A simbiose do golpe “API” no Steam: Fraude, negligência e responsabilização

1. Introdução: Uma simbiose de negligência deliberada

O Steam sempre aceitou sem problemas todas as mudanças — incluindo quaisquer regulamentações e alterações (por exemplo, a suspensão ou proibição de trocas após a mudança de apelido). Essas são medidas forçadas, mas são ineficazes e incompletas. A Valve não tem nenhum desejo genuíno de combater isso, pois entende que sua plataforma depende tanto de golpes e jogos de azar quanto do restante da economia paralela que o Steam gerou, permitiu que surgisse e existisse por muitos anos. Não se trata de um ataque ao Steam; trata-se de uma simbiose — mutuamente benéfica e compreendida por ambos os participantes dessa simbiose.

O famoso golpe “API” (comumente conhecido como “troca de oferta” ou “substituição de oferta”) surgiu há muito tempo. O phishing sempre se baseou na substituição de transações. Em sua forma persistente, ele surgiu por volta da primavera de 2019 (antes disso, existia como um tipo distinto de phishing, que acabou evoluindo para uma substituição com limites de duração de 1, 4 ou 8 horas). Na primavera de 2019, todas as ferramentas ativas no mercado de golpes tornaram a sessão sequestrada “móvel”. E foi assim que ela alcançou sua hiperpopularidade. Segundo nossas estimativas mais conservadoras, isso permitiu o roubo de pelo menos US$ 10 milhões ou mais. Mas é preciso entender que, em geral, isso alimenta os cibercriminosos. A Steam protege os golpistas ao adotar a lógica de que “as skins não têm valor”. A introdução da retenção de trocas ocorreu depois que o mecanismo de troca de ofertas já estava estabelecido. A retenção de troca interminável de 7 dias foi adicionada abruptamente e sem motivo. Isso não é uma medida antifraude; é regulamentação.

Vamos explicar como funciona a troca de ofertas e por que o Steam e suas tentativas de combate a fraudes são uma verdadeira palhaçada (e sempre foram).

2. O Plano para 2017–2018: Cinco Algoritmos Privados

Para compreender a magnitude da operação, podemos analisar os painéis privados de golpes que operaram de 2017 até a primavera de 2018. Durante esse período, os desenvolvedores criaram cinco algoritmos operacionais distintos para o método de troca de ofertas. Essa atualização privada incluía todos os cinco algoritmos: o bot do painel fazia login na conta do usuário e operava de acordo com um dos cinco algoritmos abaixo, contornando a autenticação de dois fatores (2FA) com a validação do Guard. Os golpistas podiam configurar essas opções (envio de jogos, filtro de preço mínimo de oferta etc.) diretamente em seu painel de administração.

Apêndice técnico: variantes de troca de ofertas e evolução do painel

Algoritmo nº 1: A troca clássica

• Verifica a oferta: ela é proveniente de um site de negociação? Se sim, realiza as ações abaixo.
• Cancela a oferta do bot de negociação oficial.
• Analisa o apelido, o avatar e a mensagem de troca da conta oficial do bot e define todos esses dados na conta do bot do golpista.
• Envia exatamente a mesma oferta, mas a partir da conta do golpista, com os mesmos itens, o mesmo apelido e o mesmo avatar.

Algoritmo nº 2: Troca Atrasada

• Verifica a oferta: ela é proveniente de um site de negociação? Se sim, realiza as ações abaixo.
• Não cancela a oferta do bot oficial imediatamente, mas aguarda que o usuário a aceite no computador (não no celular).
• Assim que o usuário aceitar (no computador), o bot cancela a oferta oficial.
• Analisa o apelido, o avatar e a mensagem de troca da conta oficial do bot e os configura na conta do golpista.
• Envia exatamente a mesma oferta a partir da conta do golpista, com os mesmos itens, o mesmo apelido e o mesmo avatar.
• Aceita a oferta (do bot do golpista) no computador.
• Como resultado, o usuário confirma a transação no aplicativo móvel, pensando que ela é proveniente do bot oficial, quando, na verdade, é do golpista.

Algoritmo nº 3: Desvio de tráfego de saída

• O usuário envia uma oferta usando o link de negociação do bot do golpista e acessa o aplicativo móvel para confirmá-la.
• O bot do golpista cancela a oferta do usuário.
• Envia uma oferta da conta do usuário contendo todos os seus itens (os jogos elegíveis podem ser selecionados no painel de administração) para o link de troca do bot do golpista.
• Em seguida, o usuário confirma essa transação modificada no aplicativo móvel.

Algoritmo nº 4: Trocas em duas direções

• Ofertas recebidas:
  • Quando uma oferta é enviada ao usuário solicitando apenas seus itens, a troca ocorre quando o usuário a aceita no celular (após aceitá-la no computador) [usando o Algoritmo nº 2].
  • Quando uma oferta é enviada ao usuário tanto para os itens dele quanto para os da outra parte, a troca ocorre quando o usuário a aceita pelo celular (após ter aceitado no computador).
• Ofertas em andamento:
  • Quando o usuário envia uma oferta a alguém contendo seus próprios itens, enquanto se prepara para confirmá-la no aplicativo móvel, a troca é realizada. A verificação da confirmação do usuário pelo celular, do lado do bot, é feita por meio da aceitação automática da transação.

Algoritmo nº 5: Limpa-estoque

• Idêntico ao Algoritmo nº 4, exceto que, durante a troca da oferta de saída, ele primeiro adiciona os itens do usuário que já faziam parte da troca e, em seguida, anexa todo o inventário dos jogos selecionados abaixo. Os jogos elegíveis para esvaziamento podem ser escolhidos no painel de administração (CS, DOTA, H1Z1, PUBG).

3. Infraestrutura do Scam Panel e recursos administrativos

As redes fraudulentas são administradas como empresas legítimas de SaaS. Seus painéis de administração incluem recursos robustos e multithread, projetados para exfiltração e controle rápidos:

• Tabela detalhada de registros exibindo os SteamIDs ativos em processo de troca: 'SteamID', 'Inventário ($)', 'Tempo restante até o término da sessão de troca', 'Ofertas trocadas', 'Algoritmo operacional', 'Filtro de preço', 'Hora de início da sessão de troca', 'Observação', 'Ações'.
• Recursos de gerenciamento de usuários: pausar, retomar, excluir, atualizar o link da transação.
• Filtro de limite mínimo de preço em dólares americanos (as ofertas cujo valor total dos itens estiver abaixo desse limite não serão trocadas, evitando perda de tempo com itens de baixo valor). Essa opção está disponível na aba “Configurações”. Os preços para CS, DOTA, H1Z1 e PUBG são atualizados diariamente entre 5h e 7h.
• Atualizações manuais de links de negociação se o usuário alterar sua URL de negociação.
• Oferecer controle por bot (iniciar, parar, reiniciar).
• Navegador do Steam integrado (complemento pago).
• E muitos outros recursos...

O pacote especial de phishing “maFile”

Há também um pacote separado voltado para os maFiles (arquivos do Mobile Authenticator). O mecanismo principal consiste em obter um código de SMS, aguardar um período de espera de dois dias, esvaziar os skins e assumir o controle total da conta.

A vítima faz a autenticação em um site de phishing com seu nome de usuário e senha (validados em tempo real). Em seguida, aparece uma solicitação para inserir um código de SMS (no lugar do Steam Guard), exibindo os dois últimos dígitos do número de telefone para o qual a mensagem foi enviada. Assim que um código de SMS válido é fornecido, o painel de administração gera automaticamente um maFile. Com esse arquivo, os golpistas podem gerar códigos de autenticação de duas etapas (2FA) do Steam Guard e aceitar trocas diretamente. No entanto, esse maFile recém-gerado está sujeito a uma restrição de troca de dois dias (suspensão): quaisquer trocas iniciadas nos primeiros dois dias a partir da criação do maFile ficam suspensas por 48 horas e podem ser canceladas pelo proprietário.

