Valve guadagna grazie a oltre 70 milioni di account Steam rubati

Un rapporto investigativo esclusivo a cura di PhishDestroy Research

Chi è PhishDestroy per sfidare la macchina aziendale di Valve? Da dove provengono i nostri dati sui loro tanto decantati avvocati europei — proprio quelli la cui reputazione è stata macchiata da cause legali interne per molestie sessuali? Amano ostentare il loro status e la loro «storia secolare», ma la loro memoria si svuota opportunamente quando si tratta delle origini della loro filiale tedesca. Cancellano opportunamente dalla loro cronaca aziendale il fatto che il fondatore del loro studio fosse un nazista convinto e un membro del Reichstag di Hitler — un ingranaggio di un sistema che mandava le persone gay nei campi di concentramento.

Ma basta con la storia. Torniamo alla realtà tecnica. Questi «avvocati d’élite» dimostrano assoluta incompetenza nell’elaborazione delle richieste relative al GDPR: semplicemente non sanno come oscurare correttamente le informazioni riservate dai documenti. Non si tratta di un errore di uno stagista. Si tratta di una prova diretta del fatto che non hanno mai rispettato le procedure di divulgazione dei dati, preferendo respingere le richieste con minacce e intimidazioni legali.

1. La genesi di PhishDestroy: distruggere l’infrastruttura C2 invece dei bug bounty

Tra il 2018 e il 2021, l’ecosistema di Steam ha vissuto un boom di spam incontrollato. Il nome “PhishDestroy” non esisteva ancora, ma siamo stati noi a gettare le basi per il lavoro antifrode all’interno di Steam. Non ci stiamo attribuendo meriti: stavamo semplicemente facendo il lavoro sporco che l’azienda si rifiutava di fare. Dal momento della nostra nascita ad oggi, distruggiamo le infrastrutture dei truffatori su scala industriale.

All’epoca, abbiamo portato il numero delle nostre segnalazioni confermate su Netcraft [1] a una cifra compresa tra 5.000 e 10.000. Date le specificità della piattaforma, il numero reale di segnalazioni generate era almeno dieci volte superiore. Netcraft richiedeva prove inoppugnabili di phishing. Perché? Perché Valve si rifiutava categoricamente di collaborare sia con i fornitori di sicurezza che con le iniziative anti-truffa. Alcune segnalazioni semplicemente si arenavano nel percorso prima di essere elaborate. Le campagne di phishing persistenti — specialmente le risorse nascoste dietro tecniche di cloaking aggressive — richiedevano la registrazione di prove video e un’escalation parallela attraverso i dipartimenti anti-abuso di Cloudflare [2].

Abbiamo individuato la truffa e l’abbiamo smantellata. Non per salvare utenti ingenui. Abbiamo bloccato le risorse al solo scopo di infliggere danni finanziari e infrastrutturali ai phisher. Se il settore aziendale pensa che stessimo bruciando i server dei truffatori per un iPad del programma Reporter Prizes di Netcraft [1] — si sbaglia. Siamo sempre stati un’operazione rigorosamente non commerciale. Il nostro rifiuto di principio di donazioni e ricompense è una dichiarazione della nostra indipendenza e della nostra fedeltà esclusivamente al processo di distruzione.

2. Complicità e monetizzazione: come Valve trae profitto dal phishing

In quegli anni, la “sicurezza” di Steam si basava su 50 volontari. Eravamo in contatto con uno di loro — un bielorusso che si faceva chiamare Colt. Era l’unico a cercare di bloccare i link dannosi che inondavano la piattaforma. La vittima ideale: i bambini. Il complice ideale: Valve.

L’azienda non si è limitata a chiudere un occhio sul phishing: ne traeva un interesse finanziario. I nostri dati dimostrano direttamente l’implementazione di un cinismo algoritmico: la probabilità che un bot truffaldino venga bloccato dipende direttamente dal valore dell’inventario rubato. Dal 2021, in seguito all’introduzione dei blocchi sugli scambi, il furto di una skin del valore di 2.000 dollari o più garantisce una probabilità di quasi il 90% che l’account del truffatore venga bannato.

Ma ecco il dettaglio di cui nessuno parla: il ban non va a vantaggio della vittima. Le risorse vengono congelate sull’account bannato, tornando di fatto nell’economia di Valve. L’azienda si appropria di profitti inaspettati con il pretesto di combattere le frodi. E questo non vale solo per CS: le truffe prosperano anche in Team Fortress e in altri titoli, dove i ban vengono applicati in modo più aggressivo solo grazie all’attività della community e agli sforzi mirati dei singoli moderatori.

3. Abuso della logica aziendale: Steam come scena del crimine digitale

Abbiamo il diritto di analizzare pubblicamente la complicità di Valve nel settore delle truffe, perché abbiamo visto la loro architettura marcia dall’interno. All’inizio del nostro lavoro, abbiamo cercato di interagire con l’assistenza. Abbiamo creato ticket e allegato domini che portavano direttamente a pagine di destinazione di phishing. Sapete cosa ha risposto l’assistenza esternalizzata in lingua russa?

«Ci è vietato seguire i link. Se inviate nuovamente un link, vi bloccheremo l’account.»

Questa non è una politica di sicurezza. È occultamento di prove.

La stragrande maggioranza degli attacchi di phishing è stata diffusa all’interno della piattaforma stessa. Steam è un ecosistema chiuso, ideale per condurre attacchi di tipo «Business Logic Abuse». Gli utenti non avevano nemmeno bisogno di uscire dal client. Gli aggressori hanno utilizzato il browser integrato in modalità Big Picture. I vettori di attacco erano primitivi ma efficaci: messaggi personali, commenti, nomi utente infetti che trasportavano spam non unico del tipo «ciao fratello, partecipa al giveaway, link per il coltello gratuito, usa il codice GABEN».

È stato proprio il client di Steam a veicolare il phishing, a compromettere l’account e a facilitare il furto delle skin. L’azienda ha creato uno strumento che ha divorato i propri utenti e si è rifiutata di controllarlo.

4. Miliardi per 79 persone: l’anatomia dell’avidità di Valve

La portata di quel profitto e il livello di cinismo aziendale sono diventati chiari solo dopo la massiccia fuga di dati del 2024 [3].

I documenti hanno rivelato una verità scioccante: nel 2021 l’intera azienda impiegava esattamente 336 persone [3]. E a lavorare direttamente sulla piattaforma Steam — un monopolio globale che genera miliardi di dollari di ricavi — c’erano solo 79 persone [3]. Valve non sta semplicemente risparmiando sul personale. I documenti interni mostrano che si vantano del fatto che il loro profitto per dipendente superi quello di Google, Amazon e Microsoft.

Queste cifre non sono solo un caso aziendale. Si tratta della prova matematica di un assoluto disinteresse per la sicurezza. Una piattaforma che serve centinaia di milioni di utenti non può fisicamente garantire protezione con 79 persone.

5. Lolzteam e l’economia sommersa dei profili rubati

La favola di Valve va così: «È colpa dell’utente se è stato hackerato». La realtà è ben diversa: Valve ha dato vita all’infrastruttura delle truffe, non l’ha mai combattuta e mantiene deliberatamente un vasto settore sommerso dell’economia rivolto principalmente ai paesi della CSI e alla Cina. Il motivo è semplice: mantenere il pubblico, compensare la pirateria e ricettare beni rubati.

Diamo un’occhiata alle cifre del mercato nero che Valve si rifiuta di vedere. La piattaforma LZT Market (Lolzteam) è l’epicentro della vendita di account rubati. Diamo un’occhiata a un’istantanea in tempo reale degli annunci: in questo momento il mercato conta 578.465 account Steam in vendita [4]. Di questi:

Il danno minimo stimato derivante dai soli account senza limite di spesa supera i 630.000 dollari in questo preciso momento. Ma la cifra reale delle transazioni è centinaia di volte superiore.

Ed ecco che emerge un certo Nikita — una persona che, secondo quanto riferito, avrebbe supervisionato per molti anni l’outsourcing dell’assistenza Steam in lingua russa (non affiliata all’ufficio irlandese). Il suo account era registrato direttamente sulla piattaforma Lolzteam. Perché? Per monitorare grandi inventari e bloccarli? Per raccogliere dati analitici?

Anche se fosse così, bloccare i profili rubati non richiede la registrazione su forum clandestini. LZT Market utilizza un’API pubblica. Valve può chiaramente vedere le richieste massicce e identiche: cambi di password, disconnessioni dalle e-mail, strumenti automatici di verifica dell’inventario e di convalida degli account. Tutte queste provengono dagli indirizzi IP di note farm di proxy.

Il modello comportamentale di un account rubato messo in vendita sul mercato risalta nei log di Valve come un albero di Natale. Ma l’azienda preferisce chiudere un occhio.

6. Entità della catastrofe: decine di milioni di dollari fuori bilancio

Valve non pubblica rapporti sui mercati neri, ma i conti sono spietati. Gli ID degli oggetti sul mercato LZT (ad es. item_id 252853378 [4]) mostrano che oltre 250 milioni di lotti sono passati attraverso la piattaforma. Di questi, la categoria Steam ha storicamente rappresentato il 30-40%.

Ciò significa che, nel corso della storia della piattaforma, sono passati attraverso di essa tra i 75 e i 100 milioni di account Steam. Lo stesso profilo rubato può essere rivenduto decine di volte, generando una catena infinita di transazioni fino a quando non viene bandito definitivamente.

Ogni giorno, secondo stime prudenti, nella categoria Steam vengono effettuate circa 25.000 transazioni — dalle registrazioni automatiche a basso costo agli account ottenuti tramite phishing di alto valore. Con un prezzo medio di transazione compreso tra 150 e 200 rubli, questa categoria da sola genera un fatturato giornaliero compreso tra 3,5 e 5 milioni di rubli. Il volume annuale del mercato sommerso legato a Steam, solo su questa piattaforma, raggiunge decine di milioni di dollari. Il mercato trattiene la propria commissione (8-9%), i truffatori incassano profitti eccezionali e gli utenti perdono denaro.

E cosa fa Valve? Valve calcola i profitti in base ai suoi 79 dipendenti e continua a fingere che non stia succedendo nulla.

7. La legalizzazione del furto e il «Crypto Laundromat» di Steam

Guardate l’ecosistema che si rifiutano di riconoscere. L’infrastruttura per la vendita di account rubati su Lolzteam non si nasconde nel dark web. Accetta apertamente pagamenti tramite bot di criptovalute (Telegram, Binance [28], Bybit [28], Gate [28]), carte bancarie russe e persino PIX o Alipay. Su ogni transazione viene addebitata una commissione. Una mole enorme di dati riservati, tra cui corrispondenza e informazioni personali di cittadini statunitensi ed europei, passa attraverso questi canali.

E cosa fa Steam? Invia un’e-mail relativa a una modifica delle credenziali. Se un account viene rubato a un bambino (che costituisce il pubblico principale delle industrie di cheat in CS:GO e PUBG), la piattaforma si limita a stare a guardare mentre sul profilo viene applicato un ban VAC permanente. Valve dispone di tutti i dati di telemetria tecnica: rileva i modelli relativi agli indirizzi IP, all’hardware e alle variazioni delle metriche comportamentali. Potrebbe impedire il furto in tempo reale. Ma non fare nulla e aspettare che la vittima crei un nuovo account e riacquisti i giochi — questo non è un caso; si tratta di un modello di business approvato.

