A Valve lucra com mais de 70 milhões de contas do Steam roubadas

Uma reportagem investigativa exclusiva da PhishDestroy Research

Quem é a PhishDestroy para desafiar a máquina corporativa da Valve? De onde vêm nossos dados sobre seus tão alardeados advogados europeus — os mesmos cuja reputação foi manchada por processos judiciais internos de assédio sexual? Eles adoram exibir seu status e sua “história secular”, mas sua memória convenientemente fica em branco quando se trata das origens de sua filial alemã. Eles convenientemente apagam de sua crônica corporativa o fato de que o fundador do escritório era um nazista convicto e membro do Reichstag de Hitler — uma engrenagem de um sistema que enviava pessoas gays para campos de concentração.

Mas chega de história. Voltemos à realidade técnica. Esses “advogados de elite” demonstram incompetência absoluta ao processar solicitações relacionadas ao GDPR — eles simplesmente não sabem como ocultar adequadamente informações confidenciais dos documentos. Isso não é um erro de estagiário. Essa é uma evidência direta de que eles nunca seguiram os procedimentos de divulgação de dados, preferindo se esquivar das solicitações com ameaças e intimidação jurídica.

1. A gênese do PhishDestroy: destruindo a infraestrutura C2 em vez de recompensas por bugs

Entre 2018 e 2021, o ecossistema do Steam passava por um boom de spam descontrolado. O nome “PhishDestroy” ainda não existia, mas fomos nós que lançamos as bases para o trabalho antifraude dentro do Steam. Não estamos nos gabando — estávamos simplesmente fazendo o trabalho sujo que a empresa se recusava a fazer. Desde o início até hoje, destruímos a infraestrutura dos golpistas em escala industrial.

Naquela época, elevamos nosso número de denúncias confirmadas no Netcraft [1] para entre 5.000 e 10.000. Dadas as especificidades da plataforma, o número real de denúncias geradas era pelo menos dez vezes maior. O Netcraft exigia provas irrefutáveis de phishing. Por quê? Porque a Valve se recusava categoricamente a cooperar tanto com provedores de segurança quanto com iniciativas antifraude. Alguns relatórios simplesmente eram descartados no processo antes mesmo de serem processados. Campanhas persistentes de phishing — especialmente recursos ocultos por meio de técnicas agressivas de camuflagem — exigiam a gravação de provas em vídeo e o encaminhamento paralelo aos departamentos de abuso da Cloudflare [2].

Vimos o golpe e o destruímos. Não para salvar usuários ingênuos. Estávamos banindo recursos com o único objetivo de infligir danos financeiros e à infraestrutura dos phishers. Se o setor corporativo acha que estávamos derrubando servidores de golpistas por causa de um iPad do programa Reporter Prizes da Netcraft [1] — está enganado. Sempre fomos uma operação estritamente não comercial. Nossa recusa de princípio a doações e recompensas é uma declaração de nossa independência e lealdade exclusivamente ao processo de destruição.

2. Cumplicidade e monetização: como a Valve lucra com o phishing

Naquela época, a “segurança” do Steam dependia de 50 voluntários. Estávamos em contato com um deles — um bielorrusso conhecido pelo apelido de Colt. Ele era o único que tentava bloquear os links maliciosos que inundavam a plataforma. A vítima ideal: crianças. O cúmplice ideal: a Valve.

A empresa não se limitou a fechar os olhos para o phishing — ela tinha um interesse financeiro nisso. Nossos dados comprovam diretamente a implementação de um cinismo algorítmico: a probabilidade de um bot golpista ser bloqueado depende diretamente do valor do inventário roubado. Desde 2021, após a introdução das restrições de troca, o roubo de uma skin no valor de US$ 2.000 ou mais garante quase 90% de chance de a conta do fraudador ser banida.

Mas eis o detalhe de que ninguém fala: o banimento não beneficia a vítima. Os ativos ficam congelados na conta banida, retornando efetivamente à economia da Valve. A empresa se apropria de lucros extraordinários sob o pretexto de combater fraudes. E isso se aplica não apenas ao CS — os golpes prosperam no Team Fortress e em outros jogos, onde os bloqueios funcionam de forma mais agressiva apenas graças à atividade da comunidade e aos esforços direcionados de moderadores individuais.

3. Abuso da lógica de negócios: o Steam como cena de crime digital

Temos o direito de analisar publicamente a cumplicidade da Valve na indústria de golpes, pois vimos de dentro sua arquitetura podre. No início de nosso trabalho, tentamos entrar em contato com o suporte. Criamos tickets e anexamos domínios que levavam diretamente a páginas de phishing. Você sabe o que o suporte terceirizado em russo respondeu?

“Estamos proibidos de acessar links. Se você enviar um link novamente, baniremos sua conta.”

Isso não é uma política de segurança. É ocultação de provas.

A esmagadora maioria dos ataques de phishing foi distribuída dentro da própria plataforma. O Steam é um ecossistema fechado, ideal para a prática de abuso de lógica de negócios. Os usuários nem precisavam sair do cliente. Os invasores usavam o navegador embutido no modo Big Picture. Os vetores de ataque eram primitivos, mas eficazes: mensagens pessoais, comentários, nomes de usuário infectados que levavam spam não exclusivo do tipo “e aí, mano, participa do sorteio, link para faca grátis, usa o código GABEN”.

O próprio cliente do Steam distribuiu o phishing, comprometeu a conta e facilitou o roubo de skins. A empresa criou uma ferramenta que devorou seus usuários e se recusou a controlá-la.

4. Bilhões para 79 Pessoas: A Anatomia da Ganância da Valve

A magnitude desse lucro e o nível de cinismo corporativo só ficaram claros após o vazamento maciço de dados de 2024 [3].

Os documentos revelaram uma verdade chocante: em 2021, toda a empresa empregava exatamente 336 pessoas [3]. E trabalhando diretamente na plataforma Steam — um monopólio global que gera bilhões de dólares em receita — havia apenas 79 pessoas [3]. A Valve não está simplesmente economizando em pessoal. Documentos internos mostram a empresa se gabando de que seu lucro por funcionário supera o do Google, da Amazon e da Microsoft.

Esses números não são apenas um argumento comercial. Trata-se de uma prova matemática de total descaso pela segurança. Uma plataforma que atende centenas de milhões de usuários fisicamente não pode garantir proteção com 79 pessoas.

5. Lolzteam e a economia paralela dos perfis roubados

O conto de fadas da Valve é o seguinte: “A culpa é do próprio usuário se ele foi hackeado.” A realidade é bem diferente: a Valve criou a infraestrutura de golpes, nunca a combateu e mantém deliberadamente uma vasta camada paralela da economia voltada principalmente para os países da CEI e a China. O motivo é simples — reter o público, compensar a pirataria e comercializar ativos roubados.

Vamos dar uma olhada nos números do mercado negro que a Valve se recusa a enxergar. A plataforma LZT Market (Lolzteam) é o epicentro da venda de contas roubadas. Vejamos um instantâneo em tempo real das listagens: neste momento, o mercado tem 578.465 contas do Steam listadas [4]. Dessas:

O dano mínimo estimado apenas das contas sem limite de gastos é de mais de US$ 630.000 neste exato momento. Mas o valor real das transações é centenas de vezes maior.

E aqui surge uma certa figura chamada Nikita — uma pessoa que supostamente supervisionou a terceirização do suporte ao Steam em russo (não afiliada ao escritório irlandês) por muitos anos. Sua conta foi registrada diretamente na plataforma Lolzteam. Por quê? Para monitorar grandes estoques e bloqueá-los? Para coletar análises?

Mesmo que seja esse o caso, bloquear perfis roubados não exige registro em fóruns clandestinos. O LZT Market usa uma API pública. A Valve pode ver claramente as solicitações em massa e idênticas: alterações de senha, desvinculações de e-mail, verificadores automáticos de inventário e validadores de conta. Todas elas vêm de endereços IP de fazendas de proxies conhecidas.

O padrão de comportamento de uma conta roubada sendo listada no mercado brilha nos registros da Valve como uma árvore de Natal. Mas a empresa prefere fazer vista grossa.

6. A magnitude da catástrofe: dezenas de milhões de dólares fora dos livros contábeis

A Valve não publica relatórios sobre mercados negros, mas a matemática é implacável. Os IDs de itens no mercado LZT (por exemplo, item_id 252853378 [4]) mostram que mais de 250 milhões de lotes passaram pela plataforma. Desses, a categoria Steam historicamente representou de 30% a 40%.

Isso significa que, ao longo da história da plataforma, entre 75 e 100 milhões de contas do Steam passaram por ela. O mesmo perfil roubado pode ser revendido dezenas de vezes, gerando uma cadeia interminável de transações até que seja banido permanentemente.

Todos os dias, conservadoramente, cerca de 25.000 transações são realizadas na categoria Steam — desde registros automáticos baratos até contas obtidas por phishing de alto valor. Com um preço médio de transação de 150 a 200 rublos, somente essa categoria gera entre 3,5 e 5 milhões de rublos em faturamento diário. O volume anual do mercado paralelo em torno do Steam, apenas nessa plataforma, chega a dezenas de milhões de dólares. O mercado fica com sua comissão (8 a 9%), os golpistas recebem lucros exorbitantes e os usuários perdem dinheiro.

E o que a Valve faz? A Valve contabiliza os lucros por meio de seus 79 funcionários e continua fingindo que nada está acontecendo.

7. A legalização do roubo e a “lavanderia de criptomoedas” do Steam

Observe o ecossistema que eles se recusam a reconhecer. A infraestrutura para a venda de contas roubadas no Lolzteam não está escondida na dark web. Ela aceita abertamente pagamentos por meio de bots de criptomoedas (Telegram, Binance [28], Bybit [28], Gate [28]), cartões bancários russos e até mesmo PIX ou Alipay. É cobrada uma comissão em cada transação. Uma enorme quantidade de dados confidenciais, incluindo correspondências e informações pessoais de cidadãos dos EUA e da Europa, passa por esses canais.

E o que o Steam faz? Eles enviam um e-mail sobre uma alteração de credenciais. Se uma conta for roubada de uma criança (que é o público-alvo principal das indústrias de trapaças no CS:GO e no PUBG), a plataforma simplesmente fica observando enquanto um banimento VAC permanente é aplicado ao perfil. A Valve possui toda a telemetria técnica: ela detecta padrões de endereços IP, hardware e mudanças nas métricas comportamentais. Ela pode impedir o roubo em tempo real. Mas ficar de braços cruzados e esperar que a vítima crie uma nova conta e compre os jogos novamente — isso não é um acidente; é um modelo de negócios aprovado.