Assim que o novo maFile for gerado no painel do golpista, o antigo autenticador móvel da vítima começará a gerar códigos inválidos, embora, para a vítima, o aplicativo pareça estar funcionando perfeitamente normalmente. O texto da mensagem SMS que o usuário recebe é o seguinte: "O código para desativar ou mover o Authenticator é: 13204". O painel de administração também oferece opções para baixar o maFile, verificar sua validade, gerar códigos de autenticação de duas etapas (2FA) (semelhantes ao Steam Desktop Authenticator – SDA), iniciar uma oferta contendo todos os itens do inventário com um único clique ou executar uma oferta automática com um período de retenção de 2 dias imediatamente após a geração do maFile. Além disso, com uma licença de contornamento automático de phishing, o painel desbloqueia os recursos de “phishing automático” e sequestro de conta com um clique. Para maior conveniência, um cronômetro visual de contagem regressiva acompanha o tempo restante de espera diretamente ao lado do maFile.

3b. Métodos operacionais

1) Combate ao roubo de pele:

• Exfiltração retardada: Aguarde 2 dias após a geração do maFile e, em seguida, envie uma oferta de troca para a conta de destino (um único botão no painel de administração envia todas as skins para o link de troca de destino). Requisitos para o sucesso: a vítima não deve alterar seu número de telefone ou senha durante esses 2 dias (pois isso invalida o maFile no painel).
• Oferta automática imediata: Envie uma oferta automática contendo todos os itens do inventário para o link de troca de destino imediatamente após a geração do maFile. Não aceite essa oferta imediatamente, para que os itens não desapareçam da conta da vítima prematuramente. Basta aguardar 2 dias e aceitá-la. Com esse método, alterar a senha ou vincular um novo autenticador móvel não interromperá a transação; no entanto, se a vítima atualizar seu autenticador, a retenção será reiniciada, exigindo mais 2 dias de espera. Requisitos para o sucesso: a vítima não deve cancelar manualmente a oferta de transação pendente durante o período de retenção de 48 horas.

2) Roubo de contas (phishing):

• Venda direta por conta própria: Venda a conta já carregada com seu maFile. Após a geração de um maFile, é muito menos provável que a vítima suspeite de alguma irregularidade em comparação com o phishing tradicional, que muitas vezes aciona um bloqueio imediato da conta pelo “Red Sign”. Consequentemente, os golpistas têm um prazo maior para revender a conta nos mercados. No entanto, sempre existe o risco de que a vítima tente fazer login a partir de um novo navegador ou computador e gere novamente o maFile em seu celular, ou redefina sua senha.
• Auto-Phishing (requer licença de phishing): Após a captura do maFile, a conta é automaticamente colocada na fila para a remoção automatizada de credenciais e bloqueada com um banimento da comunidade. O phishing, combinado com a geração do maFile, tem como alvo e remove apenas o Steam Guard móvel.
• Phishing com um clique (requer licença de phishing): Instala um banimento da comunidade e aciona a remoção automática das credenciais mediante comando.

Além disso, esse bot pode ser integrado à análise de cookies do OPSkins (se houver licença) e à verificação por autenticação de duas etapas (2FA). O backend é multithread e capaz de processar inúmeras contas por segundo.

4. A anatomia do engano

Como a fraude realmente ocorre? Um jovem recebe um link no Steam (o domínio pode se passar por um torneio, um airdrop ou um site de troca de skins). A página apresenta um botão de autorização e interfaces de login altamente sofisticadas: uma janela pop-up falsa do tipo “navegador dentro do navegador” que exibe literalmente o “domínio oficial do Steam” (usando about:blank truques ou janelas personalizadas para ocultar o URL real do phishing). Ou, em vez de uma sobreposição visual de janela, abre uma página de login do Steam em tela cheia, perfeitamente clonada, hospedada em um domínio falsificado. O jovem faz o login diretamente, digitando seu nome de usuário, senha e código do Steam Guard. E é isso. Nada acontece — o site de phishing ou redireciona a criança para outro lugar ou simplesmente exibe o formulário de login novamente.

4a. Mas o que realmente aconteceu nos bastidores?

No servidor do invasor, uma sessão ativa é iniciada imediatamente após a autenticação — estabelecendo, essencialmente, uma sessão de conta totalmente autorizada. Em seguida, o script solicita imediatamente uma chave de API para a conta (por meio de steamcommunity.com/dev/apikey). Posteriormente, os golpistas passaram a utilizar navegadores headless integrados em sessões ativas, juntamente com ferramentas de automação para o envio automático de spam, o fechamento de tickets de suporte e outras atividades.

Para realizar essa operação, os golpistas precisam de contas-bot prontas para uso, com privilégios de negociação ativos e sem limites impostos pela comunidade. Trata-se de contas registradas em massa de forma automatizada (pré-carregadas com exatamente US$ 5 e com 14 dias de idade para desbloquear a negociação). Sim, elas são registradas de forma totalmente automática por meio de um software de registro. O Steam, é claro, percebe e detecta esses registros (mesmo com proxies); ele está plenamente ciente dos padrões de atividade gerados por software — contas com exatamente US$ 5 para remover o limite, com os fundos permanecendo totalmente intocados. Uma vez adquiridas, essas contas são conectadas ao painel de golpes. A partir desse momento, todo o ataque opera quase exclusivamente por meio de solicitações brutas de API. A única exceção é a venda dos itens roubados: normalmente, eles acessam manualmente o navegador, listam as skins, transferem os fundos e fazem o saque (embora alguns afirmem ter alcançado automação completa de ponta a ponta, em que um bot supostamente lista as skins, executa as vendas e paga automaticamente os trabalhadores, spammers e geradores de tráfego).

A autenticação se origina de um IP totalmente novo e a sessão feita por software vem de um pool de hospedagem/ISP estático – predominantemente Ihor. Os dados e arquivos preservados de PhishDestroy de um desses produtos mostram mais de um endereço sobrecarregado coincidentemente: alguns IPs Ihor eram consecutivos, incluindo endereços terminando em .156, .157 e .158, e cada um carregava mais de 1.000 sessões ativas sequestradas de uma só vez. Esta não é uma estimativa externa; vem da infraestrutura examinada nos arquivos do produto. Mais tarde, um esquema separado apareceu no lado do bot receptor: um bot recebeu um slot de IP; substituir o bot naquele slot manteve o endereço, atribuindo-o efetivamente por cerca de um mês. No entanto, um login no servidor ainda pode criar uma chave API e uma sessão paralela indefinida. Esse é o comportamento normal do jogador?

Além disso, no Steam, sua chave de “API” permanece válida por tempo indeterminado. Mesmo que você a exclua ou altere manualmente, sua sessão a regenerará automaticamente ao realizar qualquer ação em segundo plano (como verificações de integridade da sessão, avaliação do inventário ou verificações de rotina baseadas em temporizador, que os painéis fraudulentos executavam aos milhares). Esse acesso persistente à sessão garante que os golpistas possam monitorar contas em tempo real antes que os usuários percebam. É raro que os usuários percebam: normalmente, depois de serem vítimas de phishing, a sessão deles acaba expirando ou é descartada. Mas se uma vítima simplesmente excluir ou alterar sua chave API, o script a recria imediatamente usando a sessão ativa.

Os bots são contas registradas em massa com um saldo de US$ 5. O mercado é enorme, e a concorrência é tão acirrada que as contas são vendidas quase pelo custo bruto de US$ 5. O Steam percebe claramente, por exemplo, que o celular de uma criança — a sessão ativa que contém o autenticador Steam Guard — está localizado nos EUA; ele detecta que o computador e o navegador da criança também estão nos EUA. E, simultaneamente, detecta uma sessão ativa originária da Rússia ou da Holanda (o provedor Ihor foi o principal centro por muito tempo, já que estava repleto desses IPs específicos).