Per inciso, il mercato sommerso stesso ha smesso da tempo di essere un «club di hacker indipendenti». Il forum su cui si basa questa infrastruttura è di fatto controllato da strutture vicine al governo russo, con cui Steam sembra coesistere piuttosto comodamente. Cinque decisioni di Roskomnadzor [23] volte a bloccare la risorsa sono state ignorate o impugnate con successo in un campo giuridico invisibile: traete le vostre conclusioni.

7a. Valuta fiat digitale: perché le skin di Steam non sono oggetti di gioco, ma una rete di pagamento senza licenza

Valve ha trascorso anni a costruire una finzione giuridica: quella secondo cui le skin sarebbero solo “pixel di gioco” privi di valore nel mondo reale. Questa finzione crolla di fronte alla più elementare analisi di come il denaro circoli effettivamente attraverso la loro piattaforma.

8. L’economia della catastrofe: Steam come fondamento del mercato nero

Si potrebbe obiettare che mercati come questo non vendono solo Steam. È vero: vi si scambiano anche profili di World of Tanks (~340k), Fortnite (~140k), TikTok e Discord. Ma Steam è storicamente il fondamento e il motore principale di questo settore. Gli inventari e gli account di Valve creano domanda per i programmi di furto di informazioni. Se Steam avesse implementato misure antifurto rigorose, lo sviluppo di tali programmi diventerebbe semplicemente economicamente insostenibile.

Un dettaglio importante: gli account rubati esclusivamente tramite file SSFN non vengono quasi mai messi in vendita sul mercato. Gli autenticatori mobili hanno complicato la presa di controllo completa dell’account. Tuttavia, i file SSFN forniscono agli aggressori una sessione attiva, una lista di contatti e la possibilità di inviare phishing in massa o di integrarsi nelle botnet. E se l’account è davvero prezioso, entra in gioco l’assistenza esternalizzata di Steam. I truffatori creano chiavi di attivazione false, scrivono all’assistenza e dipendenti incompetenti (o corrotti) trasferiscono il costoso inventario a un nuovo indirizzo. Ciò ha dato origine a un’intera categoria di “Account recuperati”: profili che l’assistenza esternalizzata di Valve ha di fatto rubato e riciclato per conto dei criminali.

9. Il mito della duplicazione e della confisca occulta dei beni

Steam ama nascondersi dietro la lotta al “duping” (duplicazione degli oggetti) per giustificare il rifiuto di restituire gli oggetti rubati. Questa è una bugia sfacciata. L’era del “duping” è terminata nel 2014. Con l’introduzione del blocco delle transazioni di 7 giorni nel dicembre 2015 [14] (e il suo successivo inasprimento), la logistica del furto è diventata interamente lineare: Vittima -> bot del truffatore (blocco di 7 giorni) -> mercato nero.

Dov’è la duplicazione in tutto questo? Se un truffatore ha ingannato una vittima e le ha sottratto una skin rara, questa rimane sul bot. Valve banna quel bot. E poi? L’oggetto non torna alla vittima. Rimane congelato in modo permanente nell’inventario del bot bannato. Valve rimuove il bene dalla circolazione, creando una scarsità artificiale di oggetti rari, il che fa aumentare direttamente i prezzi sul marketplace e accresce i ricavi da commissioni dell’azienda.

Questa non è giustizia. È una confisca occulta. Nei sistemi finanziari (come quelli che coinvolgono l’USDT), i fondi bloccati vengono restituiti al legittimo proprietario tramite un meccanismo di chargeback. Steam sa perfettamente come funziona un chargeback quando si tratta di ricaricare il proprio saldo con carte sospette: blocca immediatamente quelle transazioni. Ma quando a un utente viene rubato un oggetto del valore di 5.000 dollari, Steam se ne lava le mani. Chiude i ticket, minaccia la cancellazione dell’account e si rifiuta di stornare quella singola transazione fraudolenta, dimostrando che il suo obiettivo principale è appropriarsi del bene a proprio vantaggio.

9a. Cecità forzata: come Valve nasconde centinaia di milioni in beni confiscati

La scusa di Steam di «combattere la duplicazione» è destinata a fallire fin dall’inizio. L’ultimo exploit confermato relativo alla duplicazione degli oggetti è stato corretto nel 2014. Ogni operazione di ban e congelamento da allora ha seguito un percorso lineare di furto — Vittima → Bot truffaldino → Mercato → Inventario congelato di Valve — senza alcuna giustificazione economica per la ritenzione permanente dei beni. L’unico beneficiario del congelamento è la stessa Valve, grazie all’aumento dei prezzi degli oggetti, alle commissioni gonfiate e all’eliminazione permanente di qualsiasi responsabilità legale per ciò che è accaduto alla proprietà.

10. Un terreno di prova per le truffe globali

PhishDestroy tiene traccia delle truffe dal 2018. Ne conosciamo i meccanismi interni. Steam è diventato il principale incubatore per i criminali informatici. Gli adolescenti di età compresa tra i 14 e i 19 anni che hanno iniziato con primitive tecniche di forza bruta e la distribuzione di programmi di furto tramite falsi server TeamSpeak sono cresciuti. Oggi quelle stesse persone utilizzano le tecniche che hanno perfezionato per attaccare il settore Web3 (Uniswap) [26] e le reti aziendali.

Valve ha cresciuto questa generazione. Il suo rifiuto di punire, la sua cecità e la sua avidità hanno dimostrato ai truffatori minorenni che rubare è sicuro. E l’outsourcing in lingua russa, che gioca a fare giustizia e infligge ban permanenti senza spiegazioni (nascondendosi dietro la segretezza degli algoritmi VAC), non fa che rafforzare questa impunità.

10a. Il caso Twitch: cosa succede quando una piattaforma decide davvero di reagire

Valve sostiene che combattere il phishing su larga scala sia impossibile. Il confronto con Twitch dimostra che si tratta di una bugia.

Questo confronto smonta l’ultima difesa che Valve potrebbe ancora addurre: che il problema sia troppo vasto e in rapida evoluzione per essere combattuto su larga scala. Twitch ha dimostrato che un’azione decisa e mirata da parte della piattaforma è in grado di indebolire e smantellare sofisticate operazioni di truffa nel giro di pochi mesi. Steam ha avuto a disposizione gli stessi strumenti, maggiori risorse e un interesse finanziario diretto nella protezione dei titolari degli account — per oltre un decennio. La scelta di non agire è sempre stata una scelta.

11. Prova di una cieca convenienza

Esiste un fatto inconfutabile che dimostra che Valve ha deliberatamente coperto i mercati neri. Per anni — sottolineiamo, anni — sui siti dei mercati ombra sono stati pubblicati link diretti e visibili a profili Steam rubati. Valve non aveva bisogno di indagini complesse. Uno script di dieci righe avrebbe potuto analizzare il database del mercato una volta al minuto e applicare un “Red Tag” (KT) agli account compromessi in attesa della verifica da parte del legittimo proprietario.

Questo non è avvenuto. Milioni di transazioni sono passate sotto la copertura di una «conveniente cecità». Solo di recente i mercati hanno iniziato a utilizzare proxy per i dati (tramite steam-preview) per nascondere i profili ai ricercatori indipendenti e aggirare le impostazioni sulla privacy. Ma la storia ricorda tutto. Valve avrebbe potuto distruggere questo mercato con un solo clic. Invece, ha scelto di trarne il massimo profitto.

12. Impronte digitali: perché il proxy dei mercati non salva Valve

Il più recente meccanismo difensivo dei mercati ombra — l’utilizzo di link proxy tramite Steam Preview — viene utilizzato da Valve come l’ennesima comoda scusa per la propria inazione. L’azienda finge che ora sia «più difficile» per loro identificare i profili rubati. Questa è una bugia assoluta. Per i sistemi di sicurezza di Valve, un account messo in vendita rimane trasparente come il vetro.

Identificazione tramite impronta digitale: il dump di anteprima del mercato pubblica apertamente le date e gli importi esatti degli acquisti (ad esempio, -2,85 EUR del 15 giugno 2026), la data esatta di registrazione e il saldo. Nel database di Valve non esistono fisicamente due account con una cronologia delle transazioni identica. Una semplice query SQL da parte del supporto individua questo profilo in pochi millisecondi, anche se un link diretto ad esso è nascosto dietro un proxy.

Anomalie API e modelli di intercettazione: per generare un’anteprima, il checker del mercato ombra interroga l’API di Steam. Sull’account stesso, in quel momento si innesca una caratteristica reazione a catena: cambio di email, reimpostazione della password, ricollegamento di Steam Guard e una richiesta simultanea di valutazione dell’inventario, il tutto compresso in pochi minuti. Tutto ciò avviene dagli indirizzi IP di note farm di proxy.

13. L’evoluzione dell’intercettazione: da SSFN a Pass-the-Cookie e JWT

Il crimine più grave di Valve non è il furto di skin. È la loro consapevole facilitazione della diffusione di software dannoso e il finanziamento di botnet globali attraverso le vulnerabilità della propria architettura.

Per molto tempo, il vettore principale per l’intercettazione delle sessioni è stato rappresentato dai file SSFN [27]. Oggi il settore ha fatto passi avanti: gli attacchi si sono spostati sul dirottamento dei cookie delle sessioni web e dei token JWT (JSON Web Tokens) [21]. L’architettura delle truffe è diventata più sofisticata: gli aggressori hanno imparato a convalidare questi token localmente, senza inviare richieste dirette ai server di Steam, rendendo tali attacchi invisibili ai primitivi sistemi antifrode di Valve, supponendo che tali sistemi non siano configurati per un monitoraggio rigoroso (e non lo sono).

Il meccanismo tecnico funziona come segue:

Fase 1. L’infrastruttura di fiducia come catena di montaggio gratuita: poiché un singolo token rubato è spesso insufficiente per sbloccare completamente un account protetto, gli aggressori sfruttano una risorsa diversa dalla sessione ottenuta: la fiducia. Uno script ottiene l’accesso alle chat della vittima e invia link di phishing o programmi di installazione di virus all’intera lista dei contatti. Steam mette gentilmente a disposizione degli hacker la propria infrastruttura P2P interna come motore perfetto e gratuito per l’espansione esponenziale delle botnet.

Fase 2. Negligenza criminale (ignorare l’UEBA): che si tratti di un SSFN obsoleto legato a un hardware specifico o di moderni cookie di sessione, Steam rileva il 100% delle anomalie. Quando un token emesso legittimamente per un PC, ad esempio a Mosca, avvia improvvisamente un’attività da un server dedicato tedesco, qualsiasi azienda normale (prendiamo Google, ad esempio) interromperebbe immediatamente la sessione e emetterebbe un allarme rosso: «Sessione compromessa. Il tuo PC è infettato da un infostealer». Steam non lo fa. Consente al bot di passare in rassegna l’intera lista degli amici, infettando centinaia di nuovi computer.

