Iluzja Steam: Jak firma Valve prowadzi szarą strefę, umożliwia kradzież danych i ignoruje prawo międzynarodowe

Ekskluzywny raport śledczy autorstwa PhishDestroy

Projekt PhishDestroy nie powstał dlatego, że czasy były dobre. Nasze istnienie nie jest świadectwem sukcesu platformy Steam, lecz krytyczną koniecznością wynikającą z całkowitego lekceważenia przez firmę Valve bezpieczeństwa użytkowników. W rzeczywistości nasza walka z phishingiem bezpośrednio zakłóciła model biznesowy firmy Valve, naruszając jej starannie opracowany system blokad kont i odsprzedaży przedmiotów. (W późniejszym terminie opublikujemy osobny, szczegółowy artykuł ujawniający prawdziwe „wartości” firmy oraz jej parodię cyberbezpieczeństwa).

Od ponad dekady firma Valve Corporation ukrywa się za starannie wykreowaną, przyjazną dla konsumentów fasadą. Jednak pod powierzchnią kryje się cyniczna korporacyjna machina. Dzięki szeroko zakrojonemu dochodzeniu wewnętrznemu zespół PhishDestroy zdemaskował zasady, o których Valve woli milczeć. Oto anatomia platformy, która działa jak nieuregulowany syndykat finansowy, schlebia państwom objętym sankcjami, chroni podejrzane zewnętrzne podmioty świadczące wsparcie techniczne oraz traktuje europejskie przepisy jako opcjonalne sugestie.

1. Farsa sankcji i prorosyjskie nastawienie

Dla firmy Valve użytkownicy w UE i USA są niczym więcej niż źródłem dochodów. Podczas gdy europejscy gracze płacą pełną cenę, serwis Steam nadal oferuje agresywne rabaty rzędu 70–80% na rynku rosyjskim. Gra w Rosji kosztuje ułamek tego, ile kosztuje w Niemczech. Tak właśnie wyglądają międzynarodowe „sankcje” w słowniku firmy Valve.

Platforma robi wszystko, aby zaspokoić i upowszechnić ten kierunek działań: ułatwia zmianę regionu, przymyka oko na pranie brudnych pieniędzy za pośrednictwem przedmiotów w grze oraz wyraźnie stwierdza w swoich Warunkach korzystania z usługi, że poddaje się jurysdykcji dowolnego rosyjskiego sądu. Dochodzi to do absurdu: w rzadkich przypadkach, gdy serwery Steam doświadczają masowych awarii, pierwszą instytucją, która oficjalnie komentuje te awarie techniczne, jest często Roskomnadzor (rosyjska federalna agencja cenzury).

2. Kartel zewnętrznych usług wsparcia

Mit o „rygorystycznej i bezpiecznej amerykańskiej obsłudze technicznej” rozpada się w chwili, gdy uświadomi się sobie, kto posiada dostęp do zaplecza serwisu Steam. Firma Valve powierzyła obsługę techniczną w regionie WNP zewnętrznej sieci, której wiarygodność jest poważnie podważona.

Udało nam się zidentyfikować niektóre elementy tej sieci. Kluczową postacią zarządzającą lub nadzorującą ten oddział wsparcia jest osoba o imieniu Nikita. Nasze dochodzenie ujawniło, że osoba ta (a przynajmniej jej główny adres e-mail) jest zarejestrowana i aktywna jako użytkownik na podziemnych forach hakerskich, takich jak Lolzteam (Zelenka) — znanym centrum w darknecie poświęconym wyłącznie sprzedaży skradzionych kart kredytowych, naruszonych baz danych oraz logów ataków metodą brute force.

Firma Valve jest w pełni świadoma tych nadużyć. Wcześniej przyznawała się już do przypadków, w których pracownicy zewnętrzni systematycznie wyprowadzali z serwerów cenne zasoby użytkowników. Niemniej jednak utrzymywanie taniej, niepodlegającej kontroli kadry zewnętrznej pozostaje dla niej bardziej opłacalne niż zatrudnianie wykwalifikowanych, wewnętrznych specjalistów ds. cyberbezpieczeństwa.