Sim, o roubo começou em grande escala. O Steam não se pronunciou sobre nada. Quando as crianças escreveram para o suporte, o Steam nem mesmo as orientou a alterar a senha; em vez disso, o suporte enviou respostas genéricas e padronizadas afirmando que as skins haviam sumido e que isso “não era problema nosso”. Mais tarde (por volta de 2021–2022), os golpistas começaram a encerrar automaticamente os tickets de suporte: uma criança abria um ticket, e o script automatizado do painel o encerrava imediatamente. As crianças acreditavam que era o suporte do Steam que estava arquivando seus casos. Não era. Mas o Steam basicamente ficou de braços cruzados e permitiu que isso acontecesse.

A hipocrisia do Steam e de suas atualizações “anti-fraude” é impressionante, considerando a quantidade de dados que o Steam armazena: ele rastreia países, históricos de IPs e impressões digitais de dispositivos. O Steam ocultou conscientemente o fato de que as contas estavam sendo ativamente comprometidas. Além disso, houve incidentes em que o Steam aplicou banimentos em massa à comunidade, afetando as contas dos vítimas que foram flagrados em sessões ativas de troca de contas. Uau, ótimo trabalho, Steam! O Steam bloqueou as contas das vítimas simplesmente porque elas compartilhavam um IP de proxy com outras sessões, em vez de, digamos, encerrar as sessões não autorizadas. E quando as vítimas entraram em contato com o suporte para recorrer dos bloqueios, o suporte fingiu ignorância, alegando que não podia ver nem sabia de nada. Mas sabemos que eles veem tudo: seus dispositivos, IDs de hardware, registros de transações, histórico de alterações, senhas anteriores, números de telefone, e-mails e exatamente quando e de qual dispositivo elas foram modificadas (essa é a parte mais engraçada: o Steam sabe quando uma conta é invadida — ele registra o ID exato do dispositivo, o carimbo de data/hora e o endereço IP do invasor).

4b. A ilusão da retenção de ações

Então, um garoto apavorado escreve para o Suporte do Steam: "Aaa, socorro, minhas skins foram roubadas! Eu estava enviando-as para um amigo, um comerciante ou um site de trocas, mas elas foram parar em uma conta completamente diferente, com o mesmo apelido e avatar, e não naquela que eu aceitei na troca!"

Como isso realmente aconteceu?

De fato, o impostor não sequestra a troca instantaneamente. No seu navegador, você analisa a oferta original de troca, clica em “confirmar” — item por item, ou enviando para a conta verificada do seu amigo. Você verifica os detalhes, e tudo bate. Mas, no breve intervalo de tempo entre aceitar a troca no seu PC e pegar o celular para confirmá-la — é nesse momento que o bot do golpista, clonado com o mesmo nome e avatar, cancela a troca legítima e envia a sua própria.

Sim, na tela do seu celular, você está vendo a transação trocada. Inicialmente, ela mostra os itens que você está enviando, mas, na parte inferior, você não recebe absolutamente nada em troca. E os usuários ignoram os avisos porque já verificaram tudo no computador. A precisão psicológica desse golpe e a vulnerabilidade dos usuários são impressionantes, especialmente porque as vítimas acreditam plenamente que estão realizando uma transferência segura. No entanto, os servidores do Steam observam uma sessão, criada semanas ou meses atrás a partir de um endereço IP completamente diferente, cancelam uma troca ativa e, imediatamente, iniciam e aceitam uma nova — tratando-a como uma transação totalmente normal e legítima. Parece altamente legítimo, não é mesmo?

Gostaria de destacar que, muito antes de o Steam lançar suas atualizações desajeitadas e ineficazes, sites de troca de terceiros já haviam tomado a iniciativa de agir. Eles valorizavam sua reputação e, talvez, simplesmente sentissem pena das crianças que haviam sido vítimas de fraude. Por exemplo, o site tradeit.gg implementaram um sistema em que, caso a oferta oficial de troca fosse cancelada, um grande alarme com a mensagem “CANCELADO” aparecia na tela do usuário. Essa foi uma solução de verdade, e é por isso que os reconhecemos como pioneiros que realmente tentaram fazer algo. Então, um site externo que utilizava o API do Steam conseguia detectar uma troca em tempo real, mas o próprio Steam não conseguia? Ou eles simplesmente se recusaram a encerrar uma sessão não autorizada que, obviamente, não tinha nenhuma relação com o usuário legítimo? Sim, os tickets de suporte do Steam afirmavam repetidamente: “Seus itens sumiram, não podemos ajudar”, e os bots receptores dos golpistas raramente eram banidos (e, quando eram, já era muito tempo depois do fato). Mesmo após a introdução das retenções de troca, a taxa média de banimento de bots de golpe ativos (bloqueios que, no fim das contas, beneficiam a economia do Steam em vez de devolver os itens às vítimas) oscilava entre 15% e 25% nos horários de pico. Enquanto isso, o provedor de hospedagem onde os bots operavam continuava Ihor, e essas sessões automatizadas nunca utilizaram proxies rotativos residenciais ou móveis.

4c. Comprovação da infraestrutura estática

Podemos provar isso. Como vocês sabem, o PhishDestroy é um projeto radical contra o phishing. Inundamos formulários de phishing com frases-semente falsas em grande escala para esgotar as capacidades de carregamento e processamento dos servidores deles. Na verdade, foi daí que surgiu a ideia: o Steam impõe limites de frequência às tentativas de login por endereço IP. Anos atrás, fizemos isso usando proxies públicos gratuitos, enviando tentativas infinitas de login inválidas ou visando contas protegidas pelo Steam Guard por e-mail. Com o tempo, a Valve começou a bloquear essas tentativas e, como não estávamos adquirindo redes de proxies comerciais, isso se tornou menos viável. No entanto, como percebemos agora, isso poderia ter sido altamente disruptivo; ainda assim, na lógica distorcida da Valve, interferir nas operações dos golpistas foi considerado “antiético”.

Por meio de nossos testes de carga nos portais de login dos golpistas — o que deixou seus sistemas de autenticação completamente fora do ar por horas —, confirmamos que eles não estavam utilizando redes massivas de proxies residenciais (que abrangeriam milhões de IPs). Em vez disso, eles contavam com proxies estáticos e hospedagem VPS barata. Especificamente, sua configuração alocava exatamente 1 bot para cada IP, e esses IPs pertenciam exclusivamente aos servidores VPS da Ihor.

Conclusão: Uma cena de crime em aberto

O Steam viu tudo, sabia de tudo e simplesmente ficou calado, em vez de agir para proteger seus usuários. Que plataforma é essa que afirma que a segurança é sua principal prioridade!

Além disso, um invasor com uma sessão ativa no navegador poderia, ao mesmo tempo, monitorar sua conta, ler suas conversas ou modificar seu perfil (por exemplo, criando um aviso falso de “banimento VAC”) para deixá-lo em pânico e levá-lo a transferir rapidamente todos os seus itens para um amigo ou para uma conta alternativa “segura” — levando-o diretamente para a armadilha da troca de ofertas. Sim, ele poderia ler ativamente suas conversas privadas com amigos e visualizar suas mídias em tempo real, ao mesmo tempo que você. Aparentemente, o Steam considera sessões paralelas de países totalmente diferentes como um comportamento padrão para uma plataforma de jogos (talvez com o raciocínio de que, como o Compartilhamento Familiar existe, “não há problema se eles roubarem, desde que não estejam jogando CS:GO simultaneamente”).

5. A armadilha das senhas do tipo “API”: mudar sua senha não é suficiente

Mesmo que você tenha alterado sua senha, mas se esquecido de revogar a chave ativa do API, os golpistas ainda poderiam roubá-lo. Sim, sem uma sessão ativa, o script deles não poderia mais acessar seu perfil nem aceitar automaticamente trocas. No entanto, o site oficial do Steam API ainda lhes permitia executar as ações mais críticas: monitorar a atividade da sua conta e cancelar trocas pendentes (por meio de CancelTradeOffer).

