7, senza attivare alcun avviso o blocco.
• La menzogna dell'interfaccia: Durante uno scambio, l'app mobile di Steam mostra una transazione legittima, costringendo l'utente ad autorizzare uno scambio che uno script invisibile annulla e sostituisce nel giro di pochi millisecondi.

L'accordo fantasma: come Steam mente sul tuo "consenso"

Parliamo della scusa preferita dal Supporto di Steam quando si rifiuta di restituirti gli oggetti rubati: «Sei responsabile della sicurezza del tuo account e delle azioni compiute su di esso».

Sottintendono che tu, l’utente, abbia accettato i termini che hanno permesso che questo furto avvenisse. Davvero? Non hai mai visto questa pagina con i termini di accordo per gli sviluppatori: https:// steamcommunity.com /dev/apiterms. Non hai mai cliccato su “Accetto”. Un hacker ha accettato questo contratto a tuo nome, frazioni di secondo dopo essersi collegato al tuo account da un indirizzo IP russo.

Sfidiamo quindi qualsiasi avvocato o rappresentante di Valve a indicarci esattamente in quale punto del Contratto di abbonamento a Steam si legga: «Utilizzando Steam, acconsenti alla sorveglianza in background 24 ore su 24, 7 giorni su 7, del tuo account o di quello di tuo figlio da parte di un server automatizzato situato in Russia».

Nel 90% dei casi di sostituzione di oggetti, la vittima non sa nemmeno cosa sia una chiave Web API. Non ne ha mai usata una. Eppure Valve se n'è stata tranquillamente con le mani in mano per 7 anni, ignorando completamente una soluzione che la community chiede a gran voce sin dal primo giorno: basta aggiungere una conferma obbligatoria tramite Steam Guard per generare la chiave API!

Steam: i bambini non dovrebbero essere costretti a finanziare gli hacker

Immaginate un normale adolescente europeo. Gioca ai videogiochi, mette da parte i soldi per acquistare le sue skin preferite e, a un certo punto, commette un errore: accede a un sito di phishing. In un normale ecosistema digitale, la procedura è semplice: l’account viene automaticamente bloccato (Community Ban), le password vengono reimpostate e l’accesso viene ripristinato in modo sicuro. Il ragazzo si rende conto del proprio errore, ma il sistema lo protegge da conseguenze gravi.

Ma su Steam, tutto funziona in modo diverso. Anziché bloccare l’attività sospetta, Valve apre silenziosamente una porta nascosta. Un server proveniente da una giurisdizione soggetta a sanzioni (la Russia) ottiene un accesso parallelo e non autorizzato all'account di questo ragazzo. Senza alcuna conferma secondaria, senza un solo messaggio di Steam Guard, uno script estraneo genera una chiave Web API. Accetta i termini legali per conto dell'utente e inizia a monitorare le sue chat, gli scambi e l'inventario 24 ore su 24, 7 giorni su 7.

Un adolescente dell’UE non ha mai acconsentito a una sorveglianza nascosta. Non è obbligato a finanziare hacker provenienti da un territorio soggetto a sanzioni OFAC solo perché una multinazionale multimiliardaria è troppo pigra per proteggere il proprio API. Trattenendo le skin rubate e rifiutandosi di restituirle, Valve sta coprendo la propria negligenza infrastrutturale, legalizzando di fatto il trasferimento dei beni digitali dei cittadini europei verso territori soggetti a sanzioni.

Perché la violazione della sicurezza relativa a “API” e ai token su Steam è illegale

Steam consente a soggetti terzi di generare chiavi "API" e di intercettare i token di sessione tramite proxy MitM senza ALCUN avviso all'utente né controlli 2FA. Questa negligenza viola direttamente le principali leggi in materia di protezione dei dati e tutela dei consumatori:

• 🇪🇺 Regolamento generale sulla protezione dei dati dell’UE (GDPR, articoli 25 e 32): Richiede la "sicurezza fin dalla progettazione" e adeguate misure tecniche di protezione. La generazione di chiavi di accesso critiche senza l'autenticazione a due fattori (2FA) costituisce una grave falla nella sicurezza.
• 🇺🇸 Legge FTC degli Stati Uniti (Sez. 5): Sanziona le “pratiche sleali” e la mancanza di una “sicurezza ragionevole dei dati”. La FTC interviene regolarmente contro le piattaforme che non dispongono dell’autenticazione a più fattori (MFA) per le operazioni critiche relative agli account.
• ⚖️ Direttiva UE 2019/770: I servizi digitali devono soddisfare le aspettative minime dei consumatori in materia di sicurezza. La vulnerabilità “API” di Steam, risalente a 7 anni fa, non soddisfa affatto tali aspettative.
• 🛡️ Direttiva NIS 2: Impone rigorose misure di sicurezza informatica, tra cui l’autenticazione a più fattori (MFA) obbligatoria per la gestione degli accessi, che Valve ignora per la generazione di indirizzi API.