3. Oszustwa jako model biznesowy i waluty offshore

Skórki w grach na platformie Steam stały się wszechobecną, niemożliwą do wyśledzenia walutą w sieci darknet – stanowiąc swego rodzaju „pralnię pieniędzy”, która omija międzynarodowe organy regulacyjne i organy podatkowe.

Dla działu finansowego firmy Valve oszuści nie stanowią zagrożenia; są oni zewnętrznymi podmiotami stymulującymi dynamikę rynku. Tradycyjny model „jeden użytkownik, jedna gra” generuje ograniczone przychody. Jednak naruszony ekosystem tworzy wysoce dochodową pętlę: użytkownik pada ofiarą ataku hakerskiego, przedmioty zostają skradzione, konta oszustów otrzymują „zakaz handlu”, a ofiara jest zmuszona do utworzenia nowego profilu i ponownego zakupu swoich aktywów.

Kiedy firma Valve blokuje konto oszusta, nie zwraca skradzionych aktywów prawowitemu właścicielowi. Zamiast tego zamraża je na stałe. Powoduje to sztuczny niedobór. Zmniejszenie podaży na rynku powoduje wzrost cen pozostałych przedmiotów, co z kolei zwielokrotnia 15-procentową prowizję firmy Valve pobieraną na rynku społecznościowym. Firma ta nie chce powstrzymać oszustw; czerpie z nich zyski.

4. Naruszenie bezpieczeństwa w firmie CEVA Logistics: niepodważalny dowód zaniedbania

Jeśli uważają Państwo, że firma Valve przynajmniej chroni Państwa fizyczne dane w świecie rzeczywistym, niedawny incydent dotyczący firmy CEVA Logistics dowodzi czegoś zupełnie przeciwnego. W okresie od 29 lipca do 1 sierpnia 2026 r. hakerzy włamali się do systemu europejskiego partnera firmy Valve zajmującego się logistyką sprzętu. Firma Valve potwierdziła to naruszenie dopiero 7 sierpnia, pozostawiając dane użytkowników w rękach złośliwych podmiotów przez cały tydzień.

Wyciekające dane obejmują prawdziwe imiona i nazwiska, pełne adresy zamieszkania, numery telefonów oraz adresy e-mail powiązane z kontami Steam europejskich klientów, którzy zamówili sprzęt fizyczny. Firma Valve próbuje uspokoić użytkowników, twierdząc, że „hasła i dane dotyczące płatności” nie wyciekły. Jednak imię i nazwisko, adres zamieszkania, numer telefonu oraz adres e-mail powiązany z kontem Steam stanowią dokładny zestaw danych niezbędny do przeprowadzenia niezwykle skutecznych ataków typu spear-phishing oraz przejęcia kont – są one prawdziwą kopalnią złota dla wspomnianych powyżej pracowników zewnętrznych i sieci oszustów. Firma Valve w zasadzie przekazała im Państwa dane.

5. Wezwanie do działania: Europejskie stanowisko przeciwko immunitetowi korporacyjnemu

Każdy gracz w Europie musi zdać sobie sprawę z surowej rzeczywistości: płaci Pan/Pani za gry pięć razy więcej niż użytkownicy w Rosji, a mimo to Państwa europejskie prawa i przepisy (RODO) są całkowicie ignorowane. Państwa dane osobowe wyciekają do zewnętrznych podwykonawców, a zgłoszenia do pomocy technicznej są obsługiwane przez sieć outsourcingową z krajów WNP o wysoce wątpliwej reputacji.

Przesyłamy specjalne, sarkastyczne pozdrowienia prawnikom z kancelarii Taylor Wessing, którzy nieuchronnie będą musieli bronić interesów firmy Valve przed europejskimi sądami. Proszę się przygotować – obrona monopolu, który aktywnie lekceważy prawo UE, wkrótce stanie się znacznie trudniejsza.

