A Ilusão do Steam: Como a Valve opera uma economia paralela, facilita o roubo de dados e ignora o direito internacional

Uma reportagem de investigação exclusiva da PhishDestroy

O projeto PhishDestroy não surgiu porque os tempos eram bons. A nossa existência não é um testemunho do sucesso do Steam, mas sim uma necessidade crítica que surgiu do desrespeito absoluto da Valve pela segurança dos utilizadores. Na verdade, a nossa luta contra o phishing interferiu diretamente com o modelo de negócio da Valve, perturbando a sua economia cuidadosamente concebida de bloqueios de contas e revenda de itens. (Publicaremos, numa data posterior, um artigo separado e detalhado que expõe os verdadeiros «valores» da empresa e a sua paródia da cibersegurança).

Há mais de uma década que a Valve Corporation se esconde por trás de uma fachada cuidadosamente construída e orientada para o consumidor. Mas, por baixo da superfície, esconde-se uma máquina corporativa cínica. Através de uma extensa investigação interna, a equipa da PhishDestroy desconstruiu as políticas que a Valve prefere manter em segredo. Esta é a anatomia de uma plataforma que atua como um sindicato financeiro não regulamentado, apazigua Estados sujeitos a sanções, abriga serviços de apoio externalizados comprometidos e trata as leis europeias como sugestões opcionais.

1. A farsa das sanções e o preconceito pró-russo

Para a Valve, os utilizadores na UE e nos EUA não passam de fontes de rendimento. Enquanto os jogadores europeus pagam o preço total, a Steam continua a oferecer descontos agressivos de 70% a 80% para o mercado russo. Um jogo na Rússia custa uma fração do que custa na Alemanha. É assim que as «sanções» internacionais se traduzem no dicionário da Valve.

A plataforma faz tudo para apaziguar e popularizar esta tendência: facilita a mudança de região, fecha os olhos à lavagem de dinheiro através de itens do jogo e afirma explicitamente nos seus Termos de Serviço que se submete à jurisdição de qualquer tribunal russo. Chega ao ponto do absurdo: nas raras ocasiões em que os servidores do Steam sofrem interrupções massivas, a primeira entidade a comentar oficialmente as falhas técnicas é frequentemente a Roskomnadzor (a agência federal russa de censura).

2. O Cartel do Apoio Externo

O mito de um «suporte técnico americano rigoroso e seguro» desmorona-se no momento em que se percebe quem detém as chaves do backend do Steam. A Valve delegou o suporte na região da CEI a uma rede subcontratada profundamente comprometida.

Conseguimos desanonimizar com sucesso segmentos desta rede. Uma figura-chave na gestão ou coordenação deste ramo de apoio é um indivíduo chamado Nikita. A nossa investigação revelou que este indivíduo (ou, no mínimo, o seu endereço de e-mail principal) está registado e ativo como utilizador em fóruns clandestinos de pirataria informática, como o Lolzteam (Zelenka) — um notório centro da darknet inteiramente dedicado à venda de cartões de crédito roubados, bases de dados comprometidas e registos de ataques de força bruta.

A Valve está plenamente ciente desta corrupção. Já reconheceu anteriormente casos em que pessoal subcontratado esvaziou sistematicamente inventários de utilizadores de elevado valor. No entanto, manter uma força de trabalho subcontratada, barata e sem responsabilização continua a ser mais lucrativo para a empresa do que contratar profissionais de cibersegurança qualificados e internos.

3. A fraude como modelo de negócio e moeda offshore

As skins do Steam tornaram-se uma moeda omnipresente e impossível de rastrear na darknet — uma espécie de «lavandaria financeira» que contorna os reguladores internacionais e as autoridades fiscais.

