Valve、7,000万件以上の盗まれたSteamアカウントから利益を得ている

PhishDestroy Researchによる独占調査レポート

PhishDestroyとは、一体どのような組織なのか。Valveという巨大企業機構に挑む資格があるのだろうか？ 彼らが誇る欧州の弁護士たち――内部のセクハラ訴訟によって評判を傷つけられたまさにその弁護士たち――に関する我々のデータは、一体どこから得られたものなのか？彼らは自らの地位や「数世紀にわたる歴史」を誇示するのが大好きだが、ドイツ支社の起源となると、都合よく記憶が空白になってしまう。 彼らは、自社の創設者が熱心なナチス支持者であり、ヒトラーの帝国議会（ライヒスターク）の議員だったという事実――つまり、同性愛者を強制収容所に送り込んだ体制の一翼を担っていたという事実を、都合よく企業史から抹消している。

しかし、歴史の話はこのくらいにしておこう。技術的な現実に戻ろう。これらの「エリート弁護士」たちは、GDPRに基づく請求の処理において、まったくの無能さを露呈している――彼らは単に、文書から機密情報を適切に黒塗りする方法を全く知らないのだ。これはインターンのミスではない。 これは、彼らがデータ開示手続きを一度も遵守したことがなく、脅迫や法的威嚇を用いて要求をかわそうとしてきたことを示す直接的な証拠である。

1. PhishDestroyの誕生：バグ報奨金ではなくC2インフラの破壊

2018年から2021年にかけて、Steamのエコシステムでは制御不能なスパムが急増していた。「PhishDestroy」という名称はまだ存在していなかったが、Steam内での不正対策の礎を築いたのは私たちだった。 自分たちを称賛するつもりはない――単に、企業が手を付けようとしなかった厄介な仕事をこなしていたに過ぎない。活動を開始した当初から今日に至るまで、私たちは詐欺師のインフラを産業規模で破壊し続けている。

当時、Netcraft [1] への私たちの確認済み報告件数は5,000件から10,000件の間に達していました。プラットフォームの特性を考慮すると、実際に生成された報告の数は少なくともその10倍はあったはずです。Netcraftはフィッシングの確固たる証拠を求めていました。 なぜでしょうか？それは、Valveがセキュリティプロバイダーや詐欺対策イニシアチブのいずれとも、断固として協力を拒否していたからです。一部の報告は、処理される前に単に処理パイプラインの中で放置されてしまいました。執拗なフィッシングキャンペーン――特に、積極的なクローキングの背後に隠されたリソース――に対しては、動画による証拠の記録と、Cloudflareの不正利用対策部門[2]への並行したエスカレーションが必要でした。

我々は詐欺を突き止め、それを排除した。無防備なユーザーを救うためではない。フィッシャーたちに金銭的・インフラ的な損害を与えることのみを目的として、リソースを禁止していたのだ。 もし企業界が、私たちがNetcraftの「Reporter Prizes」プログラム[1]のiPad目当てで詐欺師のサーバーを破壊していたと考えているなら――それは間違いだ。私たちは常に厳格に非営利の活動を行ってきた。寄付や報酬を原則として拒否することは、私たちの独立性と、破壊というプロセスへの専属的な忠誠を宣言するものである。

2. 共犯関係と収益化：Valveがフィッシングから利益を得る仕組み

当時、Steamの「セキュリティ」は50人のボランティアに支えられていた。我々は、そのうちの1人――「Colt」というニックネームのベラルーシ人――と連絡を取っていた。プラットフォームに氾濫する悪意のあるリンクをブロックしようとしていたのは、彼ただ一人だった。理想的な被害者：子供たち。理想的な共犯者：Valve。

同社はフィッシング行為に単に目をつぶっていただけでなく、そこに経済的利益を見出していた。我々のデータは、アルゴリズムによる冷酷な仕組みの実装を直接的に証明している。詐欺ボットがブロックされる確率は、盗まれたインベントリの価値に直接依存しているのだ。 2021年に取引保留措置が導入されて以来、2,000ドル以上の価値があるスキンを盗んだ場合、詐欺師のアカウントがBANされる確率はほぼ90％に達する。

しかし、誰も語らない詳細がある。このアカウント停止措置は被害者に何の利益ももたらさないのだ。凍結されたアカウント内の資産は、事実上Valveの経済圏に戻ってしまう。 同社は、詐欺対策という名目のもと、予期せぬ利益を横取りしているのです。そしてこれは『CS』に限った話ではありません――『Team Fortress』やその他のタイトルでも詐欺は横行しており、そこでのアカウント停止措置がより積極的に機能しているのは、コミュニティの活動と個々のモデレーターによる的を絞った取り組みのおかげに過ぎません。

3. ビジネスロジックの悪用：デジタル犯罪現場としてのSteam

私たちには、詐欺業界におけるValveの加担を公に解剖する権利がある。なぜなら、私たちはその腐敗した仕組みを内部から目の当たりにしてきたからだ。調査の初期段階では、サポート部門に連絡を試みた。チケットを作成し、フィッシングのランディングページに直接つながるドメインを添付した。ロシア語対応の外部委託サポートからどのような返答があったか、ご存知だろうか？

「リンクをたどることは禁止されています。再度リンクを送信された場合、アカウントを凍結します。」

これはセキュリティポリシーではありません。これは証拠隠蔽です。

フィッシング攻撃の圧倒的多数は、プラットフォーム内部で拡散されていました。Steamは閉鎖的なエコシステムであり、ビジネスロジックの悪用を行うには理想的な環境です。 ユーザーはクライアントを離れる必要さえありませんでした。攻撃者は「ビッグピクチャー」モードの組み込みブラウザを利用していました。攻撃手法は原始的でしたが効果的でした。プライベートメッセージやコメント、そして「やあ兄弟、プレゼント企画に参加して無料ナイフのリンクからコード『GABEN』を使え」といった、一様で退屈なスパムを含む感染したユーザー名などが使われていました。

Steamクライアント自体がフィッシングを配信し、アカウントを乗っ取り、スキンの窃取を助長した。同社は、ユーザーを食い物にするツールを生み出し、その管理を拒否したのだ。

4. 79人のために数十億：Valveの貪欲さの解剖

その利益の規模と企業の冷酷さの度合いが明らかになったのは、2024年の大規模なデータ漏洩事件[3]の後になってからだった。

公開された文書は衝撃的な真実を明らかにした。2021年時点で、同社全体の従業員数は正確に336人だった[3]。そして、数十億ドルの収益を生み出す世界的な独占企業であるSteamプラットフォームに直接携わっていたのは、わずか79人だった[3]。Valveは単に人員を削減しているだけではない。 内部文書によると、同社は従業員1人あたりの利益がGoogle、Amazon、Microsoftを上回っていると自慢している。

これらの数字は単なるビジネス上の事例ではない。これは、セキュリティを完全に軽視していることの数学的な証明である。数億人のユーザーにサービスを提供するプラットフォームが、79人という人員で保護を確保することは物理的に不可能だ。

しかし、彼らにはそれが必要ないのだ。

5. Lolzteamと盗まれたアカウントの闇市場

Valveのおとぎ話はこうだ。「ハッキングされたのはユーザー自身の責任だ」と。 しかし、現実は異なります。Valveは詐欺のインフラを生み出し、決してそれと戦おうとはせず、主にCIS諸国や中国を標的とした巨大な闇経済を意図的に維持し続けているのです。その理由は単純です――ユーザーを維持し、海賊版による損失を補填し、盗まれた資産を転売するためです。

Valveが目を背けている闇市場の数字を見てみよう。「LZT Market」プラットフォーム（Lolzteam）は、盗まれたアカウント売買の中心地だ。出品リストのリアルタイムスナップショットを見てみよう。現在、この市場には578,465件のSteamアカウントが出品されている[4]。そのうち：

現時点で、利用制限のないアカウントのみから推定される被害額の最低額は63万ドルを超えています。しかし、実際の取引額はそれの数百倍にも上ります。

そしてここで、ニキータという人物が浮上する――彼は長年にわたり、ロシア語版Steamサポートの外部委託業務（アイルランド事務所とは無関係）を監督していたとされる人物だ。彼のアカウントはLolzteamプラットフォームに直接登録されていた。なぜだろうか？ 大量の在庫を監視し、それらをブロックするためか？ 分析データを収集するためか？

たとえそうだったとしても、盗まれたアカウントをブロックするのにシャドーフォーラムへの登録は必要ない。LZT Marketは公開APIを使用している。Valveは、パスワード変更、メールの解除、自動インベントリチェッカー、アカウントバリデータといった、大量かつ同一のリクエストを明確に把握できる。これらはすべて、既知のプロキシファームのIPアドレスから発信されている。

市場にリストアップされた盗難アカウントの行動パターンは、Valveのログ上でクリスマスツリーのようにひときわ目立つ。しかし、同社はあえて目を背けている。

6. 惨事の規模：帳簿外で数千万ドル

Valveは闇市場に関する報告を公表していないが、数字は容赦ない。 LZTマーケット上のアイテムID（例：item_id 252853378 [4]）によると、2億5000万ロット以上がこのプラットフォームを通過している。そのうち、Steamカテゴリは過去において30～40％を占めてきた。

これは、プラットフォームの歴史を通じて、7,500万から1億のSteamアカウントが取引されたことを意味する。同じ盗まれたプロフィールは数十回も転売され、永久BANされるまで終わりのない取引の連鎖を生み出す。

Steamカテゴリでは、安価な自動登録アカウントから高額なフィッシング被害アカウントに至るまで、控えめに見積もっても1日あたり約2万5,000件の取引が行われています。平均取引価格が150～200ルーブルであるため、このカテゴリだけで1日あたり350万～500万ルーブルの売上高を生み出しています。 Steamを取り巻く闇市場の年間取引高は、このプラットフォームだけで数千万ドルに達する。市場は手数料（8～9％）を徴収し、詐欺師たちは莫大な利益を得て、ユーザーは金銭的損失を被る。

では、Valveは何をしているのか？ Valveは79人の従業員一人当たりの利益を計算し、何も起きていないかのように振る舞い続けている。

7. 窃盗の合法化とSteamの暗号資産マネーロンダリング

彼らが認めようとしないこのエコシステムを見てほしい。 Lolzteamで盗まれたアカウントを販売するためのインフラは、ダークウェブに隠れているわけではない。暗号資産ボット（Telegram、Binance [28]、Bybit [28]、Gate [28]）、ロシアの銀行カード、さらにはPIXやAlipayを介した支払いを公然と受け付けている。 取引ごとに手数料が徴収される。米国や欧州市民の通信記録や個人情報を含む膨大な機密データが、これらのゲートウェイを通過している。

それに対し、Steamは何をしているのか？ 彼らは認証情報の変更に関するメールを送るだけだ。もし子供（CS:GOやPUBGにおけるチート産業の主なターゲット層）のアカウントが盗まれた場合、プラットフォームは、そのプロフィールに恒久的なVACBANが課されるのをただ傍観しているに過ぎない。 Valveはあらゆる技術的なテレメトリデータを保有しています。IPアドレス、ハードウェア、行動指標の変化パターンを把握しているのです。彼らはリアルタイムでアカウント乗っ取りを阻止できます。しかし、何もしないで被害者が新しいアカウントを作成し、ゲームを再購入するのを待つ――これは偶然ではなく、承認されたビジネスモデルなのです。

