De Steam-illusie: hoe Valve een schaduweconomie exploiteert, gegevensdiefstal mogelijk maakt en het internationaal recht negeert

Een exclusief onderzoeksrapport van PhishDestroy

Het PhishDestroy-project is niet ontstaan omdat de tijden goed waren. Ons bestaan is geen bewijs van het succes van Steam, maar een cruciale noodzaak die voortkomt uit de absolute minachting van Valve voor de veiligheid van gebruikers. In feite vormde onze strijd tegen phishing een directe bedreiging voor het bedrijfsmodel van Valve, waardoor hun zorgvuldig opgebouwde systeem van accountblokkades en de doorverkoop van items werd verstoord. (Wij zullen op een later tijdstip een afzonderlijk, gedetailleerd artikel publiceren waarin de ware „waarden” van het bedrijf en hun schijnvertoning op het gebied van cyberbeveiliging aan de kaak worden gesteld).

Al meer dan een decennium verschuilt Valve Corporation zich achter een zorgvuldig gecreëerde, consumentvriendelijke façade. Maar onder de oppervlakte schuilt een cynische bedrijfsmachine. Door middel van een uitgebreid intern onderzoek heeft het PhishDestroy-team het beleid ontrafeld waarover Valve liever zwijgt. Dit is de anatomie van een platform dat fungeert als een ongereguleerd financieel syndicaat, gesanctioneerde staten tegemoetkomt, gecompromitteerde uitbestede ondersteuning beschermt en Europese wetgeving behandelt als optionele aanbevelingen.

1. De farce rond de sancties en de pro-Russische vooringenomenheid

Voor Valve zijn gebruikers in de EU en de VS niets meer dan melkkoeien. Terwijl Europese gamers de volle prijs betalen, blijft Steam agressieve kortingen van 70% tot 80% aanbieden voor de Russische markt. Een game kost in Rusland slechts een fractie van wat deze in Duitsland kost. Zo zien internationale „sancties“ eruit in het woordenboek van Valve.

Het platform doet er alles aan om deze ontwikkeling te bevorderen en te populariseren: het maakt het wisselen van regio mogelijk, knijpt een oogje dicht voor het witwassen van geld via in-game-items en vermeldt expliciet in zijn Algemene Voorwaarden dat het zich onderwerpt aan de jurisdictie van elke Russische rechtbank. Het bereikt een absurd niveau: in de zeldzame gevallen waarin Steam-servers te maken krijgen met grootschalige storingen, is Roskomnadzor (de Russische federale censuurinstantie) vaak de eerste instantie die officieel commentaar geeft op de technische storingen.

2. Het kartel van uitbestede ondersteuning

De mythe van een „strikte, veilige Amerikaanse technische ondersteuning“ stort in op het moment dat u beseft wie de sleutels tot de backend van Steam in handen heeft. Valve heeft de ondersteuning in de GOS-regio gedelegeerd aan een uiterst gecompromitteerd, uitbesteed netwerk.

Wij zijn erin geslaagd delen van dit netwerk te de-anonimiseren. Een sleutelfiguur die deze ondersteuningsafdeling beheert of coördineert, is een persoon genaamd Nikita. Uit ons onderzoek is gebleken dat deze persoon (of in ieder geval zijn primaire e-mailadres) geregistreerd en actief is als gebruiker op ondergrondse hackforums zoals Lolzteam (Zelenka) – een berucht darknet-knooppunt dat volledig is gewijd aan de verkoop van gestolen creditcards, gecompromitteerde databases en brute-force-logs.

Valve is zich volledig bewust van deze corruptie. Het bedrijf heeft eerder erkend dat er gevallen zijn geweest waarin uitbestede medewerkers systematisch hoogwaardige gebruikersvoorraden hebben leeggehaald. Toch blijft het voor hen winstgevender om een goedkoop, niet-verantwoordelijk uitbestedingspersoneel in dienst te houden dan gekwalificeerde, interne cyberbeveiligingsprofessionals aan te nemen.

3. Oplichting als bedrijfsmodel en offshore-valuta

De in-game skins van Steam zijn uitgegroeid tot een alomtegenwoordige, ontraceerbare valuta op het darknet – een financiële wasmachine die internationale toezichthouders en belastingautoriteiten omzeilt.