Para o departamento financeiro da Valve, os burlões não constituem uma ameaça; são agentes externos que estimulam a dinâmica do mercado. O modelo tradicional de «um utilizador, um jogo» gera receitas limitadas. No entanto, um ecossistema comprometido cria um ciclo altamente lucrativo: um utilizador é alvo de pirataria informática, os itens são roubados, as contas do burlão recebem uma «proibição de trocas» e a vítima é obrigada a criar um novo perfil e a readquirir os seus ativos.

Quando a Valve banir um burlão, não devolve os bens roubados ao legítimo proprietário. Congela-os permanentemente. Isto cria uma escassez artificial. A diminuição da oferta no mercado faz subir os preços dos itens restantes, o que, por sua vez, multiplica a comissão de 15% da Valve no Mercado da Comunidade. A empresa não pretende impedir as burlas; lucra com elas.

4. A violação de segurança da CEVA Logistics: prova inegável de negligência

Se acredita que a Valve protege, pelo menos, os seus dados físicos no mundo real, o recente incidente relacionado com a CEVA Logistics prova o contrário. Entre 29 de julho e 1 de agosto de 2026, os hackers invadiram o sistema do parceiro europeu da Valve responsável pela logística de hardware. A Valve só reconheceu a violação a 7 de agosto, deixando os dados dos utilizadores nas mãos de agentes maliciosos durante uma semana.

Os dados que vazaram incluem nomes reais, moradas completas, números de telefone e endereços de e-mail associados ao Steam de clientes europeus que encomendaram hardware físico. A Valve tenta tranquilizar os utilizadores afirmando que «palavras-passe e dados de pagamento» não foram divulgados. No entanto, o nome completo, a morada, o número de telefone e o e-mail do Steam constituem exatamente o conjunto de informações necessário para ataques de spear-phishing e apropriação de contas devastadoramente eficazes — uma mina de ouro para o próprio pessoal subcontratado e as redes de burla acima mencionadas. A Valve, essencialmente, entregou-lhes os seus dados.

5. Apelo à ação: A posição europeia contra a imunidade empresarial

Todos os jogadores na Europa têm de tomar consciência de uma dura realidade: estão a pagar 5 vezes mais pelos jogos do que os utilizadores na Rússia, mas os vossos direitos e leis europeias (RGPD) são completamente ignorados. Os vossos dados pessoais são divulgados a prestadores de serviços externos e os vossos pedidos de assistência são tratados por uma rede de subcontratados da CEI com uma reputação altamente questionável.

Enviamos uma saudação especial e sarcástica aos advogados da Taylor Wessing, que inevitavelmente terão de defender os interesses da Valve nos tribunais europeus. Preparem-se — defender um monopólio que desrespeita abertamente a legislação da UE está prestes a tornar-se significativamente mais difícil.

É altura de deixar de ser um patrocinador complacente. Não perdoe estas fugas de dados.

Caso se recusem, aleguem que não mantêm registos ou se escondam atrás de um acordo de confidencialidade (NDA) empresarial para proteger o seu pessoal subcontratado, encaminhe essa recusa diretamente para a sua Autoridade de Proteção de Dados (DPA). A ação judicial em massa é a única linguagem que este monopólio compreende.

Adenda do autor: O mercado por trás da plataforma

Na plataforma Steam, os preços regionais recomendados para a Rússia (e para a região da CEI no seu conjunto) são normalmente 40 a 60% inferiores ao preço base em dólares americanos. A Rússia está classificada como um «Nível 2: Mercado Emergente», o que geralmente implica um desconto de 40 a 50 % sobre o preço base. Por exemplo, um jogo indie padrão com o preço de 19,99 dólares (o que corresponderia a cerca de 1 900 rublos na conversão direta) deveria custar entre 419 e 499 rublos, de acordo com as recomendações da Valve.

