Ilúzia Steamu: Ako spoločnosť Valve prevádzkuje tieňovú ekonomiku, umožňuje krádež údajov a ignoruje medzinárodné právo

Exkluzívna investigatívna správa od PhishDestroy

Projekt PhishDestroy nevznikol preto, že boli dobré časy. Naša existencia nie je dôkazom úspechu služby Steam, ale kritickou nutnosťou, ktorá vznikla v dôsledku absolútneho ignorovania bezpečnosti používateľov zo strany spoločnosti Valve. Náš boj proti phishingu v skutočnosti priamo zasiahol do obchodného modelu spoločnosti Valve a narušil jej starostlivo vybudovaný systém blokovania účtov a ďalšieho predaja predmetov. (Neskôr zverejníme samostatný podrobný článok, v ktorom odhalíme skutočné „hodnoty“ spoločnosti a jej paródiu na kyberbezpečnosť).

Už viac ako desať rokov sa spoločnosť Valve Corporation skrýva za starostlivo vytvorenou, spotrebiteľsky prívetivou fasádou. Pod povrchom sa však skrýva cynický korporátny stroj. Prostredníctvom rozsiahleho interného vyšetrovania tím PhishDestroy rozobral politiky, o ktorých spoločnosť Valve radšej mlčí. Toto je analýza platformy, ktorá funguje ako neregulovaný finančný syndikát, vyhovuje sankcionovaným štátom, poskytuje útočisko kompromitovanej externé podpore a k európskym zákonom pristupuje ako k voliteľným odporúčaniam.

1. Fraška so sankciami a proruská zaujatosť

Pre spoločnosť Valve nie sú používatelia v EÚ a USA ničím iným ako dojnými kravami. Kým európski hráči platia plnú cenu, Steam na ruskom trhu naďalej ponúka agresívne zľavy vo výške 70 % až 80 %. Hra v Rusku stojí zlomok toho, čo stojí v Nemecku. Takto vyzerajú medzinárodné „sankcie“ v slovníku spoločnosti Valve.

Platforma robí všetko pre to, aby tento trend podporila a popularizovala: uľahčuje zmenu regiónu, zatvára oči pred praním špinavých peňazí prostredníctvom herných predmetov a vo svojich Podmienkach používania výslovne uvádza, že sa podriaďuje jurisdikcii akéhokoľvek ruského súdu. Situácia dosahuje až absurdné rozmery: v ojedinelých prípadoch, keď servery služby Steam zaznamenajú rozsiahle výpadky, prvou inštitúciou, ktorá sa oficiálne vyjadrí k technickým poruchám, je často Roskomnadzor (ruská federálna cenzúrna agentúra).

2. Kartel externých poskytovateľov podpory

Mýtus o „prísnej a bezpečnej americkej technickej podpore“ sa zrúti v okamihu, keď si uvedomíte, kto drží kľúče od backendu služby Steam. Spoločnosť Valve delegovala podporu v regióne Spoločenstva nezávislých štátov (CIS) na vysoko kompromitovanú externú sieť.

Podarilo sa nám odhalit identitu niektorých členov tejto siete. Kľúčovou postavou, ktorá riadi alebo spravuje túto odnož podpory, je osoba menom Nikita. Naše vyšetrovanie odhalilo, že táto osoba (alebo aspoň jej hlavná e-mailová adresa) je registrovaná a aktívna ako používateľ na podzemných hackerských fórach, ako je Lolzteam (Zelenka) – notoricky známom uzle v darknete, ktorý sa výlučne venuje predaju ukradnutých kreditných kariet, kompromitovaných databáz a záznamov o útokoch hrubou silou.

Spoločnosť Valve si túto korupciu plne uvedomuje. V minulosti už priznala prípady, keď externí zamestnanci systematicky vyprázdňovali cenné zásoby používateľov. Napriek tomu je pre ňu udržanie lacnej a nezodpovednej externej pracovnej sily stále výnosnejšie ako zamestnávanie kvalifikovaných interných odborníkov na kyberbezpečnosť.

3. Podvody ako obchodný model a offshore meny

Herné skiny zo služby Steam sa stali všadeprítomnou, nevysledovateľnou menou v rámci darknetu – finančnou práčovňou, ktorá obchádza medzinárodné regulačné orgány a daňové úrady.