Aliás, o próprio mercado paralelo há muito deixou de ser um “clube de hackers independentes”. O fórum no qual essa infraestrutura se baseia é efetivamente controlado por estruturas próximas ao governo russo, com as quais o Steam aparentemente coexiste bastante confortavelmente. Cinco decisões da Roskomnadzor [23] para bloquear o recurso foram ignoradas ou contestadas com sucesso em um campo jurídico invisível — tire suas próprias conclusões.

7a. Moeda fiduciária digital: por que as skins do Steam não são itens de jogo — elas são uma rede de pagamentos não licenciada

A Valve passou anos construindo uma ficção jurídica: a de que as skins são apenas “pixels dentro do jogo”, sem valor no mundo real. Essa ficção desmorona diante da análise mais básica de como o dinheiro realmente circula por sua plataforma.

8. A Economia da Catástrofe: o Steam como alicerce do mercado negro

Você pode dizer que mercados como esse não vendem apenas Steam. É verdade — perfis do World of Tanks (~340 mil), Fortnite (~140 mil), TikTok e Discord também são negociados lá. Mas o Steam é, historicamente, a base e o principal impulsionador desse setor. Os inventários e contas da Valve geram demanda por programas de roubo de informações. Se o Steam tivesse implementado medidas rigorosas contra roubos, o desenvolvimento desses programas simplesmente se tornaria economicamente inviável.

Um detalhe importante: contas roubadas exclusivamente por meio de arquivos SSFN quase nunca são listadas no mercado. Os autenticadores móveis complicaram a apropriação total da conta. No entanto, os arquivos SSFN fornecem aos invasores uma sessão ativa, uma lista de contatos e a capacidade de enviar phishing em massa ou integrar-se a botnets. E se a conta for realmente valiosa, o suporte terceirizado do Steam entra em cena. Os fraudadores criam chaves de ativação falsas, escrevem para o suporte, e funcionários incompetentes (ou subornados) transferem o inventário valioso para um novo endereço. Isso deu origem a toda uma categoria de “Contas Recuperadas” — perfis que o suporte terceirizado da Valve efetivamente roubou e lavou para criminosos.

9. O mito da duplicação e da confiscação oculta de ativos

O Steam adora se esconder atrás do combate ao “duping” (duplicação de itens) para justificar a recusa em devolver itens roubados. Isso é uma mentira descarada. A era do “duping” terminou em 2014. Com a introdução da retenção de trocas por 7 dias em dezembro de 2015 [14] (e seu subsequente endurecimento), a logística do roubo tornou-se inteiramente linear: Vítima -> Bot do golpista (retenção de 7 dias) -> Mercado paralelo.

Onde está a duplicação nisso? Se um golpista enganou uma vítima e roubou uma skin rara, ela fica no bot. A Valve bane esse bot. E então? O item não volta para a vítima. Ele fica permanentemente congelado no inventário do bot banido. A Valve retira o item de circulação, criando uma escassez artificial de itens raros, o que eleva diretamente os preços no marketplace e aumenta a receita de comissões da empresa.

Isso não é justiça. Isso é confisco oculto. Em sistemas financeiros (como aqueles envolvendo USDT), os fundos bloqueados são devolvidos ao proprietário legítimo por meio de um mecanismo de estorno. O Steam sabe perfeitamente como funciona um estorno quando se trata de recarregar seu próprio saldo com cartões duvidosos — eles bloqueiam essas transações instantaneamente. Mas quando um usuário tem um item no valor de US$ 5.000 roubado, o Steam lava as mãos. Eles encerram os tickets, ameaçam excluir a conta e se recusam a reverter a única transação fraudulenta, provando que seu objetivo principal é se apropriar do ativo para si mesmo.

9a. Cegueira forçada: como a Valve oculta centenas de milhões em ativos confiscados

A desculpa do Steam de “combater a duplicação” não tem validade alguma. A última falha confirmada de duplicação de itens foi corrigida em 2014. Cada banimento e congelamento desde então tem funcionado como um fluxo linear de roubo — Vítima → Bot fraudulento → Mercado → Estoque congelado da Valve — sem qualquer justificativa econômica para a retenção permanente de ativos. A única beneficiária do congelamento é a própria Valve, por meio de preços elevados dos itens, comissões inflacionadas e a eliminação permanente de qualquer responsabilidade legal pelo que aconteceu com a propriedade.

10. Um campo de treinamento para golpes globais

O PhishDestroy vem rastreando golpes desde 2018. Conhecemos os meandros do sistema. O Steam se tornou a principal incubadora de cibercriminosos. Adolescentes de 14 a 19 anos que começaram com ataques primitivos de força bruta e distribuição de programas de roubo por meio de servidores falsos do TeamSpeak já cresceram. Hoje, essas mesmas pessoas usam as técnicas que aperfeiçoaram para atacar o setor da Web3 (Uniswap) [26] e redes corporativas.

A Valve criou essa geração. Sua recusa em punir, sua cegueira e sua ganância mostraram aos fraudadores menores de idade que roubar é seguro. E a terceirização em língua russa, que finge fazer justiça e aplica banimentos permanentes sem explicação (escondendo-se atrás da não divulgação dos algoritmos do VAC), apenas reforça essa impunidade.

10a. O contraste do Twitch: o que acontece quando uma plataforma realmente revida

A Valve alega que combater o phishing em grande escala é impossível. A comparação com o Twitch prova que isso é mentira.

Essa comparação destrói a última defesa que a Valve ainda poderia apresentar: que o problema é grande demais e evolui rápido demais para ser combatido em grande escala. A Twitch provou que ações determinadas e direcionadas da plataforma enfraquecem e eliminam operações sofisticadas de golpes em questão de meses. O Steam dispõe das mesmas ferramentas, de mais recursos e de interesse financeiro direto em proteger os titulares de contas — há mais de uma década. A escolha de não agir sempre foi uma escolha.

11. Prova de cegueira conveniente

Há um fato irrefutável que prova que a Valve deliberadamente encobriu os mercados negros. Durante anos — enfatizamos, anos — links diretos e abertos para perfis do Steam roubados foram publicados nas páginas de mercados paralelos. A Valve não precisava de investigações complexas. Um script de dez linhas poderia ter analisado o banco de dados do mercado uma vez por minuto e colocado uma “Red Tag” (KT) nas contas comprometidas, aguardando verificação pelo proprietário legítimo.

Isso não aconteceu. Milhões de transações ocorreram sob o manto da “cegueira conveniente”. Só recentemente os mercados começaram a usar proxies de dados (via steam-preview) para ocultar perfis de pesquisadores independentes e contornar as configurações de privacidade. Mas a história lembra de tudo. A Valve poderia ter destruído esse mercado com um único clique. Em vez disso, optou por tirar proveito dele.

12. Impressão digital: por que o uso de proxies nos mercados não salva a Valve

O mais novo mecanismo defensivo dos mercados paralelos — o uso de links de proxy por meio do Steam Preview — é utilizado pela Valve como mais uma desculpa conveniente para sua inércia. A empresa finge que agora é “mais difícil” para ela identificar perfis roubados. Isso é uma mentira absoluta. Para os sistemas de segurança da Valve, uma conta listada para venda permanece tão transparente quanto vidro.

Identificação por meio da impressão digital: o dump de pré-visualização do mercado publica abertamente as datas e valores exatos das compras (por exemplo, -2,85 EUR de 15 de junho de 2026), a data exata de registro e o saldo. No banco de dados da Valve, não existem fisicamente duas contas com histórico de transações idêntico. Uma consulta SQL simples feita pela equipe de suporte localiza esse perfil em milissegundos, mesmo que um link direto para ele esteja oculto atrás de um proxy.

Anomalias na API e Padrões de Interceptação: Para gerar uma prévia, o verificador do mercado paralelo consulta a API do Steam. Na própria conta, uma reação em cadeia característica é acionada naquele momento: alteração de e-mail, redefinição de senha, reativação do Steam Guard e uma solicitação simultânea de avaliação do inventário, tudo concentrado em poucos minutos. Tudo isso ocorre a partir de endereços IP de redes de proxies conhecidas.

13. A evolução da interceptação: do SSFN ao Pass-the-Cookie e ao JWT

O crime mais grave da Valve não é o roubo de skins. É a facilitação consciente da disseminação de software malicioso e o financiamento de botnets globais por meio de vulnerabilidades em sua própria arquitetura.

Por muito tempo, o principal vetor para a interceptação de sessões foram os arquivos SSFN [27]. Hoje, o setor evoluiu: os ataques passaram a se concentrar no sequestro de cookies de sessão da web e de tokens JWT (JSON Web Tokens) [21]. A arquitetura dos golpes ficou mais sofisticada — os invasores aprenderam a validar esses tokens localmente, sem solicitações diretas aos servidores do Steam, tornando esses ataques invisíveis aos sistemas antifraude primitivos da Valve, supondo que esses sistemas não estejam configurados para monitoramento rigoroso (e eles não estão).

A mecânica técnica funciona da seguinte maneira:

Passo 1. Infraestrutura de confiança como uma linha de montagem gratuita: como um único token roubado costuma ser insuficiente para desvincular totalmente uma conta protegida, os invasores extraem um recurso diferente da sessão obtida — a confiança. Um script obtém acesso aos chats da vítima e envia links de phishing ou instaladores de vírus para toda a lista de contatos. O Steam gentilmente fornece aos hackers sua infraestrutura P2P interna como um mecanismo perfeito e gratuito para a expansão geométrica de botnets.

Passo 2. Negligência criminosa (ignorando a UEBA): seja um SSFN desatualizado vinculado a um hardware específico ou cookies de sessão modernos — o Steam detecta 100% das anomalias. Quando um token emitido legitimamente para um PC em, digamos, Moscou, de repente inicia uma atividade a partir de um servidor dedicado na Alemanha, qualquer empresa normal (veja o Google, por exemplo) encerraria instantaneamente a sessão e emitiria um alerta vermelho: “Sessão comprometida. Seu PC está infectado com um infostealer.” O Steam não faz isso. Eles permitem que o bot vasculhe toda a lista de amigos, infectando centenas de novas máquinas.

Etapa 3. Dano global (colapso corporativo): é aqui que reside a principal ameaça para toda a internet. Como o Steam não notifica o usuário sobre a interceptação da sessão, a pessoa continua usando seu computador comprometido. Se um alerta tivesse sido emitido, ela apagaria imediatamente o sistema operacional. Mas o Steam permanece em silêncio. Essa mesma pessoa, naquele mesmo PC infectado, continua acessando a VPN corporativa, o e-mail de trabalho e as carteiras de criptomoedas.