ちなみに、闇市場そのものはとっくに「独立したハッカーの集まり」ではなくなっている。このインフラの基盤となっているフォーラムは、事実上、ロシア政府に近い組織によって支配されており、Steamは明らかにそれらとかなり円滑に共存しているようだ。 ロスコムナドゾル[23]による当該リソースのブロックに関する5件の決定は、目に見えない法的な領域において、巧みに無視されたり、異議申し立てによって覆されたりしている――結論は各自で導き出してほしい。

7a. デジタル・フィアット：Steamのスキンがゲーム内アイテムではない理由――それらは無許可の決済ネットワークである

Valveは長年にわたり、スキンとは現実世界の価値を持たない単なる「ゲーム内のピクセル」に過ぎないという法的虚構を構築してきた。しかし、この虚構は、実際に金銭が同社のプラットフォームを通じてどのように移動しているかという最も基本的な分析の下では、崩壊してしまう。

8. 破滅の経済学：闇市場の基盤としてのSteam

このような市場ではSteamだけが取引されているわけではない、と言うかもしれない。確かに、『World of Tanks』（約34万件）、『Fortnite』（約14万件）、TikTok、Discordのプロフィールもそこで取引されている。 しかし、歴史的に見て、Steamはこの業界の基盤であり、主要な原動力である。Valveの在庫やアカウントこそが、情報窃取ツールの需要を生み出している。もしSteamが厳格な盗難防止策を実施していれば、窃取ツールの開発は単に経済的に成り立たなくなっていたはずだ。

重要な点として、SSFNファイルのみを通じて盗まれたアカウントが市場に出品されることは、ほぼありません。 モバイル認証アプリにより、アカウントの完全乗っ取りは困難になった。しかし、SSFNファイルがあれば、攻撃者はアクティブなセッションや連絡先リストを入手でき、フィッシングメールを一斉送信したり、ボットネットに組み込んだりすることが可能になる。そして、そのアカウントが真に価値のあるものであれば、Steamの外部委託サポートが関与してくる。 詐欺師たちは偽のアクティベーションキーを作成し、サポートに連絡すると、無能な（あるいは賄賂を受け取った）従業員が高価なインベントリを新しいアドレスに転送してしまう。これにより、「回復済みアカウント」という新たなカテゴリーが誕生した――これは、Valveの外部委託業者が事実上盗み出し、犯罪者のために資金洗浄を行ったアカウントである。

9. 資産の複製と影の没収に関する神話

Steamアカウント盗難のプロセス — Valveはすべての段階を把握している

被害者

フィッシング／ステラー／ブルートフォース

►

詐欺ボット

7日間の強制保留

（Valveは送金を把握している）

►

LZTマーケット

平均250ドル未満で出品

（APIチェッカーが稼働中）

►

購入者

転売／資金引き出し／スパム

►

VALVE

スキンに対する手数料15%

＋在庫凍結

7日間の取引保留はセキュリティ対策ではありません。これは、Valveが決して行動を起こさなかった、透明性の高い調査期間なのです。

Steamは、盗まれたアイテムの返還を拒否する正当化として、「デュピング」（アイテムの複製）との戦いを盾にするのが大好きだ。これはあからさまな嘘である。 「デュピング」の時代は2014年に終わりました。2015年12月に7日間の取引保留が導入され[14]（その後さらに厳格化されたことで）、窃盗の手順は完全に直線的なものとなりました：被害者 → 詐欺師のボット（7日間の保留） → 闇市場。

この流れに、どこに「ダピング」があるというのか？ もし詐欺師が被害者を騙してレアなスキンを奪ったとしても、それはボットの手元に残る。ValveはそのボットをBANする。そしてその後どうなるのか？ そのアイテムは被害者の元には戻らない。BANされたボットのインベントリ内で永久に凍結されたままとなる。 Valveは資産を流通から排除することで、レアアイテムの人為的な希少性を生み出し、それがマーケットプレイスでの価格を直接押し上げ、同社の手数料収入を増大させている。

これは正義ではない。これは影の没収だ。金融システム（USDTなどを扱うものなど）では、凍結された資金はチャージバックの仕組みを通じて正当な所有者に返還される。Steamは、疑わしいカードを使って自社の残高を補充する場合、チャージバックがどのように機能するかを十分に理解している――彼らはそうした取引を即座にブロックするからだ。 しかし、ユーザーが5,000ドル相当のアイテムを盗まれた場合、Steamは責任を回避する。彼らはサポートチケットを閉じ、アカウント削除をほのめかし、たった1件の不正取引の取り消しを拒否する。これは、彼らの主たる目的が資産を自ら横取りすることにあることを証明している。

9a. 強制的な「盲目化」：Valveが没収資産数億を隠蔽する方法

Steamの「重複防止」という言い訳は、最初から成立しない。最後に確認されたアイテム重複の脆弱性は、2014年に修正済みである。 それ以降に行われたすべての利用停止および凍結措置は、「被害者 → 詐欺ボット → マーケット → Valveの凍結在庫」という直線的な窃取のパイプラインに沿って機能しており、資産を恒久的に保持する経済的な正当性は一切ない。 この凍結措置の唯一の受益者は、アイテム価格の高騰、手数料の膨張、そして資産の行方に対する法的責任の恒久的な免除を通じて、バルブ自身である。

10. 世界的な詐欺の温床

PhishDestroyは2018年から詐欺を追跡してきました。私たちはその内部事情を熟知しています。Steamはサイバー犯罪者にとって主要な温床となりました。 当初、原始的なブルートフォース攻撃や偽のTeamSpeakサーバーを通じたスティラーの配布から始めた14～19歳のティーンエイジャーたちは、成長した。今日、彼らと同じ人々が、磨き上げた手法を用いてWeb3業界（Uniswap）[26]や企業ネットワークを攻撃している。

Valveはこの世代を育て上げたのです。同社が処罰を拒み、問題に目をつぶり、貪欲に振る舞ったことで、未成年の詐欺師たちに「盗んでも安全だ」という認識を植え付けてしまいました。そして、ロシア語圏の外部委託業者が「正義」を装い、説明なしに永久BANを科す（VACアルゴリズムの非公開を盾に）行為は、この不処罰の風潮をさらに助長しているのです。

10a. Twitchとの対比：プラットフォームが実際に反撃するとどうなるか

Valveは、大規模なフィッシング対策は不可能だと主張している。Twitchとの比較が、これが嘘であることを証明している。

この比較は、Valveが提示しうる最後の弁明――「問題は規模が大きすぎて、変化が速すぎて、大規模な対策が不可能だ」という主張――を打ち砕くものである。 Twitchは、断固とした的を絞ったプラットフォーム側の対策により、洗練された詐欺行為を数ヶ月以内に弱体化させ、根絶できることを証明した。Steamには、10年以上にわたり、同じツール、より多くのリソース、そしてアカウント所有者を保護することへの直接的な経済的利害関係があった。行動を起こさないという選択は、常に「選択」であったのだ。

11. 都合の良い「見ぬふり」の証拠

Valveが意図的に闇市場を庇っていたことを証明する、反論の余地のない事実がある。 何年もの間――強調しておきますが、何年もの間――盗まれたSteamプロファイルへの直接かつ公開されたリンクが、闇市場のページに掲載され続けていました。Valveに複雑な調査など必要ありませんでした。たった10行のスクリプトで、1分ごとに市場のデータベースを解析し、正当な所有者による確認待ちの侵害されたアカウントに「レッドタグ」（KT）を付けることができたはずです。

しかし、そのような措置は取られなかった。「都合の良い見ぬふり」の陰で、何百万件もの取引が行われたのである。 つい最近になって、これらのマーケットは（steam-preview経由で）データをプロキシ化し、独立系研究者からプロフィールを隠蔽し、プライバシー設定を迂回するようになった。しかし、歴史はすべてを記憶している。Valveはワンクリックでこのマーケットを壊滅させることができたはずだ。それにもかかわらず、彼らはそこから利益を搾り取る道を選んだ。

12. デジタルフィンガープリント：マーケットのプロキシ化がValveを救わない理由

シャドウマーケットの最新の防御メカニズム――Steamプレビュー経由でのリンクプロキシ化――は、Valveにとって、自らの不作為を正当化するまた別の都合の良い言い訳として利用されている。同社は、盗まれたプロフィールを特定することが今や「より困難」になったかのように装っている。これは完全な嘘である。 Valveのセキュリティシステムにとって、販売リストに掲載されたアカウントはガラスと同じくらい透き通って見える。

デジタルフィンガープリントによる特定：市場のプレビューダンプには、正確な購入日時と金額（例：2026年6月15日の-2.85ユーロ）、正確な登録日、および残高が公然と公開されている。 Valveのデータベースにおいて、同一の取引履歴を持つアカウントが2つ存在することは物理的にあり得ない。サポート側から単純なSQLクエリを実行すれば、たとえそのアカウントへの直接リンクがプロキシの背後に隠されていたとしても、ミリ秒単位でそのプロフィールを特定できる。

APIの異常と傍受パターン：プレビューを生成するため、闇市場のチェッカーはSteam APIにクエリを送信します。その瞬間、当該アカウントでは特徴的な連鎖反応が引き起こされます。メールアドレスの変更、パスワードのリセット、Steam Guardの再リンク、そして同時に行われるインベントリ評価リクエストが、すべて数分間に凝縮されるのです。 これらすべては、既知のプロキシファームのIPアドレスから行われています。

13. 傍受の進化：SSFNからPass-the-Cookie、そしてJWTへ

Valveの最も甚だしい犯罪は、スキンの盗難そのものではありません。それは、自社のアーキテクチャの脆弱性を悪用して、悪意のあるソフトウェアの拡散を意図的に助長し、世界規模のボットネットへの資金提供を行っていることです。

長い間、セッション傍受の主な手段はSSFNファイルでした[27]。今日、業界は進化を遂げており、攻撃はWebセッションのクッキーやJWTトークン（JSON Web Tokens）の乗っ取りへと移行しています[21]。 詐欺の手口はより巧妙になっており、攻撃者はSteamのサーバーに直接リクエストを送ることなく、ローカルでこれらのトークンを検証する方法を習得した。これにより、Valveの原始的な不正防止システム（厳格な監視が設定されていない場合、実際には設定されていない）からは、こうした攻撃が見えなくなっている。

その技術的な仕組みは以下の通りです：

ステップ1. 信頼インフラを無料の組立ラインとして活用：盗まれたトークン1つだけでは、保護されたアカウントの紐付けを完全に解除するには不十分な場合が多いため、攻撃者は取得したセッションから別のリソース——「信頼」——を搾り取ります。 スクリプトは被害者のチャットにアクセスし、連絡先リスト全体にフィッシングリンクやウイルスインストーラーを送信します。Steamは、ボットネットを幾何級数的に拡大させるための完璧かつ無料のエンジンとして、その内部P2Pインフラをハッカーに快く提供しているのです。