Pre finančné oddelenie spoločnosti Valve nepredstavujú podvodníci hrozbu; sú to externí činitelia, ktorí stimulujú dynamiku trhu. Tradičný model „jeden používateľ, jedna hra“ prináša obmedzené príjmy. Kompromitovaný ekosystém však vytvára vysoko ziskový cyklus: používateľ je napadnutý hackermi, predmety sú ukradnuté, účty podvodníkov dostanú „zákaz obchodovania“ a obeť je nútená vytvoriť si nový profil a znovu si zakúpiť svoje aktíva.

Keď spoločnosť Valve zablokuje podvodníka, nevráti ukradnuté aktíva oprávnenému vlastníkovi. Trvalo ich zmrazí. Tým vytvára umelý nedostatok. Zníženie ponuky na trhu zvyšuje ceny zostávajúcich položiek, čo zase znásobuje 15-percentnú províziu spoločnosti Valve na komunitnom trhu. Nechcú podvodom zabrániť; z nich totiž ťažia.

4. Únik údajov v spoločnosti CEVA Logistics: Nepopierateľný dôkaz nedbanlivosti

Ak si myslíte, že spoločnosť Valve aspoň chráni vaše fyzické údaje v reálnom svete, nedávny incident týkajúci sa spoločnosti CEVA Logistics dokazuje opak. V období od 29. júla do 1. augusta 2026 hackeri napadli európskeho partnera spoločnosti Valve v oblasti hardvérovej logistiky. Spoločnosť Valve tento útok priznala až 7. augusta, čím nechala údaje používateľov v rukách zlovestných aktérov po celý týždeň.

Medzi uniknutými údajmi sa nachádzajú skutočné mená, úplné adresy bydliska, telefónne čísla a e-mailové adresy prepojené so službou Steam európskych zákazníkov, ktorí si objednali fyzický hardvér. Spoločnosť Valve sa snaží upokojiť používateľov tvrdením, že „heslá a platobné údaje“ neunikli. Avšak celé meno, adresa bydliska, telefónne číslo a e-mailová adresa prepojená so službou Steam predstavujú presný návod potrebný na mimoriadne účinný cielený phishing a prevzatie kontroly nad účtami – zlatú baňu pre spomínaných externých zamestnancov a podvodné siete. Spoločnosť Valve im v podstate vaše údaje odovzdala.

5. Výzva k akcii: Európsky postoj proti korporátnej imunitě

Každý hráč v Európe si musí uvedomiť krutú realitu: za hry platíte päťkrát viac ako používatelia v Rusku, pričom vaše európske práva a zákony (GDPR) sú úplne ignorované. Vaše osobné údaje unikajú tretím stranám a vaše žiadosti o podporu vybavuje sieť externých dodávateľov zo Spoločenstva nezávislých štátov (CIS) s veľmi pochybnou povesťou.

Osobitný, sarkastický pozdrav posielame právnikom z kancelárie Taylor Wessing, ktorí budú nevyhnutne musieť hájiť záujmy spoločnosti Valve na európskych súdoch. Pripravte sa – obhajoba monopolu, ktorý aktívne plive na právo EÚ, bude čoskoro podstatne ťažšia.

Je čas prestať byť pohodlným sponzorom. Neodpúšťajte tieto úniky údajov.

Ak odmietnu, tvrdia, že nevedú záznamy, alebo sa skrývajú za firemnú dohodu o mlčanlivosti (NDA) s cieľom chrániť svojich externých zamestnancov, toto odmietnutie priamo postúpte svojmu úradu na ochranu osobných údajov (DPA). Hromadné právne kroky sú jediným jazykom, ktorému tento monopol rozumie.

Dodatok autora: Trh za platformou

Na platforme Steam sú odporúčané regionálne ceny pre Rusko (a región Spoločenstva nezávislých štátov ako celok) zvyčajne o 40–60 % nižšie ako základná cena v amerických dolároch. Rusko je zaradené do kategórie Tier 2: rozvíjajúci sa trh, ktorý zvyčajne dostáva zľavu 40–50 % z základnej ceny. Napríklad štandardná nezávislá hra s cenou 19,99 USD (čo by pri priamom prepočte bolo približne 1 900 rubľov) by podľa odporúčaní spoločnosti Valve mala stáť približne 419–499 rubľov.