Ao ignorar anomalias de interceptação de sessão, o Steam não está apenas permitindo o roubo de pixels dentro do jogo. Ele está ocultando do usuário o fato de que um programa de roubo de informações está em execução em seu sistema. Essa cegueira corporativa leva diretamente a violações massivas de dados corporativos e comprometimentos da infraestrutura, com prejuízos que chegam a milhões de dólares.

Etapa 4. Desmascarando a mentira: os dados dos advogados

A Valve frequentemente se esconde atrás da alegação de que supostamente “não tem capacidade técnica” para rastrear cadeias complexas de roubo, ou de que “a culpa é do usuário” pelo comprometimento. Mas o caso dos documentos indevidamente censurados de seus advogados europeus (Taylor Wessing) [9], que descobrimos, prova o contrário.

Nos dados não censurados da solicitação do GDPR [10], vimos claramente: a Valve registra absolutamente tudo. Eles coletam telemetria detalhada sobre hardware, endereços IP, históricos de troca de dispositivos e padrões de comportamento. Eles sabem no exato momento em que uma conta é invadida. Eles detectam a execução de programas de roubo de informações e de envio de spam. Eles possuem todas as ferramentas para bloqueio automático e emissão de uma “Red Tag”. Sua inação é uma escolha corporativa consciente.

Etapa 5. Motivos reais: por que isso beneficia a Valve

A mentira sobre a “impossibilidade técnica” esconde um cálculo econômico frio.

Otimização dos custos de suporte por meio de scripts: bloquear uma sessão suspeita significa receber um ticket de um usuário que precisa ser processado. É mais lucrativo simplesmente ignorar o incidente. O Steam depende de uma lógica de scripts primitiva que os golpistas conhecem perfeitamente e exploram. A equipe de suporte que trabalha com o idioma russo provavelmente analisa esses algoritmos, mas não para corrigir vulnerabilidades. A emissão de uma “Red Tag” não requer horas de trabalho humano se o algoritmo estiver configurado corretamente. Anteriormente, uma “Red Tag” podia ser removida automaticamente simulando-se a recuperação a partir de um novo IP por meio de uma VPN. Agora, os tempos de processamento dos tickets são deliberadamente prolongados para desencorajar os usuários a entrar em contato com o suporte. E a capacidade de um funcionário do suporte de encerrar unilateralmente um ticket não resolvido é o ápice do cinismo corporativo.

O ciclo do dinheiro: uma conta invadida que esgotou sua lista de amigos com spam acabará recebendo um banimento VAC ou um banimento da comunidade. A vítima (ou seus contatos enganados) cria uma nova conta e compra os mesmos jogos novamente. A empresa obtém receita dupla com um único usuário.

Simbiose com o mercado paralelo: quanto mais contas são roubadas, mais rápido giram as engrenagens do LZT Market e de outras plataformas de troca entre hackers. Essa atividade paralela, paradoxalmente, mantém o engajamento de um público enorme (especialmente em regiões onde a indústria de trapaças prospera). E qualquer transação subsequente envolvendo skins roubadas ainda rende à Valve sua porcentagem de comissão de direito.

14. Comércio de vidas: o que o Steam está realmente vendendo por US$ 2

A Valve afirma se preocupar com a privacidade. Mas o que um invasor que comprou um perfil sequestrado no mercado por alguns dólares realmente recebe? O Steam não mostra o número completo do cartão de crédito, mas entrega algo muito mais valioso para a engenharia social.

Com uma sessão ativa (SSFN, cookies ou JWT), um hacker pode obter o endereço de cobrança salvo com apenas alguns cliques — o nome, sobrenome, cidade e CEP reais da vítima. Por meio do painel de dados integrado do Steam, ele obtém acesso ao histórico de endereços IP e a links para outras plataformas (Twitch, Xbox). E se você examinar o histórico de tickets de suporte, encontrará arquivos de comprovantes bancários não censurados e fotos de chaves de ativação de discos físicos que os usuários enviaram para verificação.

Mas o aspecto mais alarmante são os registros de bate-papo. Vemos como a Valve vem armazenando cuidadosamente, há anos, arquivos não criptografados de correspondência pessoal. Nesses arquivos, adolescentes deixam links para suas contas reais nas redes sociais, compartilham seus problemas, enviam senhas de servidores locais e endereços IP residenciais. Ao se recusar a reiniciar instantaneamente sessões invadidas e ao encobrir os ladrões de informações, o Steam efetivamente expõe as histórias de vida e a segurança digital dos usuários nas vitrines dos mercados paralelos.

14a. O dossiê digital de US$ 1,60: como o Steam vende a vida das crianças para mercados paralelos

Quando a Valve fala sobre segurança de contas, ela se refere ao valor do inventário. Mas o verdadeiro preço de um perfil roubado não se mede em pixels. Para milhões de adolescentes, o Steam não é apenas uma loja — é sua principal rede social. Lá estão suas conquistas, seus segredos, seus relacionamentos e seus primeiros amores.

Quando um hacker rouba uma conta e a coloca casualmente à venda no LZT Market por 150 rublos (aproximadamente US$ 1,60), o comprador não recebe apenas acesso a jogos. Ele recebe um arquivo não criptografado da vida de uma criança.

16a. Análise industrial: o Open API da Valve como plataforma de identificação de vítimas

Como os golpistas sabiam quem atacar? Como crianças se tornaram vítimas em escala industrial? Porque a Valve deixou as portas de seu banco de dados totalmente abertas.

15. “Eficiência” construída sobre as lágrimas das crianças: o modelo de negócios da indiferença total

A Valve adora se gabar de suas análises financeiras: centenas de milhões de dólares em lucro por cada duas dúzias de funcionários da loja. Aos olhos da indústria de tecnologia, Gabe Newell costuma aparecer como um gênio da otimização. Mas vamos tirar os óculos cor-de-rosa e chamar as coisas pelos nomes: essa “eficiência” foi obtida ao preço de uma recusa absoluta e cínica em garantir a segurança de seus próprios usuários.

Ao contrário de empresas de capital aberto (como a Roblox ou a Tencent), cuja capitalização de mercado desaba instantaneamente ao menor escândalo envolvendo segurança infantil ou violações de dados, a Valve, por ser privada, não presta contas a ninguém. Ela não tem conselho administrativo. Não precisa tranquilizar investidores institucionais. Eles construíram uma verdadeira “máquina de imprimir dinheiro”, na qual a ausência de gastos com os departamentos de Confiança e Segurança e de combate à fraude se converte diretamente em bilhões para a diretoria.

O preço dessa “hiperotimização” são milhões de contas sequestradas, correspondências pessoais de adolescentes vazadas na internet, um próspero mercado paralelo e total impunidade para os golpistas. A Valve não está simplesmente “deixando de perceber” os fraudadores. É economicamente vantajoso para ela não fazer nada a respeito.

16. API do Steam: um kit de ferramentas corporativo para hackers

Vamos analisar a mentira da Valve sobre sua suposta incapacidade de controlar roubos. Se quisessem, qualquer funcionário do suporte poderia acessar um mercado negro, pegar um link para uma conta do Steam listada e verificar nos próprios logs do servidor exatamente qual chave de API e de qual endereço IP está, neste exato momento, avaliando o inventário desse perfil para gerar um dump no fórum.

A Valve veria uma rede de proxies e centenas de chaves de API. A maioria delas provavelmente foi obtida de contas roubadas anteriormente. O que a empresa deveria fazer? Revogar as chaves comprometidas. Mas o Steam não faz isso. Por quê? Possivelmente porque temem pegar serviços “legítimos” na rede — roletas, cassinos ilegais de abertura de caixas ou mercados de terceiros onde pixels são trocados por criptomoedas sem procedimentos AML. Todo esse ecossistema existe em uma zona cinzenta, gerando tráfego massivo sem ser tributado. E a Valve está totalmente de acordo com isso.

Os Termos de Serviço do Steam proíbem explicitamente qualquer automação. Surge então uma pergunta razoável: por que a API oficial do Steam contém funções que são ideais para o sequestro automatizado de contas (o que leva milissegundos) ou para a vinculação em massa de autenticadores móveis?

Por que o Steam permite que números virtuais (VoIP) de serviços de ativação por SMS sejam vinculados em massa a contas? A solução para filtrar esses números é trivial — consultas padrão ao HLR, usadas por qualquer serviço normal. Mas o Steam não faz isso. Talvez, na busca por números impressionantes de “recorde online” dos quais adoram se gabar, as fazendas de bots sejam vantajosas para eles?

Quando um usuário recebe um banimento VAC [15] por trapaça, o banimento atinge todas as contas vinculadas ao mesmo número de telefone. Mas quando centenas de contas são invadidas a partir de um conjunto específico de números de VoIP — a Valve não bane esses números. Qualquer serviço normal (Telegram, Netflix, Apple, Google) bloqueia números de telefone indesejados ou comprometidos. Mas, para a Valve, segurança é uma palavra vazia.

17. Cegueira deliberada: um escudo jurídico feito de hipocrisia

A Valve criou um ecossistema em que violar as regras (automação, uso de VPN, farming, execução de bots) é uma condição básica para a sobrevivência da plataforma. Eles entregam aos hackers um kit de ferramentas perfeito (API aberta), fecham os olhos para números virtuais, mas mantêm cuidadosamente nas regras uma proibição estrita de tudo isso.

Isso não é mera negligência. Trata-se de cegueira deliberada (Willful Blindness / Deliberate Ignorance), construída como um escudo jurídico perfeito. Quando um órgão regulador procura a Valve, advogados como Taylor Wessing [9] mostram os Termos de Serviço: “Veja, nós proibimos tudo!” E quando um adolescente roubado procura a empresa, eles usam esses mesmos Termos de Serviço para negar legalmente a ajuda e evitar perder tempo com uma investigação.

18. A simbiose entre serviços de inteligência, Steam e mercados de hackers

Vamos voltar ao LZT Market. Já estabelecemos que o Steam não se importa nem um pouco com essa plataforma. Mas há outro aspecto interessante. Ao longo de sua existência, esse fórum paralelo sobreviveu a pelo menos três mudanças na administração, que, por indicadores indiretos (mas muito óbvios), estão ligadas à redistribuição de esferas de influência entre certos escalões do poder na Federação Russa.

Durante os períodos de mudança na administração (por exemplo, na época do administrador Thomas), ocorreram expurgos radicais no fórum. Esquemas de fraude direcionados a residentes russos foram banidos (golpe do Avito, anti-cinema), o vazamento de fotos íntimas de menores acompanhadas de dados pessoais foi rigorosamente reprimido, a venda de contas do VKontakte foi completamente eliminada e, atualmente, a venda de contas do Telegram registradas com números russos é proibida. O fórum é claramente moderado para evitar críticas a cidadãos russos.