Fase 3. Danno globale (collasso aziendale): è qui che risiede la principale minaccia per l’intero Internet. Poiché Steam non avvisa l’utente dell’intercettazione della sessione, la persona continua a utilizzare il proprio computer compromesso. Se fosse arrivato un avviso, avrebbe immediatamente cancellato il sistema operativo. Ma Steam rimane in silenzio. Quella stessa persona, su quello stesso PC infetto, continua ad accedere alla VPN aziendale, alla posta elettronica di lavoro e ai portafogli di criptovalute.

Ignorando le anomalie relative all’intercettazione delle sessioni, Steam non si limita a consentire il furto di pixel all’interno del gioco. Sta nascondendo all’utente il fatto che sul suo sistema sia in esecuzione un programma di furto di informazioni. Questa cecità aziendale porta direttamente a massicce violazioni dei dati aziendali e alla compromissione delle infrastrutture, con danni che ammontano a milioni di dollari.

Fase 4. Smascherare la menzogna: i dati degli avvocati

Valve si nasconde spesso dietro l’affermazione di non avere presumibilmente «alcuna capacità tecnica» per tracciare complesse catene di furti, o che «la colpa è dell’utente» per la compromissione. Ma il caso dei documenti impropriamente oscurati dai loro avvocati europei (Taylor Wessing) [9], che abbiamo scoperto, dimostra il contrario.

Nei dati non censurati relativi alle richieste ai sensi del GDPR [10], abbiamo visto chiaramente che Valve registra assolutamente tutto. Raccoglie dati telemetrici approfonditi su hardware, indirizzi IP, cronologie dei cambi di dispositivo e modelli comportamentali. Sa nel momento stesso in cui un account viene dirottato. Rileva l’esecuzione di software di furto di informazioni e di invio di spam. Dispone di tutti gli strumenti per il blocco automatico e l’emissione di un Red Tag. La sua inazione è una scelta aziendale consapevole.

Fase 5. Motivi reali: perché questo va a vantaggio di Valve

La menzogna sulla “impossibilità tecnica” nasconde un freddo calcolo economico.

Ottimizzazione dei costi di assistenza tramite script: bloccare una sessione sospetta significa ricevere un ticket da un utente che deve essere elaborato. È più redditizio ignorare semplicemente l’incidente. Steam si basa su una logica di scripting primitiva che i truffatori conoscono perfettamente e sfruttano. Il personale dell’assistenza in lingua russa probabilmente legge questi algoritmi, ma non per correggere le vulnerabilità. L’emissione di un Red Tag non richiede ore di lavoro se l’algoritmo è configurato correttamente. In precedenza, un Red Tag poteva essere rimosso automaticamente simulando il ripristino da un nuovo IP tramite una VPN. Ora, i tempi di elaborazione dei ticket vengono deliberatamente allungati per scoraggiare gli utenti dal contattare l’assistenza. E la possibilità per un addetto all’assistenza di chiudere unilateralmente un ticket irrisolto è l’apice del cinismo aziendale.

Il ciclo del denaro: un account dirottato che ha esaurito la propria lista di amici con lo spam finirà per ricevere un ban VAC o un ban dalla community. La vittima (o i suoi contatti ingannati) registra un nuovo account e acquista nuovamente gli stessi giochi. L’azienda ricava un doppio guadagno da un singolo utente.

Simbiosi con il mercato nero: più account vengono rubati, più velocemente girano gli ingranaggi di LZT Market e di altre piattaforme di scambio tra hacker. Questa attività sommersa, paradossalmente, alimenta il coinvolgimento di un vasto pubblico (soprattutto nelle regioni in cui l’industria dei cheat prospera). E qualsiasi transazione successiva che coinvolga skin rubate garantisce comunque a Valve la sua legittima percentuale di commissione.

14. Commercio di vite: cosa vende realmente Steam per 2 dollari

Valve sostiene di avere a cuore la privacy. Ma cosa riceve effettivamente un hacker che ha acquistato sul mercato un profilo dirottato per un paio di dollari? Steam non gli mostrerà il numero completo della carta di credito, ma gli fornirà qualcosa di gran lunga più prezioso ai fini del social engineering.

Con una sessione attiva (SSFN, cookie o JWT), un hacker può estrarre l’indirizzo di fatturazione salvato con pochi clic: il vero nome, cognome, città e codice postale della vittima. Attraverso il pannello dati integrato di Steam, ottiene accesso alla cronologia degli indirizzi IP e ai collegamenti ad altre piattaforme (Twitch, Xbox). E se si esamina la cronologia dei ticket di assistenza, si trovano archivi di ricevute bancarie non oscurate e foto delle chiavi di attivazione dei dischi fisici che gli utenti hanno inviato per la verifica.

Ma l’aspetto più allarmante sono i log delle chat. Si vede come Valve abbia conservato con cura per anni archivi non crittografati di corrispondenza personale. In quegli archivi, gli adolescenti lasciano link ai loro veri account sui social media, condividono i propri problemi, inviano password per server locali e indirizzi IP di casa. Rifiutandosi di reimpostare immediatamente le sessioni dirottate e coprendo chi ruba informazioni, Steam mette di fatto in bella mostra le storie di vita e la sicurezza digitale degli utenti nelle vetrine dei mercati sommersi.

14a. Il “Digital Dossier” da 1,60 dollari: come Steam vende le vite dei bambini ai mercati sommersi

Quando Valve parla di sicurezza degli account, si riferisce al valore dell’inventario. Ma il vero prezzo di un profilo rubato non si misura in pixel. Per milioni di adolescenti, Steam non è un negozio: è il loro principale social network. Contiene i loro successi, i loro segreti, le loro relazioni e i loro primi amori.

Quando un hacker ruba un account e lo mette con noncuranza in vendita su LZT Market per 150 rubli (circa 1,60 dollari), l’acquirente non ottiene solo l’accesso ai giochi. Riceve un archivio non crittografato della vita di un ragazzo.

16a. Analisi industriale: l’Open API di Valve come piattaforma per l’individuazione delle vittime

Come facevano i truffatori a sapere chi prendere di mira? Come hanno fatto i bambini a diventare vittime su scala industriale? Perché Valve ha lasciato le porte del proprio database spalancate.

15. «Efficienza» costruita sulle lacrime dei bambini: il modello di business dell’indifferenza totale

Valve ama vantarsi delle proprie analisi finanziarie: centinaia di milioni di dollari di profitto per poche decine di dipendenti dello store. Agli occhi dell’industria tecnologica, Gabe Newell appare spesso come un genio dell’ottimizzazione. Ma togliamoci gli occhiali colorati di rosa e chiamiamo le cose con il loro nome: questa “efficienza” è stata ottenuta al prezzo di un rifiuto assoluto e cinico di garantire la sicurezza dei propri utenti.

A differenza delle società quotate in borsa (come Roblox o Tencent), la cui capitalizzazione di mercato crolla all’istante al minimo scandalo riguardante la sicurezza dei minori o le violazioni dei dati, Valve, essendo un’azienda privata, non deve rendere conto a nessuno. Non ha un consiglio di amministrazione. Non ha bisogno di rassicurare gli investitori istituzionali. Ha creato una vera e propria macchina da stampa ideale, in cui l’assenza di investimenti nei reparti Trust & Safety e antifrode si traduce direttamente in miliardi personali per il management.

Il prezzo di questa “iper-ottimizzazione” è costituito da milioni di account dirottati, corrispondenza personale di adolescenti trapelata su Internet, un fiorente mercato nero e la totale impunità per i truffatori. Valve non si limita semplicemente a “non accorgersi” dei truffatori. Per loro è economicamente vantaggioso non fare nulla al riguardo.

16. API di Steam: un kit aziendale per gli hacker

Analizziamo la menzogna di Valve sulla sua presunta incapacità di controllare i furti. Se lo volessero, qualsiasi addetto all’assistenza potrebbe recarsi su un mercato nero, prendere un link a un account Steam in vendita e controllare nei propri log di server esattamente quale chiave API e da quale indirizzo IP si sta valutando in quel momento l’inventario di quel profilo per generare un dump sul forum.

Valve vedrebbe una rete di proxy e centinaia di chiavi API. Probabilmente la maggior parte di esse è stata ottenuta da account rubati in precedenza. Cosa dovrebbe fare l’azienda? Revocare le chiavi compromesse. Ma Steam non lo fa. Perché? Forse perché teme di intrappolare nella rete servizi “legittimi”: roulette, casinò illegali che aprono casse o marketplace di terze parti dove i pixel vengono scambiati con criptovalute senza procedure antiriciclaggio. L’intero ecosistema esiste in una zona grigia, generando un traffico massiccio senza essere tassato. E a Valve questo va benissimo.

I Termini di servizio di Steam vietano esplicitamente qualsiasi forma di automazione. Sorge quindi una domanda ragionevole: perché l’API ufficiale di Steam contiene funzioni ideali per il dirottamento automatizzato degli account (che richiede millisecondi) o il collegamento di massa di autenticatori mobili?

Perché Steam permette che i numeri virtuali (VoIP) provenienti da servizi di attivazione via SMS vengano collegati in massa agli account? La soluzione per filtrare tali numeri è banale: le normali ricerche nell’HLR utilizzate da qualsiasi servizio standard. Ma Steam non lo fa. Forse, nella ricerca di cifre impressionanti relative al «record di utenti online» di cui amano vantarsi, le "bot farm" rappresentano per loro un vantaggio?

Quando un utente riceve un ban VAC [15] per aver barato, il ban colpisce tutti gli account collegati allo stesso numero di telefono. Ma quando centinaia di account vengono dirottati da un pool specifico di numeri VoIP, Valve non blocca quei numeri. Qualsiasi servizio normale (Telegram, Netflix, Apple, Google) blocca i numeri di telefono spam o compromessi. Ma per Valve, «sicurezza» è una parola vuota.

17. Cecità volontaria: uno scudo legale fatto di ipocrisia

Valve ha creato un ecosistema in cui la violazione delle regole (automazione, uso di VPN, farming, utilizzo di bot) è una condizione fondamentale per la sopravvivenza della piattaforma. Fornisce agli hacker un kit di strumenti perfetto (API aperta), chiude un occhio sui numeri virtuali, ma mantiene accuratamente nelle regole un rigoroso divieto di tutte le attività sopra citate.

Non si tratta di semplice negligenza. Si tratta di cecità deliberata (Willful Blindness / Deliberate Ignorance), costruita come un perfetto scudo legale. Quando un’autorità di regolamentazione si rivolge a Valve, avvocati come quelli di Taylor Wessing [9] mostreranno i Termini di Servizio: «Guardate, noi vietiamo tutto!» E quando un adolescente derubato si rivolge a loro, usano quelle stesse Condizioni d’uso per negargli legalmente aiuto ed evitare di dedicare tempo a un’indagine.

18. La simbiosi tra servizi di intelligence, Steam e mercati degli hacker

Torniamo a LZT Market. Abbiamo già stabilito che a Steam non importa nulla di questa piattaforma. Ma c’è un altro aspetto interessante. Nel corso della sua esistenza, questo forum nell’ombra è sopravvissuto ad almeno tre cambi di gestione, che, secondo indicatori indiretti (ma molto evidenti), sono collegati alla ridistribuzione delle sfere di influenza tra determinati livelli di potere nella Federazione Russa.

