L’illusione di Steam: come Valve gestisce un’economia sommersa, favorisce il furto di dati e ignora il diritto internazionale

Un reportage investigativo esclusivo a cura di PhishDestroy

Il progetto PhishDestroy non è nato perché i tempi erano favorevoli. La nostra esistenza non è una testimonianza del successo di Steam, bensì una necessità fondamentale scaturita dall’assoluto disinteresse di Valve per la sicurezza degli utenti. Di fatto, la nostra lotta contro il phishing ha interferito direttamente con il modello di business di Valve, sconvolgendo il loro sistema economico, accuratamente elaborato, basato sui blocchi degli account e sulla rivendita di oggetti. (Pubblicheremo in un secondo momento un articolo separato e dettagliato che metterà a nudo i veri «valori» dell’azienda e la loro parodia della sicurezza informatica).

Da oltre un decennio, Valve Corporation si nasconde dietro una facciata curata e orientata al consumatore. Ma sotto la superficie si cela una cinica macchina aziendale. Attraverso un’approfondita indagine interna, il team di PhishDestroy ha smontato le politiche che Valve preferisce tenere nascoste. Questa è l’anatomia di una piattaforma che agisce come un consorzio finanziario non regolamentato, asseconda gli Stati soggetti a sanzioni, offre riparo a servizi di assistenza esternalizzati compromessi e considera le leggi europee come semplici suggerimenti facoltativi.

1. La farsa delle sanzioni e il pregiudizio filo-russo

Per Valve, gli utenti dell’UE e degli Stati Uniti non sono altro che fonti di guadagno. Mentre i giocatori europei pagano il prezzo pieno, Steam continua a offrire sconti aggressivi dal 70% all’80% per il mercato russo. Un gioco in Russia costa una frazione di quanto costa in Germania. Ecco come si presentano le «sanzioni» internazionali nel dizionario di Valve.

La piattaforma fa di tutto per assecondare e favorire questo fenomeno: agevola il cambio di regione, chiude un occhio sul riciclaggio di denaro tramite oggetti di gioco e dichiara esplicitamente nei propri Termini di servizio di sottoporsi alla giurisdizione di qualsiasi tribunale russo. Si arriva al punto dell’assurdo: nelle rare occasioni in cui i server di Steam subiscono interruzioni di servizio su larga scala, la prima entità a commentare ufficialmente i guasti tecnici è spesso Roskomnadzor (l’agenzia federale russa per la censura).

2. Il cartello dell’assistenza in outsourcing

Il mito di un «supporto tecnico americano rigoroso e sicuro» crolla nel momento stesso in cui ci si rende conto di chi detiene le chiavi del backend di Steam. Valve ha delegato l’assistenza nella regione della CSI a una rete esternalizzata profondamente compromessa.

Siamo riusciti a deanonimizzare con successo alcuni segmenti di questa rete. Una figura chiave che gestisce o cura questo ramo di assistenza è un individuo di nome Nikita. La nostra indagine ha rivelato che questa persona (o, per lo meno, il suo indirizzo e-mail principale) è registrata e attiva come utente su forum clandestini di hacker come Lolzteam (Zelenka) — un famigerato hub della darknet interamente dedicato alla vendita di carte di credito rubate, database compromessi e log di attacchi brute-force.

Valve è pienamente consapevole di questa corruzione. In passato ha già riconosciuto casi in cui il personale in outsourcing ha sistematicamente sottratto inventari di alto valore agli utenti. Tuttavia, mantenere una forza lavoro in outsourcing a basso costo e non soggetta a responsabilità rimane per l’azienda più redditizio rispetto all’assunzione di professionisti qualificati della sicurezza informatica interni all’azienda.

3. La truffa come modello di business e valuta offshore

Le skin di gioco di Steam sono diventate una valuta onnipresente e non rintracciabile nel darknet: una sorta di «lavanderia finanziaria» che aggira le autorità di regolamentazione internazionali e le autorità fiscali.