Mas a situação com o Steam é diferente. O mercado ainda vende livremente contas do Steam pertencentes a cidadãos russos que foram infectados por programas de roubo de credenciais. A descrição do anúncio afirma diretamente: origem — programa de roubo de credenciais, país — Rússia, saldo — em rublos. Isso significa que um usuário russo foi infectado por um vírus que esvaziou não apenas sua conta do Steam, mas também, muito provavelmente, suas contas de e-mail e credenciais de trabalho. E o fórum permite isso sem qualquer problema.

Surge a pergunta: será que o Steam coopera com as mesmas estruturas que supervisionam esse mercado? Ou talvez a Valve pudesse influenciar seus “parceiros” na Rússia para acabar com o duplo padrão e proibir a venda de contas roubadas pertencentes a cidadãos russos? Pois, neste momento, o Steam e o mercado paralelo estão operando em perfeita simbiose, como se tivessem copiado um do outro a política de duplo padrão e hipocrisia.

19. A anatomia do golpe: de janelas falsas a um lucro líquido de US$ 300.000 via Google Ads

Nos últimos 5 a 8 anos, o PhishDestroy analisou minuciosamente praticamente todos os esquemas de fraude no ecossistema do Steam. Vimos programas de roubo de informações que substituíam janelas de autenticação em tempo real, interceptavam mensagens SMS e esvaziavam inventários. Vimos a mecânica da substituição de ofertas de troca (golpe de API) que passou “despercebida” pela Valve por anos. Despercebida — ou lucrativa demais?

Realizamos análises contínuas dos bots das maiores redes de phishing. Aqui está um exemplo: em 2024, registramos um fluxo maciço por meio do Google Ads [29]. Os fraudadores substituíram a URL exibida nos anúncios pelos domínios originais do Steam. A compra de anúncios foi tão agressiva que superou os lances da publicidade oficial, monopolizando os primeiros resultados de busca.

Segundo nossos cálculos, em apenas alguns dias de operação contínua, o lucro líquido dos golpistas chegou a aproximadamente US$ 300.000. E isso já leva em conta o desconto na venda de skins roubadas em mercados paralelos e os pequenos banimentos meramente simbólicos que o Steam ocasionalmente aplicava. Sim, esses são números de pico impulsionados pela conjuntura econômica daquele período, mas o fato permanece: o Steam é uma fonte de renda gigantesca.

E embora o phishing se concentre quase exclusivamente em CS e Dota (em vez de outros jogos), Rocket League, Path of Exile, Rust e PUBG não devem ser esquecidos. Mas é aqui que a extorsão corporativa da Valve entra em cena: condições rigorosas de NDA (Acordo de Confidencialidade) que todos os desenvolvedores são obrigados a assinar. Um desenvolvedor não tem permissão para divulgar publicamente problemas de segurança, vazamentos de dados ou vulnerabilidades no Steam sem a aprovação por escrito da Valve. Mesmo que isso ameace diretamente seus jogadores. As bocas ficam seladas por contrato.

20. O caso BlockBlasters: um mês de cegueira e a mentira sobre um “desenvolvedor hackeado”

O caso BlockBlasters não se trata de ignorar o roubo de pixels — trata-se de ocultar crimes reais.

Lembre-se do recente incidente com o jogo BlockBlasters [5], que só recebeu atenção pública graças ao falecido streamer Raivo Plavnieks [6]. Trata-se de um ataque direcionado a influenciadores: os fraudadores entraram em contato com streamers, compraram publicidade e pediram que lançassem o jogo diretamente do Steam. A lógica das vítimas era compreensível e fatal: “É a loja oficial da Valve — não pode haver um ladrão descarado por lá.” Como estavam enganados.

O suporte do Steam começou a receber denúncias com provas irrefutáveis já em 2 de setembro. Os tickets continham reclamações sobre o ChainAbuse [7] relacionadas a criptomoedas roubadas e evidências diretas da API aberta do Telegram dos golpistas incorporada diretamente no código do jogo. O que a Valve fez? Esperou. Por um mês. Os jogos com roubadores de criptomoedas foram baixados tranquilamente da loja.

E então a empresa apresentou uma desculpa que insulta a inteligência de qualquer profissional de segurança: “A conta do desenvolvedor foi hackeada.” Vamos chamar esse conto de fadas pelo que ele realmente é — uma mentira descarada para encobrir sua própria negligência (ou cumplicidade).

Para lançar um jogo, o desenvolvedor é obrigado a passar pelo KYC do Steam Direct [22]: pagar US$ 100, fornecer seu nome verdadeiro, endereço e dados bancários e fiscais. O autor do crime não era um hacker anônimo da dark web — suas informações legais, incluindo um formulário fiscal W-8BEN [8], estavam armazenadas no banco de dados da Valve.

O mito de um “desenvolvedor hackeado que, por algum motivo, permaneceu em silêncio por 22 dias” desmorona diante da arquitetura do Steamworks. Quando um desenvolvedor legítimo perde acesso ao console do editor, ele abre um ticket relatando o roubo de credenciais. Os direitos de publicação para atualizações e compilações são congelados em questão de horas.

Restam apenas duas opções. Ou o “desenvolvedor” era, desde o início, um cúmplice dos fraudadores (o que significa que o tão alardeado KYC da Valve é uma ficção). Ou a Valve ignorou deliberadamente, durante um mês inteiro, as tentativas desesperadas do desenvolvedor e de dezenas de vítimas roubadas de entrar em contato com o suporte, enquanto um malware que roubava criptomoedas era distribuído por meio de sua loja oficial.

Em ambos os casos, a Valve está agindo não como vítima das circunstâncias, mas como cúmplice principal de um roubo digital.

21. Destruição de provas: como a Valve limpou a cena do crime

Mas a parte mais repugnante do caso BlockBlasters é o desfecho. A interferência na cena do crime digital.

Para que conste: a Valve não excluiu o jogo infectado. Nossa análise forense da infraestrutura C2 prova o contrário. Os próprios golpistas excluiram as versões maliciosas dos servidores do Steam em 21 de setembro — exatamente quando suas botnets do Telegram foram expostas publicamente e acusações criminais se tornavam uma possibilidade real. Eles aplicaram uma tática de terra arrasada para apagar seus rastros.

A declaração da Valve sobre “medidas de segurança adotadas” é pura ficção e relações públicas descaradas. Eles esperaram deliberadamente que os criminosos apagassem o malware de seus próprios servidores e só então removeram, sem pressa, a página da loja agora vazia, atribuindo o mérito a si mesmos. Isso não é resolver um problema. Isso é cumplicidade e obstrução da justiça.

A Valve não estava protegendo os usuários. Estava limpando a cena do crime para que agentes federais, munidos de um mandado judicial por distribuírem programas de roubo de informações por meio de seus próprios data centers, não aparecessem em seus escritórios.

22. A ilusão de ação: restringir limites para economizar nos custos de servidor

Quando a Valve introduz algumas restrições (por exemplo, reduzindo os limites de solicitações de amizade), usuários ingênuos pensam que isso se deve a preocupações com a segurança. Bobagem. Toda essa história sobre limites não tem a ver com o combate a golpes — trata-se, pura e simplesmente, de economia na capacidade do servidor.

Vamos relembrar o que deu início ao apocalipse do spam. Antes do surgimento do famoso script de substituição de ofertas de troca, a plataforma estava sendo abusada por automações rudimentares. Exércitos de bots com avatares femininos enviam milhares de links de phishing. Esse tráfego indesejado criou uma enorme demanda por contas sem limite. Estávamos acompanhando os mercados paralelos: devido a esse boom de spam, o preço de uma conta roubada sem limite de gastos disparou de 25 rublos para uns estáveis 150. E essa demanda insana por perfis roubados persistiu até 2024!

Você acha que o Steam reduziu o limite de convites de 100 para 30 para protegê-lo contra phishing? Pense novamente. A Valve registra tudo: cada clique, cada convite, cada solicitação cancelada. As fazendas automatizadas de golpistas estavam gerando milhões de transações vazias por dia, poluindo os bancos de dados internos do Steam e sobrecarregando a infraestrutura. E o que é mais revelador — a Valve não reduziu esses limites em contas descartáveis recém-registradas, mas em contas totalmente desenvolvidas e sem limite (incluindo aquelas com banimento VAC, já que, tecnicamente, elas contam como contas que ultrapassaram o limite de gastos). A Valve reduziu os limites exclusivamente para diminuir a carga em seus próprios servidores, não para sua segurança.

As restrições da Valve só aparecem quando é preciso proteger seus próprios servidores. Seu dinheiro não é da conta deles.

23. Os bastidores: por que os supervisores dos golpistas se beneficiam dos banimentos

Já que analisamos as equipes de golpistas por dentro, vou revelar um segredo sujo que os traficantes comuns nem sequer suspeitavam.

Em todas as equipes de golpistas (onde aos trabalhadores comuns é prometido 90 a 95% do inventário roubado), os supervisores (coordenadores de equipe) tinham um incentivo financeiro para que um banimento de trocas ou uma “Red Tag” fosse aplicado aos seus bots. Portanto, eles deliberadamente não substituíam os bots comprometidos. Se uma conta fosse banida, a participação do supervisor disparava: em vez de míseros 5% da venda de skins, eles recebiam entre 15% e 20% do preço do Steam pelo inventário (não o preço de mercado!), simplesmente vendendo contas banidas com skins valiosas para o mercado asiático. Compradores chineses as adquiriam em grandes quantidades para jogar com itens caros e cheats privados. É por isso que um grande número de contas com restrições de troca também apresenta restrições do VAC. A indústria de golpes alimentava a indústria de cheats, e o Steam ficava feliz em coletar os números de usuários online.

24. Steam Workshop: um campo de testes perfeito para golpes de API

O total desrespeito do Steam pela segurança é bem ilustrado pelo incidente do Workshop. Em determinado momento, literalmente de 2 a 5 golpistas inundaram completamente o Workshop com anúncios de phishing. Como? Eles usaram sessões da web interceptadas de usuários reais.

Isso não foi um sequestro no sentido clássico. O invasor simplesmente abriu uma sessão paralela na sua conta por meio da API do Steam, examinou o inventário, esperou você iniciar uma troca, cancelou-a instantaneamente e substituiu-a por uma oferta idêntica (com o mesmo avatar e apelido de amigo) proveniente de um bot controlado por ele. Tudo isso aconteceu dentro de uma sessão legítima de usuário, por meio de endpoints oficiais do Steam.