In sintesi: quando una piattaforma trasferisce le chiavi di API a una sessione proxy senza alcun avviso o conferma, non si tratta solo di un difetto, ma di una grave violazione della conformità.

Pronto a difenderti? Genera la tua notifica di contestazione

Non accettare i loro rifiuti automatici relativi ai Termini di servizio. Richiedi a Valve di assumersi la responsabilità legale ai sensi delle leggi internazionali sulla tutela dei consumatori e sulla protezione dei dati. Utilizza il nostro generatore interattivo gratuito per redigere immediatamente una Notifica di contestazione formale (PDF) adatta alla tua regione.

Genera avviso e salva come PDF

Valve conserva i registri a livello di sessione per l'autenticazione, la creazione della chiave API, offre cancellazione e sostituzione, conferme, cronologia IP e azioni di supporto? Se questi record esistono, Valve potrebbe provare quando ha visto per la prima volta i pool Ihor e perché li ha lasciati attivi? Se non esistono, perché una piattaforma che gestisce inventari di alto valore non è riuscita a preservare la traccia di controllo necessaria per indagare su una classe di attacco nota?

Nell'arco di circa 88 mesi, quanti utenti, compresi i minori ove conosciuti, hanno aperto ticket specifici per la sostituzione dell'offerta? Quanti ticket hanno mostrato una sessione parallela esterna ma hanno ricevuto una risposta programmata invece di una revoca immediata? Quanti casi hanno portato alla prevenzione prima della perdita, alla restituzione effettiva dell'oggetto o al ban del bot ricevente attribuibile a quel ticket o segnalazione piuttosto che a un successivo rilevamento non correlato? L'analisi di PhishDestroy delle denunce pubbliche delle vittime e delle discussioni su Reddit non ha rilevato alcun caso che possa essere collegato con sicurezza alla denuncia di una vittima; questa non è una prova che non esista e Valve può correggere il record pubblicando i suoi totali interni.

Anche la questione monetaria richiede una contabilità esatta. Per una vendita CS2 o Dota Community Market in cui un venditore riceve 100 unità del valore Steam Wallet, l'acquirente paga circa 115 dopo la commissione indicata del 5% Steam e la commissione di gioco del 10%, soggetta ad arrotondamento. I 15 extra sono a pagamento; i 100 del venditore sono il valore del Portafoglio, non altri 100 di commissione, quindi "profitto del 115%" sarebbe impreciso. Ma se l’oggetto viene successivamente rubato e congelato senza restituzione, Valve controlla comunque i fondi a circuito chiuso, riscuote la commissione e rimuove l’oggetto dalla circolazione. Quali sono i pagamenti aggregati dell'acquirente, le commissioni Valve, le passività del portafoglio, il valore degli oggetti congelati, gli effetti sui prezzi e gli importi di restituzione per questa classe di attacco?

Domanda:Pubblicare l'effettivo organico di sicurezza e supporto per anno; ore e budget assegnati alla prevenzione dello scambio di offerte; la cronologia completa delle relazioni, delle decisioni e dei pool di massa mancati; tassi di revoca ticket-sessione, ticket-bot-ban e restituzione; registri di richieste/azioni conservati; e un confronto verificato tra le buste paga Steam e i profitti della piattaforma con le perdite degli utenti, le commissioni riscosse, il valore del portafoglio e gli articoli congelati. Risposta ufficiale: si è trattato di un fallimento del personale, di un fallimento della politica di sostegno o di una scelta aziendale deliberata?

Supporto in outsourcing e accesso privilegiato

Un agente in outsourcing può interrogare qualsiasi utente Steam in tutto il mondo?