Durante i periodi di cambio di gestione (ad esempio, durante l’era dell’amministratore Thomas), sul forum si sono verificate epurazioni radicali. Sono stati vietati gli schemi fraudolenti rivolti ai residenti russi (truffa Avito, anti-cinema), la diffusione di foto intime di minori con dati personali è stata severamente repressa, la vendita di account VKontakte è stata completamente eliminata e attualmente è vietata la vendita di account Telegram registrati con numeri russi. Il forum è chiaramente moderato per evitare di criticare i cittadini russi in modo troppo duro.

Ma la situazione con Steam è diversa. Il mercato vende ancora liberamente account Steam appartenenti a cittadini russi che sono stati infettati da programmi di furto. La descrizione dell’annuncio indica chiaramente: origine — stealer, paese — Russia, saldo — in rubli. Ciò significa che un utente russo è stato vittima di un virus che ha prosciugato non solo il suo account Steam ma anche, molto probabilmente, i suoi account e-mail e le credenziali di lavoro. E il forum lascia passare tutto questo senza problemi.

Sorge spontanea la domanda: Steam collabora con le stesse strutture che controllano questo mercato? O forse Valve potrebbe influenzare i propri “partner” in Russia per porre fine ai due pesi e due misure e vietare la vendita di account rubati appartenenti a cittadini russi? Perché al momento Steam e il mercato nero operano in perfetta simbiosi, come se avessero copiato a vicenda la politica dei due pesi e due misure e dell’ipocrisia.

19. L’anatomia delle truffe: da finte finestre di Windows a 300.000 dollari di profitto netto tramite Google Ads

Negli ultimi 5-8 anni, PhishDestroy ha analizzato minuziosamente praticamente ogni schema di truffa nell’ecosistema di Steam. Abbiamo visto programmi di furto di informazioni che sostituivano al volo le finestre di autenticazione, intercettavano messaggi SMS e svuotavano completamente gli inventari. Abbiamo osservato i meccanismi della sostituzione delle offerte di scambio (API Scam) che sono rimasti “inosservati” da Valve per anni. Inosservati… o troppo redditizi?

Abbiamo condotto analisi continue sui bot delle più grandi reti di phishing. Ecco un esempio: nel 2024, abbiamo registrato un afflusso massiccio tramite Google Ads [29]. I truffatori sostituivano l’URL visualizzato negli annunci con i domini originali di Steam. L’attività di acquisto era così aggressiva da superare le offerte pubblicitarie ufficiali, monopolizzando i primi risultati di ricerca.

Secondo i nostri calcoli, in pochi giorni di attività continua, il guadagno netto dei truffatori ammontava a circa 300.000 dollari. E questo tenendo conto dello sconto applicato alla vendita delle skin rubate sui mercati neri e dei ban minimi e puramente simbolici che Steam infliggeva di tanto in tanto. Sì, si tratta di cifre di picco determinate dalla situazione economica di quel periodo, ma resta il fatto: Steam è un’enorme fonte di guadagno.

E mentre il phishing è interessato quasi esclusivamente a CS e Dota (piuttosto che ad altri giochi), non vanno dimenticati Rocket League, Path of Exile, Rust e PUBG. Ma qui entra in gioco l’estorsione aziendale di Valve: rigide condizioni di NDA (Accordo di non divulgazione) che tutti gli sviluppatori sono tenuti a firmare. A uno sviluppatore non è consentito divulgare pubblicamente problemi di sicurezza, violazioni dei dati o vulnerabilità su Steam senza l’approvazione scritta di Valve. Anche se ciò minaccia direttamente i propri giocatori. Le bocche sono sigillate dal contratto.

20. Il caso BlockBlasters: un mese di cecità e la menzogna sullo “sviluppatore hackerato”

Il caso BlockBlasters non riguarda l’ignorare il furto di pixel — riguarda l’occultamento di veri e propri reati penali.

Ricordiamo il recente incidente con il gioco BlockBlasters [5], che ha ricevuto attenzione pubblica solo grazie al defunto streamer Raivo Plavnieks [6]. Si è trattato di un attacco mirato agli influencer: i truffatori hanno contattato gli streamer, acquistato spazi pubblicitari e chiesto loro di lanciare il gioco direttamente da Steam. La logica delle vittime era comprensibile ma fatale: «È lo store ufficiale di Valve — lì dentro non può esserci un ladro vero e proprio». Quanto si sbagliavano.

Il supporto di Steam ha iniziato a ricevere segnalazioni con prove inconfutabili già dal 2 settembre. I ticket contenevano reclami relativi a ChainAbuse [7] riguardanti criptovalute rubate e prove dirette dell’API aperta di Telegram dei truffatori incorporata direttamente nel codice del gioco. Cosa ha fatto Valve? Ha aspettato. Per un mese. I giochi che rubavano criptovalute venivano scaricati tranquillamente dallo store.

E poi l’azienda ha tirato fuori una scusa che insulta l’intelligenza di qualsiasi professionista della sicurezza: «L’account dello sviluppatore è stato hackerato». Chiamiamo questa favola per quello che è: una bugia sfacciata per coprire la propria negligenza (o complicità).

Per pubblicare un gioco, uno sviluppatore deve superare la procedura KYC di Steam Direct [22]: pagare 100 dollari, fornire il proprio nome reale, indirizzo e dati bancari e fiscali. L’autore del reato non era un hacker anonimo proveniente dal dark web: le sue informazioni legali, compreso il modulo fiscale W-8BEN [8], erano presenti nel database di Valve.

Il mito di uno «sviluppatore vittima di un attacco hacker che per qualche motivo è rimasto in silenzio per 22 giorni» crolla di fronte all’architettura di Steamworks. Quando uno sviluppatore legittimo perde l’accesso alla console dell’editore, crea un ticket relativo al furto delle credenziali. I diritti di pubblicazione per aggiornamenti e build vengono bloccati nel giro di poche ore.

Restano solo due opzioni. O lo «sviluppatore» era fin dall’inizio un complice dei truffatori (il che significa che il tanto decantato KYC di Valve è una finzione), oppure Valve ha deliberatamente ignorato, per un mese intero, i tentativi disperati dello sviluppatore e di decine di vittime derubate di contattare l’assistenza, mentre un malware che rubava criptovalute veniva distribuito attraverso il proprio negozio ufficiale.

In entrambi i casi, Valve non si comporta come una vittima delle circostanze, ma come il principale complice di una rapina digitale.

21. Distruzione delle prove: come Valve ha ripulito la scena del crimine

Ma la parte più ripugnante del caso BlockBlasters è il finale: l’interferenza con una scena del crimine digitale.

Per la cronaca: Valve non ha cancellato il gioco infetto. La nostra analisi forense dell’infrastruttura C2 dimostra il contrario. Sono stati gli stessi truffatori a cancellare le build dannose dai server di Steam il 21 settembre — proprio quando le loro botnet su Telegram erano state rese pubbliche e le accuse penali stavano diventando una possibilità concreta. Hanno applicato una tattica della terra bruciata per coprire le loro tracce.

La dichiarazione di Valve sulle «misure di sicurezza adottate» è pura finzione e spudorata operazione di pubbliche relazioni. Hanno deliberatamente atteso che i criminali cancellassero il malware dai propri server, e solo allora hanno rimosso con calma la pagina dello store ormai vuota, attribuendosene il merito. Questo non significa risolvere un problema. Si tratta di complicità e ostruzione alla giustizia.

Valve non stava proteggendo gli utenti. Stava ripulendo la scena del crimine affinché gli agenti federali, muniti di un mandato di perquisizione per la distribuzione di infostealer attraverso i propri data center, non si presentassero nei loro uffici.

22. L’illusione dell’azione: limitare le funzionalità per risparmiare sui costi dei server

Quando Valve introduce alcune restrizioni (ad esempio, riducendo i limiti alle richieste di amicizia), gli utenti ingenui pensano che sia per motivi di sicurezza. Sciocchezze. Tutta questa storia dei limiti non riguarda la lotta alle truffe: si tratta semplicemente di risparmiare sulla capacità dei server.

Ricordiamo cosa ha dato il via all’apocalisse dello spam. Prima che comparisse il famoso script di sostituzione delle offerte di scambio, la piattaforma veniva abusata da automazioni primitive. Eserciti di bot con avatar femminili inviavano migliaia di link di phishing. Questo traffico spazzatura ha creato un’enorme domanda di account senza limiti. Stavamo monitorando i mercati sommersi: a causa di questo boom di spam, il prezzo di un account rubato senza limiti di spesa è schizzato da 25 rubli a un valore stabile di 150. E questa folle domanda di profili rubati è continuata fino al 2024!

Pensate che Steam abbia ridotto il limite di inviti da 100 a 30 per proteggervi dal phishing? Ripensateci. Valve registra tutto: ogni clic, ogni invito, ogni richiesta annullata. Le "farm" automatizzate dei truffatori generavano milioni di transazioni vuote al giorno, inquinando i database interni di Steam e sovraccaricando l’infrastruttura. E ciò che è più rivelatore: Valve non ha ridotto questi limiti sugli account usa e getta appena registrati, ma su account pienamente sviluppati e senza limiti (compresi quelli con un ban VAC, poiché tecnicamente contano come account che hanno superato la soglia di spesa). Valve ha ridotto i limiti esclusivamente per alleggerire il carico sui propri server, non per la vostra sicurezza.

Le restrizioni di Valve vengono applicate solo quando è necessario proteggere i propri server. I vostri soldi non sono affatto una loro preoccupazione.

23. I meccanismi interni: perché i supervisori dei truffatori traggono vantaggio dai ban

Dato che abbiamo analizzato i team di truffatori dall’interno, svelerò un segreto sporco che i normali trafficanti non hanno mai nemmeno sospettato.

In tutti i team di truffatori (dove ai semplici membri viene promesso il 90-95% dell’inventario rubato), i supervisori (coordinatori del team) avevano un incentivo finanziario a far applicare un ban di scambio o un Red Tag ai propri bot. Pertanto, evitavano deliberatamente di sostituire i bot compromessi. Se un account veniva bannato, la quota del supervisore aumentava vertiginosamente: invece di un misero 5% derivante dalla vendita delle skin, ricevevano tra il 15% e il 20% del prezzo di Steam per l’inventario (non il prezzo di mercato!), semplicemente vendendo al mercato asiatico gli account bannati contenenti skin di valore. Gli acquirenti cinesi li acquistavano all’ingrosso per giocare con oggetti costosi e cheat privati. Questo spiega perché un numero enorme di account con divieti di scambio presenti anche divieti VAC. L’industria delle truffe alimentava l’industria dei cheat, e Steam incassava allegramente i numeri online.

24. Steam Workshop: un terreno di prova perfetto per le truffe tramite API

Il totale disinteresse di Steam per la sicurezza è ben illustrato dall’incidente del Workshop. Ad un certo punto, letteralmente 2-5 truffatori hanno letteralmente inondato il Workshop con annunci di phishing. Come? Hanno utilizzato sessioni web intercettate di utenti reali.

Non si è trattato di un dirottamento nel senso classico del termine. L’autore dell’attacco ha semplicemente aperto una sessione parallela sul tuo account tramite l’API di Steam, ha analizzato l’inventario, ha aspettato che tu avviassi uno scambio, lo ha annullato all’istante e lo ha sostituito con un’offerta identica (con lo stesso avatar e lo stesso nickname dell’amico) proveniente da un bot da lui controllato. Tutto questo è avvenuto all’interno di una sessione utente legittima attraverso gli endpoint ufficiali di Steam.