E o que a Valve fez quando o Workshop estava sendo inundado por phishing? Eles intervieram, é claro. Emitiram Red Tags e baniram as contas comprometidas... mas só fizeram isso depois que os inventários dessas vítimas já haviam sido completamente esvaziados.

Excelente trabalho, Steam. Obrigado por “salvar” a conta quando já não havia mais nada nela para salvar.

Ironicamente, o preço desses tokens no mercado negro despencou. Se antes um arquivo SSFN válido podia chegar a cerca de US$ 3, hoje, nesse mesmo LZT Market (onde o curador do suporte ao Steam em russo, Nikita, está registrado), a lista de preços parece uma zombaria da segurança da Valve:

“Compra e processamento de tokens do Steam (JWT). Verificação rápida com software proprietário. Preços:

CS2 Prime — US$ 0,08 (sem banimentos temporários ou permanentes)

OpenTM — US$ 0,04 (plataforma de negociação aberta)

Sua conta, seu histórico e seus dados valem 8 centavos. Isso é tudo o que você precisa saber sobre a eficácia da proteção de sessão no Steam.

A ilusão da “impossibilidade técnica”: o caso dos jogos falsos

O suporte afirma que devolver itens roubados é “tecnicamente impossível” ou “destruiria a economia”. O incidente de falsificação de jogos prova o contrário.

O esquema era descarado: os golpistas enviam jogos falsos para a Loja do Steam, criando itens com nomes e ícones copiados integralmente de skins caras do CS:GO e do Dota 2. Durante uma troca, a vítima via um Dragon Lore familiar, sem ter a menor ideia de que ele pertencia a um jogo falso. Lembramos disso perfeitamente, já que o PhishDestroy estava ativamente caçando e bloqueando esses golpistas na época.

E o que a Valve fez quando a própria base de confiança no Mercado da Comunidade foi ameaçada? Ocorreu um milagre. A empresa, que por anos se recusou a ajudar vítimas de phishing, de repente devolveu os itens reais a todos os usuários afetados. Os golpistas foram atingidos por um bombardeio tão intenso que passaram dias reclamando em fóruns clandestinos: a Valve aplicou banimentos de hardware (HWID) e baniu em massa IPs compartilhados de forma tão severa que organizações inteiras de golpistas entraram profundamente no vermelho.

Além disso, o Steam lançou uma atualização de segurança massiva em questão de dias. De repente, eles encontraram os recursos para implementar tudo: retenções de trocas, novas verificações, depósitos de desenvolvedores, alertas vermelhos em massa informando “Este jogo nunca foi jogado por você” e avisos sobre disparidades suspeitas nos valores dos itens.

Acontece que eles são capazes. Sabem perfeitamente como rastrear cadeias de transações, reverter trocas e construir uma complexa arquitetura de alertas. Mas só fazem isso quando sentem uma ameaça direta ao seu próprio modelo de negócios e à credibilidade de seu mercado. Se você for completamente despojado por um ladrão comum, receberá simplesmente uma resposta padrão informando que “a política do Steam não prevê a restauração de itens”.

79 Funcionários: Uma Arquitetura de Fósforos e Bolotas

Para compreender plenamente a “seriedade” da segurança no dia a dia da plataforma, considere o recente bug na API que permaneceu em produção por dois dias inteiros. Qualquer pessoa com um script básico poderia enviar uma solicitação simples e enviar notificações de spam diretamente para absolutamente qualquer ID do Steam, contornando completamente todas as configurações de privacidade.

Dois dias com uma falha gritante na API, permitindo que qualquer pessoa enviasse mensagens para milhões de usuários. De fato, 79 funcionários para uma plataforma global de bilhões de dólares são claramente suficientes. Por que investir em um departamento funcional de controle de qualidade e segurança quando basta redigir um Termo de Serviço que atribui toda a culpa ao usuário?

25. Infraestrutura como Serviço: Golpe como Serviço (SaaS)

Para se ter uma ideia da magnitude da comercialização gerada pela inércia da Valve, observe uma oferta típica de uma equipe moderna de phishing. Não se trata mais de adolescentes com scripts defeituosos. Trata-se de um negócio de SaaS totalmente desenvolvido, com concorrência acirrada. Enquanto bloqueávamos impiedosamente seus domínios e os forçávamos a perder dinheiro com infraestrutura, eles passaram a fornecer domínios gratuitos aos seus “colaboradores” para manter o volume:

“Nosso projeto combina 3 em 1: Phishing (os logs vão para você), MaFile (5% de comissão), Substituição (API Scam — 80% para você). Somente nós oferecemos: venda automática de logs no LZT, remoção do MaFile com um único código, navegador para substituição, domínios gratuitos e uma infinidade de modelos falsos.”

A Valve corrige apenas o que se torna incontrolável ou o que afeta localizações geográficas que ela tem receio de perturbar (EUA, Japão, Coreia do Sul). O Steam conseguia identificar o spam, detectar as contas sem limite e, às vezes, até banir domínios de phishing (geralmente quando eles já estavam inativos). Se a empresa identificava um domínio, também identificava a rede de contas que distribuía esse domínio. Considerando que as fazendas operavam por meio de proxies compartilhados baratos (usando o esquema de 1 servidor e 100 IPs para cada 1.000 contas), o bloqueio de toda a botnet poderia ter sido feito com uma única consulta SQL. Mas a Valve não fez isso.

26. Hipocrisia geopolítica: a “lavanderia” da economia do Steam

A tolerância da Valve em relação à economia cinza da CEI gerou mais um monstro — o mercado de recargas ilegais de saldo e mudança de região. Quando a Valve encerrou oficialmente as recargas diretas para a Rússia, simplesmente fechou os olhos para o florescimento de intermediários clandestinos. É muito mais conveniente assim, não é?

O serviço de “mudança de região” (para a Turquia, Cazaquistão ou Argentina) foi vendido aos milhões. Em apenas uma plataforma (como a FunPay) [24], mais de 500 mil transações foram registradas por vários grandes vendedores. E há centenas de outros bots do Telegram e fóruns. Esse setor de recargas tornou-se profundamente entrelaçado com a lavagem de dinheiro proveniente de golpes de phishing e de criptomoedas (a compra em massa de frases-semente).

Qual é a lógica da Valve? Será que eles realmente acreditam na migração em massa de milhões de adolescentes de um país sancionado? Ou será que os fundos russos, repassados por meio de um proxy do Cazaquistão e de um estoque roubado, simplesmente “cheiram diferente”? A Valve não se importa com sanções e conformidade. O principal é que uma comissão de 30% de cada transação caia de forma confiável em suas contas bancárias, enquanto advogados produzem em série cartas padronizadas sobre a “impossibilidade de intervenção técnica”.

27. Benefício corporativo e violação de seus próprios Termos de Serviço

O Steam é um ecossistema que prospera na violação total de suas próprias regras, e a Valve sabe disso perfeitamente bem. Os Termos de Serviço (ToS) afirmam claramente: é estritamente proibido obter qualquer benefício comercial na plataforma.

Agora, vamos dar uma olhada na realidade. Venda de contas roubadas, comércio de skins, fazendas de bots para farmar cartas colecionáveis, serviços de Level Up (subida de nível de perfil), venda de chaves e, é claro, serviços de recarga de saldo para regiões sancionadas. Tudo isso representa benefício comercial direto. E isso é surreal: uma plataforma que proíbe formalmente o comércio abriga setores com faturamentos multimilionários. A Valve (ou sua prestadora de serviços terceirizada em russo, confiável e protegida por acordo de confidencialidade) se distanciou de suas próprias regras, aplicando-as exclusivamente como uma ferramenta para punir aqueles que caem em desgraça ou para proteger a infraestrutura.

28. O Sindicato do Suporte: Por que a Valve cancelou as devoluções de itens

Quando a Valve justifica sua recusa em devolver itens roubados aos usuários (escondendo-se atrás do combate à inflação ou à “duplicação”), ela está mentindo descaradamente. A razão pela qual a Valve congela permanentemente os ativos de bots banidos, embolsando-os em sua conta sem fundo, não é a proteção da economia. É uma tentativa de recuperar perdas operacionais infligidas a ela por seus próprios funcionários.

Fato histórico: os agentes de suporte (incluindo trabalhadores terceirizados de baixo custo, frequentemente confundidos com voluntários) foram diretamente integrados à economia paralela do Steam. Usando seus privilégios de sistema, eles transformaram o suporte técnico em um cartel corrupto.

Duplicação industrial de itens de alto nível: os funcionários do suporte geravam em massa cópias dos itens mais caros do jogo (Dragon Lore no CS:GO, mensageiros raros do Legacy no Dota 2) sob o pretexto de “devolver itens roubados a um usuário”. Esse inventário “devolvido” era então revendido em plataformas chinesas por dinheiro real.

Venda de remoção de restrições: a equipe de suporte vendia a remoção de Red Tags (KTs) e restrições de troca dos perfis dos principais golpistas. Em troca de subornos (em criptomoedas ou skins), os fraudadores recebiam luz verde para sacar ativos no valor de dezenas de milhares de dólares.

Ao tomar conhecimento da magnitude da corrupção, a diretoria da Valve ficou furiosa. Eles aboliram permanentemente a política de devolução de itens roubados, cortando o acesso manual do suporte à geração de itens. Mas quem foi punido não foram os funcionários corruptos — foram os usuários. Crianças e jogadores em todo o mundo estão pagando com seu próprio dinheiro pelo fracasso da Valve em controlar sua própria equipe.

A síndrome do “Pequeno Tirano” e a queda da polícia voluntária

Além do suporte oficial, o Steam contava com um segundo ramo de poder — uma polícia voluntária de trocas integrada a bancos de dados como o SteamRep [12]. Eles exerciam enorme influência informal sobre a economia da plataforma e o destino dos negociantes. E acabaram se revelando tão ruins quanto a equipe terceirizada.

Os voluntários se transformaram em uma casta fechada e corrupta de “autoridades sombrias e sem rosto”. Eles sofriam da clássica síndrome do “pequeno tirano”: prejudicavam comerciantes de quem não gostavam, baneavam usuários que discutiam vulnerabilidades e concediam “isenções” a amigos.

Quando surgiram registros comprovando que os administradores do SteamRep [12] estavam aceitando subornos para remover rótulos de “golpistas” e estavam encobrindo enormes redes de bots que lavavam skins roubadas, a confiança na Valve desmoronou completamente. Em 2022, a Valve havia expulsado os últimos moderadores voluntários, substituindo-os por funcionários terceirizados que seguiam roteiros rígidos.

