Iluzia Steam: Cum Valve gestionează o economie subterană, facilitează furtul de date și ignoră dreptul internațional

Un reportaj de investigație exclusiv realizat de PhishDestroy

Proiectul PhishDestroy nu a luat naștere pentru că vremurile erau bune. Existența noastră nu este o dovadă a succesului Steam, ci o necesitate critică născută din indiferența absolută a Valve față de securitatea utilizatorilor. De fapt, lupta noastră împotriva phishingului a interferat direct cu modelul de afaceri al Valve, perturbând economia lor atent elaborată, bazată pe blocarea conturilor și revânzarea obiectelor. (Vom publica ulterior un articol separat și detaliat care va expune adevăratele „valori” ale companiei și parodia lor de securitate cibernetică).

De peste un deceniu, Valve Corporation s-a ascuns în spatele unei fațade îngrijite și prietenoase cu consumatorii. Dar sub această suprafață se ascunde o mașinărie corporativă cinică. Printr-o anchetă internă aprofundată, echipa PhishDestroy a deconstruit politicile pe care Valve preferă să le țină ascunse. Aceasta este anatomia unei platforme care acționează ca un sindicat financiar nereglementat, face pe placul statelor sancționate, adăpostește servicii de asistență externalizate compromise și tratează legile europene ca pe niște sugestii opționale.

1. Farsa sancțiunilor și părtinirea pro-rusă

Pentru Valve, utilizatorii din UE și din SUA nu sunt altceva decât „vaci de muls”. În timp ce jucătorii europeni plătesc prețul întreg, Steam continuă să ofere reduceri agresive de 70% până la 80% pentru piața rusă. Un joc în Rusia costă o fracțiune din prețul său în Germania. Așa arată „sancțiunile” internaționale în dicționarul Valve.

Platforma face totul pentru a favoriza și a populariza această direcție: facilitează schimbarea regiunii, închide ochii la spălarea de bani prin intermediul obiectelor din joc și menționează în mod explicit în Termenii și condițiile sale că se supune jurisdicției oricărei instanțe ruse. Se ajunge la absurd: în rare ocazii când serverele Steam suferă întreruperi masive, prima entitate care comentează oficial defecțiunile tehnice este adesea Roskomnadzor (agenția federală rusă de cenzură).

2. Cartelul serviciilor de asistență externalizate

Mitul unui „serviciu de asistență tehnică american strict și sigur” se prăbușește în momentul în care îți dai seama cine deține cheile sistemului backend al Steam. Valve a delegat asistența în regiunea CSI către o rețea externalizată profund compromisă.

Am reușit să dezanonimizăm segmente ale acestei rețele. O figură-cheie care gestionează sau coordonează această ramură de asistență este o persoană pe nume Nikita. Ancheta noastră a dezvăluit că această persoană (sau, cel puțin, adresa sa principală de e-mail) este înregistrată și activă ca utilizator pe forumuri clandestine de hacking precum Lolzteam (Zelenka) — un hub notoriu din darknet dedicat în întregime vânzării de carduri de credit furate, baze de date compromise și jurnale de atacuri de tip „brute-force”.

Valve este pe deplin conștientă de această corupție. Compania a recunoscut anterior existența unor precedente în care personalul externalizat a golit sistematic stocurile de mare valoare ale utilizatorilor. Cu toate acestea, menținerea unei forțe de muncă externalizate, ieftină și fără răspundere, rămâne mai profitabilă pentru ei decât angajarea unor profesioniști calificați în domeniul securității cibernetice, angajați interni.

3. Înșelăciunea ca model de afaceri și moneda offshore

Skin-urile din jocurile Steam au devenit o monedă omniprezentă și imposibil de urmărit pe darknet — o „spălătorie de bani” care ocolește autoritățile de reglementare internaționale și autoritățile fiscale.

Pentru departamentul financiar al Valve, escrocii nu reprezintă o amenințare; aceștia sunt agenți externi care stimulează dinamica pieței. Modelul tradițional de tip „un utilizator, un joc” generează venituri limitate. Cu toate acestea, un ecosistem compromis creează un cerc vicios extrem de profitabil: un utilizator este piratat, obiectele îi sunt furate, conturile escrocilor primesc o „interdicție de tranzacționare”, iar victima este forțată să-și creeze un nou profil și să-și recumpere bunurile.