Nadszedł czas, aby przestać pełnić rolę wygodnego sponsora. Nie należy wybaczać tych wycieków danych.

Jeśli odmówią, twierdzą, że nie prowadzą rejestrów, lub zasłaniają się korporacyjną umową o zachowaniu poufności (NDA) w celu ochrony swoich pracowników zewnętrznych, proszę przekazać tę odmowę bezpośrednio do Państwa organu ochrony danych (DPA). Masowe działania prawne to jedyny język, który rozumie ten monopolista.

Dodatek autora: Rynek stojący za platformą

Na platformie Steam zalecane ceny regionalne dla Rosji (oraz całego regionu WNP) są zazwyczaj o 40–60% niższe od podstawowej ceny w dolarach amerykańskich. Rosja jest sklasyfikowana jako rynek wschodzący (Tier 2), który zazwyczaj otrzymuje 40–50% zniżki od ceny bazowej. Na przykład standardowa gra niezależna wyceniona na 19,99 USD (co po bezpośrednim przeliczeniu wynosiłoby około 1 900 rubli) powinna kosztować około 419–499 rubli zgodnie z zaleceniami firmy Valve.

Należy wyraźnie zaznaczyć, że zlecone na zewnątrz centrum obsługi klienta znajduje się w Irlandii, ale zatrudnia Rosjan – a część personelu pracuje bezpośrednio w Rosji. Aha, i przy okazji: firma CSGOFast jest właścicielem popularnego rozszerzenia SteamInventoryHelper, które służy wyłącznie do reklamowania należącego do niej kasyna skierowanego do nieletnich (kasyna, które jest zakazane w kilku krajach europejskich). A kto jest właścicielem tego kasyna? Zgadza się, Rosjanie, podobnie jak w przypadku większości podobnych witryn. Czy serwis Steam nie wie o tym? A może po prostu nie chce o tym wiedzieć, biorąc pod uwagę, że obroty na tym szarym rynku wynoszą, jak sądzę, około miliarda dolarów.

Ponadto szacuję, że 40% oszustów z regionu WNP, którzy obecnie prowadzą oszustwa związane z kryptowalutami, rozpoczęło swoją działalność na platformie Steam. Osobiście znam co najmniej dwa konkretne przypadki prania brudnych pieniędzy za pośrednictwem skórek. Nie będę ich tutaj szczegółowo opisywał, ale w razie potrzeby mogę to zrobić – tylko nie publicznie, ponieważ nie chcę wymieniać nazw platform itp. Jednak serwis Steam doskonale zdaje sobie z tego sprawę. A może faktycznie oczekują, że uwierzymy, iż gracze, którzy nawet nie posiadają danej gry, po prostu kupują w kółko ten sam przedmiot tylko po to, by się nim „bawić”? Tak, jasne, to żart.

Ponieważ obawiam się molestowania seksualnego ze strony kancelarii Taylor Wessing, nie napiszę ani nie poproszę o przekazanie mojej wiadomości ofiarom wycieku danych – osobom, które zawiodła firma Valve i które otrzymały te e-maile z powiadomieniami. Satire / Joke

Priorytety serwisu Steam są tak prorosyjskie, jak to tylko możliwe – zarówno pod względem cenowym i prawnym, jak i w zakresie popularyzacji Putina, flag oraz zakazanych terrorystów. Wydaje się jednak, że serwisowi Steam to odpowiada, podobnie jak toleruje on antysemityzm, dyskryminację, nękanie, prześladowanie oraz handel narkotykami. Dla serwisu Steam jest to całkowicie dopuszczalne, podobnie jak gry z kategorią wiekową 18+. Najwyraźniej sprawia im to przyjemność.