ステップ2. 犯罪的な過失（UEBAの無視）：特定のハードウェアに紐付けられた旧式のSSFNであれ、最新のセッションクッキーであれ、Steamは異常の100％を検知しています。 たとえば、モスクワの PC に正当に発行されたトークンが、突然ドイツの専用サーバーから活動を開始した場合、通常の企業（Google など）であれば、即座にセッションを切断し、「セッションが侵害されました。 お使いの PC は情報窃取型マルウェアに感染しています」と警告するでしょう。Steam はそうしません。Steam は、ボットがフレンドリスト全体を網羅し、何百台もの新しいマシンを感染させることを許しています。

ステップ3. グローバルな被害（企業の崩壊）：ここに、インターネット全体に対する主な脅威が存在する。Steamはセッションの傍受についてユーザーに通知しないため、その人物は侵害されたコンピュータの前に座り続けたままになる。もし警告が届いていれば、その人物は直ちにOSを初期化していただろう。 しかし、Steamは沈黙を貫く。その人物は、同じ感染したPCを使い続け、企業のVPNや業務用メール、暗号資産ウォレットにログインし続ける。

セッション傍受の異常を無視することで、Steamは単にゲーム内のピクセルが盗まれることを許しているだけではありません。彼らは、ユーザーのシステム上で情報窃取型マルウェアが実行されているという事実を、ユーザーから隠蔽しているのです。この企業の「盲目さ」は、数百万ドル規模の損害をもたらす大規模な企業データ漏洩やインフラの侵害に直接つながります。

ステップ4. 嘘の暴き方：弁護士の資料

Valveは、複雑な窃取の連鎖を追跡する「技術的能力がない」とか、侵害の「責任はユーザーにある」といった主張を盾に、頻繁に身を守ろうとしています。しかし、私たちが明らかにした、同社の欧州の弁護士（Taylor Wessing）による不適切に黒塗りされた文書[9]の事例は、その反対を証明しています。

黒塗りされていないGDPRに基づく情報開示請求データ[10]からは、次のことがはっきりと見て取れます。Valveは文字通りあらゆるものを記録しているのです。 同社は、ハードウェア、IPアドレス、デバイスの変更履歴、行動パターンに関する詳細なテレメトリデータを収集している。アカウントが乗っ取られた瞬間を把握しており、情報窃取型マルウェアやスパム送信ソフトの実行状況も確認できる。自動ブロックや「レッドタグ」の発行に必要なツールはすべて備えている。彼らの不作為は、企業としての意識的な選択である。

ステップ5. 真の動機：なぜこれがValveに利益をもたらすのか

「技術的に不可能」という嘘の背後には、冷徹な経済的計算が隠されている。

スクリプトによるサポートコストの最適化：不審なセッションをブロックすると、ユーザーからチケットが送られてきて、それを処理しなければなりません。そのインシデントを単に無視するほうが、利益率が高くなります。Steamは原始的なスクリプトロジックに依存しており、詐欺師たちはそれを完全に把握し、悪用しています。 ロシア語対応のサポートスタッフは、おそらくこれらのアルゴリズムを目にしてはいるが、脆弱性を修正するためではない。アルゴリズムが適切に設定されていれば、レッドタグの発行に人件費は一切かからない。以前は、VPN経由で新しいIPから復旧したように装うことで、レッドタグを自動的に解除することができた。しかし現在では、ユーザーがサポートに連絡すること自体を諦めさせるため、チケットの処理時間が意図的に引き延ばされている。 そして、サポート担当者が未解決のチケットを一方的に閉じることができるという点は、企業の冷笑主義の極みである。

金銭の循環：スパムでフレンドリストを使い果たした乗っ取られたアカウントは、最終的にVACバンまたはコミュニティバンを受けることになる。被害者（または騙された連絡先）は新しいアカウントを登録し、同じゲームを再び購入する。企業は1人のユーザーから2倍の収益を得るのだ。

闇市場との共生：アカウントが盗まれるほど、LZT Marketやその他のハッカー向け取引所の歯車は速く回る。この闇の活動は、逆説的だが（特にチート産業が盛んな地域において）膨大なユーザー層の関与を維持している。そして、盗まれたスキンを用いたその後の取引においても、Valveは当然のコミッション率を受け取っているのだ。

14. 命の取引：Steamが実際に2ドルで売っているもの

Valveはプライバシーを重視していると主張している。しかし、市場で数ドルで乗っ取られたプロフィールを購入した攻撃者は、実際には何を受け取るのだろうか？ Steamはクレジットカード番号の全桁を表示しないが、ソーシャルエンジニアリングにとってはるかに価値のある情報を渡してしまうのだ。

アクティブなセッション（SSFN、クッキー、またはJWT）があれば、ハッカーは数回のクリックで保存された請求先住所――被害者の本名のファーストネーム、ラストネーム、都市名、郵便番号――を取得できます。 Steamに組み込まれたデータパネルを通じて、IPアドレスの履歴や他のプラットフォーム（Twitch、Xbox）へのリンクにアクセスできます。さらに、サポートチケットの履歴を確認すれば、ユーザーが本人確認のために送信した、編集されていない銀行の領収書や物理ディスクのアクティベーションキーの写真のアーカイブが見つかるでしょう。

しかし、最も憂慮すべき点はチャットログである。Valveが長年にわたり、個人間のやり取りのアーカイブを暗号化せずに慎重に保管してきた実態が明らかになった。 それらのアーカイブには、10代の若者たちが実名のソーシャルメディアアカウントへのリンクを残したり、悩みを打ち明けたり、ローカルサーバーのパスワードや自宅のIPアドレスを送信したりする様子が記録されている。乗っ取られたセッションの即時リセットを拒否し、情報窃取者を庇うことで、Steamは事実上、ユーザーの人生の軌跡とデジタルセキュリティを闇市場のショーウィンドウに晒しているのだ。

14a. 1.60ドルの「デジタル・ドシエ」：Steamがいかにして子供たちの生活を闇市場に売り渡しているか

Valveがアカウントのセキュリティについて語る際、彼らはインベントリの価値について言及する。しかし、盗まれたプロフィールの真の価値は、ピクセル数では測れない。何百万人もの10代の若者にとって、Steamは単なるストアではなく、彼らにとっての主要なソーシャルネットワークそのものである。そこには、彼らの実績、秘密、人間関係、そして初恋が詰まっている。

ハッカーがアカウントを盗み、それを何気なくLZTマーケットで150ルーブル（約1.60ドル）で売りさばくとき、購入者が手にするのは単なるゲームへのアクセス権だけではない。彼らは、ある子どもの人生が丸ごと詰まった、暗号化されていないアーカイブを受け取るのだ。

16a. 産業規模のデータ解析：標的型攻撃プラットフォームとしてのValveの「Open API」

詐欺師たちは、誰を標的にすべきかどうやって知っていたのか？　なぜ子供たちが産業規模で被害者になってしまったのか？　それは、Valveが自社のデータベースへの扉を全開にしていたからだ。

15. 子供たちの涙の上に築かれた「効率」：完全な無関心を基盤とするビジネスモデル

Valve社は自社の財務分析を自慢するのが大好きだ。ストアの従業員数十人あたりで数億ドルの利益を上げている。テック業界の目には、ゲイブ・ニューウェルはしばしば最適化の天才として映る。 しかし、バラ色の眼鏡を外して、物事をありのままに見てみよう。この「効率性」は、自社のユーザーの安全を確保することを絶対的かつ冷笑的に拒否するという代償を払って手に入れたものだ。

児童の安全やデータ漏洩をめぐるわずかなスキャンダルで時価総額が瞬時に暴落する上場企業（Robloxやテンセントなど）とは異なり、非上場のValveは誰に対しても説明責任を負わない。同社には取締役会が存在しない。機関投資家を安心させる必要もない。 同社は、トラスト＆セーフティ部門や不正対策部門への支出を一切行わないことで、経営陣の個人資産を数十億単位で直接生み出す、理想的な「金印」を築き上げたのだ。

この「過度な最適化」の代償として、何百万ものアカウントが乗っ取られ、10代の若者の個人的なやり取りがインターネット上に流出しており、闇市場が活況を呈し、詐欺師たちは完全に野放しになっている。Valveは単に詐欺師に「気づいていない」だけではない。何もしないことこそが、同社にとって経済的に有利なのである。

16. Steam API：ハッカーのための企業ツールキット

盗難を制御できないというValveの嘘を徹底的に分析してみよう。 もし彼らが望めば、どのサポート担当者でも闇市場にアクセスし、掲載されているSteamアカウントへのリンクを取得し、自社のサーバーログを確認することで、どのAPIキーが、どのIPアドレスから、そのプロフィールのインベントリを評価してフォーラムにダンプを生成しようとしているかを正確に把握できるはずだ。

Valveは、プロキシのネットワークと数百ものAPIキーを目にするだろう。その大半は、過去に盗まれたアカウントから入手されたものだろう。企業としてどうすべきか？ 侵害されたキーを無効化することだ。しかし、Steamはこれを行っていない。 なぜでしょうか？ おそらく、「正当な」サービス――ルーレット、違法なケース開封カジノ、あるいはAML（マネーロンダリング防止）手続きなしにピクセルと暗号資産を交換するサードパーティのマーケットプレイス――まで網にかかってしまうことを恐れているからでしょう。このエコシステム全体はグレーゾーンに存在し、課税されることなく膨大なトラフィックを生み出しています。そして、Valveはそれを全く問題視していません。

Steamの利用規約では、あらゆる自動化が明示的に禁止されています。そこで合理的な疑問が生じます。なぜ公式のSteam APIには、アカウントの自動乗っ取り（ミリ秒単位で完了）やモバイル認証アプリの一括紐付けに最適な機能が含まれているのでしょうか？

なぜSteamは、SMS認証サービスによる仮想（VoIP）番号をアカウントに大量に紐付けることを許可しているのでしょうか？ こうした番号をフィルタリングする解決策は極めて単純です――通常のサービスならどこでも使用されている標準的なHLR照会を行うだけです。しかし、Steamはこれを行っていません。 もしかすると、彼らが自慢したがる「オンライン記録」という数字を追求する上で、ボットファームは彼らにとって有利に働いているのでしょうか？

ユーザーがチート行為によりVACBAN [15] を受けた場合、そのBANは同じ電話番号に紐付けられたすべてのアカウントに適用されます。しかし、特定のVoIP番号プールから数百ものアカウントが乗っ取られた場合でも、Valveはそれらの番号をBANしません。 通常のサービス（Telegram、Netflix、Apple、Google）であれば、スパムや不正利用された電話番号をブロックします。しかしValveにとって、セキュリティとは空虚な言葉に過ぎません。

17. 故意の無視：偽善で築かれた法的盾

Valveは、ルール違反（自動化、VPNの使用、ファーミング、ボットの稼働）がプラットフォームの存続の前提条件となるようなエコシステムを構築した。同社はハッカーに完璧なツールキット（オープンAPI）を提供し、仮想番号には目をつぶる一方で、ルール上では上記のすべてを厳格に禁止し続けている。

これは単なる過失ではない。これは、完璧な法的盾として構築された「意図的な見ぬふり（Willful Blindness / Deliberate Ignorance）」である。規制当局がValveにやって来ると、Taylor Wessing [9]のような弁護士たちは利用規約（ToS）を提示するだろう。「ほら、我々はすべてを禁止している！」と。 そして、強盗被害に遭った10代の若者が彼らを訪ねてきたとき、彼らはその同じ利用規約（ToS）を用いて、法的に支援を拒否し、調査に時間を費やすことを回避するのだ。