E cosa ha fatto Valve mentre il Workshop era sommerso dal phishing? È intervenuta, ovviamente. Ha emesso Red Tag e bannato gli account compromessi... ma lo ha fatto solo dopo che gli inventari di quelle vittime erano stati completamente svuotati.

Ottimo lavoro, Steam. Grazie per aver “salvato” l’account quando non c’era più nulla da salvare.

Ironia della sorte, il prezzo di questi token sul mercato nero è crollato. Se in precedenza un file SSFN valido poteva costare circa 3 dollari, oggi proprio su quel LZT Market (dove è registrato Nikita, il curatore del supporto Steam in lingua russa) il listino prezzi sembra una beffa alla sicurezza di Valve:

"Acquisto ed elaborazione di token Steam (JWT). Verifica rapida con software proprietario. Prezzi:

CS2 Prime — 0,08 $ (senza ban temporanei o permanenti)

OpenTM — $0,04 (piattaforma di trading aperta)"

Il tuo account, la tua cronologia e i tuoi dati valgono 8 centesimi. Questo è tutto ciò che devi sapere sull’efficacia della protezione delle sessioni su Steam.

L’illusione dell’«impossibilità tecnica»: il caso dei giochi falsi

L’assistenza sostiene che restituire gli oggetti rubati sia “tecnicamente impossibile” o che ciò “distruggerebbe l’economia”. L’incidente dello spoofing dei giochi dimostra il contrario.

Lo schema era sfacciato: i truffatori caricavano giochi fittizi sullo Steam Store, creando oggetti con nomi e icone copiati alla lettera da costose skin di CS:GO e Dota 2. Durante uno scambio, la vittima vedeva un Dragon Lore che le era familiare, completamente ignara che appartenesse a un gioco falso. Ce lo ricordiamo perfettamente, poiché all’epoca PhishDestroy era attivamente impegnato a dare la caccia e a bloccare questi truffatori.

E cosa ha fatto Valve quando le fondamenta stesse della fiducia nel Community Market sono state minacciate? È avvenuto un miracolo. L’azienda, che per anni si era rifiutata di aiutare le vittime di phishing, ha improvvisamente restituito gli oggetti autentici a tutti gli utenti coinvolti. I truffatori sono stati colpiti da un vero e proprio bombardamento a tappeto, tanto da urlare di rabbia sui forum clandestini per giorni: Valve ha emesso ban hardware (HWID) e ha bloccato in modo così drastico gli IP condivisi che intere organizzazioni criminali sono finite in profondo rosso.

Inoltre, Steam ha lanciato un massiccio aggiornamento di sicurezza nel giro di pochi giorni. Improvvisamente, ha trovato le risorse per implementare tutto: blocchi delle transazioni, nuove verifiche, depositi per gli sviluppatori, massicci avvisi rossi che recitavano «Questo gioco non è mai stato giocato da te» e avvertimenti su discrepanze sospette nei valori degli oggetti.

A quanto pare, ne sono capaci. Sanno perfettamente come tracciare le catene di transazioni, annullare gli scambi e costruire una complessa architettura di avvisi. Ma lo fanno solo quando percepiscono una minaccia diretta al proprio modello di business e alla credibilità del proprio marketplace. Se venite spogliati di tutto da un ladro di oggetti standard, riceverete semplicemente una risposta standard del tipo: «La politica di Steam non prevede il ripristino degli oggetti».

79 dipendenti: un’architettura fatta di fiammiferi e ghiande

Per comprendere appieno la “serietà” della sicurezza quotidiana della piattaforma, si consideri il recente bug dell’API che è rimasto in produzione per ben due giorni interi. Chiunque, con uno script di base, poteva inviare una semplice richiesta e inviare notifiche di sistema in modo massiccio direttamente a qualsiasi ID Steam, aggirando completamente tutte le impostazioni sulla privacy.

Due giorni di una falla enorme nell’API che permetteva a chiunque di contattare milioni di utenti. In effetti, 79 dipendenti per una piattaforma globale da miliardi di dollari sono chiaramente sufficienti. Perché investire in un reparto di controllo qualità e sicurezza funzionante quando basta scrivere un accordo sui Termini di Servizio che attribuisce la colpa di tutto all’utente?

25. Infrastruttura come servizio: Truffa come servizio (SaaS)

Per darvi un’idea della portata della commercializzazione generata dall’inerzia di Valve, date un’occhiata a un’offerta tipica di un moderno team di phishing. Non si tratta più di adolescenti con script malfunzionanti. Si tratta di un'attività SaaS a tutti gli effetti con una concorrenza agguerrita. Mentre noi bloccavamo senza pietà i loro domini e li costringevamo a perdere denaro sull’infrastruttura, loro sono passati a fornire domini gratuiti ai propri “lavoratori” per mantenere il volume:

"Il nostro progetto combina 3 servizi in 1: Phishing (i log vanno a te), MaFile (commissione del 5%), Sostituzione (API Scam — l’80% va a te). Solo noi offriamo: vendita automatica dei log su LZT, rimozione di MaFile con un unico codice, browser per la sostituzione, domini gratuiti e una moltitudine di modelli falsi.»

Valve interviene solo su ciò che diventa incontrollabile o su ciò che riguarda le geolocalizzazioni che teme di disturbare (USA, Giappone, Corea del Sud). Steam poteva individuare lo spam, individuare gli account senza limiti e talvolta persino i domini di phishing bannati (spesso quando erano già inattivi). Se l’azienda individuava un dominio, individuava anche la rete di account che lo diffondeva. Dato che le farm operavano tramite proxy condivisi a basso costo (utilizzando lo schema di 1 server e 100 IP per 1.000 account), il blocco dell’intera botnet avrebbe potuto essere effettuato con una singola query SQL. Ma Valve non lo ha fatto.

26. Ipocrisia geopolitica: la “lavanderia” dell’economia di Steam

La tolleranza di Valve nei confronti dell’economia grigia della CSI ha generato l’ennesimo mostro: il mercato delle ricariche illegali del saldo e del cambio di regione. Quando Valve ha ufficialmente chiuso le ricariche dirette per la Russia, ha semplicemente chiuso un occhio sul fiorire di intermediari ombra. È molto più comodo così, vero?

Il servizio di «cambio di regione» (verso Turchia, Kazakistan o Argentina) è stato venduto a milioni. Su una sola piattaforma (come FunPay) [24], sono state registrate oltre 500.000 transazioni da parte di diversi grandi venditori. E ci sono altre centinaia di bot di Telegram e forum. Questo settore delle ricariche si è profondamente intrecciato con il riciclaggio di denaro proveniente dal phishing e dalle truffe sulle criptovalute (l’acquisto di frasi seed).

Qual è la logica di Valve? Credono davvero alla migrazione di massa di milioni di adolescenti da un paese soggetto a sanzioni? Oppure i fondi russi, fatti passare attraverso un proxy kazako e un inventario rubato, hanno semplicemente «un odore diverso»? A Valve non interessano né le sanzioni né la conformità. L’importante è che una commissione del 30% su ogni transazione continui ad affluire regolarmente nei loro conti bancari, mentre gli avvocati sfornano lettere standardizzate sull’«impossibilità di un intervento tecnico».

27. Vantaggio aziendale e violazione dei propri Termini di Servizio

Steam è un ecosistema che prospera sulla totale violazione delle proprie regole, e Valve lo sa perfettamente. I Termini di Servizio (ToS) affermano chiaramente: è severamente vietato trarre qualsiasi vantaggio commerciale dalla piattaforma.

Ora diamo un’occhiata alla realtà. Vendita di account rubati, scambio di skin, bot farm per l’accumulo di carte collezionabili, servizi di Level Up (salto di livello del profilo), vendita di chiavi e, naturalmente, servizi di ricarica del saldo per le regioni soggette a sanzioni. Tutto questo rappresenta un vantaggio commerciale diretto. E questo è surreale: una piattaforma che vieta formalmente il commercio ospita settori con fatturati multimilionari. Valve (o il suo affidabile partner esterno di lingua russa, protetto da un accordo di riservatezza) si è distaccata dalle proprie regole, applicandole esclusivamente come strumento per punire chi cade in disgrazia o per proteggere l’infrastruttura.

28. Il «Support Syndicate»: perché Valve ha annullato i resi degli oggetti

Quando Valve giustifica il proprio rifiuto di restituire agli utenti gli oggetti rubati (nascondendosi dietro la lotta all’inflazione o al “duping”), sta mentendo spudoratamente. Il motivo per cui Valve congela definitivamente i beni sui bot bannati, intascandoli nel proprio conto senza fondo, non è la protezione dell’economia. È un tentativo di recuperare le perdite operative inflitte loro dai propri dipendenti.

Fatto storico: gli addetti all’assistenza (compresi i lavoratori in outsourcing a basso costo spesso scambiati per volontari) erano direttamente integrati nell’economia sommersa di Steam. Sfruttando i propri privilegi di sistema, hanno trasformato l’assistenza tecnica in un cartello corrotto.

Duplicazione industriale di oggetti di alto livello: i dipendenti dell’assistenza generavano in massa copie degli oggetti più costosi del gioco (Dragon Lore in CS:GO, corrieri Legacy rari in Dota 2) con il pretesto di «restituire l’inventario rubato a un utente». Questo inventario “restituito” veniva poi ricettato sulle piattaforme di scambio cinesi in cambio di denaro reale.

Vendita di sblocchi: il team di assistenza vendeva la rimozione dei Red Tag (KT) e dei divieti di scambio dai profili dei principali truffatori. In cambio di tangenti (in criptovalute o skin), ai truffatori veniva dato il via libera per incassare beni del valore di decine di migliaia di dollari.

Una volta venuta a conoscenza della portata della corruzione, la dirigenza di Valve si è infuriata. Ha abolito definitivamente la politica di restituzione degli oggetti rubati, limitando l’accesso manuale del supporto alla generazione degli oggetti. Ma a essere puniti non sono stati i dipendenti corrotti, bensì gli utenti. Bambini e giocatori di tutto il mondo stanno pagando di tasca propria per l’incapacità di Valve di controllare il proprio personale.

La sindrome del «piccolo tiranno» e la caduta della polizia volontaria

Oltre al supporto ufficiale, Steam disponeva di un secondo ramo di potere: una polizia commerciale volontaria integrata con database come SteamRep [12]. Esercitava un’enorme influenza informale sull’economia della piattaforma e sul destino dei commercianti. E si è rivelata non migliore del personale esternalizzato.

I volontari si sono trasformati in una casta chiusa e corrotta di «autorità ombra senza volto». Soffrivano della classica sindrome del «piccolo tiranno»: affossavano i commercianti che non gradivano, bannavano gli utenti che discutevano di vulnerabilità e concedevano «pass gratuiti» agli amici.

Quando sono emersi dei log che dimostravano che gli amministratori di SteamRep [12] accettavano tangenti per rimuovere le etichette di “truffatore” e coprivano enormi reti di bot che riciclavano skin rubate, la fiducia in Valve è crollata completamente. Nel 2022, Valve aveva espulso gli ultimi moderatori volontari, sostituendoli con lavoratori esterni che seguivano rigidamente delle linee guida prestabilite.