Atunci când Valve blochează un escroc, nu restituie bunurile furate proprietarului de drept. Le îngheață definitiv. Acest lucru creează o penurie artificială. Scăderea ofertei de pe piață determină creșterea prețurilor articolelor rămase, ceea ce, la rândul său, multiplică comisionul de 15% al Valve pe Community Market. Ei nu doresc să oprească escrocheriile; ci profită de pe urma lor.

4. Breșa de securitate de la CEVA Logistics: dovadă incontestabilă de neglijență

Dacă credeți că Valve vă protejează măcar datele fizice, din lumea reală, incidentul recent legat de CEVA Logistics dovedește contrariul. Între 29 iulie și 1 august 2026, hackerii au pătruns în sistemul partenerului european al Valve pentru logistica hardware. Valve a recunoscut breșa de securitate abia pe 7 august, lăsând datele utilizatorilor în mâinile unor actori rău intenționați timp de o săptămână.

Datele scurse includ numele reale, adresele complete de domiciliu, numerele de telefon și adresele de e-mail asociate conturilor Steam ale clienților europeni care au comandat echipamente fizice. Valve încearcă să liniștească utilizatorii afirmând că „parolele și datele de plată” nu au fost divulgate. Însă numele complet, adresa de domiciliu, numărul de telefon și adresa de e-mail de pe Steam constituie exact informațiile necesare pentru atacuri de spear-phishing extrem de eficiente și preluarea controlului asupra conturilor — o mină de aur pentru personalul externalizat și rețelele de escroci menționate mai sus. Practic, Valve le-a predat datele voastre.

5. Apel la acțiune: Poziția europeană împotriva imunității corporative

Fiecare jucător din Europa trebuie să conștientizeze o realitate dură: plătiți de 5 ori mai mult pentru jocuri decât utilizatorii din Rusia, însă drepturile și legile voastre europene (GDPR) sunt complet ignorate. Datele voastre personale sunt divulgate către contractanți terți, iar solicitările voastre de asistență sunt gestionate de o rețea de subcontractanți din CSI cu o reputație extrem de discutabilă.

Adresăm un salut special, sarcastic, avocaților de la Taylor Wessing, care vor fi nevoiți, inevitabil, să apere interesele Valve în instanțele europene. Pregătiți-vă — apărarea unui monopol care încalcă în mod activ legislația UE este pe cale să devină mult mai dificilă.

Este timpul să încetați să mai fiți un sponsor de conveniență. Nu iertați aceste scurgeri de date.

Dacă refuză, susțin că nu păstrează jurnale de activitate sau se ascund în spatele unui acord de confidențialitate (NDA) corporativ pentru a-și proteja personalul externalizat, transmiteți acest refuz direct autorității dvs. de protecție a datelor (DPA). Acțiunea juridică în masă este singurul limbaj pe care îl înțelege acest monopol.

Anexa autorului: Piața din spatele platformei

Pe platforma Steam, prețurile regionale recomandate pentru Rusia (și pentru regiunea CSI în ansamblu) sunt, de obicei, cu 40–60% mai mici decât prețul de bază în dolari americani. Rusia este clasificată ca piață emergentă de nivel 2 (Tier 2), care beneficiază, în general, de o reducere de 40–50% față de prețul de bază. De exemplu, un joc indie standard cu prețul de 19,99 dolari (care ar fi de aproximativ 1.900 de ruble la conversia directă) ar trebui să coste între 419 și 499 de ruble, conform recomandărilor Valve.