18. 諜報機関、Steam、そしてハッカー市場の共生

LZT Marketの話に戻ろう。 Steamがこのプラットフォームを全く気にかけていないことは、すでに明らかになった。しかし、もう一つの側面が興味深い。この闇フォーラムは、その存続期間を通じて少なくとも3回の運営体制の変更を乗り越えてきたが、間接的（だが極めて明白な）指標によれば、これらはロシア連邦の特定の権力層間における影響力の再配分と関連している。

運営体制が変更された時期（例えば、管理者トーマスの時代など）には、フォーラム内で過激な粛清が行われた。 ロシア在住者を標的とした詐欺スキーム（Avito詐欺、アンチシネマ）は禁止され、未成年者のプライベート写真や個人情報の流出は厳しく取り締まられ、VKontakteアカウントの販売は完全に排除され、現在はロシアの電話番号で登録されたTelegramアカウントの販売も禁止されている。 このフォーラムは、ロシア国民を批判的に扱わないよう、明らかに管理が行き届いている。

しかし、Steamの状況は異なります。このマーケットプレイスでは、スティラーに感染したロシア市民のSteamアカウントが依然として自由に販売されています。 出品説明には、出所 — スティラー、国 — ロシア、残高 — ルーブルと明記されている。これは、ロシア人ユーザーがウイルスに感染し、Steamの残高だけでなく、おそらくメールアカウントや職場の認証情報までもが盗まれたことを意味する。そして、フォーラムはこの出品を何の問題もなく通過させている。

そこで疑問が生じる。Steamは、この闇市場を監督しているのと同じ組織と協力しているのだろうか？ あるいは、Valveはロシアの「パートナー」に対し、二重基準を止め、ロシア国民の盗まれたアカウントの販売を禁止するよう働きかけることはできないのだろうか？ なぜなら、現時点ではSteamと闇市場は、まるで互いの二重基準と偽善的な方針を真似るかのように、完璧な共生関係を築いているからだ。

19. 詐欺の手口解剖：偽のWindowsからGoogle広告経由の30万ドルの純利益まで

過去5～8年間にわたり、PhishDestroyはSteamエコシステムにおけるほぼすべての詐欺手口を徹底的に分析してきました。認証ウィンドウをその場ですり替える情報窃取型マルウェア、SMSメッセージを傍受するもの、インベントリを完全に消去するものなど、さまざまな手口を確認してきました。 また、Valveによって何年も「見過ごされていた」取引オファーのすり替え（API詐欺）の仕組みも確認してきました。「見過ごされていた」のか、それとも「利益が大きすぎた」のか？

私たちは、最大規模のフィッシングネットワークのボットについて継続的な分析を行ってきました。その一例として、2024年にはGoogle広告経由で大規模な流入が記録されました[29]。詐欺師たちは、広告に表示されるURLを本物のSteamドメインにすり替えていました。その広告出稿は極めて積極的で、公式広告の入札額を上回り、検索結果の上位を独占していました。

私たちの試算によると、わずか数日の連続稼働で、詐欺師たちの純利益は約30万ドルに達しました。これには、闇市場で盗まれたスキンを販売する際の割引や、Steamが時折課す軽微なアカウント利用停止処分による損失も考慮されています。 確かに、これらは当時の経済状況に後押しされたピーク時の数値ではあるが、事実としてSteamは巨大な「餌箱」であることに変わりはない。

フィッシング詐欺の標的はほぼ『CS』と『Dota』（他のゲームではなく）に限られているとはいえ、『Rocket League』、『Path of Exile』、『Rust』、そして『PUBG』も忘れてはならない。しかしここで、Valveによる企業的な搾取が問題となる。それは、すべての開発者が署名することを義務付けられている厳格なNDA（秘密保持契約）の条件である。 開発者は、Valveの書面による承認なしに、Steamにおけるセキュリティ問題、データ漏洩、または脆弱性を公に開示することは許可されていない。たとえそれがプレイヤーに直接的な脅威をもたらす場合でもだ。契約によって口は封じられている。

20. BlockBlasters事件：「ハッキングされた開発者」という嘘と、1ヶ月にわたる情報隠蔽

BlockBlasters事件は、ピクセル窃盗を無視した話ではなく、実際の犯罪行為を隠蔽した話である。

最近発生したゲーム『BlockBlasters』[5]をめぐる事件を思い出してほしい。この事件が世間の注目を集めたのは、故ストリーマーのライヴォ・プラヴニエクス[6]のおかげに他ならない。これはインフルエンサーを標的とした攻撃だった。詐欺師たちはストリーマーに接触し、広告を購入した上で、Steamから直接ゲームを起動するよう依頼したのだ。 被害者たちの考え方は理解できるものの、致命的なものでした。「ここはValveの公式ストアだ――そこに堂々とした窃盗犯がいるはずがない」。彼らはどれほど間違っていたことか。

Steamサポートには、早くも9月2日から確固たる証拠を伴う報告が寄せられ始めていました。チケットには、盗まれた仮想通貨に関するChainAbuse [7]への苦情や、ゲームのコードに直接埋め込まれた詐欺師たちの公開Telegram APIの直接的な証拠が含まれていました。Valveは何をしましたか？ 彼らは待ったのです。 1ヶ月間も。盗難ゲームはストアから平然とダウンロードされ続けていた。

そして同社は、セキュリティの専門家なら誰の知性も侮辱するような言い訳を繰り出した。「開発者のアカウントがハッキングされた」と。このおとぎ話をありのままに呼ぼう――それは、自らの怠慢（あるいは共犯）を隠蔽するための厚かましい嘘なのだ。

ゲームをリリースするには、開発者はSteam DirectのKYC [22]を通過する必要があります。つまり、100ドルを支払い、本名、住所、銀行口座情報、納税情報を提出するのです。 犯人はダークウェブ出身の匿名のハッカーなどではなかった――W-8BEN税務フォーム[8]を含む彼らの法的情報は、Valveのデータベースに保存されていたのだ。

「何らかの理由で22日間も沈黙を守り続けた、ハッキング被害に遭った開発者」という神話は、Steamworksの仕組みの前では崩れ去る。正規の開発者がパブリッシャーコンソールへのアクセス権を失った場合、認証情報の盗難についてチケットを作成する。そうすれば、アップデートやビルドの公開権限は数時間以内に凍結される。

残された選択肢は2つだけだ。 「開発者」が当初から詐欺師たちの共犯者だったか（つまり、Valveが誇るKYCは虚構であるということになる）、あるいはValveが、公式ストアを通じて暗号資産を盗むマルウェアが配布されている間、開発者や数十人の被害者がサポートに連絡しようと必死の努力を重ねていたにもかかわらず、1ヶ月間も意図的にこれを無視していたかのどちらかだ。

いずれの場合においても、Valveは状況の犠牲者としてではなく、デジタル強盗の主要な共犯者として振る舞っている。

21. 証拠隠滅：Valveが犯罪現場をどのように「清掃」したか

しかし、BlockBlasters事件で最も嫌悪感を覚えるのはその結末だ。デジタル犯罪現場への干渉である。

記録上は、Valveは感染したゲームを削除していない。 C2インフラに対する我々のフォレンジック分析は、その反対を証明している。詐欺師たち自身が、9月21日にSteamのサーバーから悪意のあるビルドを削除したのだ――まさに彼らのTelegramボットネットが公に暴露され、刑事告発が現実的な可能性となりつつあったまさにそのタイミングである。彼らは痕跡を隠すために「焦土作戦」を敢行したのだ。

Valveの「セキュリティ対策を実施した」という声明は、まったくの虚構であり、恥知らずなPRに過ぎない。彼らは意図的に、犯罪者たちが自らのサーバーからマルウェアを消去するのを待ち、その後になってようやく、すでに空っぽになったストアページをのんびりと削除し、その功績を自分たちのものにしたのだ。これは問題の解決ではない。これは共犯行為であり、司法妨害である。

Valveはユーザーを守っていたわけではない。自社のデータセンターを通じて情報窃取型マルウェアを配布したとして、裁判所命令を携えた連邦捜査官がオフィスに現れないよう、犯罪現場を片付けていたのだ。

22. 行動の幻想：サーバーコスト削減のための制限

Valveが何らかの制限（例えば、フレンドリクエストの上限引き下げなど）を導入すると、世間知らずのユーザーは、それがセキュリティ上の懸念からだと考えてしまう。とんでもない。この制限に関する一連の話は、詐欺対策などではなく、純粋にサーバー容量のコスト削減に他ならない。

スパムの大惨事を引き起こしたきっかけを振り返ってみよう。あの有名な取引オファー置換スクリプトが登場する以前、プラットフォームは原始的な自動化ツールによって悪用されていた。女性アバターを掲げたボットの軍団が、何千件ものフィッシングリンクを送りつけていたのだ。このジャンクトラフィックが、利用制限のないアカウントに対する膨大な需要を生み出した。 私たちは闇市場を追跡していた。このスパムブームにより、利用制限のない盗難アカウントの価格は25ルーブルから150ルーブルへと急騰し、その後も安定した価格を維持した。そして、盗難アカウントに対するこの異常な需要は、2024年まで続いたのだ！

Steamがフィッシングからユーザーを守るために、招待上限を100から30に引き下げたと思いますか？ それは間違いです。Valveはすべてを記録しています。クリック一つひとつ、招待一つひとつ、キャンセルされたリクエスト一つひとつまで。自動化された詐欺師の農場は1日あたり数百万件の空取引を生成し、Steamの内部データベースを汚染し、インフラに過負荷をかけていました。 そして最も示唆に富むのは、Valveがこれらの制限を、新規登録された使い捨てアカウントではなく、完全に育成された制限なしのアカウント（技術的には支出閾値を超えたアカウントとしてカウントされるため、VACBANを受けたアカウントも含む）に対して課したことです。Valveが制限を課したのは、ユーザーの安全のためではなく、自社のサーバーへの負荷を軽減するためだけでした。

Valveによる制限は、自社のサーバーを保護する必要がある場合にのみ適用される。ユーザーのお金など、彼らにはどうでもいいのだ。

23. 内部の仕組み：詐欺師の監督者が利用停止処分から利益を得る理由

詐欺チームの内部構造を徹底的に分析してきたので、一般のトレーダーが想像もしていなかったある「汚い秘密」を暴露しよう。

すべての詐欺チーム（一般の作業員には盗んだアイテムの90～95％が分配されると約束されている）において、監督者（チームコーディネーター）は、ボットに取引禁止措置やレッドタグが適用されることに金銭的なインセンティブを持っていた。そのため、彼らは意図的に侵害されたボットを交換しなかった。 アカウントが利用停止処分を受けると、監督者の取り分は急激に跳ね上がった。スキン売却によるわずか5％の取り分ではなく、貴重なスキンを保有する利用停止アカウントをアジア市場に売却するだけで、インベントリのSteam価格（市場価格ではない！）の15％から20％を受け取ることができたのだ。 中国の買い手たちは、高価なアイテムや非公開のチートを使って遊ぶために、それらをまとめて購入していた。これが、取引禁止措置を受けたアカウントの多くがVAC禁止措置も併せて受けている理由である。詐欺業界はチート業界を養い、Steamは喜んで利用者の数を増やしていたのだ。