É necessário indicar claramente que o serviço de apoio externalizado está localizado na Irlanda, mas é prestado por russos — e alguns dos colaboradores estão sediados diretamente na Rússia. Ah, e já agora, a CSGOFast é proprietária da popular extensão SteamInventoryHelper, que é utilizada exclusivamente para publicitar o seu casino dirigido a menores (um casino que está proibido em vários países europeus). E quem é o proprietário deste casino? Exatamente, russos, tal como a maioria dos sites semelhantes. Será que a Steam não tem conhecimento disto? Ou será que simplesmente não quer saber, tendo em conta que o volume de negócios do mercado paralelo ronda, creio eu, mil milhões de dólares?

Além disso, estimo que 40% dos burlões da CEI que atualmente operam esquemas de criptomoedas tenham dado os primeiros passos no Steam. Conheço pessoalmente pelo menos dois casos específicos de branqueamento de capitais através de skins. Não os vou detalhar aqui, mas posso fazê-lo se for necessário — apenas não publicamente, uma vez que não pretendo nomear as plataformas, etc. Mas a Steam está bem ciente disto. Ou será que esperam realmente que acreditemos que jogadores que nem sequer possuem o jogo estão simplesmente a comprar exatamente o mesmo item repetidamente apenas para «brincar» com ele? Pois, claro, é uma piada.

Uma vez que receio ser alvo de assédio sexual por parte da Taylor Wessing, não irei escrever a pedir que transmita a minha mensagem às vítimas da fuga de dados — as pessoas a quem a Valve falhou, que receberam esses e-mails de notificação. Satire / Joke

As prioridades da Steam são tão pró-russas quanto possível — tanto em termos de preços e de legislação, como na popularização de Putin, bandeiras e terroristas proibidos. Mas a Steam parece gostar disso, tal como tolera o antissemitismo, a discriminação, o assédio, a perseguição e o tráfico de drogas. Para a Steam, isto é perfeitamente aceitável, tal como os jogos para maiores de 18 anos. Aparentemente, eles apreciam isso.

Não se trata de uma disputa política de curta duração. As autoridades russas e os grupos de trabalho do setor dedicaram bem mais de um ano a desenvolver um regime de controlo dos videojogos que inclui a identificação dos jogadores através de um número de telefone russo, do portal de identidade estatal Gosuslugi ou do sistema biométrico estatal. A Steam e a GOG foram expressamente mencionadas entre as plataformas que a proposta poderia afetar, e os participantes afirmaram que o grupo de trabalho governamental subjacente já se vinha reunindo há quase um ano e meio em dezembro de 2024. A Valve não assumiu qualquer compromisso público comparável no sentido de abandonar o mercado russo em vez de ligar os seus utilizadores a esta arquitetura de identificação dirigida pelo Estado.

O contraste é escandaloso. Os principais intervenientes do setor suspenderam as vendas ou os serviços na Rússia — a Microsoft suspendeu todas as novas vendas, enquanto as plataformas de consolas e as editoras anunciaram as suas próprias retiradas —, mas a Steam optou pela continuidade. Continua a fornecer infraestruturas comerciais e sociais a um país que o Parlamento Europeu reconheceu formalmente como um Estado patrocinador do terrorismo e que recorre a meios terroristas.

Esse apoio é visível no próprio ecossistema da Valve. O Steam Community Market oficial apresenta um fundo de perfil «Putin & Trump» disponível para compra e milhares de artigos com nomes como «Putin para sempre», «Sorriso de Putin», «Putin a gostar» e «Putin zangado». A Valve não criou estas imagens, mas distribui-as, lista-as e rentabiliza-as através de um mercado operado pela própria Valve. Ao mesmo tempo, em casos documentados pela PhishDestroy, o assédio com base na nacionalidade é autorizado a permanecer visível ou é tratado como um conflito comunitário comum. A mensagem do Steam é inequívoca: a propaganda política pode ser rentabilizada, enquanto as pessoas alvo de abusos relacionados com a origem nacional são deixadas à mercê dessa situação.