Per il dipartimento finanziario di Valve, i truffatori non rappresentano una minaccia, bensì agenti esterni che stimolano la dinamicità del mercato. Il modello tradizionale «un utente, un gioco» genera entrate limitate. Tuttavia, un ecosistema compromesso crea un circolo altamente redditizio: un utente viene hackerato, gli oggetti vengono rubati, gli account dei truffatori ricevono un «divieto di scambio» e la vittima è costretta a creare un nuovo profilo e a riacquistare i propri beni.

Quando Valve bandisce un truffatore, non restituisce i beni sottratti al legittimo proprietario, ma li congela in modo permanente. Ciò crea una scarsità artificiale. La diminuzione dell’offerta sul mercato fa aumentare i prezzi degli articoli rimanenti, il che a sua volta moltiplica la commissione del 15% applicata da Valve sul Community Market. Valve non intende fermare le truffe; ne trae invece profitto.

4. La violazione dei dati di CEVA Logistics: prova innegabile di negligenza

Se ritenete che Valve protegga almeno i vostri dati fisici, nel mondo reale, il recente incidente riguardante CEVA Logistics dimostra il contrario. Tra il 29 luglio e il 1° agosto 2026, alcuni hacker hanno violato il sistema del partner europeo di Valve per la logistica hardware. Valve ha ammesso la violazione solo il 7 agosto, lasciando i dati degli utenti nelle mani di malintenzionati per un’intera settimana.

I dati trapelati includono nomi reali, indirizzi di residenza completi, numeri di telefono e indirizzi e-mail collegati a Steam di clienti europei che hanno ordinato hardware fisico. Valve cerca di tranquillizzare gli utenti affermando che «password e dati di pagamento» non sono stati divulgati. Tuttavia, nome completo, indirizzo di residenza, numero di telefono e indirizzo e-mail di Steam costituiscono esattamente le informazioni necessarie per attacchi di spear-phishing e di appropriazione indebita degli account di efficacia devastante: una miniera d’oro proprio per il personale in outsourcing e le reti di truffatori sopra menzionati. Valve ha sostanzialmente consegnato i vostri dati direttamente nelle loro mani.

5. Invito all’azione: La posizione europea contro l’immunità delle imprese

Ogni giocatore in Europa deve prendere coscienza di una dura realtà: state pagando i giochi cinque volte di più rispetto agli utenti in Russia, eppure i vostri diritti e le leggi europee (GDPR) vengono completamente ignorati. I vostri dati personali vengono divulgati a fornitori terzi e i vostri ticket di assistenza vengono gestiti da una rete di outsourcing della CSI dalla reputazione altamente discutibile.

Rivolgiamo un saluto speciale e sarcastico agli avvocati dello studio Taylor Wessing, che inevitabilmente dovranno difendere gli interessi di Valve dinanzi ai tribunali europei. Preparatevi: difendere un monopolio che calpesta attivamente il diritto dell’Unione Europea sta per diventare notevolmente più difficile.

È giunto il momento di smettere di fungere da comodo sponsor. Non perdonate queste fughe di dati.

Se dovessero rifiutarsi, affermare di non conservare registri o nascondersi dietro un accordo di riservatezza aziendale (NDA) per proteggere il proprio personale in outsourcing, inoltrare tale rifiuto direttamente alla propria autorità garante della protezione dei dati (DPA). L’azione legale collettiva è l’unico linguaggio che questo monopolio comprende.

Appendice dell’autore: Il mercato dietro la piattaforma

Sulla piattaforma Steam, i prezzi regionali raccomandati per la Russia (e per l’intera regione della CSI) sono in genere inferiori del 40–60% rispetto al prezzo base in dollari statunitensi. La Russia è classificata come «Tier 2: Mercato emergente», categoria che generalmente beneficia di uno sconto del 40–50% sul prezzo base. Ad esempio, un gioco indie standard dal prezzo di 19,99 dollari (che, a conversione diretta, corrisponderebbe a circa 1.900 rubli) dovrebbe costare circa 419–499 rubli secondo le raccomandazioni di Valve.