Com apenas sua chave “API”, o bot detectava e cancelava instantaneamente sua transação legítima e, em seguida, enviava uma oferta falsa de sua própria conta (direcionada ao link da sua transação). A partir daí, o script simplesmente aguardava. Ele não podia clicar em “confirmar” em seu nome. Todo o golpe dependia de você abrir seu aplicativo móvel e confirmar voluntariamente a troca no Steam Guard. E funcionou perfeitamente.

Há uma nuance técnica importante: com apenas uma chave “API” (e sem sessão ativa), o script não consegue inserir uma troca diretamente nas suas confirmações do Steam Guard. Ele precisa enviar uma nova oferta de troca. Isso significa que você precisa clicar manualmente em “Aceitar troca” no seu PC primeiro, antes que ela apareça no aplicativo do Steam Guard.

Seria de se esperar que essa etapa adicional reduzisse a taxa de sucesso do golpe — afinal, ao aceitar uma nova troca de um desconhecido, o Steam exibe vários avisos de alerta (“Vocês não são amigos”, “Esta conta foi sinalizada”). Mas os golpistas exploraram a psicologia humana e a memória motora. Como a própria vítima havia iniciado a troca original, ela já estava mentalmente preparada para se desfazer de seus itens. Ao ver a troca ser cancelada repentinamente e uma nova chegar imediatamente com exatamente os mesmos itens, apelido e avatar, ela presumiu que: “O site apresentou lentidão e recriou a transação.”

O usuário clicou mecanicamente nos avisos do Steam, sem prestar atenção, aceitou a troca fraudulenta e a confirmou pelo celular. O golpe deu certo não por ter contornado a segurança do Steam Guard, mas por ter se aproveitado da inércia humana.

6. O veredicto: Cúmplice por natureza

Nossa mensagem principal continua a mesma: devemos um agradecimento especial à Valve e à sua equipe de suporte, que acharam incrivelmente conveniente “não ver nada e não saber de nada”.

Eles adoram alegar que, tecnicamente, não dispõem das ferramentas ou da capacidade necessárias para ajudar. Mas a realidade é completamente diferente. Para recuperar uma conta invadida, o suporte não precisa, na verdade, de nenhuma chave de CD antiga e empoeirada de dez anos atrás. O Steam captura uma vasta gama de outros parâmetros que são deliberadamente ignorados durante disputas de recuperação. Estamos falando do identificador exclusivo do seu dispositivo. Não se trata de um simples HWID, do número de série do disco rígido ou da versão da BIOS — é uma impressão digital exclusiva do hardware que o Steam recupera, provavelmente no mesmo nível do kernel/sistema profundo que seu sistema antitrapaça VAC.

Portanto, quando a Valve se recusa a restaurar sua conta simplesmente porque você “não possui uma chave de CD”, isso não é uma limitação técnica. É uma estratégia de negócios. É a intenção de forçá-lo a comprar seus jogos novamente e uma recusa categórica em devolver o controle sobre inventários de skins de alto valor.

Isso é antiético, mas é profundamente “típico do Steam”. O mesmo vale para o sistema de suporte deles — um atendimento ao cliente de baixo custo e terceirizado, cujas políticas internas são elaboradas para evitar oferecer ajuda de verdade ou até mesmo cortesia básica. Tudo se resume a respostas padronizadas, copiadas e coladas, e ao encerramento unilateral dos tickets.

Mas o Steam não vê nenhum problema nisso.

7. Perguntas que o Congresso deve fazer ao Valve

Resumo do Congresso/regulatório

Não pergunte sobre cartões de beisebol. Siga o dinheiro e o livro-razão de itens.

Se Valve aparecer perante o Congresso ou um regulador, as analogias não são provas. Peça respostas juramentadas e auditáveis ​​sobre o valor que imobiliza, as vítimas que se recusa a restaurar e os controlos que escolhe impor.

Quanto valor do jogador está bloqueado?

Quantos itens CS2 e Dota estão em contas banidas pelo comércio ou pela comunidade? Qual o percentual da oferta circulante e qual o valor de mercado que representa, discriminado por ano, tipo de restrição, raridade do item e tempo congelado?

Demanda:Totais agregados, metodologia, intervalos de idade, uma auditoria independente e divulgação inspecionável de inventários de bots banidos. Se os números refutarem a alegação, publique-os.

Por que as evidências estão ocultas?

Quando um inventário ou perfil se torna não público após uma restrição, qual é a finalidade de segurança disso? A política de visibilidade mudou por volta de 2020 e por que ocultar o livro-razão em vez de exibir um aviso público proeminente semelhante a um aviso VAC?

Demanda:O histórico da política, a fundamentação interna, as regras de acesso e o caminho do recurso.

Por que os pipelines de bots não são interrompidos no nascimento?

O próprio Steam diz que usuários mal-intencionados geralmente operam contas fictícias e usam um limite de US$ 5. O que detecta registro automatizado, provisionamento de telefone e autenticador, financiamento exatamente no limite, nenhuma atividade de jogo, longa inatividade e, em seguida, fluxos de itens semelhantes aos de máquinas?

Demanda:Taxas de falsos positivos e falsos negativos – e se os banimentos ocorrem antes de a conta ter valor ou somente após a chegada de itens valiosos.

A “duplicação” ainda é uma desculpa credível?

A lógica da duplicação remonta às práticas de restauração e às histórias de abuso de apoio de meados da década de 2010. Um item moderno tem um registro único, uma cadeia de transferência conhecida e retenções comerciais. Por que revogar o mesmo item de um destinatário comprovadamente ilícito e reatribuí-lo ao titular anterior verificado criaria uma cópia? Em que etapa exata um segundo item aparece em 2026?

Demanda:O histórico da política desde 2014, uma explicação técnica reproduzível e o número de incidentes duplicados reais causados pela restauração desde 2019.

Sob que autoridade o item é imobilizado?

Valve trata um skin como propriedade, uma licença ou apenas um direito de banco de dados? Que cláusula contratual e teoria jurídica permitem a imobilização permanente após o roubo, ao mesmo tempo que negam a restituição ao titular anterior verificado? Os bens recuperados de um ladrão não se tornam receita da polícia; por que o equivalente digital permanece sob controle exclusivo da plataforma em vez de retornar à vítima?

Demanda:Notificação, divulgação de evidências, revisão humana, recurso, prazos e a regra precisa que rege a disposição final de cada item.

Quem a proibição protege – e quanto Valve já ganhou?

O FAQ oficial de Valve lista uma taxa de transação Steam de 5% mais uma taxa específica do jogo de 10% para CS2 e Dota, paga pelo comprador nas vendas de Community Market. Os rendimentos de Steam Wallet não podem ser sacados para um banco ou transferidos para outra conta. A questão defensável não é, portanto, se Valve recebe novamente o preço nominal total em cada revenda, mas quanto dinheiro de circuito fechado e receitas de taxas cumulativas foram associadas a um item antes de ser bloqueado – e como a remoção da oferta afecta a escassez e o preço de tudo o que resta.

Demanda:Taxas vitalícias cobradas sobre cada item posteriormente congelado, taxas de restituição às vítimas e de intervenção pré-perda, e um modelo do efeito do preço do fornecimento congelado. Não conte uma proibição sem restituição como ajuda à vítima.

Valve defende presunção de culpa?

Uma restrição de pele não é uma sentença de prisão; a analogia testa o procedimento. Se Valve ou os seus executivos enfrentassem uma pena inexplicável, provas não reveladas e um apelo nominal respondido com “leia a lei”, será que os seus advogados chamariam isso de justiça? No entanto, para inventários de alto valor, Valve pode parecer ser acusador, julgador e guardião do valor congelado. Que verificação independente aborda esse conflito?

Demanda:A regra exata, o ato alegado, o resumo das evidências, o revisor humano, a decisão fundamentada, a escalada independente e a divulgação de como o valor congelado é tratado.

Por que um apelo significativo é inacessível?