A propriedade privada não constitui imunidade jurídica

A Valve é uma empresa privada e as suas ações não são negociadas em bolsa. Isso significa que a sua estrutura acionista, os seus investidores, os controlos internos e os incentivos financeiros são alvo de um escrutínio público muito menos rotineiro do que os de uma empresa cotada em bolsa. Tal não significa, contudo, que a legislação em matéria de proteção do consumidor, os deveres de segurança infantil, a legislação em matéria de proteção de dados ou as entidades reguladoras nacionais deixem de existir. Se uma plataforma não for vigiada com a devida atenção, trata-se de uma falha de supervisão — e não de uma autorização para a transformar num local onde as crianças sejam expostas a conteúdos de natureza sexual, promoção do jogo, perseguição e assédio organizado.

O próprio Acordo de Subscrição da Valve estipula que o Steam não se destina a crianças com menos de 13 anos. No entanto, isso continua a deixar um enorme público adolescente na mesma loja que vende jogos comuns ao lado de títulos explícitos para adultos e hentai. Uma data de nascimento autodeclarada, uma página de aviso e filtros de preferências não constituem uma garantia de idade significativa. O problema não é a existência de conteúdos para adultos; o problema é colocá-los dentro de uma plataforma de jogos de grande consumo utilizada por menores e, em seguida, fingir que uma barreira superficial faz com que o risco desapareça. Se Gabe Newell, a administração da Valve ou os seus prestadores de serviços de apoio pretendem uma plataforma de conteúdos para adultos, devem operá-la de forma aberta e separada, em vez de obrigar todas as editoras de jogos a partilharem uma prateleira comercial com ela.

Os detentores dos direitos devem também explicar por que razão aceitam esta proximidade. Um jogo familiar, um título infantil ou um lançamento de grande audiência pode estar a apenas uma recomendação ou resultado de pesquisa de distância de material explícito, enquanto a Valve arrecada receitas de ambos. As editoras gastam fortunas a proteger as suas marcas, mas parecem dispostas a ignorar o que rodeia essas marcas no interior do Steam. A propriedade privada não torna isto responsável, e o domínio do mercado não o torna inevitável.

Os princípios de moderação da Valve tornam-se ainda mais difíceis de defender quando comparados com a sua resposta à censura estatal russa. Em 2024, a Roskomnadzor anunciou que a Steam tinha removido todo o conteúdo exigido pela agência e que, consequentemente, 11 URLs da Steam seriam retirados do registo de informação proibida da Rússia. Em 2025, a Steam removeu conteúdo da página de um jogo destinado exclusivamente a adultos, na sequência de outra exigência da Roskomnadzor relativa à chamada «propaganda» LGBT. Trata-se de censura política aplicada até mesmo a uma obra para maiores de 18 anos, e não da proteção de uma criança que tivesse contornado um filtro etário. A Valve consegue cumprir uma lista de censura russa, mas, de alguma forma, permanece impotente quando solicitada a proteger os utilizadores contra abusos baseados na origem nacional, canais de jogo ilegal ou exposição predatória a conteúdos para adultos. Trata-se de uma escolha de prioridades, o que levanta uma questão óbvia sobre a liberdade de expressão.

A Valve também não emitiu qualquer resposta corporativa pública à invasão da Ucrânia pela Rússia comparável à das empresas que suspenderam as suas operações ou apoiaram abertamente a Ucrânia. A sua estrutura de capital privado não exige o tipo de divulgação aos investidores que se espera de uma empresa cotada em bolsa, pelo que os observadores externos não podem examinar plenamente quais os interesses que estão a ser protegidos. O que permanece visível é uma ligação extraordinária a um mercado de preços mais baixos, associado a práticas de fraude em escala industrial, jogos de azar, roubo de contas e serviços de evasão de sanções. Talvez a razão se torne mais clara se o Steam alguma vez concordar com uma ligação de identidade ao Gosuslugi.