29. O preço da “eficiência”

A Valve se orgulha de ter o maior lucro por funcionário do setor. Mas qual é o custo desse lucro?

Essa eficiência se baseia em negar ajuda. Em ameaçar vítimas de phishing. Em encerrar tickets. Em suprimir a verdade de que o Steam não é tanto uma plataforma de jogos, mas sim uma lavanderia global de criptomoedas e um centro de distribuição para ladrões de informações.

Enquanto a diretoria da Valve se considera gênia da otimização empresarial, lutando na Justiça pelo direito de vender romances visuais adultos, sua plataforma devora diariamente os dados, o dinheiro e a segurança de usuários reais. A era da fraude já acabou há muito tempo, mas a Valve continua a usá-la como desculpa para se apropriar legalmente dos bens de usuários roubados. Não há justiça no Steam. Há apenas scripts, trabalhadores terceirizados e uma sede insaciável por lucro.

30. Hipocrisia em todos os níveis: a ética corporativa da Valve e da Taylor Wessing

Se lhe parece que estou exagerando ao mencionar a Taylor Wessing (os advogados da Valve) no contexto dos processos judiciais de assédio interno — acredite em mim, não é brincadeira. O processo judicial foi perdido, mas o ponto não é o veredicto — é a estratégia da Taylor Wessing. Eles não demonstraram profissionalismo, e sim um jogo sujo de desgaste e atrasos deliberados. Pesquise no Google por quantos anos o caso se arrastou desde o momento do incidente na estação de esqui de elite.

Mas, quando se trata da própria Valve, surgem ainda mais questionamentos sobre sua tão alardeada ética. Eles têm um “Livro de Boas-Vindas” corporativo, no qual se autodenominam uma “família”. Tudo muito acolhedor e aconchegante. Mas, quando essa “família” é abalada por um escândalo, a Valve age com a máxima crueldade. Lembre-se do assédio a um funcionário transgênero da equipe de suporte, ou da história de Jess Cliffe [13] (o cocriador do Counter-Strike, que trabalhava na Valve praticamente desde sua fundação). O homem foi expulso da empresa sem um veredicto judicial, com base apenas em acusações. A Valve, que fatura milhões encobrindo golpes, de repente ficou com medo de manchar sua reputação? A lógica é absurda: uma empresa permite que milhões de dólares sejam roubados de seus usuários, mas imediatamente se distancia da pessoa que construiu esse negócio por décadas, apenas para parecer “limpa”.

Quanto aos advogados da Taylor Wessing — sejamos honestos. Vocês se orgulham de sua “história secular”, mas no Instagram estão participando de uma corrida em apoio ao Orgulho LGBT. Decidam-se: vocês honram a história de seus fundadores nazistas que enviaram pessoas gays para campos de concentração, ou são uma empresa moderna e progressista? Isso é fraude corporativa. Vocês querem parecer uma aristocracia antiga, ao mesmo tempo em que se fundiram efetivamente ao êxtase da hipocrisia contemporânea. E sim, vocês assumiram a defesa de oligarcas russos em casos em que sua reputação gritava abertamente: “Vocês não são contratados onde há pessoas inocentes.”

31. O roteiro dos vazamentos que estão por vir: para o que a Valve deve se preparar

Este não é o primeiro nem o último artigo do PhishDestroy sobre a Valve. Não vou brincar de gato e rato com os advogados deles — o tempo deles, a julgar pelos honorários, custa entre US$ 3.000 e US$ 5.000 só para ler alguns parágrafos. Não desperdicem dinheiro; contratem uma equipe de suporte decente em vez de uma empresa terceirizada russa que lê textos pré-escritos.

Eis o que vem a seguir. Meu roteiro para as próximas investigações:

Evidências da impotência em relação ao GDPR: publicarei os originais das cartas-modelo jurídicas e dos documentos editados de forma inadequada, provando que a Valve viola sistematicamente as regulamentações e divulga dados confidenciais de usuários menores de idade. Mostrarei toda a cadeia na qual eu já era a quinta pessoa a ter obtido acesso aos dados pessoais de outra pessoa (incluindo indivíduos com passaportes russos). Essa é uma prova direta de suas mentiras sobre as condições de armazenamento e a mítica “criptografia”.

Violação do NDA e o lado sujo do Steamworks: Temos dados de pelo menos dois desenvolvedores cujos acordos de confidencialidade (NDAs) teremos o prazer de violar (nunca os assinamos). Vamos expor o caos generalizado na moderação de atualizações e nos casos envolvendo o conteúdo do locker que a Valve proíbe de ser divulgado sob ameaça de remoção do jogo.

Falhas em criptomoedas e lavagem de dinheiro: como os “gênios” da Valve perdem seus milhões: já que a Valve adora se gabar dos lucros de bilhões de dólares de seus funcionários, nós, como PhishDestroy, vamos nos aventurar no território das criptomoedas. Realizaremos uma análise financeira forense das carteiras pertencentes à equipe de suporte de elite (investidores pioneiros em Bitcoin) e mostraremos como esses “profissionais”, que geram bilhões para a Valve às custas das lágrimas de crianças roubadas, eles próprios investiram em golpes e tiveram seus endereços sinalizados com pontuações de risco AML de 100%.

O estranho amor pela Rússia e quem é “Nikita”: Vamos examinar o fenômeno da tolerância da Valve em relação à região da CEI. Como uma pessoa sem emprego formal se torna supervisor de suporte simplesmente por ter criado, certa vez, uma comunidade de fãs para o Half-Life? Exporemos as brechas e os mecanismos de contorno de sanções para desenvolvedores de um Estado terrorista, bem como as recargas diretas de saldo provenientes da DNR/LNR e da Crimeia, que vêm funcionando desde 2021 e continuam até hoje.

32. Conclusão

Não tenho vontade alguma de dedicar minha vida a escrever textos sobre o Steam. Ele é comandado por um público de crianças, golpistas e seguidores fanáticos de Putin na plataforma (na forma da terceirização russa). Os voluntários estão atolados em corrupção até o pescoço. Se Gabe Newell se considera um gênio da indústria de jogos, então talvez seja meu destino ser o desgraçado que escreve a verdade na história:

Gabe é um monopolista excessivamente mesquinho e ganancioso que legalizou o roubo de dinheiro de crianças. E os jatos particulares e férias prometidos no manual do funcionário são apenas imagens coloridas criadas para manter os trabalhadores em servidão corporativa.

Tudo isso está escrito para a história. Para o Web Archive. E para aqueles reguladores que, eventualmente, virão para desmantelar esse império de impunidade.

33. Anatomia dos Termos de Serviço: Esquizofrenia Corporativa e Cinismo Jurídico

Vamos analisar os Termos de Serviço (ToS) do Steam. Abordaremos pelo menos 25% deste documento para mostrar que não se trata de um contrato legal — é uma mentira criada para permitir que a plataforma roube crianças enquanto evita a responsabilização.

Aqui está uma citação de suas regras: “Você não pode usar nenhum script, bot, macro ou outro sistema automatizado (‘Automação’) para interagir com o Conteúdo e os Serviços no Steam...”

Analisaremos essa cláusula em detalhes na próxima parte. Spoiler: o próprio Steam criou uma API usada exclusivamente para automatizar roubos, contornar limites e gerenciar fazendas de bots. A plataforma escreveu uma regra que, ao mesmo tempo, permite que seja violada em escala industrial.

E aqui está outra pérola do cinismo corporativo: “Você reconhece que a Valve não é obrigada a notificá-lo antes de encerrar sua Assinatura e/ou Conta.”

Isso é uma mentira. De acordo com a legislação normal, não é assim que funciona. Mas a plataforma se protege de tudo. A posição da Valve soa assim: “Roubamos crianças, violamos sanções, permitimos que programas de roubo de informações infectem seus PCs, mas, se acontecer alguma coisa — a culpa é sua, e vamos encerrar sua conta sem explicação.”

Eles adoram dizer que “a comunidade decide tudo”. Mas, por alguma razão, quando se trata de responsabilidade legal, a comunidade de repente se torna um pedaço de carne sem poder algum.

33a. A ilusão do tribunal — Como a Valve se aproveita do analfabetismo tecnológico do judiciário

Sempre que órgãos reguladores ou procuradores-gerais tentam responsabilizar a Valve pelas caixas de saque e pelos jogos de azar não regulamentados, os advogados de elite da empresa recorrem ao mesmo truque. Eles entram no tribunal com uma pilha de cartões de beisebol ou um baralho de Magic: The Gathering e declaram: “Meritíssimo, nossos itens virtuais são a mesma coisa. Trata-se apenas de um colecionismo inofensivo, transferido para o mundo digital.”

Essa defesa funciona exatamente por um motivo: os advogados da Valve exploram habilmente o analfabetismo tecnológico de um judiciário envelhecido. Mas a mentira corporativa desmorona no momento em que um promotor competente muda o foco da conversa de “brinquedos” para logística financeira e infraestrutura criminosa.

34. Sanções, terrorismo e dois pesos e duas medidas

Uma pergunta engraçada para essa empresa hipócrita. As regras dizem: “Se você é um consumidor residente na Rússia, também pode buscar proteção legal nos tribunais estaduais russos locais.”

O tribunal da Crimeia anexada conta como um tribunal russo? Ou devemos esperar que a Roskomnadzor — com a qual o Steam se integra tão confortavelmente — responda?

E aqui está uma cláusula que provoca uma gargalhada: “Você concorda em cumprir todas as leis e regulamentos aplicáveis de importação/exportação. Você concorda em não exportar Conteúdo... para quaisquer países que apoiem terroristas... Você declara que não está em nenhum desses países proibidos.”

Portanto, quando a Valve aceita dinheiro diretamente de contas registradas em zonas sujeitas a sanções internacionais (e temos gigabytes de capturas de tela e provas diretas de transações da Crimeia, da DNR e da LNR que remontam a 2021) — não é a Valve que está violando as sanções. A culpa é do usuário! A plataforma editou discretamente seus Termos de Serviço nos últimos seis meses, transferindo toda a responsabilidade para os usuários.

Valve, vocês foram obrigados a remover menções aos aliados da Rússia (Cuba, Irã, Síria) e proibidos de falar mal deles, ou calcularam a escala e o valor que vinham diretamente desses lugares? Se um Estado terrorista estiver coagindo vocês a tomar qualquer medida — contem a alguém, não tenham medo. Não há necessidade de violar a legislação vigente dos EUA por causa de ameaças de que irão piratear seu conteúdo; não vale a pena correr esse risco. Eles são terroristas, e vocês são uma empresa norte-americana. Se você estiver sendo perseguido ou chantageado, entre em contato com o Escritório Regional do FBI em Seattle pelo número +1 (206) 622-0460 [16] ou com o IC3 [17]. Também estou confiante de que especialistas da CISA [18] poderiam ajudá-lo: dada a escala e o alcance de sua esfera de influência, ela é significativa até mesmo para os padrões dos EUA.