Uma resposta padronizada e um amplo link para o Steam Subscriber Agreement não são uma conclusão factual. Por que razão pode ser negada a alegação e prova a um consumidor comum e, em seguida, enfrentar barreiras técnicas, jurídicas e financeiras que tornam impraticável contestar uma restrição automatizada ou equivocada?

Demanda:Apelação humana gratuita, decisão em linguagem simples, prazos de resposta, acesso a disputas externas e estatísticas sobre proibições automatizadas, revisões humanas, reversões e respostas repetidas de modelos.

Comunidade, recuperação e sessão Valve optou por não matar

Qual é a “comunidade” em Steam Community?

Depois que o procurador-geral de New York processou Valve em fevereiro de 2026, Valve publicou uma declaração de suporte Steam destinada aos usuários e invocou efeitos sobre os usuários e o processo público. Mas quando as decisões da plataforma afetam os valiosos inventários desses utilizadores, que poder formal tem esta “comunidade” – votos, razões, consulta política, supervisão ou mesmo visibilidade dos resultados dos relatórios?

Demanda:Definir os direitos de governação da comunidade e publicar registos de consultas, reportar resultados e um mecanismo independente de supervisão dos utilizadores – ou admitir que “comunidade” é marca e não representação.

Por que a aplicação comum herda o sigilo VAC?

Manter em segredo as assinaturas de detecção anti-cheat pode proteger um método de detecção. Uma restrição comunitária ou comercial é diferente. Qual risco de segurança impede que Valve nomeie a regra, carimbo de data/hora, ação suposta e categoria de evidência? Quantos relatórios de usuários e relatórios de bots levam à ação e quais controles de integridade abrangem funcionários, contratados e voluntários?

Demanda:Taxas de erro e reversão, estatísticas de relatórios de ação, auditorias de integridade independentes, regras de conflito de interesses e resultados disciplinares agregados.

A recuperação de contas é projetada com base em evidências que os usuários provavelmente não reterão?

Steam afirma que uma chave de CD de varejo pode estabelecer a propriedade e recomenda mantê-la; também diz que um telefone verificado oferece opções de recuperação adicionais. Por que exigir uma chave física de uma década quando Valve pode conter registros de pagamento, histórico de e-mail e telefone, dispositivo e login? PhishDestroy estima internamente que 15–20% dos reclamantes não concluem a recuperação após tal demanda, embora alguns ainda escrevam do provedor de longa data e do computador e controlem o e-mail ou telefone. Valve pode refutar essa estimativa publicando seus dados.

Demanda:Tentativas, aprovações, rejeições e abandonos de procedimentos por tipo de evidência; resultados para reclamantes que retêm um e-mail, telefone ou dispositivo; e uma explicação auditável da ponderação do sinal.

Porquê punir a vítima em vez de revogar a sessão hostil?

Na infraestrutura examinada, vários IPs Ihor consecutivos – incluindo endereços que terminam em .156, .157 e .158 – mantiveram, cada um, mais de 1.000 sessões ativas sequestradas, enquanto os proprietários permaneceram em dispositivos conhecidos em outros lugares. Essas sessões poderiam recriar chaves API, esperar, alterar negociações e ler chat em paralelo. O Steam Subscriber Agreement ameaça encerrar a conta para proxy de IP que disfarça a residência, inclusive “para qualquer outra finalidade”. Por que um servidor proxy que contém mil contas não relacionadas não aciona nem mesmo a revogação de sessão?

Demanda:Revogar automaticamente uma sessão de hospedagem, sua chave API e confirmações quando agrupa contas não relacionadas em grande escala; em seguida, exija uma reautenticação limpa sem restringir a vítima.

Sete anos, 79 funcionários Steam e 1,16 milhão de horas nominais: falha ou modelo de negócios?

PhishDestroy pode comprovar pools de mais de 1.000 sessões em um IP, endereços consecutivos em um provedor e slots IP estáveis separados para receber bots. No entanto, o padrão do lado do servidor não desencadeou a resposta óbvia: revogar a sessão de hospedagem, invalidar seu acesso API e exigir autenticação limpa do proprietário. Valve já impõe regras de uso simultâneo em sessões de jogo. Por que a lógica de risco equivalente não foi aplicada quando um endereço de hospedagem russo estava entre o proprietário e Steam, mantendo mil contas não relacionadas?

Um instantâneo da organização de 2021 acidentalmente exposto por meio do litígio antitruste Wolfire em 2024 supostamente listou 79 pessoas na categoria “Steam” de Valve e $ 76.446.633 em pagamento bruto agregado - cerca de $ 968.000 por funcionário listado como uma média de categoria, não um salário individual. Esse instantâneo não prova que 79 engenheiros de segurança trabalharam na troca de ofertas, que o número de funcionários permaneceu constante ou que todo o tempo dos funcionários estava disponível para esse problema. Ele estabelece a escala que Valve deve explicar.

≈88 mesesTroca persistente de ofertas de sessões móveis desde a primavera de 2019 até esta publicação: aproximadamente 2.700 dias

79 pessoasInstantâneo da categoria Steam de 2021 relatado – não uma contagem da equipe de segurança

1.162.880Horas de capacidade ilustrativas: 79 × 14.720 – horas de investigação de fraude não reivindicadas

Run Liability Audit Simulate Attack Sequence

Sessão Paralela

Fluxo comercial

Resposta de Segurança

Para: As vítimas de roubo de bens e a equipe jurídica enganosa da Valve

Vocês vêm tentando convencer tanto os tribunais quanto os jogadores de que o roubo de itens é culpa exclusiva de “crianças idiotas” e que a arquitetura da sua plataforma não tem nenhuma responsabilidade. Vamos deixar de lado as máscaras corporativas e explicar, nos termos mais simples, por que o seu ecossistema de phishing altamente sofisticado e lucrativo existe exclusivamente devido às brechas arquitetônicas do Steam. O phishing é simplesmente o ato de roubar a chave da porta da frente. Mas o fato de que, atrás dessa porta, há um controlador de cofre totalmente desprotegido — isso é inteiramente culpa dos desenvolvedores da Valve.

Vamos examinar algumas analogias para o seu modelo de segurança, a fim de compreender a enorme magnitude dessa falha.

1. Você não é um “GitHub” (O Conto de Fadas do Desenvolvedor)

A Valve justifica a falta de segurança do seu “API” alegando que o Steam é uma “plataforma aberta para desenvolvedores”. Tudo bem, vamos comparar você com o site GitHub. O que acontece quando você tenta gerar um Token de Acesso Pessoal (PAT) no site GitHub?

• O sistema exige que você digite a senha novamente.
• O sistema solicita um código de autenticação de dois fatores.
• Isso obriga você a marcar explicitamente as permissões de escopo (separação de privilégios) para o token.
• É fundamental que você defina uma data de validade (TTL) para o token.

E o que o Steam faz? Com um único clique, ele emite silenciosamente uma chave infinita e onipotente, sem exigir nenhuma confirmação, concedendo acesso irrestrito de leitura e gravação para cancelar e substituir ofertas de troca para sempre. Vocês não são uma plataforma aberta para desenvolvedores; vocês são um portão aberto.

2. Vocês são piores do que os misturadores de criptomoedas sancionados (a síndrome do Tornado Cash)

Se o Steam não é uma plataforma para desenvolvedores, então talvez seja uma bolsa de valores? Vamos compará-lo não a bolsas de valores legítimas, mas aos “crypto-mixers” clandestinos e às plataformas sancionadas que o Tesouro dos EUA e o FBI desmantelam por lavagem de dinheiro (como Tornado Cash, Bitzlato ou Garantex).