Trebuie precizat clar că serviciul de asistență externalizat are sediul în Irlanda, dar personalul este format din ruși — iar o parte dintre angajați își desfășoară activitatea direct din Rusia. Ah, și apropo, CSGOFast deține populara extensie SteamInventoryHelper, care este folosită exclusiv pentru a promova cazinoul lor destinat copiilor (un cazinou interzis în mai multe țări europene). Și cine deține acest cazinou? Exact, rușii, la fel ca majoritatea site-urilor similare. Oare Steam nu știe acest lucru? Sau pur și simplu nu vor să știe, având în vedere că cifra de afaceri a pieței negre se ridică, cred, la aproximativ un miliard de dolari.

În plus, estimez că 40% dintre escrocii din CSI care desfășoară în prezent escrocherii cu criptomonede și-au început activitatea pe Steam. Cunosc personal cel puțin două cazuri concrete de spălare de bani prin intermediul skin-urilor. Nu le voi detalia aici, dar pot să o fac dacă este necesar — doar că nu în mod public, deoarece nu doresc să numesc platformele etc. Dar Steam este perfect conștient de acest lucru. Sau chiar se așteaptă ca noi să credem că jucătorii care nici măcar nu dețin jocul cumpără exact același obiect iar și iar doar pentru a se „juca” cu el? Da, sigur, e o glumă.

Deoarece mă tem de hărțuirea sexuală din partea firmei Taylor Wessing, nu voi scrie și nu voi cere să se transmită mesajul meu victimelor scurgerii de date — persoanele pe care Valve le-a dezamăgit, care au primit acele e-mailuri de notificare. Satire / Joke

Prioritățile Steam sunt cât se poate de pro-ruse – atât în ceea ce privește prețurile și aspectele juridice, cât și în ceea ce privește popularizarea lui Putin, a steagurilor și a teroriștilor interziși. Dar Steam pare să aprecieze acest lucru, la fel cum tolerează antisemitismul, discriminarea, hărțuirea, urmărirea obsesivă și traficul de droguri. Pentru Steam, acest lucru este perfect acceptabil, la fel ca jocurile pentru persoane peste 18 ani. Se pare că chiar le place.

Nu este vorba de o dispută politică de scurtă durată. Oficialii ruși și grupurile de lucru din industrie au petrecut mai bine de un an elaborând un regim de control al jocurilor video care include identificarea jucătorilor prin intermediul unui număr de telefon rus, al portalului de identitate de stat Gosuslugi sau al sistemului biometric de stat. Steam și GOG au fost menționate în mod expres printre platformele pe care propunerea le-ar putea afecta, iar participanții au afirmat că grupul de lucru guvernamental de la bază se întâlnea deja de aproape un an și jumătate până în decembrie 2024. Valve nu și-a asumat public un angajament comparabil prin care să declare că ar părăsi piața rusă în locul conectării utilizatorilor săi la această arhitectură de identitate dirijată de stat.

Contrastul este scandalos. Marii actori ai industriei și-au suspendat vânzările sau serviciile în Rusia — Microsoft a oprit toate vânzările noi, în timp ce platformele de console și editorii și-au anunțat propriile retrageri — însă Steam a ales continuitatea. Acesta continuă să ofere infrastructură comercială și socială unei țări pe care Parlamentul European a recunoscut-o oficial ca stat care sponsorizează terorismul și ca stat care recurge la mijloace teroriste.

Acest sprijin este vizibil chiar în cadrul economiei proprii a Valve. Magazinul oficial Steam Community Market listează un fundal de profil „Putin & Trump” disponibil spre vânzare și mii de articole denumite „Putin forever”, „Putin smile”, „Putin like” și „Putin angry”. Valve nu a creat aceste imagini, dar le distribuie, le listează și le monetizează prin intermediul unei piețe operate de Valve. În același timp, în cazurile documentate de PhishDestroy, hărțuirea bazată pe naționalitate este lăsată să rămână vizibilă sau este tratată ca un conflict obișnuit în cadrul comunității. Mesajul Steam este fără echivoc: propaganda politică poate fi monetizată, în timp ce persoanele vizate de abuzuri legate de originea națională sunt lăsate să suporte acest lucru.