Como vocês estão removendo regras de sanções diretas e alterando o texto — isso é um sinal muito alarmante. Não estou brincando: se vocês não confiam nas agências mencionadas acima, então aqui certamente receberão ajuda no mais alto nível — no DOJ NSD [19]. Nós, por nossa parte, realizaremos análises adicionais e consultas gratuitas com determinados especialistas, e também podemos ser obrigados a relatar isso quando for apropriado (ou em nenhum lugar). Mas isso não é brincadeira alguma — é sério.

Vocês removeram países explicitamente enumerados das regras e transferiram a responsabilidade para os usuários. Ao mesmo tempo, realizam análises: há um pixel de rastreamento na página de registro, e vocês veem o número real de cliques que levam ao termo de acordo. Ninguém lê o termo de uso, porque vocês o disfarçaram de forma calculada como uma pergunta para confirmar que o usuário tem mais de 13 anos (o link para o termo de uso também está incorporado ali). A sociedade moderna — crianças e adolescentes — sofre de TDAH, e isso é um fato cientificamente comprovado: verifiquem os dados. Eles não terminam de ler o texto. Eu, por exemplo, vi a cláusula sobre ter mais de 13 anos e foi só isso — não li mais nada. Isso é manipulação direta da sua parte, assim como a reescrita do contrato em relação aos países que têm aparecido consistentemente em listas de sanções.

Sua revisão indica diretamente que a postura da sua empresa em relação a esses países (ou ao dinheiro proveniente deles) mudou. Essa é uma mudança muito estranha. O mais provável é que já exista um problema, ou que vocês estejam atendendo a determinações dos tribunais russos, e essa seja uma de suas exigências não divulgadas — como o banimento de certos usuários, etc., o que poderia minar a crença na legitimidade de seus atos terroristas no território de outro país. Ou vocês estão simplesmente se prostrando diante do governo russo, atendendo às solicitações diretas dele para banir usuários indesejáveis? Vou mostrar a vocês versões anteriores dos seus Termos de Serviço. Vocês podem alterá-los como quiserem, mas esses pedaços de papel não valem nada quando se trata da violação direta das leis dos EUA e do patrocínio a economias terroristas.

35. Chantagem e a estratégia da terra arrasada

Aviso justo com antecedência: quaisquer tentativas da Valve ou de seus cães de ataque da Taylor Wessing [9] de entrar em contato serão tratadas como pressão e obstrução da investigação.

Não tentem nos enviar um acordo de confidencialidade (NDA). O PhishDestroy não está registrado no seu monte de lixo. Não marcamos a caixa no seu acordo engenhoso (que vocês tratam exclusivamente como confirmação de que uma criança tem mais de 13 anos, para que possam roubá-la legalmente).

Se seus advogados tentarem nos acusar de “extorquir bilhões de rublos” ou de “difamar a reputação sagrada em benefício de um concorrente norte-coreano, o Steam 2.0” — boa sorte. Todas as nossas investigações, evidências e provas estão duplicadas em nós independentes (incluindo servidores em uma universidade americana) e no Web Archive. Isso não é um conflito. É uma exposição dos fatos.

36. A Fábrica de Golpes: uso fraudulento de cartões, documentação falsa e roubo de dados

Você acha que os golpes no Steam se resumem apenas a senhas roubadas? Você não tem ideia da verdadeira magnitude disso.

Documentação falsa (engenharia social): quando uma conta é roubada, o suporte exige a primeira chave de CD de 10 anos atrás. A criança não a tem. Mas o golpista de uma empresa terceirizada russa tem. Os fraudadores encomendam a fabricação de recibos e chaves falsos em fóruns clandestinos. Reunimos mais de 200 casos comprovados de falsificações bem-sucedidas que a equipe de suporte da Valve alegremente “engoliu”, entregando a conta aos criminosos.

Roubo de dados: Mais de meio milhão de contas (incluindo cidadãos da UE) passaram pelo mercado negro LZT. O Steam ocultou o fato de que seus computadores haviam sido infectados com programas de roubo de dados. A plataforma, de fato, vazou para os hackers dados pessoais, correspondências, endereços IP e informações da rede doméstica.

Carding em grande escala: Se os advogados da Valve entendessem como o carding funciona em sua plataforma, seus cabelos ficariam brancos. Emitir uma “Red Tag” por carding enquanto deixa itens comprados com cartões de crédito roubados na conta é uma prática notável de lavagem de dinheiro. Você sabe quem, na verdade, estava competindo com o príncipe da Arábia Saudita pelo nível mais alto do Compêndio no Dota 2? Vamos contar isso para você também.

36a. A máquina de jogo: como a Valve construiu o maior cassino não regulamentado para crianças do mundo

O jogo skin não é um efeito colateral do Steam. É um previsível e lucrativo consequência da arquitetura deliberada da Valve: API de negociação aberta, sem KYC, itens virtuais com valor de mercado secundário estável e total cegueira regulatória. O resultado: uma indústria anual de mais de US$ 1 bilhão onde skins CS2 infantis funcionam como fichas de cassino — sem verificação de idade, sem consentimento dos pais e sem que a Valve jamais apresente um único SAR.

A proibição do bot em 2023: não é uma punição. Um mecanismo de lucro.

Em 2023, a Valve baniu dezenas de milhares de contas de bot operadas por sites de jogos de azar – CSGOFast, CSGORoll, Stake.com (para skins) e outros. A imprensa de jogos comemorou isso enquanto a Valve “reprimia” os jogos de azar. Esta interpretação é factualmente errado.

37. Epílogo: Um campo de treinamento para o crime cibernético

Como, de acordo com a lógica perversa da Valve, itens virtuais “não têm valor real”, o roubo de skins no valor de US$ 10.000 não é considerado roubo do ponto de vista legal. Essa é uma zona cinzenta perfeita.

Mas o Steam não está simplesmente ignorando o roubo. O Steam criou toda uma geração de cibercriminosos. Os criadores atuais de programas de roubo de informações e golpistas de criptomoedas começaram roubando inventários no CS:GO. A plataforma de Gabe Newell tornou-se a principal incubadora do cibercrime global, ensinando a hackers menores de idade a regra principal: você pode roubar na internet impunemente, desde que pague a comissão da empresa.

Todos responderão por suas ações. Mesmo que se escondam atrás de Termos de Serviço que eles mesmos redigiram. Aguarde a segunda parte.

38. Sanções, censura e a síndrome de Estocolmo do Steam

A hipocrisia do Steam atinge seu ápice quando o assunto se volta para a geopolítica. Você pode rir do fato de que um monstro corporativo que gera bilhões simplesmente se confundiu em seus próprios algoritmos. Mas vamos examinar os fatos.

Em 2022, à medida que o cerco das sanções começou a se fechar, desenvolvedores da Rússia correram em massa para contornar os bloqueios. E onde encontraram os guias mais detalhados sobre como contornar as sanções internacionais do OFAC? Bem dentro do próprio Steam. Na Comunidade oficial, há instruções passo a passo sobre como usar uma VPN (o que é formalmente proibido pelos Termos de Serviço) para mudar de região e transferir dinheiro para bancos sancionados (como o Tinkoff Bank) [25].

Aqui está uma citação de um guia oficial (ou, pelo menos, moderado pela Valve) que descreve perfeitamente a posição deles: “Pedimos gentilmente que mantenham o profissionalismo e evitem comentar sobre assuntos políticos... Tais declarações serão removidas, e os infratores mais ativos perderão a possibilidade de deixar comentários...”

Traduzindo da linguagem corporativa para uma linguagem simples: a Valve proíbe chamar a guerra de guerra. A Valve proíbe chamar o país agressor de terrorista. A moderação agressiva (olá, equipe terceirizada de língua russa) elimina qualquer crítica, protegendo um público que está matando pessoas em um país vizinho de “disputas políticas”. Isso não é mera negligência. É cumplicidade na censura, motivada pelo medo de perder receita do mercado da CEI.

Convido formalmente a diretoria da Valve e seus tão alardeados advogados a virem a Mariupol ou Melitopol, para ver de quais exatamente “disputas políticas” estão protegendo tão cuidadosamente sua comunidade de língua russa.

39. Contorno de sanções como serviço da plataforma

O Steam afirma que os usuários são obrigados a cumprir as leis de exportação dos EUA. Mas, ao mesmo tempo, a plataforma serve como o principal centro de publicação de manuais sobre como contorná-las. Os guias estão no ar há anos. Mudar a região para o Cazaquistão ou a Turquia para contornar bloqueios tornou-se não apenas um fenômeno generalizado, mas um padrão do setor que a Valve aprova silenciosamente.

Por quê? Porque a política do Steam é a seguinte: “O usuário marcou a caixa afirmando que não é um terrorista e não está sujeito a sanções, portanto, não há reclamações contra nós.”

Mas vamos além. Se alguém tiver bancos de dados analíticos brutos de usuários do Steam, estamos prontos para colocá-los em prática. Encontraremos listas de contas que contornaram os bloqueios para comprar jogos de editoras que se retiraram oficialmente da Rússia (como os criadores de STALKER 2 [30] ou GTA [30]). Repassaremos esses dados diretamente a essas editoras, juntamente com a pergunta: “Vocês estão cientes de que a Steam está sabotando sua saída do mercado e fornecendo abertamente aos usuários brechas para comprar seus jogos em rublos por meio de uma cadeia de intermediários?”

Já temos contatos com pessoas de dentro da empresa, vinculadas a um acordo de confidencialidade (NDA). Sabemos de um caso em que a Valve rescindiu unilateralmente a cooperação com um desenvolvedor e simplesmente se apropriou do dinheiro dele, encobrindo o fato com um acordo de confidencialidade. Mas nós não assinamos nenhum NDA. Vamos contar tudo.

40. Para onde os reguladores dos EUA estão olhando?

A questão principal: a Valve entende o que é o OFAC [20] (o Escritório de Controle de Ativos Estrangeiros dos EUA)?

Quando uma plataforma permite a evasão em massa de sanções por meio de VPN (desde pequenas compras até saques de fundos por desenvolvedores); quando permite a lavagem de dinheiro por meio de mercados paralelos de skins enquanto faz vista grossa; quando a moderação da plataforma integra as restrições da Roskomnadzor [23] e remove postagens “indesejáveis” — isso já não se enquadra mais na jurisdição de um contrato de termos de serviço. Trata-se de uma violação direta da soberania e das leis dos EUA.