È necessario precisare chiaramente che il servizio di assistenza esternalizzato ha sede in Irlanda, ma è gestito da personale russo — e che alcuni membri del personale operano direttamente dalla Russia. Ah, e a proposito, CSGOFast è proprietaria della popolare estensione SteamInventoryHelper, utilizzata esclusivamente per pubblicizzare il proprio casinò rivolto ai minori (un casinò vietato in diversi paesi europei). E chi è il proprietario di questo casinò? Esatto, i russi, proprio come la maggior parte dei siti simili. Steam non ne è a conoscenza? Oppure semplicemente preferisce ignorarlo, considerando che il fatturato del mercato sommerso si aggira, a quanto mi risulta, intorno al miliardo di dollari?

Inoltre, stimo che il 40% dei truffatori della CSI che attualmente gestiscono truffe legate alle criptovalute abbia mosso i primi passi su Steam. Sono personalmente a conoscenza di almeno due casi specifici di riciclaggio di denaro tramite skin. Non li descriverò in dettaglio in questa sede, ma potrei farlo se necessario — purché non pubblicamente, poiché non intendo citare le piattaforme, ecc. Tuttavia, Steam ne è ben consapevole. Oppure si aspettano davvero che crediamo che i giocatori che non possiedono nemmeno il gioco stiano semplicemente acquistando lo stesso identico oggetto più e più volte solo per «giocarci»? Sì, certo, è una barzelletta.

Poiché temo molestie sessuali da parte di Taylor Wessing, non scriverò né chiederò di trasmettere il mio messaggio alle vittime della fuga di dati — le persone che Valve ha deluso e che hanno ricevuto quelle e-mail di notifica. Satire / Joke

Le priorità di Steam sono quanto di più filorusso si possa immaginare — sia in termini di prezzi che dal punto di vista giuridico, nonché nella diffusione di immagini di Putin, bandiere e terroristi messi al bando. Ma a Steam sembra che ciò piaccia, proprio come tollera l’antisemitismo, la discriminazione, le molestie, lo stalking e lo spaccio di droga. Per Steam, tutto ciò è perfettamente accettabile, proprio come i giochi per maggiorenni. A quanto pare, ne traggono addirittura piacere.

Non si tratta di una controversia politica di breve durata. I funzionari russi e i gruppi di lavoro del settore hanno dedicato ben più di un anno allo sviluppo di un regime di controllo dei videogiochi che prevede l’identificazione dei giocatori tramite un numero di telefono russo, il portale statale di identità Gosuslugi o il sistema biometrico statale. Steam e GOG sono state espressamente citate tra le piattaforme che potrebbero essere interessate dalla proposta, e i partecipanti hanno affermato che il gruppo di lavoro governativo di riferimento si era già riunito per quasi un anno e mezzo a dicembre 2024. Valve non ha assunto alcun impegno pubblico analogo, dichiarando che preferirebbe abbandonare il mercato russo piuttosto che collegare i propri utenti a questa architettura di identificazione gestita dallo Stato.

Il contrasto è scandaloso. I principali attori del settore hanno sospeso le vendite o i servizi in Russia — Microsoft ha interrotto tutte le nuove vendite, mentre le piattaforme per console e gli editori hanno annunciato il proprio ritiro — eppure Steam ha scelto la continuità. Continua a fornire infrastrutture commerciali e sociali a un Paese che il Parlamento europeo ha formalmente riconosciuto come Stato sponsor del terrorismo e come Stato che ricorre a mezzi terroristici.

Tale sostegno è visibile all’interno della stessa economia di Valve. Il Mercato ufficiale della Comunità di Steam elenca uno sfondo per il profilo acquistabile intitolato «Putin & Trump» e migliaia di articoli denominati «Putin per sempre», «Il sorriso di Putin», «Putin mi piace» e «Putin arrabbiato». Valve non ha realizzato queste immagini, ma le distribuisce, le mette in vendita e le monetizza attraverso un marketplace gestito dalla stessa Valve. Allo stesso tempo, nei casi documentati da PhishDestroy, le molestie basate sulla nazionalità possono rimanere visibili o vengono trattate come normali conflitti all’interno della comunità. Il messaggio di Steam è inequivocabile: la propaganda politica può essere monetizzata, mentre le persone bersaglio di abusi legati all’origine nazionale sono costrette a subirla.