Nie jest to krótkotrwały spór dotyczący polityki. Rosyjscy urzędnicy oraz branżowe grupy robocze poświęciły znacznie ponad rok na opracowanie systemu kontroli gier wideo, który obejmuje identyfikację graczy za pomocą rosyjskiego numeru telefonu, państwowego portalu tożsamości Gosuslugi lub państwowego systemu biometrycznego. Platformy Steam i GOG zostały wyraźnie wymienione wśród platform, na które propozycja ta mogłaby mieć wpływ, a uczestnicy stwierdzili, że rządowa grupa robocza zajmująca się tą kwestią spotykała się już od prawie półtora roku w grudniu 2024 r. Firma Valve nie podjęła żadnego podobnego publicznego zobowiązania, że opuści rosyjski rynek, zamiast podłączyć swoich użytkowników do tej kierowanej przez państwo architektury identyfikacyjnej.

Kontrast jest oburzający. Najwięksi gracze branżowi zawiesili sprzedaż lub świadczenie usług w Rosji – firma Microsoft wstrzymała wszelką nową sprzedaż, a producenci konsol i wydawcy ogłosili własne wycofanie się z rynku – jednak serwis Steam zdecydował się na kontynuację działalności. Nadal zapewnia on infrastrukturę handlową i społeczną krajowi, który Parlament Europejski formalnie uznał za państwo sponsorujące terroryzm oraz państwo stosujące środki terrorystyczne.

Wsparcie to jest widoczne w ramach własnej ekonomii firmy Valve. Oficjalny rynek społeczności Steam oferuje do nabycia tło profilowe „Putin & Trump” oraz tysiące przedmiotów o nazwach takich jak „Putin forever”, „Putin smile”, „Putin like” i „Putin angry”. Firma Valve nie jest autorem tych obrazów, ale zajmuje się ich dystrybucją, wystawianiem na sprzedaż oraz czerpaniem z nich zysków za pośrednictwem rynku prowadzonego przez Valve. Jednocześnie, w przypadkach udokumentowanych przez PhishDestroy, nękanie oparte na pochodzeniu narodowym pozostaje widoczne lub jest traktowane jako zwykły konflikt społecznościowy. Przesłanie serwisu Steam jest jednoznaczne: propaganda polityczna może być źródłem zysków, podczas gdy osoby będące celem nadużyć związanych z pochodzeniem narodowym są pozostawione same sobie i muszą znosić takie zachowania.

Własność prywatna nie oznacza immunitetu prawnego

Valve jest spółką prywatną, a jej akcje nie są przedmiotem publicznego obrotu. Oznacza to, że struktura własnościowa firmy, inwestorzy, mechanizmy kontroli wewnętrznej oraz systemy motywacji finansowej podlegają znacznie mniejszej rutynowej kontroli publicznej niż w przypadku spółek notowanych na giełdzie. Nie oznacza to jednak, że przepisy dotyczące ochrony konsumentów, obowiązki w zakresie bezpieczeństwa dzieci, przepisy o ochronie danych osobowych czy krajowe organy regulacyjne przestają obowiązywać. Jeśli platforma nie jest wystarczająco ściśle monitorowana, stanowi to zaniedbanie nadzoru – a nie pozwolenie na przekształcenie jej w miejsce, w którym dzieci są narażone na treści o charakterze seksualnym, promocję hazardu, prześladowanie oraz zorganizowane nękanie.

Zgodnie z własną Umową użytkownika firmy Valve serwis Steam nie jest przeznaczony dla dzieci poniżej 13 roku życia. Oznacza to jednak, że na tej samej platformie, na której obok zwykłych gier sprzedawane są tytuły dla dorosłych o treściach jednoznacznie erotycznych oraz hentai, nadal znajduje się ogromna grupa nastoletnich użytkowników. Samodzielnie podana data urodzenia, strona z ostrzeżeniem oraz filtry preferencji nie stanowią miarodajnego sposobu weryfikacji wieku. Problemem nie jest samo istnienie treści dla dorosłych; problemem jest umieszczanie ich na masowej platformie gier, z której korzystają osoby niepełnoletnie, a następnie udawanie, że pozorna bariera sprawia, iż ryzyko znika. Jeśli pan Gabe Newell, kierownictwo firmy Valve lub jej partnerzy świadczący usługi wsparcia pragną platformy z treściami dla dorosłych, powinni ją prowadzić w sposób jawny i odrębny, zamiast zmuszać każdego wydawcę gier do dzielenia z nią przestrzeni handlowej.