Voor de financiële afdeling van Valve vormen oplichters geen bedreiging; zij zijn externe actoren die de marktdynamiek stimuleren. Het traditionele model van „één gebruiker, één spel“ levert slechts beperkte inkomsten op. Een gecompromitteerd ecosysteem creëert echter een zeer winstgevende cyclus: een gebruiker wordt gehackt, de items worden gestolen, de accounts van de oplichters krijgen een „handelsverbod“ en het slachtoffer wordt gedwongen een nieuw profiel aan te maken en zijn bezittingen opnieuw aan te schaffen.

Wanneer Valve een oplichter verbant, geeft het de gestolen goederen niet terug aan de rechtmatige eigenaar. Het bevriest deze permanent. Dit creëert een kunstmatige schaarste. Door het aanbod op de markt te verminderen, stijgen de prijzen van de resterende items, wat op zijn beurt de commissie van 15% van Valve op de Community Market vermenigvuldigt. Zij willen oplichting niet tegengaan; zij profiteren ervan.

4. Het datalek bij CEVA Logistics: onweerlegbaar bewijs van nalatigheid

Mocht u van mening zijn dat Valve uw fysieke, in de echte wereld bestaande gegevens ten minste beschermt, dan bewijst het recente incident met betrekking tot CEVA Logistics het tegendeel. Tussen 29 juli en 1 augustus 2026 hebben hackers inbreuk gepleegd op de Europese partner van Valve op het gebied van hardwarelogistiek. Valve heeft de inbreuk pas op 7 augustus erkend, waardoor de gegevens van gebruikers een week lang in handen van kwaadwillende actoren zijn gebleven.

De gelekte gegevens omvatten echte namen, volledige woonadressen, telefoonnummers en aan Steam gekoppelde e-mailadressen van Europese klanten die fysieke hardware hebben besteld. Valve probeert gebruikers gerust te stellen door te stellen dat „wachtwoorden en betalingsgegevens“ niet zijn gelekt. Maar een volledige naam, woonadres, telefoonnummer en Steam-e-mailadres vormen precies de blauwdruk die nodig is voor verwoestend effectieve spear-phishing en het kapen van accounts – een goudmijn voor juist die uitbestede medewerkers en oplichtingsnetwerken die hierboven zijn genoemd. Valve heeft uw gegevens in feite aan hen overgedragen.

5. Oproep tot actie: Het Europese standpunt tegen bedrijfsimmuniteit

Elke gamer in Europa moet zich bewust worden van een harde realiteit: u betaalt vijf keer meer voor games dan gebruikers in Rusland, terwijl uw Europese rechten en wetgeving (AVG) volledig worden genegeerd. Uw persoonsgegevens lekken naar externe contractanten en uw supporttickets worden afgehandeld door een uitbestedingsnetwerk in het GOS met een zeer twijfelachtige reputatie.

Wij richten een speciale, sarcastische groet aan de advocaten van Taylor Wessing, die onvermijdelijk de belangen van Valve zullen moeten verdedigen voor Europese rechtbanken. Bereid u voor – het verdedigen van een monopolie dat actief de EU-wetgeving aan zijn laars lapt, staat op het punt aanzienlijk moeilijker te worden.

Het is tijd om te stoppen met het spelen van de rol van gemakkelijke sponsor. Vergeef deze datalekken niet.

Indien zij weigeren, beweren dat zij geen logbestanden bijhouden of zich verschuilen achter een bedrijfs-NDA om hun uitbestede personeel te beschermen, stuur die weigering dan onmiddellijk door naar uw gegevensbeschermingsautoriteit. Grootschalige juridische stappen zijn de enige taal die dit monopolie begrijpt.

Toevoeging van de auteur: De markt achter het platform

Op het Steam-platform liggen de aanbevolen regionale prijzen voor Rusland (en de GOS-regio als geheel) doorgaans 40–60% lager dan de basisprijs in Amerikaanse dollar. Rusland is ingedeeld in Tier 2: opkomende markt, waarvoor doorgaans een korting van 40–50% op de basisprijs geldt. Zo zou een standaard indiegame met een prijs van $19,99 (wat bij directe omrekening neerkomt op ongeveer 1.900 roebel) volgens de aanbevelingen van Valve ongeveer 419–499 roebel moeten kosten.