29. Il prezzo dell’«efficienza»

Valve vanta il profitto per dipendente più alto del settore. Ma qual è il costo di questo profitto?

Questa efficienza si basa sul negare aiuto. Sul minacciare le vittime di phishing. Sulla chiusura dei ticket. Sul nascondere la verità che Steam non è tanto una piattaforma di gioco quanto una lavanderia globale di criptovalute e un hub di distribuzione per ladri di informazioni.

Mentre la dirigenza di Valve si considera geniale nell’ottimizzazione aziendale, battendosi in tribunale per il diritto di vendere visual novel per adulti, la loro piattaforma sta quotidianamente divorando i dati, il denaro e la sicurezza degli utenti reali. L’era delle truffe è finita da tempo, ma Valve continua a usarla come scusa per appropriarsi legalmente dei beni degli utenti derubati. Non c’è giustizia su Steam. Ci sono solo script, lavoratori in outsourcing e una sete infinita di profitto.

30. Ipocrisia a tutti i livelli: l’etica aziendale di Valve e Taylor Wessing

Se vi sembra che io stia esagerando menzionando Taylor Wessing (gli avvocati di Valve) nel contesto delle cause legali per molestie interne, credetemi, non è uno scherzo. La causa è stata persa, ma il punto non è il verdetto: è la strategia di Taylor Wessing. Non hanno dato prova di professionalità, bensì di un gioco sporco di logoramento e ritardi deliberati. Cercate su Google per quanti anni si è trascinata la causa dal momento dell’incidente nella località sciistica d’élite.

Ma quando si tratta della stessa Valve, sorgono ancora più interrogativi sulla sua tanto decantata etica. Hanno un «Welcome Book» aziendale in cui si definiscono una «famiglia». Tutto caloroso e accogliente. Ma quando questa «famiglia» è scossa da uno scandalo, Valve agisce con la massima spietatezza. Ricordiamo le molestie subite da un dipendente transgender del servizio di assistenza, o la storia di Jess Cliffe [13] (il co-creatore di Counter-Strike, che aveva lavorato presso Valve praticamente sin dalla sua fondazione). L’uomo è stato espulso dall’azienda senza una sentenza del tribunale, sulla base delle sole accuse. Valve, che guadagna milioni insabbiando le truffe, improvvisamente ha temuto per la propria reputazione? La logica è assurda: un’azienda permette che vengano rubati milioni di dollari ai propri utenti, ma prende immediatamente le distanze dalla persona che ha costruito questa attività per decenni, solo per apparire “pulita”.

Per quanto riguarda gli avvocati di Taylor Wessing — siamo onesti. Vi vantate della vostra «storia secolare», ma sul vostro Instagram partecipate a una corsa a sostegno del Pride. Decidetevi: onorate la storia dei vostri fondatori nazisti che mandavano le persone gay nei campi di concentramento, o siete un’azienda moderna e progressista? Questa è una truffa aziendale. Volete apparire come un’antica aristocrazia pur essendovi di fatto fusi nell’estasi dell’ipocrisia contemporanea. E sì, avete assunto la difesa di oligarchi russi in casi in cui la vostra reputazione gridava apertamente: «Non venite ingaggiati dove le persone sono innocenti».

31. La roadmap delle prossime fughe di notizie: a cosa dovrebbe prepararsi Valve

Questo non è né il primo né l’ultimo articolo di PhishDestroy su Valve. Non ho intenzione di giocare al gatto e al topo con i loro avvocati: il loro tempo, a giudicare dalle loro tariffe, costa dai 3.000 ai 5.000 dollari solo per leggere un paio di paragrafi. Non sprecate i soldi; assumete personale di supporto competente invece di ricorrere a un outsourcer russo che legge da un copione.

Ecco cosa succederà. La mia tabella di marcia per le prossime indagini:

Prove dell’inefficacia del GDPR: pubblicherò gli originali delle lettere legali standard e dei documenti censurati in modo improprio, dimostrando che Valve viola sistematicamente le normative e divulga i dati riservati degli utenti minorenni. Mostrerò l’intera catena in cui ero già la quinta persona ad aver avuto accesso ai dati personali di qualcun altro (comprese persone con passaporto russo). Questa è la prova diretta delle loro menzogne sulle condizioni di archiviazione e sulla mitica “crittografia”.

Violazione degli accordi di riservatezza (NDA) e il lato oscuro di Steamworks: disponiamo di dati provenienti da almeno due sviluppatori i cui accordi di riservatezza (NDA) saremo lieti di violare (non li abbiamo mai firmati). Smaschereremo il caos regnante nella moderazione degli aggiornamenti e i casi relativi ai contenuti degli armadietti che Valve vieta di rendere pubblici sotto minaccia di rimozione del gioco.

Fallimenti nel mondo delle criptovalute e riciclaggio di denaro: come i «geni» di Valve perdono i loro milioni: dato che Valve ama vantarsi dei profitti miliardari dei propri dipendenti, noi di PhishDestroy ci avventureremo nel territorio delle criptovalute. Condurremo un’analisi finanziaria forense dei portafogli appartenenti al personale di supporto d’élite (i primi investitori in Bitcoin) e mostreremo come questi “professionisti”, che hanno fruttato a Valve miliardi sulle lacrime di bambini derubati, abbiano a loro volta investito in truffe e abbiano visto i propri indirizzi contrassegnati con punteggi di rischio AML pari al 100%.

Lo strano amore per la Russia e chi è «Nikita»: esamineremo il fenomeno della tolleranza di Valve nei confronti della regione della CSI. Come fa una persona senza un impiego formale a diventare supervisore dell’assistenza semplicemente perché una volta ha creato una community di fan per Half-Life? Sveleremo le scappatoie e i meccanismi di elusione delle sanzioni per gli sviluppatori provenienti da uno Stato terrorista, nonché le ricariche dirette dei saldi provenienti dal DNR/LNR e dalla Crimea, operative dal 2021 e tuttora in uso.

32. Conclusione

Non ho alcun desiderio di dedicare la mia vita a scrivere testi su Steam. La piattaforma è gestita da un pubblico composto da bambini, truffatori e seguaci del culto di Putin (sotto forma di personale russo in outsourcing). I volontari sono impantanati nella corruzione fino al collo. Se Gabe Newell si considera un genio dell’industria dei videogiochi, allora forse è mio destino essere il bastardo che scrive la verità nella storia:

Gabe è un monopolista eccessivamente meschino e avido che ha legalizzato il furto di denaro ai danni dei bambini. E i jet privati e le vacanze promesse nel loro manuale dei dipendenti non sono altro che immagini colorate progettate per tenere i lavoratori in schiavitù aziendale.

Tutto questo è scritto per la storia. Per l’Archivio Web. E per quelle autorità di regolamentazione che alla fine arriveranno a smantellare questo impero dell’impunità.

33. Anatomia dei Termini di Servizio: schizofrenia aziendale e cinismo legale

Analizziamo i Termini di Servizio (ToS) di Steam. Esamineremo almeno il 25% di questo documento per dimostrare che non si tratta di un contratto legale, bensì di una menzogna costruita per consentire alla piattaforma di derubare i bambini evitando al contempo di rendere conto delle proprie azioni.

Ecco una citazione dalle loro regole: «Non è consentito utilizzare script, bot, macro o altri sistemi automatizzati (“Automazione”) per interagire con i Contenuti e i Servizi su Steam...»

Analizzeremo questa clausola in dettaglio nella prossima parte. Spoiler: Steam stessa ha creato un’API utilizzata esclusivamente per automatizzare il furto, aggirare i limiti e gestire le bot farm. La piattaforma ha scritto una regola che contemporaneamente permette di essere violata su scala industriale.

Ed ecco un altro gioiellino di cinismo aziendale: «L’utente riconosce che Valve non è tenuta a fornire alcun preavviso prima di rescindere l’Abbonamento e/o l’Account».

Questa è una bugia. Secondo la normale legislazione, non è così che funziona. Ma la piattaforma si mette al riparo da tutto. La posizione di Valve suona così: «Rubiamo ai bambini, violiamo le sanzioni, permettiamo agli infostealer di infettare i vostri PC, ma se succede qualcosa — la colpa è vostra, e vi toglieremo l’account senza spiegazioni.»

Amano dire che «è la comunità a decidere tutto». Ma per qualche motivo, quando si tratta di responsabilità legale, la comunità diventa improvvisamente un pezzo di carne impotente.

33a. L’illusione dell’aula di tribunale — Come Valve sfrutta l’analfabetismo tecnologico dei giudici

Ogni volta che le autorità di regolamentazione o i procuratori generali tentano di ritenere Valve responsabile per i loot box e il gioco d’azzardo non regolamentato, gli avvocati d’élite dell’azienda ricorrono alla stessa mossa. Entrano in aula con una pila di figurine di baseball o un mazzo di Magic: The Gathering e dichiarano: «Vostro Onore, i nostri oggetti virtuali sono la stessa cosa. Si tratta semplicemente di un innocente collezionismo, trasferito nel mondo digitale».

Questa difesa funziona per un unico motivo: gli avvocati di Valve sfruttano abilmente l’ignoranza tecnologica di una magistratura ormai anziana. Ma la menzogna aziendale crolla nel momento in cui un pubblico ministero competente sposta il discorso dai «giocattoli» alla logistica finanziaria e all’infrastruttura criminale.

34. Sanzioni, terrorismo e due pesi e due misure

Una domanda divertente per questa azienda ipocrita. Le regole recitano: «Se sei un consumatore residente in Russia, puoi anche ricorrere alla tutela legale presso i tribunali statali russi locali».

Il tribunale della Crimea annessa conta come tribunale russo? O dobbiamo aspettare che sia Roskomnadzor — con cui Steam collabora così amichevolmente — a rispondere?

Ed ecco una clausola che fa scoppiare a ridere: «L’utente accetta di rispettare tutte le leggi e i regolamenti applicabili in materia di importazione/esportazione. L’utente accetta di non esportare Contenuti... verso paesi che sostengono i terroristi... L’utente dichiara di non trovarsi in uno di tali paesi vietati».

Quindi, quando Valve accetta denaro direttamente da conti registrati in zone soggette a sanzioni internazionali (e disponiamo di gigabyte di screenshot e prove dirette di transazioni provenienti dalla Crimea, dalla DNR e dalla LNR risalenti al 2021), non è Valve a violare le sanzioni. È colpa dell’utente! La piattaforma ha modificato in sordina i propri Termini di Servizio negli ultimi sei mesi, scaricando tutta la responsabilità sugli utenti.

Valve, siete stati costretti a rimuovere i riferimenti agli alleati della Russia (Cuba, Iran, Siria) e vi è stato vietato di parlarne male, oppure avete calcolato l’entità e l’ammontare dei fondi provenienti direttamente da quei luoghi? Se uno Stato terrorista vi sta costringendo a compiere qualsiasi azione, segnalatelo a qualcuno, non abbiate paura. Non c’è bisogno di violare l’attuale legislazione statunitense a causa delle minacce di pirateria dei vostri contenuti; non vale la pena correre quel rischio. Loro sono terroristi e voi siete un’azienda statunitense. Se siete vittime di persecuzioni o ricatti, contattate l’ufficio locale dell’FBI di Seattle al numero +1 (206) 622-0460 [16] o l’IC3 [17]. Sono inoltre certo che gli specialisti della CISA [18] potrebbero aiutarvi: data la portata e l’estensione della vostra sfera di influenza, si tratta di un caso significativo anche per gli standard statunitensi.