L'Informativa sulla privacy di Valve afferma che i fornitori di supporto di terze parti possono ricevere dati personali solo se necessario. PhishDestroy conosce l'insieme dei campi e il modello di accesso dell'interfaccia esaminata; A Valve viene chiesto di confermarlo o smentirlo a verbale. Un agente appaltatore in Irlanda, o altrove, può aprire un utente negli Stati Uniti, in Germania, Australia, Cina o Russia? Possono visualizzare i record correnti e storici di e-mail, telefono, IP e dispositivo, sessioni, modifiche dell'account, transazioni o chat private? È necessario un biglietto assegnato?

Domanda:Un registro dei responsabili e dei subresponsabili del trattamento, ogni paese di trattamento, una matrice di accesso ruolo per campo, restrizioni regionali, accesso just-in-time con ambito ticket e una risposta chiara sulla chat e sugli identificatori storici.

Valve conosce l'essere umano dietro ogni ricerca privilegiata?

Il dipendente di un appaltatore può avere legami personali, politici o governativi sconosciuti all’utente. Cosa impedisce a un operatore di essere corrotto, costretto o incaricato dallo FSB, o da qualsiasi altro organo di intelligence o di polizia, di recuperare la cronologia IP, gli orari di attività, i contatti o le modifiche dell'account di una persona? Valve identifica ogni persona fisica, vieta le credenziali condivise, registra ogni ricerca e visualizzazione del campo, rileva l'accesso al di fuori di un caso assegnato, blocca l'esportazione in blocco e richiede che tutte le richieste del governo passino attraverso il processo legale di Valve?

Domanda:Registri di controllo attribuibili individualmente, autenticazione legata all'hardware, avvisi di anomalie, revisioni periodiche degli accessi, periodi di conservazione dei registri, statistiche sugli abusi interni, totali delle richieste governative originate dagli appaltatori, risultati disciplinari e un rapporto sulla trasparenza pubblica per paese.

Impegno per il recupero delle prove

Valve affermerà che i bot e le vittime non possono più essere trovati?

Se Valve dice in un'udienza che la sua interfaccia, sicurezza e supporto hanno fallito - o trasferisce il fallimento a un outsourcer - e poi promette la restituzione, "non possiamo più identificare i bot o le vittime" non può diventare la scusa successiva. PhishDestroy è pronto a presentare SteamIDs conservati dei bot ricevuti e dei registri commerciali e di furto associati dal prodotto principale esaminato. La nostra attuale stima interna è che confrontando questo materiale con il registro completo delle transazioni di Valve si potrebbero identificare circa l'80% delle vittime del classico scambio di offerte, non maFile, phishing di credenziali o casi RAT; la copertura esatta può essere stabilita solo attraverso la riconciliazione. Esistevano altri due gruppi: un gruppo di sviluppatori potrebbe ora essere difficile da individuare, ma altri partecipanti e ricercatori potrebbero essere in grado di fornire elenchi aggiuntivi.

Se Valve dicesse al Congresso che gli inventari di pelli congelate su larga scala non hanno alcun effetto sull’offerta, sulla scarsità, sui prezzi o sulle entrate della piattaforma, mentre i suoi dati interni mostrano il contrario, sarebbe una falsa affermazione al Congresso. Le asserzioni non bastano: servono dati sottostanti e un modello di impatto indipendente. Il tempo conta. Lo scambio di offerte sta perdendo rilevanza poiché le truffe Steam si spostano verso i payload RAT e le false esche di divieto VAC consegnate tramite file; le persone dietro i prodotti più vecchi potrebbero scomparire con le prove.

Percorso di verifica indipendente

Anticipando la scusa della “fiducia”: il registro dei bot con scambio di offerte da 213.000

Anticipiamo la difesa standard di Valve: “Non possiamo fidarci ciecamente di un elenco di vittime fornito da terzi”. Rispettiamo questo scetticismo. Ecco perché non offriamo un elenco delle vittime. Offriamo un elenco verificabile dei bot riceventi utilizzati dai classici pannelli di scambio offerte.

Disponiamo dei mezzi per proteggere i database che coprono circa l'80% del volume storico di scambio di offerte classico di API, il meccanismo che annullava un'offerta commerciale legittima e inviava una sostituzione, se Valve si impegna sinceramente alla restituzione anziché al controllo dei danni PR. Questa stima non copre il furto di maFile, il phishing di credenziali ordinario, i payload RAT o altri tipi di truffe: tali flussi potrebbero utilizzare bot limitati o nascosti e non possono essere ricostruiti con la stessa sicurezza. Possiamo chiedere direttamente agli autori del pannello truffa. Sono programmatori accessibili: possiamo contattarne almeno uno immediatamente e avere un percorso verso l'altro. L'obiettivo non è una caccia alle streghe contro i singoli sviluppatori, ma costringere Steam a correggere un fallimento sistemico durato sette anni. Rispetto al silenzio aziendale di Valve, gli sviluppatori del pannello a volte hanno mostrato più umanità e trasparenza.