Er moet duidelijk worden vermeld dat de uitbestede ondersteuning in Ierland is gevestigd, maar dat het personeel uit Russen bestaat – en dat een deel van het personeel rechtstreeks in Rusland is gevestigd. Oh, en trouwens, CSGOFast is eigenaar van de populaire extensie SteamInventoryHelper, die uitsluitend wordt gebruikt om reclame te maken voor hun op kinderen gerichte casino (een casino dat in verschillende Europese landen verboden is). En wie is de eigenaar van dit casino? Inderdaad, Russen, net als bij de meeste soortgelijke websites. Weet Steam dit niet? Of willen zij het gewoon niet weten, gezien de omzet van de schaduwmarkt naar ik meen rond de miljard dollar ligt?

Bovendien schat ik dat 40% van de oplichters uit het GOS die momenteel crypto-oplichting plegen, hun eerste stappen op Steam hebben gezet. Ik ben persoonlijk op de hoogte van ten minste twee specifieke gevallen van witwassen via skins. Ik zal hier niet in detail treden, maar ik kan dat desgewenst wel doen – alleen niet in het openbaar, aangezien ik de platforms enzovoort niet bij naam wil noemen. Maar Steam is zich hier terdege van bewust. Of verwachten zij werkelijk dat wij geloven dat spelers die het spel niet eens bezitten, gewoon steeds weer exact hetzelfde item kopen, alleen maar om ermee te „spelen”? Ja, tuurlijk, dat is een grap.

Aangezien ik bang ben voor seksuele intimidatie door Taylor Wessing, zal ik niet zelf schrijven, maar verzoek ik u mijn boodschap door te geven aan de slachtoffers van het datalek – de mensen die Valve in de steek heeft gelaten en die die kennisgevingsmails hebben ontvangen. Satire / Joke

De prioriteiten van Steam zijn zo pro-Russisch als maar kan – zowel wat betreft prijsstelling en juridische aspecten als wat betreft het populariseren van Poetin, vlaggen en verboden terroristen. Maar Steam lijkt dat prima te vinden, net zoals zij antisemitisme, discriminatie, intimidatie, stalking en drugshandel tolereren. Voor Steam is dit volkomen acceptabel, net als 18+-games. Zij lijken er blijkbaar plezier in te hebben.

Dit is geen kortstondig beleidsconflict. Russische functionarissen en werkgroepen uit de sector hebben ruim een jaar besteed aan de ontwikkeling van een regelgevingskader voor videogames, dat onder meer voorziet in de identificatie van spelers via een Russisch telefoonnummer, het identiteitsportaal Gosuslugi van de staat of het biometrische systeem van de staat. Steam en GOG werden uitdrukkelijk genoemd als platforms waarop het voorstel gevolgen zou kunnen hebben, en deelnemers gaven aan dat de onderliggende werkgroep van de overheid in december 2024 al bijna anderhalf jaar bijeen was gekomen. Valve heeft geen vergelijkbare publieke toezegging gedaan dat het de Russische markt zou verlaten in plaats van zijn gebruikers aan te sluiten op deze door de staat gestuurde identiteitsarchitectuur.

Het contrast is schokkend. Grote spelers in de sector hebben hun verkoop of dienstverlening in Rusland opgeschort – Microsoft heeft alle nieuwe verkopen stopgezet, terwijl consoleplatforms en uitgevers hun eigen terugtrekking aankondigden – maar Steam koos voor continuïteit. Het blijft commerciële en sociale infrastructuur bieden aan een land dat door het Europees Parlement formeel is erkend als een staat die terrorisme ondersteunt en een staat die gebruikmaakt van terroristische middelen.

Die steun is zichtbaar binnen de eigen economie van Valve. Op de officiële Steam Community Market wordt een te koop aangeboden profielachtergrond met de tekst „Putin & Trump“ vermeld, evenals duizenden items met namen als „Putin forever“, „Putin smile“, „Putin like“ en „Putin angry“. Valve heeft deze afbeeldingen niet zelf gemaakt, maar verspreidt, presenteert en verwerft er inkomsten mee via een door Valve beheerde marktplaats. Tegelijkertijd wordt, in door PhishDestroy gedocumenteerde gevallen, intimidatie op basis van nationaliteit toegestaan of behandeld als een gewoon conflict binnen de gemeenschap. De boodschap van Steam is onmiskenbaar: politieke propaganda kan geld opleveren, terwijl de mensen die het doelwit zijn van beledigingen op grond van hun nationale afkomst, hiermee moeten leren leven.