A história da subcontratação segue o mesmo padrão de opacidade. A Valve contrata empresas, não os técnicos de apoio individuais apresentados aos utilizadores. De acordo com uma fonte primária e materiais analisados pela PhishDestroy, uma pessoa ligada ao escândalo anterior de roubo de inventário de elevado valor não desapareceu do pequeno ecossistema de subcontratantes de apoio: mudou-se para uma agência diferente. Mais tarde, alegou que não estava a trabalhar para a Steam e que não sabia que a conta estava ligada à Steam. No entanto, o rasto conduziu de volta à Irlanda, à mesma pessoa e, mais uma vez, ao Steam. Este caso deve ser investigado como uma falha na subcontratação e no controlo de acesso; não é aqui apresentado como um julgamento criminal. A Valve deve divulgar quais as agências que têm acesso aos sistemas de contas, como é que o pessoal é novamente avaliado quando muda de prestador de serviços e se um indivíduo afastado de um prestador de serviços pode simplesmente reaparecer através de outro.

O Vietname já demonstrou que o estatuto de empresa privada da Valve não a coloca acima da legislação nacional. O Steam foi bloqueado nesse país depois de as autoridades terem afirmado que a Valve não tinha cooperado. O Vietname existe. A legislação da UE existe. Todas as jurisdições onde a Valve obtém receitas existem, mesmo quando a Valve se comporta como se apenas «qualquer tribunal na Rússia» tivesse importância. E se a teoria é que o Steam pode operar onde quiser, ao abrigo de quaisquer acordos ocultos que deseje, sem qualquer responsabilização significativa, talvez devêssemos colocar diretamente a pergunta absurda: existe também um Steam especial para a Coreia do Norte que ainda ninguém revelou?

Estes são factos comprovados: a equipa de apoio é russa e esta equipa roubou ou entregou repetidamente informações a terceiros para restabelecer o acesso a contas inativas, com o objetivo de as sequestrar para obter lucro.

Por isso, estou certo de que notificá-lo sobre a fuga dos seus dados não significa absolutamente nada para eles, especialmente com um atraso tão grande (estavam, sem dúvida, à espera da resposta da Taylor Wessing; é um milagre não terem esperado três semanas).

Nunca fiz isto antes, nunca incitei nem provoquei ninguém a fazer nada, e não o faria agora. Mas esta é exatamente a situação que a Steam deseja. Consideram que a pressão aberta e a discriminação contra os utilizadores da UE são perfeitamente aceitáveis, e que a Taylor Wessing resolverá simplesmente tudo ao ameaçar abertamente as pessoas por causa de pedidos relacionados com o RGPD. Esta é a minha opinião, a minha experiência e informação proveniente de uma fonte primária na qual confio.

Seja como for, apresentar uma queixa requer apenas alguns cliques. Talvez assim a Steam aprenda finalmente a respeitar as leis estrangeiras — e não apenas as leis de «qualquer tribunal na Rússia». Talvez deixem finalmente de se fazer de ignorantes, fingindo que são completamente incapazes de bloquear domínios de autorização de sites de jogos de azar ilegais. Em vez da realidade que temos agora: todos estão coniventes — os proprietários russos de casinos infantis e a equipa de apoio que se reúne no Lolzteam a discutir como fazer ataques de força bruta a contas.

A PhishDestroy continuará a monitorizar, investigar e denunciar. A economia paralela será trazida à luz.

Estou certo de que terá uma experiência interessante ao comunicar com os representantes da Valve. Se vier a ser a Taylor Wessing, é perfeitamente normal que o tratem com desdém, façam ameaças e ganhem tempo — esse é o trabalho deles. Em geral, são conhecidos sobretudo por um processo judicial por assédio sexual contra a própria empresa, e pouco mais. Ah, certo, as empresas com dinheiro a mais contratam-nos especificamente para o esgotar, pagando-lhes uma tarifa horária exorbitante.