≈213.000Conti bot di ricezione e liquidazione "illimitati" · solo scambio di offerte classico · stima interna PhishDestroy · alcuni già vietatiID bot forniti → Valve verifica all'interno del proprio registro → vittime e oggetti

Anche se gli autori si rifiutano di condividere i propri log, disponiamo di metodi forensi alternativi per identificare le reti bot utilizzate esclusivamente per questo specifico meccanismo di cancellazione e sostituzione dell'offerta. In base a tale criterio di utilizzo esclusivo, ogni operazione in entrata verso un panel verificato che riceve il bot costituisce un furto documentato.

Nessuno chiede a Valve di consegnare i propri registri interni a PhishDestroy. Forniremo SteamIDs o accessi all'account per i bot utilizzati solo per ricevere e liquidare gli articoli rubati tramite la sostituzione dell'offerta; Valve può mantenere il proprio registro all'interno del proprio ambiente ed eseguire la corrispondenza stessa. Molti di questi robot hanno venduto con successo oggetti rubati, alcuni sono già vietati e il volume degli scambi in entrata è enorme.

Le prove di verifica appartengono a Valve: comportamento dell'account solo bot, tempistica dell'annullamento di un'offerta legittima e dell'invio di una sostituzione, cronologia degli articoli in entrata e della liquidazione, infrastruttura Ihor documentata e conferma da parte degli utenti interessati. Per un account verificato come bot esclusivo per la ricezione di scambi di offerte, ogni scambio in entrata nel suo periodo operativo costituisce un record di furto, non una normale attività del giocatore.

Domanda diretta a Valve:La ricezione gestita da bot e la liquidazione automatizzata di skin rubate violano Steam Subscriber Agreement e le regole della piattaforma, o solo quando l'applicazione è conveniente per Valve? Il furto organizzato di pelle è un'attività commerciale o anche questa definizione cambia quando è conveniente?

Valve non ha bisogno di fidarsi della nostra valutazione delle vittime. Deve solo incrociare i circa 213.000 identificatori di bot con il proprio registro e verificarne in modo indipendente la funzione. Una volta verificato, l'identificazione delle vittime e il ripristino degli elementi è una query del database. Faremo tutto quanto in nostro potere per consegnare la lista. L’unico elemento mancante è la volontà di agire di Valve.

Impegno PhishDestroy:Se Valve inizia davvero la restituzione, faremo ogni sforzo possibile per ottenere, preservare e consegnare in modo sicuro gli elenchi disponibili.Richiesta a Valve:conserva ora i registri interni senza consegnarceli, apre un canale protetto per gli identificatori dei bot e riconcilia SteamIDs e le operazioni all'interno del proprio registro, avvisa le vittime identificate e pubblica il numero di elementi ripristinati.

Il denaro reale è già entrato nel circuito chiuso di Steam e Valve ha riscosso commissioni man mano che l'oggetto circolava. Se la sua storia rimane completamente tracciabile, il precedente detentore è noto e Valve lo congela permanentemente rifiutando la restituzione e nascondendo l'inventario, la domanda è inevitabile: perché il pubblico dovrebbe vederlo come una protezione piuttosto che come una monetizzazione della vulnerabilità della piattaforma? Un divieto che lascia la vittima a mani vuote non è una restituzione.

Nota editoriale:Le dichiarazioni operative Ihor si basano sui dati e sui file conservati di PhishDestroy di un prodotto esaminato e possono essere inviate per una revisione indipendente. I totali aggregati, l'applicazione selettiva e il motivo economico richiedono i registri di Valve. I riferimenti all'Irlanda, alla Russia, allo FSB o ad un altro stato descrivono un modello di minaccia; non accusano un appaltatore o un operatore nominato di divulgazione senza prove. Le cifre di 79 persone e 76,4 milioni di dollari sono riportate da una tabella delle categorie del 2021 depositata in tribunale esposta prima della redazione corretta. La cifra di 1.162.880 ore è un calcolo illustrativo della capacità del personale, non un’affermazione secondo cui 79 persone erano ingegneri della sicurezza o hanno dedicato quelle ore a questa frode.