Właściciele praw powinni również wyjaśnić, dlaczego akceptują takie sąsiedztwo. Gra rodzinna, tytuł dla dzieci lub produkcja skierowana do szerokiej publiczności może znajdować się zaledwie o jedną rekomendację lub wynik wyszukiwania od treści o charakterze jednoznacznie nieodpowiednim, podczas gdy firma Valve czerpie zyski z obu tych kategorii. Wydawcy wydają ogromne kwoty na ochronę swoich marek, a mimo to wydają się gotowi ignorować to, co otacza te marki w serwisie Steam. Prywatna własność nie czyni tego postępowania odpowiedzialnym, a dominacja rynkowa nie sprawia, że jest to nieuniknione.

Zasady moderacji firmy Valve stają się jeszcze trudniejsze do obrony w porównaniu z jej reakcją na rosyjską cenzurę państwową. W 2024 roku Roskomnadzor ogłosił, że serwis Steam usunął wszystkie materiały, których zażądała agencja, w związku z czym 11 adresów URL serwisu Steam zostanie usuniętych z rosyjskiego rejestru informacji zabronionych. W 2025 roku serwis Steam usunął materiały ze strony gry przeznaczonej wyłącznie dla osób pełnoletnich po kolejnym żądaniu Roskomnadzoru dotyczącym tzw. „propagandy” LGBT. Była to cenzura polityczna zastosowana nawet wobec dzieła przeznaczonego dla osób powyżej 18. roku życia, a nie ochrona dziecka, które ominęło ograniczenie wiekowe. Firma Valve potrafi dostosować się do rosyjskiej listy cenzury, a jednocześnie w jakiś sposób pozostaje bezradna, gdy prosi się ją o ochronę użytkowników przed nadużyciami na tle pochodzenia narodowego, nielegalnymi kanałami hazardowymi lub agresywnym eksponowaniem treści dla dorosłych. Jest to kwestia wyboru priorytetów i rodzi oczywiste pytanie dotyczące wolności słowa.

Firma Valve nie wydała również żadnego publicznego oświadczenia korporacyjnego w sprawie rosyjskiej inwazji na Ukrainę, porównywalnego z oświadczeniami przedsiębiorstw, które zawiesiły działalność lub otwarcie wsparły Ukrainę. Jej struktura kapitałowa oparta na kapitale prywatnym nie wymaga ujawniania informacji inwestorom w sposób oczekiwany od spółki publicznej, dlatego osoby postronne nie są w stanie w pełni zbadać, czyje interesy są chronione. Widoczne pozostaje jedynie niezwykłe przywiązanie do rynku oferującego niższe ceny, z którym wiążą się oszustwa na skalę przemysłową, hazard, kradzieże kont oraz usługi pozwalające na obchodzenie sankcji. Być może powód ten stanie się jaśniejszy, jeśli serwis Steam kiedykolwiek zgodzi się na połączenie tożsamości z systemem Gosuslugi.

Historia dotycząca outsourcingu charakteryzuje się tym samym brakiem przejrzystości. Firma Valve zawiera umowy z przedsiębiorstwami, a nie z poszczególnymi pracownikami pomocy technicznej, z którymi mają kontakt użytkownicy. Zgodnie z informacjami pochodzącymi ze źródła pierwotnego oraz materiałami przeanalizowanymi przez serwis PhishDestroy osoba powiązana z wcześniejszym skandalem dotyczącym kradzieży towarów o wysokiej wartości nie zniknęła z ekosystemu małych podwykonawców świadczących usługi wsparcia: przeniosła się do innej agencji. Później twierdziła, że nie pracowała dla serwisu Steam i nie wiedziała, iż konto było powiązane z tą platformą. Jednak ślad prowadził z powrotem do Irlandii, do tej samej osoby i ponownie do serwisu Steam. Sprawa ta powinna zostać zbadana pod kątem nieprawidłowości w zakresie outsourcingu i kontroli dostępu; nie jest ona tutaj przedstawiana jako osąd karny. Firma Valve powinna ujawnić, które agencje mają dostęp do systemów kont, w jaki sposób personel jest ponownie weryfikowany w przypadku przejścia między dostawcami oraz czy osoba usunięta z jednego podmiotu zlecającego może po prostu pojawić się ponownie za pośrednictwem innego.