Espere por mais. O PhishDestroy não vai parar até que essa arquitetura de mentiras desmorone. Todas as provas e links estão salvos. E nenhum Taylor Wessing [9] vai nos intimidar.

For Valve, geopolitical differences are not just a matter of regional pricing (where Valve decides who is wealthier and who is "Russia"). It is also about laws, rules, and control. Here is a perfect example — the VPN geolocation is visible at the top. So the New York prosecutor simply doesn't use a VPN. But I think she could have never imagined that Valve is such a hypocritical rat, operating completely different rules and controls depending on where you are accessing the platform from.

Considerando todos esses fatores, nossa recomendação é simples: não cedam ao enquadramento jurídico do Steam. Se um usuário for realmente um terrorista, ele não tem nenhuma obrigação de testemunhar contra si mesmo. É dever legal absoluto do Steam verificar a origem desses fundos, em vez de conceder ao usuário o privilégio absurdo de autocertificar se é ou não um terrorista. Essa lógica se aplica diretamente às operações territoriais da Valve. Se a Valve de repente esqueceu como a internet funciona — e suas proibições diretas às VPNs —, vamos seguir a lógica deles: um terrorista da Crimeia, de Cuba ou da Síria entra na internet para lavar dinheiro. Esse usuário não sabe inglês e não tem a menor intenção de ler as bobagens jurídicas complicadas do contrato de usuário. Mas ele definitivamente tem mais de 13 anos (na verdade, talvez já tenha matado 13 pessoas). A plataforma realmente acha que pode transferir a responsabilidade legal para o terrorista, deixando que ele mesmo decida seu próprio status? Ao transferir essa responsabilidade, a Valve está fazendo uma declaração jurídica direta: ela reconhece automaticamente todos como “não terroristas” do seu lado. Enquanto isso, o verdadeiro terrorista, que ignora completamente o texto padrão disfarçado de uma simples verificação de idade, simplesmente lava seu dinheiro usando um guia para contornar sanções hospedado diretamente na própria plataforma comunitária do Steam. Conformidade exemplar, não é mesmo?

Vocês estão loucos? Vocês forneceram os dados pessoais de menores a uma pessoa com queixas, basicamente dizendo: “Aqui está a causa dos seus problemas, vá em frente”. Se esse indivíduo alguma vez agir com base nesses dados, o sangue derramado e a responsabilidade legal recairão inteiramente sobre a Valve e a Taylor Wessing.

O “Dead Man’s Switch” do IPFS

Temos muito mais informações do que as publicadas aqui. Se o Steam, a Taylor Wessing ou qualquer entidade afiliada tentar tomar medidas agressivas contra nosso projeto, não perderemos tempo nos tribunais. Faremos um dump completo dos dados brutos no InterPlanetary File System (IPFS).

Sim, divulgar dados sem censura terá consequências. Sim, isso significará a morte definitiva do domínio phishdestroy.io e de seu tráfego massivo. Vamos poupar tempo aos seus advogados: não nos importamos. O domínio foi criado como uma piada para zombar dos golpistas do Steam que alegavam que “nem sequer tínhamos um site”. Não buscamos reputação, não estamos tentando ser heróis corporativos e não temos medo de perder um URL.

Se o domínio for desativado, vocês encontrarão as respostas em: steamdestroy.eth

Quem somos

O PhishDestroy é uma operação antifraude sem fins lucrativos. Somos quatro — profissionais certificados em segurança cibernética atuando em vários países. Um dos nossos cinco membros originais já faleceu; é por isso que vocês nunca encontrarão todos nós.

40a. Protocolo de divulgação aberta: notificação formal à Valve Corporation

41. O Ultimato

Uma pergunta exige uma resposta pública e oficial: de acordo com os Termos de Serviço da Valve, um tribunal no território anexado da Crimeia se qualifica como “qualquer tribunal estadual russo local”? Sem uma resposta direta e pública a essa pergunta, não entre em contato conosco.

Se o que vocês querem é uma “solução pacífica”, apliquem suas próprias regras:

Bloqueiem todas as contas que já tenham usado uma VPN para acessar o Steam (vocês têm o banco de dados).

Bloqueiem todas as contas que já utilizaram automação na plataforma, incluindo o CSGOFast.

Admita que a Valve ou seus representantes realizaram um ataque cibernético contra o Source 1.

O padrão mínimo de justiça: devolva todos os ativos roubados por meio de substituição de transações (golpe de API). Comece com todas as contas que já foram listadas no Lolzteam Market. Entendemos sua arquitetura — vimos sua lógica interna de identificação de dispositivos naqueles documentos do GDPR não censurados. “Tecnicamente impossível” não é uma resposta. Se sua equipe não for capaz de fazer isso, substitua-a. O resultado não muda, independentemente do que vocês tentarem. Não temos dinheiro para confiscar, nomes para expor nem reputação corporativa para arruinar. Estamos armados apenas com a verdade.

Um Alerta Global: A Epidemia de Roubo de Informações e os Danos Colaterais Corporativos

Estou me dirigindo a todos os países do planeta Terra — exceto aos Estados terroristas, já que a Steam já se dá muito bem com eles.

Se você se importa minimamente com o fato de que uma empresa irresponsável decidiu que tem o direito de roubar a propriedade digital de seus filhos, preste muita atenção. Se você se importa com o fato de que eles deliberadamente deixam de notificar os usuários sobre dispositivos infectados — comprometendo, assim, redes corporativas críticas em todo o mundo —, então preste atenção.

Na Parte 2 de nossa investigação, apresentaremos um exemplo perfeito do que a negligência da Steam realmente gerou. Apresentaremos provas concretas de que a Steam é o principal combustível econômico da indústria global de roubo de informações. As contas da Steam são o principal alvo de busca por operadores de malware no mundo dos jogos. Sem o retorno financeiro proporcionado pelo próspero mercado paralelo da Steam, essas campanhas massivas e indiscriminadas de distribuição de malware para roubo de informações seriam simplesmente inviáveis economicamente.

Já existe um caso público registrado em que um log roubado no valor de US$ 2 resultou no bloqueio de uma empresa, no pagamento de um resgate de US$ 17 milhões e em danos totais que ultrapassaram US$ 100 milhões. Obrigado, Valve, por seu compromisso inigualável com a “segurança” global.

Não vamos ocultar essas informações. Elas chegam até nós naturalmente, e vamos publicar tudo. E que esta seja nossa declaração oficial: se, Deus nos livre, as evidências revelarem que a Valve ou seus representantes têm conduzido ataques cibernéticos direcionados contra usuários específicos para silenciá-los, a comunidade internacional não entrará nesse jogo. O resto do mundo não aceitará seus joguinhos jurídicos engraçadinhos sobre jurisdição exclusiva nos tribunais do Estado de Washington.

42. Veredicto final

De qualquer forma, o bot não está mais sob nossa gestão. Não sinto vergonha alguma e não acredito que esteja fazendo algo errado. Tenho certeza de que não temos outra escolha. A Fonte 1 se conteve a tempo, mas, no que nos diz respeito, vocês mataram as crianças cujos dados vazaram para ele. Portanto, não negociaremos. A Steam é a terrorista aqui.

Reavalie o que você fez e o que a Fonte 1 estava fazendo depois que seus advogados entregaram aqueles dados a ele. De onde veio a sua “Nikita”? E quanto aos quatro agentes de suporte externos que estão na Rússia? Tenho certeza de que você acha que este é um incidente isolado, mas sabemos de muitos dos seus casos e das suas “decisões”.

Nós não somos vocês. Não encobrimos possíveis crimes. Divulgaremos gradualmente tudo com provas e cooperaremos com qualquer órgão regulador — exceto aqueles que vocês parecem favorecer. As autoridades russas nos escrevem com frequência; geralmente mandamos elas se danarem, mas talvez comecemos a responder. Não entramos nesse jogo de respostas corporativas incompreensíveis, feitas para confundir, bem como o seu termo de uso.

Espero que nossa posição esteja absolutamente clara:

O Steam matou as crianças que vazou.

O Steam rouba crianças sob o pretexto de combater “duplicatas” que foram geradas inteiramente por sua própria equipe de suporte.

O Steam mente sobre ocultar os motivos dos banimentos sob o pretexto de “anti-cheat” estritamente porque é legalmente conveniente. (Que porra o “anti-cheat” tem a ver com um banimento da Comunidade?)

Vocês estão mesmo tão confiantes de que seus tribunais ou a Europa simplesmente vão fechar os olhos para isso? Veremos.

---

42. Conclusão

De qualquer forma, o bot não está mais sob nossa gestão. Não sinto vergonha alguma e não acredito que esteja fazendo algo errado. Tenho certeza de que não temos outra escolha. O Source 1 parou a tempo, mas, no que nos diz respeito, vocês mataram as crianças cujos dados vazaram para ele. Portanto, não negociaremos. O Steam é o terrorista aqui.

Reavaliem o que fizeram e o que a Fonte 1 estava fazendo depois que seus advogados entregaram aqueles dados a ele. De onde veio a sua “Nikita”? E quanto aos quatro agentes de suporte externos que estão na Rússia? Tenho certeza de que você acha que este é um incidente isolado, mas sabemos de muitos dos seus casos e das suas “decisões”.

Nós não somos vocês. Não encobrimos possíveis crimes. Divulgaremos gradualmente tudo com provas e cooperaremos com qualquer órgão regulador — exceto aqueles que vocês parecem favorecer. As autoridades russas nos escrevem com frequência; geralmente mandamos elas se danarem, mas talvez comecemos a responder. Não entramos nesse jogo de respostas corporativas incompreensíveis, feitas para confundir, bem como o seu termo de uso.

Espero que nossa posição esteja absolutamente clara:

O Steam matou as crianças que ele mesmo vazou.

O Steam rouba crianças sob o pretexto de combater “duplicatas” que foram geradas inteiramente por sua própria equipe de suporte.

O Steam mente sobre ocultar os motivos do banimento sob o pretexto de “anti-cheat” estritamente porque é legalmente conveniente. (Que porra o “anti-cheat” tem a ver com um banimento da Comunidade?)

Vocês estão mesmo tão confiantes de que seus tribunais ou a Europa simplesmente vão fechar os olhos? Veremos.

---

Referências e fontes

CONTEXTO ADICIONAL: ESTRUTURA REGULATÓRIA E JURÍDICA

NOTA SOBRE AS FONTES