24. Steamワークショップ：API詐欺の絶好の実験場

Steamのセキュリティに対する完全な無関心は、ワークショップの事件によって如実に示されている。ある時期、文字通り2～5人の詐欺師が、フィッシング広告でワークショップを完全に埋め尽くしてしまった。どうやって？彼らは、実在するユーザーのウェブセッションを傍受して利用したのだ。

これは従来の意味での乗っ取りではありませんでした。 攻撃者は単にSteam APIを介してあなたのアカウントで並行セッションを開き、インベントリをスキャンし、あなたがトレードを開始するのを待ち、即座にそれをキャンセルし、自分たちが制御するボットからの同一のオファー（同じアバターとフレンドニックネーム付き）に差し替えただけだった。これらすべては、公式のSteamエンドポイントを通じた正当なユーザーセッション内で発生した。

では、ワークショップがフィッシング広告で溢れかえっていた時、Valveはどのような対応をとったのでしょうか？もちろん、介入はしました。レッドタグを発行し、侵害されたアカウントをBANしました……しかし、それは被害者のインベントリが完全に空っぽになってからでした。

素晴らしい対応ですね、Steam。アカウントに「救う」べきものが何一つ残っていないのに、アカウントを「救って」くれてありがとう。

皮肉なことに、闇市場におけるこれらのトークンの価格は暴落した。以前は有効なSSFNファイルが約3ドルで取引されていたが、今日、まさにそのLZTマーケット（ロシア語版Steamサポートのキュレーターであるニキータが登録している場所）の価格表は、Valveのセキュリティを嘲笑っているかのようだ：

「Steamトークン（JWT）の購入・処理。独自ソフトウェアによる迅速な確認。価格：

CS2 Prime — $0.08（一時的・恒久的な利用停止なし）

OpenTM — $0.04（オープンな取引プラットフォーム）"

あなたのアカウント、履歴、そしてデータは、わずか8セントの価値しかありません。Steamのセッション保護の有効性について知るべきことは、これだけです。

「技術的に不可能」という幻想：偽ゲーム事件

サポート側は、盗まれたアイテムの返還は「技術的に不可能」である、あるいは「ゲーム内経済を破壊する」と主張しています。しかし、ゲームなりすまし事件は、その主張が誤りであることを証明しています。

その手口はあからさまだった。詐欺師たちはSteamストアにダミーのゲームをアップロードし、高価な『CS:GO』や『Dota 2』のスキンから名前やアイコンをそのままコピーしたアイテムを作成した。取引の際、被害者は見覚えのある「Dragon Lore」を目にしたが、それが偽のゲームに属するものだと全く気づかなかった。 当時、PhishDestroyがこれらの詐欺師を積極的に追跡・ブロックしていたため、私たちはこの件を鮮明に覚えている。

そして、コミュニティマーケットへの信頼の根幹が脅かされたとき、Valveはどのような対応をとったのでしょうか？　奇跡が起こりました。長年にわたりフィッシング被害者の支援を拒否し続けてきた同社が、突如として影響を受けたすべてのユーザーに本物のアイテムを返還したのです。 詐欺師たちは絨毯爆撃のような打撃を受け、シャドウフォーラムで何日も悲鳴を上げていました。Valveはハードウェア禁止措置（HWID）を発動し、共有IPを網羅的に禁止したため、詐欺組織全体が巨額の赤字に陥ったのです。

さらに、Steamはわずか数日のうちに大規模なセキュリティアップデートを展開した。突然、彼らはあらゆる対策を実施するためのリソースを確保したのだ。取引保留、新たな本人確認、開発者預託金、「このゲームはあなたがプレイしたことはありません」という大規模な赤色警告、そしてアイテム価格の不審な乖離に関する警告などである。

結局のところ、彼らにはそれができるのだ。取引の連鎖を追跡し、取引をロールバックし、複雑な警告システムを構築する方法を、彼らは十分に熟知している。しかし、彼らがそれを実行するのは、自社のビジネスモデルやマーケットプレイスの信頼性に直接的な脅威を感じた時だけである。 もし一般的なアイテム窃盗犯にすべてを奪われてしまった場合、受け取れるのは「Steamのポリシーではアイテムの復元は行われていません」という定型文の返信だけだ。

79人の従業員：マッチとドングリのアーキテクチャ

このプラットフォームの日常的なセキュリティの「深刻さ」を完全に理解するには、本番環境で丸2日間も放置されていた最近のAPIバグを例に挙げてみよう。基本的なスクリプトさえあれば、誰でも簡単なリクエストを送信し、あらゆるプライバシー設定を完全に迂回して、任意のSteam IDに対して直接システム通知をスパム送信することができた。

2日間もAPIに巨大な穴が開いたままとなり、誰でも何百万人ものユーザーに通知を送ることが可能でした。確かに、数十億ドル規模のグローバルプラットフォームにとって、従業員79名で十分なのでしょう。あらゆる責任をユーザーに転嫁する利用規約を作成できるのなら、機能的なQA部門やセキュリティ部門に投資する必要などあるでしょうか？

25. インフラストラクチャ・アズ・ア・サービス：詐欺・アズ・ア・サービス（SaaS）

Valveの不作為によって生み出された商業化の規模を実感していただくために、現代のフィッシングチームによる典型的なオファーを見てみましょう。 もはや、粗末なスクリプトを使う10代の若者たちなどではありません。これは熾烈な競争が繰り広げられる、本格的なSaaSビジネスなのです。私たちが容赦なく彼らのドメインをブロックし、インフラコストで損失を被らせようとしていた間、彼らはトラフィックを維持するために「ワーカー」に無料ドメインを提供する方式へと切り替えたのです：

「当プロジェクトは3つの機能を1つに統合しています：フィッシング（ログはお客様に送られます）、MaFile（手数料5％）、置換（API詐欺 — 収益の80％をお客様に）。 当社だけが提供する機能：LZTでのログの自動販売、1つのコードによるMaFileの削除、置換用ブラウザ、無料ドメイン、そして多数の偽テンプレート。」

Valveは、制御不能になったもの、あるいは干渉を恐れる地域（米国、日本、韓国）に影響を与えるもののみに対処します。 Steamはスパムや無制限アカウントを検知でき、時にはフィッシングドメインをBANすることさえありました（多くの場合、そのドメインがすでに機能停止していた時です）。同社がドメインを検知したなら、そのドメインを拡散しているアカウントのネットワークも把握していたはずです。 これらのボットファームは安価な共有プロキシ（1,000アカウントにつき1台のサーバーと100個のIPという仕組み）を通じて運営されていたため、SQLクエリ1つでボットネット全体をブロックすることも可能だったはずだ。しかし、Valveはそれを実行しなかった。

26. 地政学的な偽善：Steam経済の「マネーロンダリング工場」

CIS（独立国家共同体）地域のグレー経済に対するValveの寛容さは、さらに別の怪物――違法な残高チャージや地域切り替えの市場――を生み出した。Valveがロシア向けの直接チャージを公式に停止した際、同社は影の仲介業者の繁栄に単に目をつぶっただけだった。その方がはるかに都合が良かったのだろう？

「地域切り替え」（トルコ、カザフスタン、アルゼンチンなどへの切り替え）サービスは、数百万件単位で販売された。FunPayのような単一のプラットフォーム[24]だけでも、数社の大手販売業者による50万件以上の取引が記録されている。 さらに、Telegramのボットやフォーラムも数百存在します。このチャージ業界は、フィッシングや仮想通貨詐欺（シードフレーズの買い占め）による資金洗浄と深く絡み合っています。

Valveの論理とは何でしょうか？彼らは、制裁対象国から何百万人ものティーンエイジャーが大量に移住してくることを本気で信じているのでしょうか？それとも、カザフスタンのプロキシを経由し、盗まれた在庫を通じたロシアの資金が、単に「匂いが違う」だけなのでしょうか？Valveは制裁やコンプライアンスなど気にも留めていません。 重要なのは、すべての取引から得られる30％の手数料が確実に彼らの銀行口座に流れ込み、その一方で弁護士たちが「技術的な介入は不可能である」という定型文の書簡を量産し続けているという点だ。

27. 企業の利益と自社利用規約の違反

Steamは、自らのルールを完全に無視することで繁栄しているエコシステムであり、Valveはそれを熟知している。利用規約（ToS）には、プラットフォーム上でいかなる商業的利益を得ることも厳格に禁止されていると明記されている。

さて、現実を見てみよう。盗まれたアカウントの販売、スキンの取引、収集用カードを収集するためのボットファーム、レベルアップサービス（プロフィールレベル上げ）、キーの販売、そしてもちろん、制裁対象地域向けの残高チャージサービス。これらすべてが直接的な商業的利益である。 そしてこれは非現実的だ。商業行為を形式上禁止しているプラットフォームが、数百万規模の売上高を誇る産業の温床となっているのだ。Valve（あるいは、確実にNDAで保護されたロシア語圏の外部委託業者）は、自らのルールから距離を置き、それらを、不遇となった者を罰したり、インフラを保護したりするためのツールとしてのみ適用している。

28. サポート・シンジケート：Valveがアイテム返還を中止した理由

Valveが、盗まれたアイテムをユーザーに返還しないことを正当化する際（インフレ対策や「ダッピング」を口実に）、彼らは露骨に嘘をついている。 ValveがBANされたボットの資産を永久に凍結し、底なしの口座に懐に入れる理由は、経済の保護ではない。それは、自社の従業員によって被った運営上の損失を回収しようとする試みなのだ。

歴史的事実：サポート担当者（ボランティアと誤解されがちな安価な外注労働者を含む）は、Steamの闇経済に直接組み込まれていた。彼らはシステム上の特権を利用し、テクニカルサポートを腐敗したカルテルへと変質させた。

高価なアイテムの大量複製：「盗まれたインベントリをユーザーに返還する」という口実の下、サポート担当者はゲーム内で最も高価なアイテム（『CS:GO』の「Dragon Lore」や『Dota 2』のレアな「Legacy」クーリエなど）の複製を大量に生成していた。 こうして「返還」されたインベントリは、中国の取引所で現金化された。

アンバン（利用制限解除）の販売：サポート部門は、主要な詐欺師のプロフィールから「レッドタグ（KT）」や取引禁止措置を解除するサービスを販売していた。賄賂（仮想通貨やスキン）を受け取ることで、詐欺師たちは数万ドル相当の資産を現金化する許可を得ていた。

この汚職の規模を知ったValveの経営陣は激怒した。同社は盗まれたアイテムの返還方針を永久に廃止し、サポートチームによるアイテム生成への手動アクセスを遮断した。しかし、罰を受けたのは汚職を働いた従業員ではなく、ユーザーだった。世界中の子供たちやゲーマーが、Valveが自社のスタッフを管理できなかった代償として、自分のお金で支払わされているのだ。

「リトル・タイラント」症候群とボランティア警察の没落

公式サポートに加え、Steamにはもう一つの権力基盤が存在した――SteamRep [12] などのデータベースと連携したボランティアの取引監視団である。彼らはプラットフォームの経済やトレーダーの運命に対して、非公式ながら多大な影響力を持っていた。しかし、彼らも外注スタッフと何ら変わりなかったことが判明した。