Privébezit betekent geen juridische immuniteit

Valve is een particuliere onderneming en haar aandelen worden niet openbaar verhandeld. Dit betekent dat de eigendomsstructuur, de investeerders, de interne controles en de financiële prikkels van het bedrijf veel minder regelmatig aan publieke controle worden onderworpen dan die van een beursgenoteerde onderneming. Dit betekent echter niet dat de wetgeving inzake consumentenbescherming, de verplichtingen op het gebied van kinderveiligheid, de wetgeving inzake gegevensbescherming of de nationale toezichthouders niet meer van toepassing zijn. Als een platform niet nauwlettend genoeg in de gaten wordt gehouden, is dat een tekortkoming in het toezicht – en geen vrijbrief om het te veranderen in een plek waar kinderen worden blootgesteld aan seksuele inhoud, promotie van gokken, stalking en georganiseerde intimidatie.

In de eigen abonneeovereenkomst van Valve staat dat Steam niet bedoeld is voor kinderen jonger dan 13 jaar. Toch blijft er een enorm publiek van tieners over op hetzelfde platform waar naast gewone games ook expliciete titels voor volwassenen en hentai-titels worden verkocht. Een zelf opgegeven geboortedatum, een waarschuwingspagina en voorkeursfilters vormen geen zinvolle leeftijdsverificatie. Het probleem is niet dat er media voor volwassenen bestaan; het probleem is dat deze worden geplaatst binnen een gamingplatform voor de massamarkt dat door minderjarigen wordt gebruikt, en vervolgens te doen alsof een oppervlakkige toegangsbeperking het risico doet verdwijnen. Indien Gabe Newell, het management van Valve of haar ondersteunende contractanten een platform voor inhoud voor volwassenen wensen, dienen zij dit openlijk en afzonderlijk te exploiteren in plaats van elke game-uitgever te verplichten een commercieel schap daarmee te delen.

Rechthebbenden dienen tevens uit te leggen waarom zij deze nabijheid accepteren. Een familiespel, een kindertitel of een mainstream-release kan slechts één aanbeveling of zoekresultaat verwijderd zijn van expliciet materiaal, terwijl Valve aan beide geld verdient. Uitgevers geven fortuinen uit om hun merken te beschermen, maar lijken bereid om te negeren wat die merken binnen Steam omringt. Particulier eigendom maakt dit niet verantwoord, en marktdominantie maakt het niet onvermijdelijk.

De moderatiebeginselen van Valve worden nog moeilijker te verdedigen wanneer men deze vergelijkt met de reactie van het bedrijf op de Russische staatscensuur. In 2024 maakte Roskomnadzor bekend dat Steam al het door de instantie geëiste materiaal had verwijderd en dat 11 Steam-URL’s bijgevolg zouden worden geschrapt uit het Russische register van verboden informatie. In 2025 verwijderde Steam materiaal van de pagina van een spel dat uitsluitend voor volwassenen bestemd was, na een nieuwe eis van Roskomnadzor met betrekking tot zogenaamde LGBT-„propaganda“. Dat was politieke censuur die zelfs op een werk voor 18+ werd toegepast, en geen bescherming van een kind dat de leeftijdsbeperking had omzeild. Valve kan zich wel aan een Russische censuurlijst houden, maar staat op de een of andere manier machteloos wanneer het wordt gevraagd om gebruikers te beschermen tegen misbruik op grond van nationale afkomst, kanalen voor illegaal gokken of agressieve blootstelling aan inhoud voor volwassenen. Dat is een kwestie van prioriteiten, en het roept een voor de hand liggende vraag op met betrekking tot de vrijheid van meningsuiting.

Valve heeft evenmin een openbare bedrijfsreactie afgegeven op de Russische invasie van Oekraïne, vergelijkbaar met de bedrijven die hun activiteiten hebben opgeschort of Oekraïne openlijk hebben gesteund. De particuliere kapitaalstructuur van het bedrijf vereist niet het soort informatieverschaffing aan beleggers dat van een beursgenoteerde onderneming wordt verwacht, waardoor buitenstaanders niet volledig kunnen nagaan wiens belangen worden beschermd. Wat wel zichtbaar blijft, is een buitengewone gehechtheid aan een goedkopere markt die gepaard gaat met valsspelen op industriële schaal, gokken, accountdiefstal en diensten voor het omzeilen van sancties. Misschien wordt de reden hierachter duidelijker als Steam ooit instemt met een koppeling aan de Gosuslugi-identiteit.