Quer saber qual é a maior ironia, Gabe? Até mesmo as redes ilegais e sancionadas de lavagem de criptomoedas na dark web aplicam uma segurança API melhor do que a do Steam! Até mesmo os administradores de mixers clandestinos entendem que, para gerar uma chave API capaz de gerenciar os saldos dos usuários, eles precisam obrigar o usuário a inserir um código de autenticação de duas etapas (2FA), confirmar por e-mail e vincular a chave a endereços IP específicos. No entanto, a Valve — uma corporação americana legal, avaliada em bilhões de dólares — permite que um script invisível, rodando em um servidor na Rússia, obtenha acesso permanente e sem confirmação aos inventários dos usuários, no valor de dezenas de milhares de dólares, com um único clique. Será que os cibercriminosos realmente aplicam padrões de segurança mais elevados do que seus desenvolvedores, que ganham salários de milhões de dólares?

3. Os mercados paralelos se mostraram mais espertos do que uma corporação multibilionária

O mais engraçado são os mercados de apostas e trocas de skins de terceiros (como o OPSkins ou o antigo BitSkins) que a Valve combatia de forma tão agressiva. Lá em 2017, eles enfrentaram exatamente o mesmo problema de substituição “API” (oferta-troca). E sabe o que fizeram? Eles — um pequeno grupo de desenvolvedores independentes, sem orçamentos de bilhões de dólares — simplesmente resolveram o problema em poucos dias, adicionando confirmações, o que acabou instantaneamente com os esquemas dos golpistas.

Enquanto isso, a Valve passou 7 anos realizando experimentos com crianças, observando por quanto tempo os usuários continuariam comprando novas skins para substituir as que haviam sido roubadas e quanto capital ilícito os golpistas conseguiam lavar por meio desse ciclo.

4. Soluções engenhosas em vez de soluções definitivas

Em vez de corrigir a vulnerabilidade, a Valve introduziu “brilhantes” soluções provisórias. Uma restrição de 7 dias para transações. Um bloqueio de 4 horas para alteração de apelido. Durante 7 anos, vocês trataram uma fratura exposta com um curativo. Uma faca roubada nunca foi devolvida à vítima; ela simplesmente ficou congelada para sempre em um bot banido, reduzindo artificialmente a oferta em circulação e elevando o valor de mercado. Era o ciclo econômico perfeito: golpistas roubam, a Valve bane, a oferta cai, os preços sobem e Gabe arrecada uma lucrativa taxa de transação em cada nova venda.

A principal pergunta que a Valve não consegue responder:

STEAM, POR QUE DIABOS VOCÊS NÃO PODERAM SIMPLESMENTE ADICIONAR UMA CONFIRMAÇÃO OBRIGATÓRIA OU UMA NOTIFICAÇÃO PUSH NO CELULAR NO STEAM GUARD PARA GERAR UMA CHAVE DE “API” — UMA FERRAMENTA ONIPOTENTE QUE CONTROLA MILHARES DE DÓLARES EM ATIVOS VIRTUAIS?!

Vocês obrigam os usuários a confirmar a venda de um cartão colecionável de 3 centavos no aplicativo móvel. No entanto, durante 7 anos, permitiram que um script invisível assumisse o controle permanente de todo o estoque deles, sem enviar uma única notificação. Isso não é “phishing”. Trata-se de negligência deliberada e calculada, e foram os usuários de vocês que pagaram o preço.

As Crônicas da Câmara Criogênica: O que a Valve deixou passar em 7 anos Passe o mouse para ler

Texto oculto. Passe o cursor por cima para revelar

Se a diretoria executiva da Valve tivesse submetido seus engenheiros de segurança a experimentos ilegais de congelamento criogênico na primavera de 2017 e só os tivesse acordado hoje — retiramos todas as nossas alegações. Isso explicaria tudo. A ciência exige sacrifícios (neste caso, os inventários dos usuários).

Mas se seus funcionários estivessem plenamente conscientes e recebendo seus salários ao longo desses 7 anos, temos más notícias. Enquanto seus desenvolvedores gastaram 1,16 milhão de horas tentando proteger as chaves dAPI, sem implementar uma simples confirmação do Steam Guard, aqui vai uma breve visão geral do que o resto da humanidade conseguiu realizar enquanto vocês estavam em estase:

Avanços tecnológicos e científicos da humanidade (2017–2024):

• A Revolução da IA: A humanidade inventou as redes neurais generativas. A OpenAI lançou o ChatGPT, que foi aprovado em exames da ordem, aprendeu a escrever códigos complexos, diagnosticar doenças e criar obras de arte fotorrealistas, transformando completamente a economia global.
• Exploração espacial: a NASA pousou com sucesso o rover Perseverance em Marte, fez o helicóptero Ingenuity voar na atmosfera marciana e lançou o Telescópio Espacial James Webb, que nos permite observar o início dos tempos. A SpaceX conseguiu dominar a técnica de capturar no ar propulsores de foguete de 50 metros em queda, utilizando braços mecânicos gigantes.
• Medicina: O mundo enfrentou a pandemia da COVID-19. Em tempo recorde, os cientistas sequenciaram o genoma do vírus, desenvolveram e testaram vacinas revolucionárias de mRNA e imunizaram bilhões de pessoas para conter a pandemia.
• O salto quântico: o Google e a IBM alcançaram oficialmente a “supremacia quântica”, construindo computadores quânticos capazes de resolver em segundos equações que levariam milhares de anos para serem resolvidas por supercomputadores clássicos.
• Revoluções em hardware: a Apple abandonou a arquitetura de processador da qual dependia há décadas e projetou do zero seu próprio chip de alto desempenho da série M. Enquanto isso, a própria Valve conseguiu projetar, fabricar e lançar o inovador console Steam Deck.

“Conquistas” da equipe de segurança do Steam nos mesmos 7 anos:

• Foi adicionada uma restrição de negociação de 7 dias (que não conseguiu impedir os roubos).
• Passou 5 anos pensando e, depois, baniu a troca de itens por 4 horas após uma mudança de apelido (o que provocou risadas entre os golpistas).

Resumo: No tempo que a humanidade levou para chegar a Marte, inventar a inteligência artificial, superar uma pandemia global e construir computadores quânticos, a Valve — uma empresa multibilionária — não conseguiu adicionar uma única janela pop-up com o botão “Confirmar no aplicativo móvel” à página dev/apikey.

Senhores da Valve, sejam bem-vindos ao futuro. Seu sono criogênico chegou ao fim. A humanidade deu um grande salto à frente. Vamos finalmente ativar a autenticação de duas etapas (2FA) no seu API para que as crianças deixem de perder milhões de dólares por causa da preguiça da sua empresa. Ou será que devemos esperar mais 7 anos até que Elon Musk colonize Marte?

O encobrimento do “API” do Steam: como a Valve legalizou a espionagem silenciosa

A Valve passou os últimos 7 anos jogando a culpa pelo enorme esquema de substituição de itens do API sobre seus usuários. A resposta padrão do Suporte do Steam desconsidera as vítimas, alegando que elas simplesmente caíram em uma tentativa de phishing e comprometeram suas próprias contas.

Essa é uma mentira corporativa calculada. O que a Valve chama de “roubo de conta” é, na realidade, uma operação ininterrupta e automatizada de vigilância do tipo “Man-in-the-Middle” (MITM), facilitada por sua própria infraestrutura defeituosa.

Roubo de conta x espionagem silenciosa do tipo MITM

Os Termos de Serviço do Steam proíbem estritamente o uso de scripts automatizados. No entanto, o sistema de back-end da Valve faz vista grossa quando esses mesmos scripts se apropriam das sessões dos usuários.

• Roubo comum: Um login feito a partir de um dispositivo não autorizado aciona um Ban da Comunidade, bloqueando a conta e preservando o inventário do usuário.
• API Espionagem: Um servidor malicioso estabelece uma conexão paralela, monitorando a conta em segundo plano 24 horas por dia, 7 dias por semana, sem acionar nenhum alerta ou bloqueio.
• A Mentira da Interface: Durante uma troca, o aplicativo móvel do Steam exibe uma transação legítima, obrigando o usuário a autorizar uma troca que um script invisível cancela e substitui em milissegundos.