Proprietatea privată nu înseamnă imunitate juridică

Valve este o societate privată, iar acțiunile sale nu sunt tranzacționate public. Aceasta înseamnă că structura sa de proprietate, investitorii, controalele interne și stimulentele financiare sunt supuse unui control public mult mai redus decât în cazul unei societăți cotate la bursă. Aceasta nu înseamnă însă că legislația privind protecția consumatorilor, obligațiile privind siguranța copiilor, legislația privind protecția datelor sau autoritățile naționale de reglementare încetează să existe. Dacă o platformă nu este supravegheată îndeajuns de atent, aceasta reprezintă o deficiență a supravegherii — nu o permisiune de a o transforma într-un loc în care copiii sunt expuși la conținut sexual, promovarea jocurilor de noroc, urmărirea obsesivă și hărțuirea organizată.

Propriul Acord de abonament al Valve precizează că Steam nu este destinat copiilor sub 13 ani. Cu toate acestea, rămâne un public enorm de adolescenți pe aceeași platformă de vânzare care comercializează jocuri obișnuite alături de titluri explicite pentru adulți și hentai. O dată de naștere autodeclarată, o pagină de avertizare și filtrele de preferințe nu constituie o verificare semnificativă a vârstei. Problema nu este existența conținutului pentru adulți; problema este plasarea acestuia în cadrul unei platforme de jocuri destinate pieței de masă, utilizată de minori, și apoi prefacerea că o barieră de acces superficială face ca riscul să dispară. Dacă Gabe Newell, conducerea Valve sau contractanții săi de asistență doresc o platformă cu conținut pentru adulți, ar trebui să o opereze în mod deschis și separat, în loc să oblige fiecare editor de jocuri să împartă același spațiu comercial cu aceasta.

Deținătorii de drepturi ar trebui, de asemenea, să explice de ce acceptă această vecinătate. Un joc pentru familie, un titlu pentru copii sau o lansare destinată publicului larg poate fi afișat la doar o recomandare sau un rezultat de căutare distanță de conținut explicit, în timp ce Valve încasează bani din ambele. Editorii cheltuiesc averi pentru a-și proteja mărcile, dar par dispuși să ignore ceea ce înconjoară aceste mărci în cadrul Steam. Faptul că este o companie privată nu face ca acest lucru să fie responsabil, iar poziția dominantă pe piață nu îl face inevitabil.

Principiile de moderare ale Valve devin și mai greu de apărat atunci când sunt comparate cu reacția sa la cenzura statului rus. În 2024, Roskomnadzor a anunțat că Steam a eliminat toate materialele solicitate de agenție și că, în consecință, 11 adrese URL ale Steam vor fi eliminate din registrul rus al informațiilor interzise. În 2025, Steam a eliminat materialul de pe pagina unui joc destinat exclusiv adulților, în urma unei alte solicitări din partea Roskomnadzor privind așa-numita „propagandă” LGBT. Aceasta a fost cenzură politică aplicată chiar și unei opere destinate persoanelor de peste 18 ani, nu protecția unui copil care a ocolit limitarea de vârstă. Valve poate respecta o listă de cenzură rusă, dar rămâne cumva neputincioasă atunci când i se cere să protejeze utilizatorii de abuzuri pe criteriul originii naționale, de canalele ilegale de jocuri de noroc sau de expunerea abuzivă la conținut pentru adulți. Aceasta este o alegere de priorități și ridică o întrebare evidentă privind libertatea de exprimare.

De asemenea, Valve nu a emis niciun răspuns public la invazia Rusiei în Ucraina, comparabil cu cel al companiilor care și-au suspendat operațiunile sau au susținut deschis Ucraina. Structura sa de capital privat nu impune genul de transparență față de investitori așteptată de la o companie publică, astfel încât persoanele din afară nu pot examina pe deplin interesele cui sunt protejate. Ceea ce rămâne vizibil este o atașare extraordinară față de o piață cu prețuri mai mici, asociată cu înșelăciuni la scară industrială, jocuri de noroc, furtul de conturi și servicii de eludare a sancțiunilor. Poate că motivul va deveni mai clar dacă Steam va accepta vreodată o conectare prin identitatea Gosuslugi.