ボランティアたちは、閉鎖的で腐敗した「顔のない影の権力者」というカーストへと変質してしまった。彼らは典型的な「リトル・タイラント」症候群に苛まれていた。つまり、気に入らない取引者を葬り去り、脆弱性について議論するユーザーをBANし、友人には「特例」を与えていたのだ。

SteamRep [12] の管理者が「詐欺師」のラベルを削除するために賄賂を受け取り、盗まれたスキンを洗浄する大規模なボットネットワークを庇っていたことを証明するログが明るみに出たとき、Valveへの信頼は完全に崩壊した。 2022年までに、Valveは最後のボランティアモデレーターを排除し、厳格にスクリプト化された外部委託スタッフに置き換えた。

29. 「効率」の代償

Valveは業界で最高の従業員1人あたりの利益を誇っている。しかし、この利益の代償とは何だろうか？

この「効率」は、支援を拒否すること、フィッシング被害者を脅迫すること、チケットを閉鎖すること、そしてSteamがゲームプラットフォームというよりは、世界規模の暗号資産洗浄所であり、情報窃取者の流通拠点であるという真実を隠蔽することに築かれている。

Valveの経営陣は、自分たちをビジネス最適化の天才だと自負し、成人向けビジュアルノベルを販売する権利を求めて法廷で争っている一方で、同社のプラットフォームは日々、実在するユーザーのデータ、金銭、そして安全を食い尽くしている。騙しの時代はとっくに終わっているが、Valveは依然としてそれを口実に、被害に遭ったユーザーの財産を合法的に奪い続けている。 Steamには正義など存在しない。あるのはスクリプト、外注労働者、そして果てしない利益への渇望だけだ。

30. あらゆるレベルでの偽善：ValveとTaylor Wessingの企業倫理

バルブの社内ハラスメント訴訟の文脈で、テイラー・ウェッシング（バルブの弁護士）に言及するのは大げさに思えるかもしれませんが――信じてください、これは冗談ではありません。 裁判では敗訴したが、重要なのは判決ではなく、テイラー・ウェッシングの戦略だ。彼らはプロ意識など示さず、消耗戦と意図的な遅延という汚い手口を見せた。あの高級スキーリゾートでの事件から、この訴訟が何年にもわたって引き延ばされたか、Googleで検索してみてほしい。

しかし、Valve自体に目を向けると、彼らが誇りとする倫理観について、さらに多くの疑問が湧いてくる。同社には「ウェルカムブック」という社内マニュアルがあり、そこでは自らを「家族」と呼んでいる。温かく居心地の良い雰囲気だ。しかし、この「家族」がスキャンダルに揺さぶられると、Valveは極限まで冷酷な対応をとる。 サポート部門のトランスジェンダー従業員に対するハラスメント事件や、ジェス・クリフ[13]（『カウンターストライク』の共同開発者で、バルブの創業当初からほぼ在籍していた）の事例を思い出してほしい。彼は、裁判所の判決もなく、単なる告発だけを根拠に会社から追い出されたのだ。 詐欺を隠蔽することで数百万を稼いでいるValveが、突然、自社の評判を気にするようになったというのか？　その論理は荒唐無稽だ。同社はユーザーから数百万ドルが盗まれるのを許しておきながら、単に「清廉」に見せかけるためだけに、何十年もかけてこのビジネスを築き上げてきた人物から即座に距離を置こうとするのだ。

テイラー・ウェッシングの弁護士たちについては――率直に言おう。 貴社は「数世紀にわたる歴史」を誇りとしているが、Instagramではプライドを支持するレースに参加している。はっきりさせてほしい。同性愛者を強制収容所に送ったナチスの創設者たちの歴史を尊重するのか、それとも現代的な進歩的な企業なのか？ これは企業による詐欺行為だ。 古き良き貴族のように見せかけつつ、実際には現代の偽善の渦に完全に溶け込んでいる。そして確かに、貴社は「無実の人々が関わる案件では雇われない」と評判が公然と叫んでいるような状況下で、ロシアのオリガルヒの弁護を引き受けている。

31. 今後のリークに関するロードマップ：Valveが備えるべきこと

PhishDestroyによるValveに関する記事は、これが最初でも最後でもありません。私は彼らの弁護士と猫とネズミの駆け引きをするつもりはありません――彼らの報酬額から判断すると、数段落を読むだけで3,000～5,000ドルもかかるのですから。 その金を無駄にせず、台本通りに読むだけのロシアのアウトソーシング業者ではなく、まともなサポートスタッフを雇うべきだ。

次に何が起こるか。今後の調査に向けた私のロードマップは以下の通りだ：

GDPR対応の無力さを示す証拠：法的定型文書の原本や不適切に黒塗りされた文書を公開し、Valveが体系的に規制に違反し、未成年ユーザーの機密データを開示していることを証明する。 私がすでに（ロシアのパスポートを持つ個人を含む）他人の個人データにアクセスした5人目の人物であったという一連の経緯をすべて明らかにします。これは、保存条件や架空の「暗号化」に関する彼らの嘘を直接証明するものです。

秘密保持契約（NDA）違反とSteamworksの醜い裏側：少なくとも2社の開発者からデータを入手しており、それらの秘密保持契約（NDA）については、喜んで違反するつもりだ（そもそも我々はそれらに署名したことはない）。 アップデート審査における露呈した混乱や、Valveがゲーム削除をちらつかせて公開を禁じているロッカーコンテンツに関する事例を暴露します。

暗号資産の失敗とマネーロンダリング：Valveの「天才たち」が数百万を失う経緯：Valveは従業員の10億ドル規模の利益を自慢するのが大好きなので、我々PhishDestroyは暗号資産の領域に踏み込むことにする。 エリートサポートスタッフ（初期のビットコイン投資家）が所有するウォレットについて、詳細な財務分析を行い、略奪された子供たちの涙の代償としてValveに数十億をもたらしているこれらの「プロフェッショナル」たちが、実は自ら詐欺に投資しており、そのアドレスがAMLリスクスコア100％としてフラグが立てられていた実態を明らかにします。

ロシアへの奇妙な愛と「ニキータ」の正体：我々は、ValveがCIS地域に対して示す寛容さという現象を検証する。正規の雇用関係を持たない人物が、単に『ハーフライフ』のファンコミュニティを一度立ち上げたというだけで、どうしてサポートスーパーバイザーになれるのか？ テロ支援国家出身の開発者に対する抜け穴や制裁回避の仕組み、さらに2021年から現在に至るまで機能し続けているDNR/LNRおよびクリミアからの直接的な残高チャージの実態を暴きます。

32. 結論

私は、Steamに関する文章を書くことに人生を捧げる気は毛頭ない。このプラットフォームは、子供たち、詐欺師、そしてプーチン崇拝者たち（ロシアのアウトソーシングという形をとって）によって運営されているのだ。 ボランティアたちは、首まで腐敗にまみれている。もしゲイブ・ニューウェルが自らをゲーム業界の天才だと自負しているのなら、おそらく真実を歴史に刻む「ろくでなし」となることが私の運命なのだろう：

ゲイブは、子供たちから金を盗むことを合法化した、極度に卑劣で貪欲な独占者だ。そして、従業員ハンドブックに約束されたプライベートジェットや休暇など、労働者を企業の束縛下に留めておくために用意された、単なる色鮮やかな絵に過ぎない。

これらすべては、歴史のために記される。ウェブアーカイブのために。そして、いずれこの不処罰の帝国を解体しに来る規制当局者のために。

33. 利用規約の解剖：企業の分裂症と法的な冷笑主義

Steamの利用規約（ToS）を解剖してみよう。この文書の少なくとも25％を取り上げ、これが法的契約ではなく、プラットフォームが責任を回避しつつ子供たちから金を盗むことを可能にするために構築された嘘であることを示す。

以下は利用規約からの引用である。「ユーザーは、スクリプト、ボット、マクロ、その他の自動化システム（以下『自動化』）を使用して、Steam上のコンテンツおよびサービスとやり取りしてはならない……」

この条項については、次のパートで詳細に分析する。ネタバレ：Steam自体が、窃取の自動化、制限の回避、ボットファームの管理にのみ使用されるAPIを作成しているのだ。このプラットフォームは、産業規模での違反を同時に許容するような規則を自ら定めたのである。

そして、企業の冷笑主義を如実に表すもう一つの逸話があります。「ユーザーは、Valveがサブスクリプションおよび／またはアカウントを解約する前に通知を行う義務を負わないことを了承するものとします。」

これは嘘です。通常の法制度の下では、そうは機能しません。しかし、このプラットフォームはあらゆる責任から身を守っています。Valveの立場はこう聞こえます。「我々は子供たちから盗み、制裁に違反し、情報窃取者があなたのPCに侵入することを許容していますが、何か問題が起きたとしても、責任があるのはあなたであり、我々は説明なしにあなたのアカウントを没収します。」

彼らは「すべてはコミュニティが決める」と口にするのが大好きだ。しかし、なぜか法的責任が問われるとなると、コミュニティは突然、無力な肉塊と化してしまう。

33a. 法廷の幻想――Valveが司法当局のテクノロジーに対する無知をいかに利用しているか

規制当局や司法長官が、戦利品ボックスや規制されていないギャンブルについてValveに責任を問おうとするたびに、同社の精鋭弁護士たちは決まって同じ手口を使う。彼らは野球カードや『マジック：ザ・ギャザリング』のデッキを山ほど抱えて法廷に入り、こう宣言する。「裁判長、当社の仮想アイテムはこれと同じものです。 これは単に、デジタル世界へと移行した無害な収集活動に過ぎません。」

この弁護が通用する理由はただ一つ。Valveの弁護士たちが、高齢化が進む司法関係者の技術的無知を巧みに利用しているからだ。しかし、有能な検察官が議論の焦点を「おもちゃ」から資金の流れや犯罪インフラへと転換した瞬間、企業の嘘は崩れ去る。

34. 制裁、テロリズム、そして二重基準

この偽善的な企業への皮肉な問いだ。規約にはこうある。「ロシアに居住する消費者である場合、ロシア国内の地方裁判所において法的保護を求めることもできる。」

併合されたクリミアの裁判所もロシアの裁判所として認められるのだろうか？　それとも、Steamがこれほど親密に連携しているロスコムナドゾル（ロシア連邦通信・情報技術・マスコミ監督庁）の回答を待つべきだろうか？

そして、ここには爆笑を誘う条項がある。「利用者は、適用されるすべての輸出入関連法規を遵守することに同意する。利用者は、テロリストを支援するいかなる国にもコンテンツを輸出しないことに同意する……利用者は、自身がそのような禁止国に所在していないことを表明する。」

つまり、Valveが国際制裁の対象となっている地域に登録されたアカウントから直接金銭を受け取った場合（2021年まで遡るクリミア、DNR、LNRからのスクリーンショットや取引の直接的な証拠がギガバイト単位で存在します）――制裁に違反しているのはValveではなく、ユーザーの責任だということになるのです！ 同プラットフォームは過去6ヶ月間にわたり、利用規約を密かに改訂し、すべての責任をユーザーに転嫁した。