O Acordo Fantasma: Como o Steam Mente Sobre o Seu “Consentimento”

Vamos falar sobre a desculpa favorita do Suporte do Steam quando se recusam a devolver seus itens roubados: “Você é responsável pela segurança da sua conta e pelas ações realizadas nela.”

Eles dão a entender que você, o usuário, concordou com os termos que permitiram que esse roubo ocorresse. Sério? Você nunca viu essa página do contrato de desenvolvedor: https://steamcommunity.com/dev/apiterms. Você nunca clicou em “Concordo”. Um hacker aceitou esse contrato em seu nome, frações de segundo depois de ter acessado sua conta a partir de um endereço IP russo.

Portanto, desafiamos qualquer advogado ou representante da Valve a nos mostrar exatamente em que parte do Contrato de Assinante do Steam consta: “Ao usar o Steam, você concorda com a vigilância contínua, 24 horas por dia, 7 dias por semana, da sua conta ou da conta do seu filho por um servidor automatizado localizado na Rússia.”

Em 90% dos casos de subtração de itens, a vítima nem sequer sabe o que é uma chave “Web API”. Ela nunca usou uma. No entanto, a Valve ficou de braços cruzados por 7 anos, ignorando completamente uma solução pela qual a comunidade vem clamando desde o início: basta adicionar uma confirmação obrigatória do Steam Guard para gerar a chave “API”!

Steam: as crianças não deveriam ser forçadas a patrocinar hackers

Imagine um adolescente comum da Europa. Ele joga, economiza para comprar suas skins favoritas e, em algum momento, comete um erro: acessa um site de phishing. Em um ecossistema digital normal, o procedimento é simples: a conta é bloqueada automaticamente (banimento da comunidade), as senhas são redefinidas e o acesso é restaurado com segurança. O adolescente percebe seu erro, mas o sistema o protege de consequências fatais.

Mas no Steam, tudo funciona de maneira diferente. Em vez de bloquear a atividade suspeita, a Valve abre silenciosamente uma porta secreta. Um servidor de uma jurisdição sancionada (Rússia) obtém acesso paralelo e não autorizado à conta desse garoto. Sem qualquer confirmação adicional, sem um único aviso do Steam Guard, um script desconhecido gera uma chave Web API. Ele aceita os termos legais em nome do usuário e começa a monitorar seus chats, trocas e inventário 24 horas por dia, 7 dias por semana.

Um adolescente da UE nunca consentiu com a vigilância oculta. Ele não é obrigado a financiar hackers de um território sancionado pelo OFAC só porque uma corporação multibilionária tem preguiça de proteger seu próprio API. Ao reter as skins roubadas e se recusar a restaurá-las, a Valve está encobrindo sua negligência infraestrutural, efetivamente legalizando a fuga de ativos digitais de cidadãos europeus para territórios sancionados.

Por que a política de “API” e a segurança dos tokens do Steam violam a lei

O Steam permite que terceiros gerem chaves dAPIo e sequestrem tokens de sessão por meio de proxies MitM, sem NENHUM alerta ao usuário ou verificação de autenticação de duas etapas (2FA). Essa negligência viola diretamente as principais leis de proteção de dados e de defesa do consumidor:

• 🇪🇺 UE GDPR (Art. 25 e 32): Exige “Segurança desde a concepção” e proteção técnica adequada. Gerar chaves de acesso críticas sem a autenticação de dois fatores (2FA) constitui uma grave falha de segurança.
• 🇺🇸 Lei da FTC dos EUA (Seção 5): Pune “práticas injustas” e a falta de “segurança razoável dos dados”. A FTC costuma tomar medidas contra plataformas que não oferecem autenticação multifatorial (MFA) para ações críticas nas contas.
• ⚖️ Diretiva 2019/770 da UE: Os serviços digitais devem atender às expectativas básicas dos consumidores em termos de segurança. A vulnerabilidade do Steam relacionada à “API”, que já existe há 7 anos, falha completamente nesse aspecto.
• 🛡️ Diretiva NIS 2: Exige uma higiene cibernética rigorosa, incluindo a autenticação multifatorial (MFA) obrigatória para o gerenciamento de acesso, o que a Valve ignora há uma geraçãAPI.

Conclusão: quando uma plataforma transfere suas chaves do API para uma sessão de proxy sem nenhum alerta ou confirmação, isso não é apenas uma falha — é uma grave violação de conformidade.

Pronto para se defender? Elabore sua notificação de contestação

Não aceite as recusas automáticas dos Termos de Serviço da Valve. Exija que a Valve assuma a responsabilidade legal de acordo com as leis internacionais de defesa do consumidor e proteção de dados. Use nosso gerador interativo e gratuito para elaborar instantaneamente uma Notificação de Contestação (PDF) formal e jurídica para a sua região.

Gerar aviso e salvar como PDF

Valve retém logs de nível de sessão para autenticação, criação de chave API, cancelamento e substituição de oferta, confirmações, histórico de IP e ações de suporte? Se esses registros existirem, o Valve poderia provar quando viu os pools Ihor pela primeira vez e por que os deixou ativos? Se não existem, por que uma plataforma que lida com inventários de alto valor não conseguiu preservar a trilha de auditoria necessária para investigar uma classe de ataque conhecida?

Ao longo de aproximadamente 88 meses, quantos usuários (incluindo menores de idade, quando conhecidos) abriram tickets especificamente sobre substituição de oferta? Quantos tickets mostraram uma sessão paralela estrangeira, mas receberam uma resposta com script em vez de revogação imediata? Quantos casos resultaram em prevenção antes da perda, na restituição real do item ou no banimento do bot receptor atribuível a esse ticket ou relatório, em vez de uma detecção posterior não relacionada? A análise de PhishDestroy dos relatos públicos de vítimas e das discussões do Reddit não encontrou nenhum caso que pudesse ser vinculado com segurança ao relato de uma vítima; isso não é prova de que não exista, e Valve pode corrigir o registro publicando seus totais internos.

A questão do dinheiro também exige uma contabilidade exata. Para uma venda CS2 ou Dota Community Market em que um vendedor recebe 100 unidades do valor Steam Wallet, o comprador paga aproximadamente 115 após a taxa Steam de 5% listada e a taxa de jogo de 10%, sujeita a arredondamento. Os 15 extras são uma taxa; os 100 do vendedor são o valor da carteira, e não outros 100 de comissão, portanto, “lucro de 115%” seria impreciso. Mas se esse item for posteriormente roubado e congelado sem restituição, Valve ainda controla os fundos de circuito fechado, cobra a taxa e retira o item de circulação. Quais são os pagamentos agregados do comprador, taxas Valve, responsabilidades da carteira, valor do item congelado, efeitos de preço e valores de restituição para esta classe de ataque?

Demanda:Publicar o número real de funcionários de segurança e suporte por ano; horas e orçamento destinados à prevenção de troca de ofertas; o cronograma completo de relatórios, decisões e pools de massa perdidos; taxas de revogação de ingresso para sessão, proibição de ingresso para bot e restituição; registros de solicitação/ação preservados; e uma comparação auditada da folha de pagamento Steam e do lucro da plataforma com perdas de usuários, taxas cobradas, valor da carteira e itens congelados. Resposta registrada: isso foi uma falha de pessoal, uma falha na política de apoio ou uma escolha comercial deliberada?

Suporte terceirizado e acesso privilegiado

Um agente terceirizado pode consultar qualquer usuário Steam em todo o mundo?

A Política de Privacidade de Valve afirma que provedores de suporte terceirizados podem receber dados pessoais apenas quando necessário. PhishDestroy conhece o conjunto de campos e o modelo de acesso da interface examinada; Valve é solicitado a confirmar ou negar no registro. Um agente contratado na Irlanda — ou em outro lugar — pode abrir um usuário nos EUA, Alemanha, Austrália, China ou Rússia? Eles podem ver registros atuais e históricos de e-mail, telefone, IP e dispositivo, sessões, alterações de conta, transações ou bate-papos privados? É necessário um ticket atribuído?