Dato che state eliminando le norme sulle sanzioni dirette e modificando il testo, questo è un segnale molto allarmante. Non sto scherzando: se non vi fidate delle agenzie sopra citate, qui riceverete sicuramente aiuto al massimo livello — presso il DOJ NSD [19]. Da parte nostra, condurremo ulteriori analisi e consulenze gratuite con alcuni specialisti, e potremmo anche essere costretti a segnalare la questione ove opportuno (o non segnalarla affatto). Ma non si tratta affatto di uno scherzo: è una questione seria.

Avete rimosso dai regolamenti i paesi esplicitamente elencati e avete trasferito la responsabilità sugli utenti. Allo stesso tempo, effettuate analisi: c’è un pixel di tracciamento sulla pagina di registrazione e vedete il numero reale di clic che portano all’accettazione del contratto. Nessuno lo legge, perché l’avete abilmente camuffato da domanda di conferma che l’utente abbia più di 13 anni (il link all’accordo è incorporato anche lì). La società moderna — bambini e adolescenti — soffre di ADHD, ed è un fatto scientificamente provato: controllate i dati. Non finiscono mai di leggere un testo. Io, ad esempio, ho visto la clausola relativa all’età superiore ai 13 anni e basta: non ho guardato oltre. Si tratta di una manipolazione diretta da parte vostra, così come lo è la riscrittura del contratto riguardo ai paesi che sono costantemente comparsi nelle liste delle sanzioni.

La vostra revisione indica chiaramente che l’atteggiamento della vostra azienda nei confronti di quei paesi (o del denaro proveniente da essi) è cambiato. Si tratta di un cambiamento molto strano. Probabilmente c’è già un problema, oppure state ottemperando alle richieste dei tribunali russi, e questa è una delle loro richieste non pubbliche — come il ban di determinati utenti, ecc., che potrebbero minare la convinzione della giustezza dei loro atti terroristici sul territorio di un altro paese. Oppure vi state semplicemente prostrando davanti al governo russo, soddisfacendo le loro richieste dirette di bandire utenti indesiderati? Vi mostrerò le versioni precedenti dei vostri Termini di Servizio. Potete modificarli come volete, ma questi pezzi di carta non valgono nulla quando si tratta della violazione diretta delle leggi statunitensi e del sostegno alle economie terroristiche.

35. Ricatto e strategia della terra bruciata

Un avvertimento chiaro in anticipo: qualsiasi tentativo da parte di Valve o dei suoi segugi di Taylor Wessing [9] di entrare in contatto con noi sarà considerato come una forma di pressione e di ostruzionismo nei confronti dell’indagine.

Non provate a inviarci un accordo di riservatezza (NDA). PhishDestroy non è registrato nel vostro mucchio di spazzatura. Non abbiamo spuntato la casella nel vostro accordo ingegnoso (che trattate esclusivamente come conferma che un minore abbia più di 13 anni, in modo da poterlo derubare legalmente).

Se i vostri avvocati tenteranno di accusarci di «estorcere miliardi di rubli» o di «diffamare la sacra reputazione nell’interesse di un concorrente nordcoreano, Steam 2.0»… buona fortuna. Tutte le nostre indagini, le prove e i riscontri sono duplicati su nodi indipendenti (compresi i server di un’università americana) e nell’Archivio Web. Questo non è un conflitto. È un’esposizione dei fatti.

36. La fabbrica delle truffe: carding, documenti falsi e furto di dati

Pensate che le truffe su Steam riguardino solo password rubate? Non avete idea della reale portata del fenomeno.

Documentazione falsa (ingegneria sociale): quando un account viene rubato, l’assistenza richiede il primo codice CD di 10 anni fa. Il ragazzo non ce l’ha. Ma il truffatore di un’azienda russa in outsourcing sì. I truffatori commissionano la fabbricazione di ricevute e codici falsi su forum clandestini. Abbiamo raccolto oltre 200 casi comprovati di falsificazioni riuscite che il personale dell’assistenza di Valve ha allegramente “ingoiato”, consegnando l’account ai criminali.

Furto di dati: più di mezzo milione di account (compresi quelli di cittadini dell’UE) sono passati attraverso il mercato sommerso LZT. Steam ha nascosto il fatto che i propri PC fossero stati infettati da malware di furto dati. La piattaforma ha di fatto divulgato agli hacker dati personali, corrispondenza, indirizzi IP e informazioni sulla rete domestica.

Carding industriale: se gli avvocati di Valve capissero come funziona il carding sulla loro piattaforma, diventerebbero bianchi come il latte. Emettere un "Red Tag" per carding lasciando però sul conto gli oggetti acquistati con carte di credito rubate è una pratica di riciclaggio di denaro davvero notevole. Sapete chi stava effettivamente gareggiando con il principe dell’Arabia Saudita per il livello più alto del Compendium in Dota 2? Vi racconteremo anche questo.

36a. La macchina da gioco: come Valve ha costruito il casinò per bambini non regolamentato più grande del mondo

Il gioco d'azzardo con skin non è un effetto collaterale di Steam. È un prevedibile e redditizio conseguenza dell’architettura deliberata di Valve: API di trading aperto, nessun KYC, oggetti virtuali con valore di mercato secondario stabile e completa cecità normativa. Il risultato: un settore annuale da oltre un miliardo di dollari in cui le skin CS2 per bambini funzionano come fiches del casinò, senza verifica dell'età, senza il consenso dei genitori e senza che Valve abbia mai presentato una sola SAR.

Il divieto dei bot del 2023: non una punizione. Un meccanismo di profitto.

Nel 2023, Valve ha vietato decine di migliaia di account bot gestiti da siti di gioco d'azzardo: CSGOFast, CSGORoll, Stake.com (per skin) e altri. La stampa specializzata in videogiochi ha celebrato l'evento come se Valve avesse "represso" il gioco d'azzardo. Questa interpretazione è di fatto sbagliato.

37. Epilogo: un terreno di addestramento per il crimine informatico

Poiché, secondo la perversa logica di Valve, gli oggetti virtuali «non hanno alcun valore reale», il furto di skin per un valore di 10.000 dollari non costituisce legalmente un furto. Si tratta di una perfetta zona grigia.

Ma Steam non si limita a ignorare i furti. Steam ha cresciuto un’intera generazione di criminali informatici. Gli attuali creatori di programmi per il furto di dati e di truffatori nel mondo delle criptovalute hanno iniziato rubando gli inventari in CS:GO. La piattaforma di Gabe Newell è diventata il principale incubatore del crimine informatico globale, insegnando agli hacker minorenni la regola fondamentale: su Internet si può rubare impunemente, purché si paghi la commissione all’azienda.

Tutti risponderanno delle proprie azioni. Anche se si nascondono dietro dei Termini di servizio che hanno scritto loro stessi. Aspettatevi la seconda parte.

38. Sanzioni, censura e la sindrome di Stoccolma di Steam

L’ipocrisia di Steam raggiunge il suo apice quando si parla di geopolitica. Potreste ridere del fatto che un colosso aziendale che genera miliardi si sia semplicemente confuso nei propri algoritmi. Ma guardiamo ai fatti.

Nel 2022, mentre il cappio delle sanzioni cominciava a stringersi, gli sviluppatori russi si sono precipitati in massa a aggirare i blocchi. E dove hanno trovato le guide più dettagliate su come eludere le sanzioni internazionali dell’OFAC? Proprio all’interno di Steam stesso. Nella Community ufficiale ci sono istruzioni passo passo su come utilizzare una VPN (che è formalmente vietata dai Termini di Servizio) per cambiare regione e prelevare denaro presso banche soggette a sanzioni (come la Tinkoff Bank) [25].

Ecco una citazione tratta da una guida ufficiale (o, almeno, moderata da Valve) che descrive perfettamente la loro posizione: «Vi chiediamo gentilmente di mantenere la professionalità e di astenervi dal commentare questioni politiche... Tali dichiarazioni saranno rimosse e i trasgressori più recidivi perderanno la possibilità di lasciare commenti...»

Traducendo dal gergo aziendale in un linguaggio semplice: Valve vieta di chiamare la guerra «guerra». Valve vieta di definire «terrorista» il paese aggressore. Una moderazione aggressiva (ciao, outsourcing in lingua russa) elimina qualsiasi critica, proteggendo da «controversie politiche» un pubblico che sta uccidendo persone in un paese confinante. Non si tratta di semplice negligenza. Si tratta di complicità nella censura, dettata dal timore di perdere introiti dal mercato della CSI.

Invito formalmente la dirigenza di Valve e i suoi tanto decantati avvocati a recarsi a Mariupol o a Melitopol, per vedere da quali esatte «controversie politiche» stanno così accuratamente proteggendo la loro comunità di lingua russa.

39. L’aggiramento delle sanzioni come servizio della piattaforma

Steam afferma che gli utenti sono tenuti a rispettare le leggi statunitensi sull’esportazione. Ma allo stesso tempo, la piattaforma funge da hub principale per la pubblicazione di manuali su come aggirarle. Le guide sono online da anni. Cambiare regione impostando il Kazakistan o la Turchia per aggirare i blocchi è diventato non solo un fenomeno diffuso, ma uno standard del settore che Valve approva tacitamente.

Perché? Perché la politica di Steam recita così: «L’utente ha spuntato la casella in cui dichiara di non essere un terrorista e di non essere soggetto a sanzioni, quindi non ci sono rivendicazioni nei nostri confronti».

Ma andremo oltre. Se qualcuno dispone di database analitici grezzi degli utenti di Steam, siamo pronti a metterli all’opera. Troveremo elenchi di account che hanno aggirato i blocchi per acquistare giochi da editori che si sono ufficialmente ritirati dalla Russia (come i creatori di STALKER 2 [30] o GTA [30]). Trasmetteremo questi dati direttamente a tali editori, insieme alla domanda: «Siete a conoscenza del fatto che Steam sta sabotando la vostra uscita dal mercato e sta apertamente fornendo agli utenti delle scappatoie per acquistare i vostri giochi in rubli attraverso una catena di intermediari?»

Abbiamo già contatti con persone interne vincolate da accordi di riservatezza (NDA). Siamo a conoscenza di un caso in cui Valve ha interrotto unilateralmente la collaborazione con uno sviluppatore e si è semplicemente appropriata dei suoi fondi, coprendo il tutto con un accordo di riservatezza. Ma noi non abbiamo firmato alcun accordo di riservatezza. Racconteremo tutto.

40. Dove stanno guardando le autorità di regolamentazione statunitensi?

La domanda principale: Valve sa cos’è l’OFAC [20] (l’Ufficio statunitense per il controllo dei beni stranieri)?