Valve社よ、あなたはロシアの同盟国（キューバ、イラン、シリア）への言及を削除するよう強要され、それらを非難することを禁じられたのか、それとも、それらの地域から直接流入した資金の規模と総額を計算したのか？もしテロ国家があなたに何らかの行動を強要しているのなら――誰かに告げなさい、恐れる必要はない。 コンテンツの海賊版を流すと脅されたからといって、現行の米国法を違反する必要はありません。そのリスクを冒す価値はありません。彼らはテロリストであり、貴社は米国企業なのです。 迫害や恐喝を受けている場合は、FBIシアトル支局（+1 (206) 622-0460 [16]）またはIC3 [17]に連絡してください。 また、CISA [18] の専門家も支援してくれると確信しています。貴社の影響力の規模と範囲は、米国の基準からしても極めて大きなものです。

直接的な制裁規則を削除し、文言を変更しようとしていることは、非常に憂慮すべき兆候です。冗談ではありません。もし上記の機関を信頼できないのであれば、ここ（DOJ NSD [19]）では間違いなく最高レベルでの支援が得られるでしょう。 私たちとしては、追加の分析を行い、特定の専門家による無料相談を実施するほか、必要に応じて（あるいは一切報告せずに）この件を報告せざるを得なくなる可能性もあります。しかし、これは決して冗談ではなく、深刻な問題です。

貴社は、規則から明示的に列挙されていた国々を削除し、責任をユーザーに転嫁しました。同時に、貴社は分析も行っています。登録ページにはトラッキングピクセルがあり、利用規約への実際のクリック数も把握しています。 誰もそれを読みません。なぜなら、貴社は計算ずくで、それを「ユーザーが13歳以上であることを確認する質問」として偽装しているからです（利用規約へのリンクもそこに埋め込まれています）。現代社会——子供や10代の若者——はADHDを抱えており、これは科学的に証明された事実です。データを確認してみてください。彼らはテキストを読み終えることはありません。 例えば私でさえ、「13歳以上であること」という条項を見ただけで、それ以上は読み進めませんでした。これは、制裁リストに常に名を連ねている国々に関する規約の書き換えと同様に、貴社による直接的な操作に他なりません。

今回の改定は、貴社がそれらの国々（あるいはそれらからの資金）に対する姿勢を変えたことを如実に示しています。これは極めて奇妙な変化です。 おそらく、すでに何らかの問題が発生しているか、あるいは貴社がロシアの裁判所の指示に従っているのです。そして、これは裁判所からの非公開の要求の一つ——例えば特定のユーザーの利用禁止など——であり、他国の領土内で行われるテロ行為の正当性に対する信頼を損なう恐れがあります。 それとも、単にロシア政府にひれ伏し、望ましくないユーザーを禁止するという彼らの直接的な要求に従っているだけなのでしょうか？貴社の利用規約の以前のバージョンをお見せしましょう。貴社は自由に変更できますが、米国法の直接的な違反やテロ支援経済への関与という問題に直面した際、これらの文書は全く無価値です。

35. 脅迫と焦土作戦

あらかじめ警告しておくが、Valveやその手先であるTaylor Wessing [9] からのいかなる接触の試みも、圧力および捜査妨害とみなされる。

NDA（秘密保持契約）を送ろうなどとは考えないでください。PhishDestroyは、貴社のゴミ山には登録されていません。貴社の巧妙な契約書（貴社はこれを、子供から合法的に金を巻き上げるために、単に「13歳以上である」ことの確認としてのみ扱っている）のチェックボックスには、我々はチェックを入れていません。

もし貴社の弁護士が、我々を「数十億ルーブルを恐喝している」とか、「北朝鮮の競合相手である『Steam 2.0』の利益のために神聖な評判を誹謗中傷している」などと非難しようとするなら――頑張ってください。 我々の調査、証拠、証明資料のすべては、独立したノード（米国の大学にあるサーバーを含む）およびWebアーカイブに複製されている。これは対立ではない。これは事実の表明である。

36. 詐欺工場：カード詐欺、偽造書類、データ窃盗

Steamでの詐欺といえば、盗まれたパスワードだけの問題だと思っているのか？　実際の規模など、君には想像もつかないだろう。

偽造書類（ソーシャルエンジニアリング）：アカウントが盗まれた際、サポートは10年前の最初のCDキーを要求してくる。子供にはそれがない。しかし、ロシアのアウトソーシング業者に雇われた詐欺師にはある。詐欺師たちは、闇フォーラムで偽の領収書やキーの偽造を依頼している。 我々は、Valveのサポートスタッフが喜んで「鵜呑みに」し、アカウントを犯罪者に引き渡してしまった、成功した偽造事例を200件以上収集している。

データ窃取：50万件以上のアカウント（EU市民を含む）が闇市場「LZT」を経由して流出した。Steamは、自社のPCがデータ窃取ツールに感染していた事実を隠蔽した。同プラットフォームは事実上、個人データ、通信記録、IPアドレス、家庭内ネットワーク情報をハッカーに漏洩させてしまった。

産業規模のカード詐欺：もしValveの弁護士たちが、自社のプラットフォーム上でカード詐欺がどのように行われているかを理解していたら、きっと白髪になるほど驚くだろう。カード詐欺に対して「レッドタグ」を発行しながら、盗まれたクレジットカードで購入されたアイテムをアカウントに残したままにするのは、驚くべきマネーロンダリングの手法である。 『Dota 2』のコンペンディウム最高レベルを巡り、サウジアラビアの王子と実際に競い合っていたのが誰か、ご存知ですか？そのことについてもお伝えします。

36a.ギャンブルマシン: Valve はどのようにして世界最大の子供向け無規制カジノを建設したか

スキン ギャンブルは Steam の副作用ではありません。それは 予測可能で収益性が高い これは、Valve の意図的なアーキテクチャの結果です。オープン取引 API、KYC なし、流通市場価値が安定した仮想アイテム、そして規制上の完全な盲目です。その結果、年齢確認なし、親の同意なし、そして Valve が SAR を一度も提出することなく、子供の CS2 スキンがカジノ チップとして機能する年間 10 億ドルを超える業界が誕生しました。

2023 年のボット禁止: 罰則ではありません。利益のメカニズム。

2023 年、Valve はギャンブル サイト (CSGOFast、CSGORoll、Stake.com (スキン用) など) によって運営されている数万のボット アカウントを禁止しました。ゲームマスコミはこれを、Valve がギャンブルを「厳しく取り締まった」と称賛しました。この解釈は、 事実上間違っている.

37. エピローグ：サイバー犯罪の温床

Valveの歪んだ論理によれば、仮想アイテムには「実在する価値がない」ため、1万ドル相当のスキンを盗んでも法的には窃盗にはなりません。これはまさに完璧なグレーゾーンです。

しかし、Steamは単に窃盗を無視しているだけではありません。Steamは、一世代分のサイバー犯罪者を育て上げてしまったのです。 今日の情報窃取ツールや暗号資産詐欺の仕掛け人たちは、CS:GOでインベントリを盗むことからキャリアをスタートさせました。ゲイブ・ニューウェルのプラットフォームは、世界的なサイバー犯罪の主要な温床となり、未成年のハッカーたちに「企業への手数料さえ支払えば、インターネット上で盗んでも罰せられない」という主要なルールを教え込んだのです。

誰もが自らの行動に責任を問われることになる。たとえ、自分たちで作成した利用規約の陰に隠れていようとも。続編にご期待ください。

38. 制裁、検閲、そしてSteamのストックホルム症候群

話題が地政学に及ぶと、Steamの偽善は頂点に達する。数十億を稼ぎ出す巨大企業が、自社のアルゴリズムで単に混乱してしまったという事実を、あなたは笑い飛ばすかもしれない。しかし、事実を見てみよう。

2022年、制裁の締め付けが強まり始めた際、ロシアの開発者たちは一斉にブロックを回避しようと躍起になった。そして、国際的なOFAC制裁を回避するための最も詳細なガイドを、彼らはどこで見つけたのか？　まさにSteamの内部そのものだった。 公式コミュニティには、（利用規約で正式に禁止されている）VPNを使用して地域を変更し、制裁対象の銀行（ティンコフ銀行など）へ出金する方法についてのステップバイステップの説明が掲載されている[25]。

以下は、Valveの立場を完璧に表している公式（あるいは少なくともValveが管理している）ガイドからの引用だ。「プロフェッショナリズムを保ち、政治的な事柄についてコメントすることを控えていただくようお願いいたします……そのような発言は削除され、最も頻繁に違反するユーザーはコメントを投稿する権利を失うことになります……」

企業用語を平易な言葉に翻訳すると、Valveは「戦争」を「戦争」と呼ぶことを禁じている。Valveは侵略国を「テロリスト」と呼ぶことを禁じている。過激なモデレーション（ロシア語圏の外部委託業者よ、こんにちは）はあらゆる批判を削除し、隣国で人々を殺害しているユーザー層を「政治的論争」から守っているのだ。 これは単なる怠慢ではない。CIS市場からの収益を失うことへの恐れに駆られた、検閲への加担である。

私は、Valveの経営陣とその自慢の弁護士たちに、マリウポリやメリトポリを訪れるよう正式に招待する。彼らがロシア語コミュニティをこれほど慎重に守っている「政治的論争」が、一体何なのかを、この目で確かめてほしい。

39. プラットフォームサービスとしての制裁回避

Steamは、ユーザーが米国の輸出関連法を遵守する義務があると明言している。しかし同時に、同プラットフォームは、それらを回避する方法に関するマニュアルを公開するための主要な拠点となっている。これらのガイドは長年にわたり公開され続けている。ブロックを回避するために地域設定をカザフスタンやトルコに変更することは、単なる広範な現象にとどまらず、Valveが黙認する業界標準となっている。

なぜでしょうか？ それは、Steamのポリシーが「ユーザーは『自分はテロリストではなく、制裁対象でもない』というチェックボックスにチェックを入れたため、当社に対して何の請求もできない」というものであるからです。

しかし、我々はさらに踏み込むつもりだ。もし誰かがSteamの未加工のユーザー分析データベースを所持しているなら、我々はそれを活用する準備ができている。公式にロシアから撤退したパブリッシャー（『STALKER 2』[30]や『GTA』[30]の制作会社など）からゲームを購入するためにブロックを回避したアカウントのリストを特定するつもりだ。 このデータを、以下の質問と共に、当該パブリッシャーに直接提供します。「Steamが貴社の市場撤退を妨害し、仲介業者を経由してルーブルで貴社のゲームを購入できる抜け穴をユーザーに公然と提供していることをご存知ですか？」

私たちはすでに、秘密保持契約（NDA）に拘束された内部関係者との連絡網を持っています。Valveが開発者との提携を一方的に打ち切り、秘密保持契約を盾にその資金を横取りした事例も把握しています。しかし、私たちはいかなるNDAにも署名していません。すべてを明らかにします。

40. 米国の規制当局はどこに注目しているのか？

最大の疑問は、ValveがOFAC[20]（米国外国資産管理局）が何であるかを理解しているかどうかだ。

あるプラットフォームが、VPNを介した大規模な制裁回避（開発者による少額の購入から資金引き出しまで）を容認している場合； 影のスキン市場を通じたマネーロンダリングを容認しつつ、それに目をつぶっているとき；プラットフォームのモデレーションがロスコムナドゾル[23]の規制を取り入れ、「望ましくない」投稿を削除しているとき――これはもはや利用規約の管轄範囲ではありません。これは、米国の主権と法律に対する直接的な侵害の領域です。

今後も続報にご期待ください。PhishDestroyは、この嘘の構造が崩壊するまで活動を止めません。すべての証拠とリンクは保存されています。そして、いかなるTaylor Wessing [9]も私たちを威嚇することはできません。

For Valve, geopolitical differences are not just a matter of regional pricing (where Valve decides who is wealthier and who is "Russia"). It is also about laws, rules, and control. Here is a perfect example — the VPN geolocation is visible at the top. So the New York prosecutor simply doesn't use a VPN. But I think she could have never imagined that Valve is such a hypocritical rat, operating completely different rules and controls depending on where you are accessing the platform from.