Demanda:Um registro de processador e subprocessador, cada país de processamento, uma matriz de acesso função por campo, restrições regionais, acesso just-in-time com escopo de ticket e uma resposta clara sobre chat e identificadores históricos.

Valve conhece o humano por trás de cada pesquisa privilegiada?

O funcionário de um contratante pode ter vínculos pessoais, políticos ou governamentais desconhecidos do usuário. O que impede um operador de ser subornado, coagido ou encarregado pelo FSB – ou qualquer outro órgão de inteligência ou aplicação da lei – para recuperar o histórico de IP, horários de atividade, contatos ou alterações de conta de uma pessoa? Valve identifica cada pessoa física, proíbe credenciais compartilhadas, registra todas as pesquisas e visualizações de campo, detecta acesso fora de um caso atribuído, bloqueia a exportação em massa e exige que todas as demandas governamentais passem pelo processo legal de Valve?

Demanda:Registros de auditoria atribuíveis individualmente, autenticação vinculada a hardware, alertas de anomalias, revisões periódicas de acesso, períodos de retenção de registros, estatísticas de abuso interno, totais de solicitações governamentais originadas por contratantes, resultados disciplinares e um relatório de transparência pública por país.

Compromisso de recuperação de evidências

Valve alegará que os bots e as vítimas não podem mais ser encontrados?

Se Valve disser em uma audiência que sua interface, segurança e suporte falharam – ou transferir a falha para um terceirizador – e então prometer restituição, “não podemos mais identificar os bots ou vítimas” não pode se tornar a próxima desculpa. PhishDestroy está preparado para enviar SteamIDs preservado de recebimento de bots e registros de comércio e roubo associados do principal produto examinado. Nossa estimativa interna atual é que comparar esse material com o registro comercial completo do Valve poderia identificar cerca de 80% das vítimas clássicas de troca de ofertas – e não casos de maFile, phishing de credenciais ou RAT; a cobertura exacta só pode ser estabelecida através da reconciliação. Existiam dois outros painéis: um conjunto de desenvolvedores pode agora ser difícil de localizar, mas outros participantes e pesquisadores podem fornecer listas adicionais.

Se Valve disser ao Congresso que os inventários de pele congelada em grande escala não têm efeito sobre a oferta, a escassez, os preços ou as receitas da plataforma, embora os seus dados internos mostrem o contrário, isso seria uma declaração falsa ao Congresso. As afirmações não são suficientes: são necessários os dados subjacentes e um modelo de impacto independente. O tempo é importante. A troca de ofertas está perdendo relevância à medida que os golpes Steam mudam para cargas úteis RAT e iscas falsas de proibição de VAC entregues por meio de arquivos; as pessoas por trás dos produtos mais antigos podem desaparecer com as evidências.

Caminho de verificação independente

Antecipando a desculpa da “confiança”: o livro-razão de 213.000 bots de troca de ofertas

Antecipamos a defesa padrão de Valve: ‘Não podemos confiar cegamente numa lista de vítimas fornecida por terceiros.’ Respeitamos esse ceticismo. É por isso que não oferecemos uma lista de vítimas. Estamos oferecendo uma lista verificável dos bots receptores usados ​​pelos painéis clássicos de troca de ofertas.

Temos os meios para proteger bancos de dados que cobrem aproximadamente 80% do volume clássico histórico de troca de ofertas API - o mecanismo que cancelou uma oferta comercial legítima e enviou uma substituição - se Valve genuinamente se comprometer com a restituição em vez do controle de danos de relações públicas. Esta estimativa não cobre roubo de maFile, phishing de credenciais comuns, cargas RAT ou outros tipos de golpes: esses fluxos podem usar bots limitados ou ocultos e não podem ser reconstruídos com a mesma confiança. Podemos perguntar diretamente aos autores do painel fraudulento. São codificadores acessíveis: podemos contatar pelo menos um imediatamente e ter um caminho para o outro. O objetivo não é uma caça às bruxas contra desenvolvedores individuais, mas forçar o Steam a corrigir uma falha sistêmica de sete anos. Comparado com o silêncio corporativo de Valve, os desenvolvedores do painel às vezes mostraram mais humanidade e transparência.

≈213.000Contas de bot de recebimento e liquidação ‘ilimitadas’ · somente troca de oferta clássica · Estimativa interna PhishDestroy · algumas já banidasIDs de bot fornecidos → Valve verifica dentro de seu próprio livro → vítimas e itens

Mesmo que os autores se recusem a partilhar os seus registos, possuímos métodos forenses alternativos para identificar redes de bots implementadas exclusivamente para este mecanismo específico de cancelamento e substituição de ofertas. Sob esse critério de uso exclusivo, cada negociação recebida por um bot de recebimento de painel verificado é um roubo documentado.

Ninguém está pedindo ao Valve para entregar seus logs internos ao PhishDestroy. Forneceremos SteamIDs ou logins de conta para bots usados ​​apenas para receber e liquidar itens roubados por meio de substituição de oferta; Valve pode manter seu livro-razão dentro de seu próprio ambiente e realizar a correspondência por conta própria. Muitos desses bots venderam com sucesso itens roubados, alguns já foram banidos e o volume de negociações recebidas é enorme.

A evidência de verificação é do próprio Valve: comportamento da conta somente de bot, o momento do cancelamento de uma oferta legítima e do envio de uma substituição, item recebido e histórico de liquidação, a infraestrutura Ihor documentada e confirmação dos usuários afetados. Para uma conta verificada como um bot exclusivo de recebimento de troca de ofertas, cada negociação recebida em seu período operacional é um registro de roubo – e não uma atividade normal do jogador.

Pergunta direta para Valve:O recebimento operado por bot e a liquidação automatizada de skins roubadas violam o Steam Subscriber Agreement e as regras da plataforma – ou apenas quando a aplicação é conveniente para Valve? O roubo organizado de pele é uma atividade comercial ou essa definição também muda quando conveniente?

Valve não precisa confiar em nossa avaliação de vítimas. Ele só precisa cruzar os estimados 213.000 identificadores de bot com seu próprio livro-razão e verificar de forma independente sua função. Uma vez verificado, identificar vítimas e restaurar itens é uma consulta ao banco de dados. Faremos tudo o que estiver ao nosso alcance para entregar a lista. O único elemento que falta é a vontade de Valve de agir.

Compromisso PhishDestroy:Se Valve realmente iniciar a restituição, faremos todos os esforços possíveis para obter, preservar e entregar com segurança as listas disponíveis.Demanda para Valve:preservar os logs internos agora sem entregá-los a nós, abrir um canal protegido para identificadores de bot e reconciliar SteamIDs e negociações dentro de seu próprio livro-razão, notificar as vítimas identificadas e publicar o número de itens restaurados.

O dinheiro real já entrou no circuito fechado de Steam e Valve cobrou taxas à medida que o item circulava. Se o seu histórico permanecer totalmente rastreável, o detentor anterior for conhecido e Valve o congelar permanentemente, recusando a restituição e ocultando o inventário, a questão é inevitável: por que o público deveria ver isso como proteção e não como monetização da própria vulnerabilidade da plataforma? Uma proibição que deixa a vítima de mãos vazias não é restituição.

Nota editorial:As declarações operacionais Ihor são baseadas nos dados e arquivos preservados de PhishDestroy de um produto examinado e podem ser enviadas para revisão independente. Totais agregados, aplicação seletiva e motivos econômicos exigem registros de Valve. As referências à Irlanda, à Rússia, ao FSB ou a outro estado descrevem um modelo de ameaça; eles não acusam um empreiteiro ou operador nomeado de divulgação sem provas. Os números de 79 pessoas e US$ 76,4 milhões são relatados a partir de uma tabela de categorias de 2021 arquivada no tribunal, exposta antes da redação corrigida. O número de 1.162.880 horas é um cálculo ilustrativo da capacidade de pessoal – e não uma afirmação de que 79 pessoas eram engenheiros de segurança ou gastaram essas horas nesta fraude.