La proprietà privata non costituisce immunità giuridica

Valve è una società a capitale privato e le sue azioni non sono quotate in borsa. Ciò significa che la sua struttura proprietaria, gli investitori, i controlli interni e gli incentivi finanziari sono sottoposti a un controllo pubblico di routine molto meno rigoroso rispetto a quelli di una società quotata. Ciò non significa tuttavia che la legislazione a tutela dei consumatori, gli obblighi in materia di sicurezza dei minori, la normativa sulla protezione dei dati o le autorità nazionali di regolamentazione cessino di esistere. Se una piattaforma non viene monitorata con sufficiente attenzione, si tratta di una mancanza di vigilanza — non di un’autorizzazione a trasformarla in un luogo in cui i minori siano esposti a contenuti sessuali, alla promozione del gioco d’azzardo, allo stalking e alle molestie organizzate.

Lo stesso Accordo con l’Abbonato di Valve afferma che Steam non è destinato a minori di 13 anni. Ciò lascia comunque un enorme pubblico di adolescenti sulla stessa piattaforma che vende giochi normali accanto a titoli espliciti per adulti e hentai. Una data di nascita autodichiarata, una pagina di avvertenza e i filtri di preferenza non costituiscono una verifica significativa dell’età. Il problema non è l’esistenza dei contenuti per adulti; il problema è collocarli all’interno di una piattaforma di giochi di massa utilizzata dai minori e poi fingere che un filtro di facciata faccia scomparire il rischio. Se Gabe Newell, la dirigenza di Valve o i suoi fornitori di servizi di assistenza desiderano una piattaforma dedicata ai contenuti per adulti, dovrebbero gestirne una in modo aperto e separato, anziché costringere ogni editore di videogiochi a condividere lo stesso spazio commerciale con essa.

I titolari dei diritti dovrebbero inoltre spiegare perché accettano tale vicinanza. Un gioco per famiglie, un titolo per bambini o una pubblicazione mainstream può trovarsi a una sola raccomandazione o a un solo risultato di ricerca di distanza da materiale esplicito, mentre Valve incassa denaro da entrambi. Gli editori spendono fortune per proteggere i propri marchi, eppure sembrano disposti a ignorare ciò che circonda tali marchi all’interno di Steam. La proprietà privata non rende questa situazione responsabile, e il dominio del mercato non la rende inevitabile.

I principi di moderazione di Valve risultano ancora più difficili da difendere se confrontati con la sua risposta alla censura statale russa. Nel 2024, Roskomnadzor ha annunciato che Steam aveva rimosso tutto il materiale richiesto dall’agenzia e che, di conseguenza, 11 URL di Steam sarebbero stati rimossi dal registro russo delle informazioni vietate. Nel 2025, Steam ha rimosso del materiale dalla pagina di un gioco riservato agli adulti a seguito di un’altra richiesta di Roskomnadzor riguardante la cosiddetta «propaganda» LGBT. Si è trattato di censura politica applicata persino a un’opera riservata ai maggiori di 18 anni, non di protezione di un minore che avesse aggirato un filtro di età. Valve è in grado di conformarsi a un elenco di censura russo, eppure in qualche modo rimane impotente quando le viene chiesto di proteggere gli utenti da abusi legati all’origine nazionale, da canali illegali di gioco d’azzardo o dall’esposizione predatoria a contenuti per adulti. Si tratta di una scelta di priorità, che solleva un’ovvia questione relativa alla libertà di espressione.

Valve non ha inoltre rilasciato alcuna dichiarazione pubblica in merito all’invasione russa dell’Ucraina, a differenza delle aziende che hanno sospeso le operazioni o hanno apertamente sostenuto l’Ucraina. La sua struttura azionaria privata non richiede quel tipo di informativa agli investitori che ci si aspetterebbe da una società quotata in borsa, pertanto gli osservatori esterni non possono esaminare appieno quali interessi vengano tutelati. Ciò che rimane evidente è uno straordinario attaccamento a un mercato a prezzi più bassi, associato a frodi su scala industriale, gioco d’azzardo, furti di account e servizi di elusione delle sanzioni. Forse il motivo diventerà più chiaro se Steam dovesse mai accettare un collegamento con l’identità Gosuslugi.