Je potrebné jasne uviesť, že externá podpora sídli v Írsku, ale jej zamestnancami sú Rusi – a niektorí z nich pôsobia priamo v Rusku. A mimochodom, spoločnosť CSGOFast vlastní populárne rozšírenie SteamInventoryHelper, ktoré slúži výlučne na propagáciu ich kasína zameraného na deti (kasína, ktoré je v niekoľkých európskych krajinách zakázané). A kto je vlastníkom tohto kasína? Presne tak, Rusi, rovnako ako väčšina podobných stránok. Nevie to Steam? Alebo to jednoducho nechcú vedieť, keď vezmeme do úvahy, že obrat na čiernom trhu sa podľa mojich odhadov pohybuje okolo jednej miliardy dolárov?

Okrem toho odhadujem, že 40 % podvodníkov z krajín SNŠ, ktorí v súčasnosti prevádzkujú kryptomenové podvody, začalo práve na Steame. Osobne poznám aspoň dva konkrétne prípady prania špinavých peňazí prostredníctvom skinov. Nebudem ich tu podrobne opisovať, ale v prípade potreby to môžem urobiť – len nie verejne, pretože nechcem menovať platformy atď. Steam si to však veľmi dobre uvedomuje. Alebo naozaj očakávajú, že uveríme, že hráči, ktorí tú hru ani nevlastnia, si kupujú ten istý predmet znova a znova len preto, aby si s ním „hrali“? Áno, jasné, to je vtip.

Keďže sa obávam sexuálneho obťažovania zo strany spoločnosti Taylor Wessing, nebudem písať a žiadať, aby ste odovzdali moju správu obetiam úniku údajov – ľuďom, ktorých spoločnosť Valve sklamala a ktorí dostali tie oznamovacie e-maily. Satire / Joke

Priority služby Steam sú maximálne proruské – a to tak z hľadiska cenotvorby a právnych aspektov, ako aj z hľadiska propagácie Putina, vlajok a zakázaných teroristov. Zdá sa však, že službe Steam sa to páči, rovnako ako toleruje antisemitizmus, diskrimináciu, obťažovanie, prenasledovanie a obchodovanie s drogami. Pre službu Steam je to úplne v poriadku, rovnako ako hry s ratingom 18+. Zrejme si to dokonca užíva.

Nejde o krátkodobý politický spor. Ruskí úradníci a pracovné skupiny z odvetvia strávili viac ako rok vypracovávaním režimu kontroly videohier, ktorý zahŕňa identifikáciu hráčov prostredníctvom ruského telefónneho čísla, štátneho identifikačného portálu Gosuslugi alebo štátneho biometrického systému. Spoločnosti Steam a GOG boli výslovne uvedené medzi platformami, ktorých by sa návrh mohol týkať, a účastníci uviedli, že príslušná vládna pracovná skupina sa do decembra 2024 stretávala už takmer rok a pol. Spoločnosť Valve sa verejne nezaviazala, že by radšej opustila ruský trh, ako by pripojila svojich používateľov k tejto štátom riadenej identifikačnej architektúre.

Kontrast je šokujúci. Hlavní hráči v odvetví pozastavili predaj alebo služby v Rusku – spoločnosť Microsoft zastavila všetky nové predaje, zatiaľ čo platformy s hernými konzolami a vydavatelia oznámili svoje vlastné stiahnutie sa z trhu – napriek tomu sa služba Steam rozhodla pre kontinuitu. Naďalej poskytuje komerčnú a sociálnu infraštruktúru krajine, ktorú Európsky parlament formálne uznal za štát podporujúci terorizmus a štát, ktorý používa teroristické prostriedky.