Het verhaal over uitbesteding volgt hetzelfde patroon van ondoorzichtigheid. Valve sluit contracten af met bedrijven, niet met de individuele ondersteuningsmedewerkers die aan gebruikers worden gepresenteerd. Volgens een primaire bron en materiaal dat door PhishDestroy is onderzocht, is een persoon die in verband stond met het eerdere schandaal rond de diefstal van hoogwaardige inventaris niet verdwenen uit het kleine ecosysteem van ondersteuningsaannemers: hij stapte over naar een ander bureau. Later beweerde hij dat hij niet voor Steam werkte en niet wist dat het account aan Steam was gekoppeld. Toch leidde het spoor terug naar Ierland, naar dezelfde persoon en opnieuw naar Steam. Dit account moet worden onderzocht als een tekortkoming op het gebied van uitbesteding en toegangscontrole; het wordt hier niet gepresenteerd als een strafrechtelijk oordeel. Valve dient openbaar te maken welke bureaus toegang hebben tot accountsystemen, hoe personeel opnieuw wordt gescreend wanneer zij van de ene leverancier naar de andere overstappen, en of een persoon die bij de ene onderaannemer is verwijderd, eenvoudigweg via een andere onderaannemer weer kan opduiken.

Vietnam heeft al aangetoond dat de status van Valve als particuliere onderneming het bedrijf niet boven de nationale wetgeving plaatst. Steam werd daar geblokkeerd nadat de autoriteiten hadden verklaard dat Valve niet had meegewerkt. Vietnam bestaat. De EU-wetgeving bestaat. Elk rechtsgebied waar Valve inkomsten genereert, bestaat, zelfs wanneer Valve zich gedraagt alsof alleen „een willekeurige rechtbank in Rusland“ ertoe doet. En als de theorie luidt dat Steam overal mag opereren waar het maar wil, onder welke verborgen afspraken dan ook, zonder enige betekenisvolle verantwoording, dan moeten wij wellicht de absurde vraag rechtstreeks stellen: bestaat er ook een speciale Steam-versie voor Noord-Korea die nog door niemand is onthuld?

Dit zijn vaststaande feiten: het ondersteuningsteam is Russisch, en dit team heeft herhaaldelijk informatie gestolen of aan derden doorgegeven om de toegang tot inactieve accounts te herstellen, met als doel deze te kapen voor winstbejag.

Ik ben er dan ook van overtuigd dat het voor hen volstrekt niets betekent om u te informeren over het lekken van uw gegevens, zeker gezien de enorme vertraging (zij wachtten 100% zeker op het antwoord van Taylor Wessing; het is een wonder dat zij niet drie weken hebben gewacht).

Ik heb dit nog nooit eerder gedaan, ik heb nog nooit iemand aangezet of uitgedaagd om iets te doen, en dat zou ik nu ook niet willen. Maar dit is precies de situatie die Steam nastreeft. Zij vinden openlijke druk en discriminatie tegen EU-gebruikers volkomen acceptabel, en denken dat Taylor Wessing alles wel zal oplossen door mensen openlijk te bedreigen in verband met AVG-verzoeken. Dat is mijn mening, mijn ervaring en informatie uit een primaire bron waarin ik vertrouwen heb.

Hoe dan ook, het indienen van een klacht kost slechts een paar muisklikken. Misschien leert Steam dan eindelijk buitenlandse wetten te respecteren – en niet alleen de wetten van „elke rechtbank in Rusland“. Misschien zullen zij eindelijk ophouden zich van de domme te houden en te doen alsof zij volstrekt niet in staat zijn om autorisatiedomeinen voor illegale goksites te blokkeren. In plaats van de huidige realiteit: iedereen werkt onder één hoedje – de Russische eigenaren van kindercasino’s en het ondersteunend personeel dat op Lolzteam zit te bespreken hoe accounts met brute-force-aanvallen kunnen worden gekraakt.

PhishDestroy zal blijven toezien, onderzoeken en aan het licht brengen. De schaduweconomie zal aan het licht worden gebracht.

Ik ben er zeker van dat u een interessante ervaring zult hebben bij het contact met de vertegenwoordigers van Valve. Mocht het Taylor Wessing blijken te zijn, dan is het volkomen normaal dat zij u minachtend behandelen, dreigementen uiten en tijd rekken — dat is immers hun taak. Over het algemeen staan zij vooral bekend om een rechtszaak wegens seksuele intimidatie tegen hun eigen kantoor, en verder niet veel meer. O ja, bedrijven met veel te veel geld huren hen specifiek in om u uit te putten, terwijl zij hen een enorm uurtarief betalen.