Quando una piattaforma consente l’elusione di massa delle sanzioni tramite VPN (dagli acquisti minori ai prelievi di fondi da parte degli sviluppatori); quando permette il riciclaggio di denaro attraverso mercati paralleli di skin chiudendo un occhio; quando la moderazione della piattaforma integra le restrizioni di Roskomnadzor [23] e rimuove i post “indesiderati” — questo non rientra più nella giurisdizione di un accordo sui termini di servizio. Si tratta di una violazione diretta della sovranità e delle leggi statunitensi.

Aspettatevi il seguito. PhishDestroy non si fermerà finché questa architettura di menzogne non crollerà. Tutte le prove e i link sono stati salvati. E nessun Taylor Wessing [9] ci intimidirà.

For Valve, geopolitical differences are not just a matter of regional pricing (where Valve decides who is wealthier and who is "Russia"). It is also about laws, rules, and control. Here is a perfect example — the VPN geolocation is visible at the top. So the New York prosecutor simply doesn't use a VPN. But I think she could have never imagined that Valve is such a hypocritical rat, operating completely different rules and controls depending on where you are accessing the platform from.

Alla luce di tutti questi fattori, la nostra raccomandazione è semplice: non cedete alle pressioni legali di Steam. Se un utente è un vero terrorista, non ha alcun obbligo di testimoniare contro se stesso. È dovere legale assoluto di Steam verificare l’origine di questi fondi, piuttosto che concedere all’utente l’assurdo privilegio di autocertificare se sia o meno un terrorista. Questa logica si applica direttamente alle operazioni territoriali di Valve. Se Valve ha improvvisamente dimenticato come funziona Internet — e i suoi divieti diretti sulle VPN — seguiamo la sua logica: un terrorista della Crimea, di Cuba o della Siria va online per riciclare denaro. Questo utente non conosce l’inglese e non ha alcuna intenzione di leggere le contorte assurdità legali contenute nel contratto d’uso. Ma ha sicuramente più di 13 anni (anzi, potrebbe aver già ucciso 13 persone). La piattaforma pensa davvero di poter trasferire la responsabilità legale sul terrorista, lasciando che sia lui a decidere il proprio status? Trasferendo questa responsabilità, Valve sta rilasciando una dichiarazione legale diretta: da parte sua, riconosce automaticamente tutti come “non terroristi”. Nel frattempo, il vero terrorista, che ignora completamente il testo standard mascherato da semplice verifica dell’età, ricicla semplicemente il proprio denaro utilizzando una guida per aggirare le sanzioni ospitata direttamente sulla piattaforma della community di Steam. Conformità eccezionale, vero?

Ma siete fuori di testa? Avete fornito i dati personali di minori a una persona che nutre rancore, dicendo in sostanza: «Ecco la causa dei tuoi problemi, prendili». Se quell’individuo dovesse mai agire sulla base di quei dati, il sangue versato e la responsabilità legale ricadranno interamente sulle spalle di Valve e Taylor Wessing.

Il «Dead Man’s Switch» di IPFS

Disponiamo di informazioni ben più ampie di quelle qui pubblicate. Se Steam, Taylor Wessing o qualsiasi entità affiliata tentasse di intraprendere azioni aggressive contro il nostro progetto, non perderemo tempo in tribunale. Eseguiremo un dump completo dei dati grezzi sull’InterPlanetary File System (IPFS).

Sì, la pubblicazione di dati non censurati avrà delle conseguenze. Sì, significherà la morte definitiva del dominio phishdestroy.io e del suo enorme traffico. Facciamo risparmiare un po’ di tempo ai vostri avvocati: non ci interessa. Il dominio è stato creato per scherzo, per prendere in giro i truffatori di Steam che sostenevano che «non avessimo nemmeno un sito web». Non cerchiamo la fama, non stiamo cercando di diventare eroi aziendali e non abbiamo paura di perdere un URL.

Se il dominio dovesse scomparire, troverete le risposte su: steamdestroy.eth

Chi siamo

PhishDestroy è un’operazione antifrode non commerciale. Siamo in quattro: professionisti certificati della sicurezza informatica che operano in diversi paesi. Uno dei nostri cinque membri originari è deceduto; ecco perché non ci troverete mai tutti insieme.

40a. Protocollo di divulgazione aperta: avviso formale a Valve Corporation

41. L’ultimatum

Una domanda richiede una risposta pubblica e ufficiale: secondo i Termini di servizio di Valve, un tribunale nel territorio annesso della Crimea si qualifica come «qualsiasi tribunale statale locale russo»? Senza una risposta diretta e pubblica a questa domanda, non contattateci.

Se ciò che volete è una «soluzione pacifica», applicate le vostre stesse regole:

Bloccate ogni account che abbia mai utilizzato una VPN per accedere a Steam (avete il database).

Bloccate ogni account che abbia utilizzato strumenti di automazione sulla piattaforma, incluso CSGOFast.

Ammettete che Valve o i suoi rappresentanti abbiano condotto un attacco informatico contro Source 1.

Lo standard minimo di equità: restituite ogni bene sottratto tramite sostituzione degli scambi (truffa API). Iniziate con ogni account mai presente su Lolzteam Market. Comprendiamo la vostra architettura: abbiamo visto la vostra logica interna di identificazione dei dispositivi in quei documenti GDPR non censurati. «Tecnicamente impossibile» non è una risposta. Se il vostro personale non è in grado di farlo, sostituitelo. Il risultato non cambia, indipendentemente da ciò che provate a fare. Non abbiamo denaro da sequestrare, né nomi da rendere pubblici, né reputazione aziendale da rovinare. Siamo armati solo della verità.

Un avvertimento globale: l’epidemia di infostealer e i danni collaterali per le aziende

Mi rivolgo a ogni paese del pianeta Terra — tranne gli Stati terroristi, dato che Steam va già d’accordo con loro senza problemi.

Se vi interessa anche solo un po’ il fatto che un’azienda che non rende conto a nessuno abbia deciso di avere il diritto di rubare la proprietà digitale dei vostri figli, ascoltate attentamente. Se vi interessa il fatto che omettano deliberatamente di avvisare gli utenti riguardo ai dispositivi infetti — compromettendo così reti aziendali critiche in tutto il mondo — allora prestate attenzione.

Nella Parte 2 della nostra indagine, presenteremo un esempio perfetto di ciò che la negligenza di Steam ha effettivamente generato. Forniremo prove concrete che dimostrano come Steam sia il principale motore economico dell’industria globale degli infostealer. Gli account Steam sono l’obiettivo principale degli operatori di malware nel settore dei videogiochi. Senza il ritorno economico garantito dal fiorente mercato nero di Steam, queste massicce e indiscriminate campagne di distribuzione di infostealer sarebbero semplicemente economicamente insostenibili.

Esiste già un caso pubblico documentato in cui un log rubato del valore di 2 dollari ha provocato il blocco di un’azienda, il pagamento di un riscatto di 17 milioni di dollari e danni complessivi superiori a 100 milioni di dollari. Grazie, Valve, per il tuo impegno senza pari a favore della “sicurezza” globale.

Non nasconderemo queste informazioni. Le notizie ci giungono naturalmente e le pubblicheremo tutte. E che questa sia la nostra dichiarazione ufficiale: se, Dio non voglia, le prove rivelassero che Valve o i suoi rappresentanti abbiano condotto attacchi informatici mirati contro utenti specifici per metterli a tacere, la comunità internazionale non starà al gioco. Il resto del mondo non si lascerà intrattenere dai vostri graziosi giochetti legali sulla giurisdizione esclusiva nei tribunali dello Stato di Washington.

42. Verdetto finale

Il bot non è comunque più sotto la nostra gestione. Non provo vergogna e non credo di stare facendo qualcosa di male. Sono certo che non abbiamo altra scelta. Source 1 si è fermato in tempo, ma per quanto ci riguarda, avete ucciso i bambini i cui dati gli avete divulgato. Pertanto, non negozieremo. Steam è il terrorista in questa vicenda.

Rivalutate ciò che avete fatto e ciò che la Fonte 1 stava facendo dopo che i vostri avvocati gli hanno consegnato quei dati. Da dove viene la vostra «Nikita»? E che dire dei quattro agenti di supporto esterni con sede in Russia? Sono sicuro che pensiate che si tratti di un incidente isolato, ma siamo a conoscenza di molti dei vostri casi e delle vostre “decisioni”.

Noi non siamo come voi. Non insabbiare potenziali crimini. Renderemo gradualmente pubblico tutto, con le prove, e collaboreremo con qualsiasi autorità di regolamentazione — tranne quelle che sembrate favorire. Le autorità russe ci scrivono spesso; di solito mandiamo a quel paese, ma forse inizieremo a rispondere. Non ci lasciamo coinvolgere in stupidi giochetti con risposte aziendali incomprensibili volte a confondere, proprio come il vostro accordo con l’utente.

Spero che la nostra posizione sia assolutamente chiara:

Steam ha ucciso i bambini di cui ha divulgato i dati.

Steam deruba i bambini con il pretesto di combattere i “duplicati” che sono stati generati interamente dal proprio staff di assistenza.

Steam mente sul non rivelare i motivi dei ban con la scusa dell’«anti-cheat» solo perché è conveniente dal punto di vista legale. (Che cazzo c’entra l’anti-cheat con un ban dalla Community?)

Siete davvero così sicuri che i vostri tribunali o l’Europa chiuderanno semplicemente un occhio? Staremo a vedere.

---

42. Conclusione

Il bot non è comunque più sotto la nostra gestione. Non provo vergogna e non credo di stare facendo qualcosa di male. Sono certo che non abbiamo altra scelta. Source 1 si è fermato in tempo, ma per quanto ci riguarda, voi avete ucciso i bambini i cui dati gli avete divulgato. Pertanto, non negozieremo. Steam è il terrorista in questa vicenda.

Rivalutate ciò che avete fatto e ciò che la Fonte 1 stava facendo dopo che i vostri avvocati gli hanno consegnato quei dati. Da dove è spuntata la vostra “Nikita”? E che dire dei quattro agenti di supporto esterni con sede in Russia? Sono sicuro che pensiate che si tratti di un incidente isolato, ma siamo a conoscenza di molti dei vostri casi e delle vostre “decisioni”.

Noi non siamo come voi. Non insabbiare potenziali crimini. Renderemo gradualmente pubblico tutto, prove alla mano, e collaboreremo con qualsiasi autorità di regolamentazione — tranne quelle che voi sembrate favorire. Le autorità russe ci scrivono spesso; di solito le mandiamo a fanculo, ma forse inizieremo a rispondere. Non ci lasciamo coinvolgere in stupidi giochetti con risposte aziendali incomprensibili volte a confondere, proprio come il vostro accordo con l’utente.

Spero che la nostra posizione sia assolutamente chiara:

Steam ha ucciso i bambini di cui ha divulgato i dati.

Steam deruba i bambini con il pretesto di combattere i “duplicati” che sono stati generati interamente dal proprio staff di assistenza.

Steam mente sul non rivelare i motivi dei ban con la scusa dell’«anti-cheat» solo perché gli fa comodo dal punto di vista legale. (Che cazzo c’entra l’anti-cheat con un ban dalla Community?)

Siete davvero così sicuri che i vostri tribunali o l’Europa chiuderanno semplicemente un occhio? Staremo a vedere.

---

Riferimenti e fonti

CONTESTO AGGIUNTIVO: QUADRO NORMATIVO E GIURIDICO

NOTA SULLE FONTI