Povestea externalizării urmează același model de opacitate. Valve încheie contracte cu companii, nu cu angajații individuali din asistență prezentați utilizatorilor. Conform unei surse primare și a materialelor analizate de PhishDestroy, o persoană implicată în scandalul anterior privind furtul de bunuri de mare valoare nu a dispărut din micul ecosistem al furnizorilor de servicii de asistență: s-a mutat la o altă agenție. Ulterior, acesta a susținut că nu lucra pentru Steam și că nu știa că contul era conectat la Steam. Cu toate acestea, urmele au condus înapoi în Irlanda, la aceeași persoană și din nou la Steam. Acest caz ar trebui investigat ca o eșec al externalizării și al controlului accesului; el nu este prezentat aici ca o condamnare penală. Valve ar trebui să dezvăluie care agenții au acces la sistemele de conturi, cum este reevaluat personalul atunci când se mută de la un furnizor la altul și dacă o persoană îndepărtată de la un contractor poate reapărea pur și simplu prin intermediul altuia.

Vietnamul a demonstrat deja că statutul de societate privată al Valve nu o plasează deasupra legislației naționale. Steam a fost blocat acolo după ce autoritățile au afirmat că Valve nu a cooperat. Vietnamul există. Legislația UE există. Fiecare jurisdicție din care Valve obține venituri există, chiar și atunci când Valve se comportă de parcă ar conta doar „orice instanță din Rusia”. Și dacă teoria este că Steam poate funcționa oriunde dorește, în baza oricăror acorduri ascunse pe care le dorește, fără nicio responsabilitate semnificativă, poate ar trebui să punem direct întrebarea absurdă: există oare și un Steam special pentru Coreea de Nord, pe care nimeni nu l-a dezvăluit încă?

Acestea sunt fapte dovedite: echipa de asistență este rusă, iar această echipă a furat sau a predat în repetate rânduri informații către terți pentru a restabili accesul la conturi inactive, cu scopul de a le deturna în scopul obținerii de profit.

Așadar, sunt convins că faptul de a vă informa cu privire la scurgerea datelor dumneavoastră nu înseamnă absolut nimic pentru ei, mai ales având în vedere o întârziere atât de mare (așteptau 100% răspunsul firmei Taylor Wessing; e un miracol că nu au așteptat trei săptămâni).

Nu am mai făcut asta niciodată, nu am incitat sau provocat pe nimeni să facă ceva și nu aș vrea să o fac nici acum. Dar aceasta este exact situația pe care o dorește Steam. Ei consideră că presiunea deschisă și discriminarea împotriva utilizatorilor din UE sunt perfect acceptabile și că Taylor Wessing va rezolva pur și simplu totul amenințând în mod deschis oamenii în legătură cu solicitările privind GDPR. Aceasta este părerea mea, experiența mea și informațiile provenite dintr-o sursă primară în care am încredere.

În orice caz, depunerea unei plângeri necesită doar câteva clicuri. Poate că atunci Steam va învăța în sfârșit să respecte legile străine — și nu doar legile „oricărei instanțe din Rusia”. Poate că vor înceta în sfârșit să se prefacă că nu știu nimic, pretinzând că sunt complet incapabili să blocheze domeniile de autorizare pentru site-urile de jocuri de noroc ilegale. În loc de realitatea pe care o avem acum: toată lumea este în cârdășie — proprietarii ruși ai cazinourilor pentru copii și personalul de suport care stă pe Lolzteam discutând cum să spargă conturile prin forță brută.

PhishDestroy va continua să monitorizeze, să investigheze și să dezvăluie. Economia subterană va fi adusă la lumină.

Sunt sigur că vei avea o experiență interesantă comunicând cu reprezentanții Valve. Dacă se dovedește a fi vorba de Taylor Wessing, este absolut normal ca aceștia să-ți vorbească de sus, să te amenințe și să tragă de timp — asta este meseria lor. În general, sunt cunoscuți mai ales pentru un proces de hărțuire sexuală intentat împotriva propriei firme și cam atât. Ah, da, companiile cu bani mult prea mulți îi angajează special pentru a te epuiza, plătindu-le în același timp un tarif orar uriaș.