La vicenda relativa all’esternalizzazione segue lo stesso schema di opacità. Valve stipula contratti con le aziende, non con i singoli addetti all’assistenza presentati agli utenti. Secondo una fonte primaria e materiali esaminati da PhishDestroy, una persona collegata al precedente scandalo relativo al furto di beni di alto valore non è scomparsa dal ristretto ecosistema dei fornitori di servizi di assistenza: si è semplicemente trasferita presso un’altra agenzia. In seguito ha affermato di non lavorare per Steam e di non sapere che l’account fosse collegato a Steam. Eppure le tracce riconducevano in Irlanda, alla stessa persona e nuovamente a Steam. Questo caso dovrebbe essere oggetto di indagine in quanto fallimento dell’outsourcing e del controllo degli accessi; non viene qui presentato come un giudizio penale. Valve dovrebbe rendere noto quali agenzie possono accedere ai sistemi degli account, in che modo il personale viene sottoposto a nuovi controlli quando passa da un fornitore all’altro e se una persona rimossa da un appaltatore possa semplicemente riapparire tramite un altro.

Il Vietnam ha già dimostrato che lo status di società privata di Valve non la pone al di sopra della legislazione nazionale. Steam è stato bloccato in quel Paese dopo che le autorità hanno affermato che Valve non aveva collaborato. Il Vietnam esiste. Il diritto dell’Unione Europea esiste. Ogni giurisdizione in cui Valve genera profitti esiste, anche quando Valve si comporta come se contasse solo «un qualsiasi tribunale in Russia». E se la teoria è che Steam possa operare dove vuole, in base a qualsiasi accordo occulto desideri, senza alcuna responsabilità significativa, forse dovremmo porre direttamente questa domanda assurda: esiste anche uno Steam speciale per la Corea del Nord che nessuno ha ancora rivelato?

Questi sono fatti accertati: il team di assistenza è russo e tale team ha ripetutamente sottratto o ceduto informazioni a terzi al fine di ripristinare l’accesso ad account inattivi per appropriarsene a scopo di lucro.

Sono quindi certo che informarLa della fuga dei Suoi dati non significhi assolutamente nulla per loro, soprattutto con un ritardo così ingente (stavano aspettando al 100% la risposta di Taylor Wessing; è un miracolo che non abbiano aspettato tre settimane).

Non l’ho mai fatto prima d’ora, non ho mai incitato né provocato nessuno a compiere alcuna azione, e non vorrei farlo nemmeno ora. Ma questa è esattamente la situazione che Steam desidera. Ritengono che esercitare pressioni aperte e discriminare gli utenti dell’UE sia del tutto accettabile, e che Taylor Wessing risolverà semplicemente ogni questione minacciando apertamente le persone in merito alle richieste relative al GDPR. Questa è la mia opinione, la mia esperienza e le informazioni provenienti da una fonte primaria di cui mi fido.

In ogni caso, presentare un reclamo richiede solo pochi clic. Forse allora Steam imparerà finalmente a rispettare le leggi straniere — e non solo quelle di «qualsiasi tribunale in Russia». Forse smetterà finalmente di fingersi all’oscuro, fingendo di essere completamente incapace di bloccare i domini di autorizzazione dei siti di gioco d’azzardo illegali. Invece della realtà che abbiamo ora: tutti sono in combutta tra loro — i proprietari russi dei casinò per bambini e il personale di supporto che, su Lolzteam, discute su come effettuare attacchi di forza bruta agli account.

PhishDestroy continuerà a monitorare, indagare e denunciare. L’economia sommersa verrà portata alla luce.

Sono certo che la comunicazione con i rappresentanti di Valve si rivelerà un’esperienza interessante. Se dovesse trattarsi di Taylor Wessing, è del tutto normale che la trattino con sufficienza, la minaccino e cerchino di guadagnare tempo: è il loro lavoro. In generale, sono noti soprattutto per una causa per molestie sessuali intentata contro il loro stesso studio legale, e non per molto altro. Ah, giusto: le aziende con fin troppo denaro li assumono appositamente per logorarla, pagando loro una tariffa oraria esorbitante.