これらすべての要因を踏まえて、我々の提言は単純明快だ。Steamの法的枠組みに屈してはならない。ユーザーが実際にテロリストであるとしても、自己に不利な証言をする義務は一切ない。ユーザーが自らテロリストであるか否かを自己申告するという不条理な特権を認めるのではなく、資金の出所を検証するのはSteamの絶対的な法的義務である。 この論理は、Valveの地域別運営にも直接当てはまります。もしValveがインターネットの仕組み――そしてVPNに対する直接的な禁止措置――を突然忘れてしまったのなら、彼らの論理に従ってみましょう。クリミア、キューバ、あるいはシリア出身のテロリストが、資金洗浄のためにオンラインに接続するとします。 このユーザーは英語が分からず、利用規約に書かれた複雑で意味不明な法的文言を読む気など微塵もない。しかし、間違いなく13歳以上である（実際、すでに13人を殺害しているかもしれない）。 このプラットフォームは、自らの法的責任を、自身のステータスを決定するテロリストに転嫁できると本気で考えているのだろうか？この責任を転嫁することで、Valveは直接的な法的声明を出していることになる。つまり、同社は自社の側において、すべてのユーザーを自動的に「非テロリスト」として認識しているのだ。 一方、単純な年齢確認を装った定型文を完全に無視する本物のテロリストは、Steam自身のコミュニティプラットフォーム上に直接ホストされている「制裁回避ガイド」を利用して、平然と資金洗浄を行っている。実に素晴らしいコンプライアンスだ、そうではないか？

正気なのか？　君たちは、不満を抱える人物に未成年者の個人データを提供し、実質的に「ほら、これが君の問題の原因だ。持って行け」と言っているようなものだ。もしその人物がいつかそのデータを利用して行動を起こしたとしても、その流血の責任と法的責任は、完全にValveとTaylor Wessingの手に帰する。

IPFSのデッドマン・スイッチ

我々が把握している情報は、ここに公開されているものよりもはるかに多い。もしSteam、Taylor Wessing、あるいは関連するいかなる組織が、我々のプロジェクトに対して強硬な措置を講じようとした場合、我々は法廷で時間を浪費することはない。InterPlanetary File System（IPFS）上に、完全な生データをすべて公開する。

確かに、無編集のデータを公開すれば、何らかの結果を招くでしょう。確かに、それはphishdestroy.ioドメインとその膨大なトラフィックの完全な死を意味するでしょう。御社の弁護士たちの時間を節約してあげましょう：我々は気にしません。このドメインは、「ウェブサイトすらない」と主張したSteamの詐欺師たちを嘲笑するための冗談として作成されたものです。 我々は評判を追い求めるわけでもなく、企業の英雄になろうとしているわけでもなく、URLを失うことを恐れてもいません。

もしドメインが消滅しても、答えは steamdestroy.eth で見つかるでしょう。

私たちについて

PhishDestroyは、非営利の詐欺対策組織です。メンバーは4名で、複数の国をまたいで活動する認定サイバーセキュリティ専門家です。当初の5名のメンバーのうち1名は亡くなっています。そのため、私たち全員の姿を見ることは決してないでしょう。

40a。公開開示プロトコル: Valve Corporation への正式通知

41. 最後通牒

ある質問については、公式に記録に残る形で回答する必要があります。Valveの利用規約によれば、併合されたクリミア半島の裁判所は「ロシア国内のいかなる地方裁判所」に該当するのでしょうか？この質問に対する直接的かつ公的な回答がない限り、私たちに連絡しないでください。

もし「平和的解決」を望むのであれば、自社のルールを徹底してください：

VPNを使用してSteamにアクセスしたことがあるすべてのアカウントを凍結してください（データベースは貴社にあります）。

CSGOFastを含め、プラットフォーム上で自動化ツールを使用したことのあるすべてのアカウントをブロックしてください。

Valveまたはその代理人がSource 1に対してサイバー攻撃を行ったことを認めなさい。

公平性の最低基準として、取引のすり替え（API詐欺）によって盗まれた資産をすべて返還してください。まずは、Lolzteam Marketに過去に掲載されたすべてのアカウントから始めてください。私たちは貴社のシステム構造を理解しています――編集されていないGDPR文書の中で、貴社の内部デバイス識別ロジックを確認しました。「技術的に不可能」という回答は通用しません。 御社のスタッフが対応できないのであれば、交代させてください。何を試そうとも、結果は変わりません。我々に差し押さえるべき資金も、暴露すべき名前も、損なうべき企業の評判もありません。我々が持つのは真実だけです。

世界への警告：情報窃取ツールの蔓延と企業の巻き添え被害

私は地球上のすべての国に向けて訴えかけます――ただし、テロ国家は除きます。Steamはすでにそれらと良好な関係を築いているからです。

もし、説明責任を果たさないある企業が、あなたの子供たちのデジタル資産を盗む権利があると勝手に決めつけたことに少しでも懸念を抱いているなら、よく耳を傾けてください。もし、彼らが感染したデバイスについてユーザーへの通知を意図的に怠り――それによって世界中の重要な企業ネットワークを危険にさらしている――ことに懸念を抱いているなら、注意を払ってください。

本調査の第2部では、Steamの怠慢が実際にどのような事態を招いたか、その典型的な事例を提示します。 Steamが世界的な情報窃取業界の主要な経済的原動力であることを証明する確固たる証拠を提示します。Steamアカウントは、マルウェア運営者にとって最も重要な標的です。Steamの活況を呈する闇市場がもたらす経済的利益がなければ、こうした大規模かつ無差別な情報窃取ツールの配布キャンペーンは、経済的に成り立たないでしょう。

2ドルの盗まれたログが、企業のシステム停止、1,700万ドルの身代金支払い、そして総損害額1億ドルを超える事態を招いたという事例は、すでに公に記録されています。Valve社、世界的な「セキュリティ」に対する比類なき献身、ありがとうございます。

我々は、この情報を隠蔽することはない。情報は自然に我々の元へ流れ込んでくるものであり、我々はそれをすべて公表する。 そして、これを我々の公式な宣言としよう。万が一、Valveまたはその代理人が、特定のユーザーを黙らせるために標的型サイバー攻撃を行っていたという証拠が明らかになった場合、国際社会はそれに加担することはない。世界の他の国々は、ワシントン州の裁判所における専属管轄権をめぐる、貴社のかわいい小細工には付き合わないだろう。

42. 最終的な結論

いずれにせよ、そのボットはもはや我々の管理下にはありません。 私は恥じることはなく、自分が悪いことをしているとも思っていません。他に選択肢はないと確信しています。情報源1は間に合うように自ら手を引きましたが、私たちからすれば、あなたが彼に漏洩したデータによって子供たちが犠牲になったのです。したがって、交渉には応じません。ここでテロリストなのはSteamの方です。

あなたが何をしたか、そしてあなたの弁護士がソース1にそのデータを渡した後、ソース1が何をしていたかを再評価してください。「ニキータ」は一体どこから現れたのですか？ そして、ロシアに潜伏している4人の非正規サポートエージェントについてはどう説明しますか？ 君はこれを孤立した事件だと思っているだろうが、我々は君の多くの事例や「決定」について把握している。

我々は貴社とは違う。潜在的な犯罪を隠蔽したりはしない。証拠を添えてすべてを段階的に公開し、あらゆる規制当局と協力するつもりだ――ただし、貴社が好意を抱いていると思われる当局を除いては。 ロシア当局からは頻繁に連絡が来ますが、普段は「失せろ」と一蹴しています。しかし、これからは回答し始めるかもしれません。私たちは、貴社の利用規約のように、相手を混乱させるために意図的に分かりにくくした企業の回答など、馬鹿げた駆け引きには付き合わないつもりです。

私たちの立場が完全に明確であることを願う：

Steamは、自らがリークした子供たちを殺したのです。

Steamは、自社サポートスタッフによって完全に生成された「ダupe」との戦いを装って、子供たちから盗んでいる。

Steamは、単に法的に都合が良いという理由だけで、「アンチチート」を口実に、BAN理由の開示を拒否していると嘘をついている。（アンチチートがコミュニティBANと一体何の関係があるんだ？）

本当に、自国の裁判所や欧州がただ見過ごしてくれると、そこまで自信があるのですか？　いずれ分かるでしょう。

---

42. 結論

いずれにせよ、そのボットはもはや我々の管理下にはありません。 私は恥じることはなく、自分が悪いことをしているとも思わない。他に選択肢はないと確信している。「ソース1」は間に合うように自ら手を引いたが、我々からすれば、あなたが彼にデータを漏洩させたことで、子供たちを殺したことになる。したがって、我々は交渉に応じない。ここでテロリストなのはSteamの方だ。

あなたが何をしたのか、そしてあなたの弁護士がソース1にそのデータを渡した後、ソース1が何をしていたのかを再評価してください。「ニキータ」は一体どこから現れたのですか？ そして、ロシアに潜伏している4人の非正規サポート担当者についてはどう説明するのですか？ 君はこれを孤立した事件だと思っているだろうが、我々は君の多くの事例や「決定」について把握している。

我々は貴社とは違う。潜在的な犯罪を隠蔽したりはしない。証拠を添えてすべてを段階的に公開し、あらゆる規制当局と協力するつもりだ――ただし、貴社が好意を抱いていると思われる当局を除いては。 ロシア当局からは頻繁に連絡が来ますが、普段は「失せろ」と一蹴しています。しかし、これからは回答し始めるかもしれません。貴社の利用規約のように、混乱を招くために意図的に分かりにくくされた企業側の回答など、我々はそんな馬鹿げた駆け引きには付き合わないつもりです。

私たちの立場が完全に明確であることを願う：

Steamは、自らリークした子供たちを殺したのです。

Steamは、自社のサポートスタッフによって完全に生成された「ダブ」との戦いを口実に、子供たちから盗んでいる。

Steamは、単に法的に都合が良いという理由だけで、「アンチチート」を口実に、BANの理由を伏せていると嘘をついている。（アンチチートがコミュニティBANと一体何の関係があるんだ？）

本当に、自国の裁判所や欧州がこれを見逃してくれると、そこまで自信があるのですか？　いずれ分かるでしょう。

---

参考文献および情報源

追加情報：規制および法的枠組み

出典に関する注記

ニュース＆調査記事に戻る