Wietnam już udowodnił, że status Valve jako spółki prywatnej nie stawia jej ponad prawem krajowym. Serwis Steam został tam zablokowany po tym, jak władze stwierdziły, że firma Valve nie wykazała się współpracą. Wietnam istnieje. Prawo UE istnieje. Każda jurysdykcja, w której firma Valve czerpie zyski, istnieje, nawet jeśli Valve zachowuje się tak, jakby liczył się wyłącznie „jakikolwiek sąd w Rosji”. A jeśli teoria zakłada, że platforma Steam może działać gdziekolwiek zechce, na podstawie dowolnych ukrytych porozumień i bez żadnej znaczącej odpowiedzialności, być może powinniśmy zadać wprost to absurdalne pytanie: czy istnieje również specjalna wersja platformy Steam dla Korei Północnej, o której nikt jeszcze nie ujawnił?

Są to ustalone fakty: zespół obsługi klienta jest rosyjski, a pracownicy tego zespołu wielokrotnie kradli lub przekazywali informacje stronom trzecim w celu przywrócenia dostępu do nieaktywnych kont, aby przejąć je dla własnego zysku.

Jestem więc przekonany, że powiadomienie Państwa o wycieku danych nie ma dla nich absolutnie żadnego znaczenia, zwłaszcza przy tak ogromnym opóźnieniu (w 100% czekali na odpowiedź kancelarii Taylor Wessing; to cud, że nie czekali trzech tygodni).

Nigdy wcześniej tego nie robiłem, nigdy nikogo nie podżegałem ani nie prowokowałem do jakichkolwiek działań i nie chciałbym tego robić teraz. Jednak właśnie takiej sytuacji oczekuje Steam. Uważają oni, że jawna presja i dyskryminacja użytkowników z UE są całkowicie dopuszczalne, a kancelaria Taylor Wessing po prostu rozwiąże wszystkie problemy, otwarcie grożąc ludziom w związku z wnioskami dotyczącymi RODO. Taka jest moja opinia, moje doświadczenie oraz informacje z wiarygodnego źródła, co do którego mam pełne zaufanie.

Tak czy inaczej, złożenie skargi wymaga zaledwie kilku kliknięć. Być może wtedy serwis Steam w końcu nauczy się szanować zagraniczne przepisy – a nie tylko przepisy „dowolnego sądu w Rosji”. Być może w końcu przestaną udawać, że nie są w stanie zablokować domen autoryzacyjnych nielegalnych serwisów hazardowych. Zamiast obecnej sytuacji, w której wszyscy są ze sobą powiązani – rosyjscy właściciele kasyn dla nieletnich oraz pracownicy pomocy technicznej, którzy na forum Lolzteam omawiają sposoby na łamanie kont metodą brute force.

PhishDestroy będzie nadal monitorować, badać i ujawniać nieprawidłowości. Szara strefa zostanie wyjaśniona.

Jestem przekonany, że kontakt z przedstawicielami firmy Valve będzie dla Pana/Pani interesującym doświadczeniem. Jeśli okaże się, że będzie to kancelaria Taylor Wessing, to całkowicie normalne jest, że będą Pana/Panią traktować z góry, grozić i grać na zwłokę — to po prostu ich praca. Ogólnie rzecz biorąc, znani są oni głównie z pozwu o molestowanie seksualne wniesionego przeciwko ich własnej kancelarii i niewiele więcej. Aha, no tak – firmy dysponujące nadmiernymi środkami finansowymi zatrudniają ich właśnie po to, by Państwa wyczerpać, płacąc im przy tym ogromną stawkę godzinową.