Táto podpora je viditeľná aj vo vnútri vlastnej ekonomiky spoločnosti Valve. Oficiálny Steam Community Market ponúka na predaj pozadie profilu s názvom „Putin & Trump“ a tisíce položiek s názvami ako „Putin navždy“, „Putinov úsmev“, „Putin lajkuje“ a „Putin sa hnevá“. Spoločnosť Valve tieto obrázky nenakreslila, ale distribuuje ich, uvádza v ponuke a zarába na nich prostredníctvom trhoviska prevádzkovaného spoločnosťou Valve. Zároveň sa v prípadoch zdokumentovaných organizáciou PhishDestroy obťažovanie na základe národnosti môže naďalej verejne zobrazovať alebo sa s ním zaobchádza ako s bežným konfliktom v komunite. Posolstvo služby Steam je jednoznačné: politická propaganda sa dá zpenaziť, zatiaľ čo ľudia, ktorí sú terčom urážok na základe národnosti, sú ponechaní na to, aby to znášali.

Súkromné vlastníctvo nie je právnou imunitou

Spoločnosť Valve je súkromná a jej akcie sa verejne neobchodujú. To znamená, že jej vlastnícka štruktúra, investori, vnútorné kontroly a finančné stimuly podliehajú oveľa menej bežnej verejnej kontrole ako v prípade kótovanej spoločnosti. Neznamená to však, že prestávajú platiť zákony na ochranu spotrebiteľa, povinnosti v oblasti bezpečnosti detí, zákony o ochrane údajov alebo pôsobnosť národných regulačných orgánov. Ak nie je platforma dostatočne dôkladne sledovaná, ide o zlyhanie dohľadu – nie o povolenie premeniť ju na miesto, kde sú deti vystavené sexuálnemu obsahu, propagácii hazardných hier, prenasledovaniu a organizovanému obťažovaniu.

Vlastná zmluva so zákazníkmi spoločnosti Valve uvádza, že služba Steam nie je určená pre deti mladšie ako 13 rokov. To však stále ponecháva obrovské publikum teenagerov na tom istom obchode, ktorý predáva bežné hry vedľa explicitných titulov pre dospelých a hentai. Vlastné uvedenie dátumu narodenia, varovná stránka a filtre preferencií nepredstavujú zmysluplné overenie veku. Problémom nie je existencia médií pre dospelých; problémom je umiestnenie týchto médií do hernej platformy pre masový trh, ktorú používajú maloletí, a následné predstieranie, že kozmetická bariéra riziko odstráni. Ak Gabe Newell, vedenie spoločnosti Valve alebo jej zmluvní partneri v oblasti podpory chcú platformu s obsahom pre dospelých, mali by ju prevádzkovať otvorene a oddelene, namiesto toho, aby nútili každého vydavateľa hier zdieľať s ňou komerčný priestor.

Držitelia práv by mali tiež vysvetliť, prečo súhlasia s týmto susedstvom. Rodinná hra, titul pre deti alebo mainstreamový titul sa môže nachádzať len jedno odporúčanie alebo jeden výsledok vyhľadávania od explicitného obsahu, pričom spoločnosť Valve zarába na oboch. Vydavatelia vynakladajú obrovské sumy na ochranu svojich značiek, no zdá sa, že sú ochotní ignorovať to, čo tieto značky obklopuje v rámci služby Steam. Súkromné vlastníctvo to nerobí zodpovedným a dominantné postavenie na trhu to nerobí nevyhnutným.

Zásady moderovania spoločnosti Valve sa dajú ešte ťažšie obhájiť v porovnaní s jej reakciou na ruskú štátnu cenzúru. V roku 2024 Roskomnadzor oznámil, že Steam odstránil všetok materiál, ktorý agentúra požadovala, a že 11 URL adries služby Steam bude následne vyradených z ruského registra zakázaných informácií. V roku 2025 Steam odstránil materiál zo stránky hry určenej výlučne pre dospelých po ďalšej požiadavke Roskomnadzoru týkajúcej sa takzvanej LGBT „propagandy“. Išlo o politickú cenzúru uplatnenú dokonca na dielo určené pre osoby staršie ako 18 rokov, nie o ochranu dieťaťa, ktoré obišlo vekové obmedzenie. Spoločnosť Valve dokáže vyhovieť ruskému zoznamu cenzúry, no akosi zostáva bezmocná, keď je požiadaná o ochranu používateľov pred urážkami na základe národnosti, nelegálnymi kanálmi na hazardné hry alebo agresívnym vystavovaním obsahu pre dospelých. Ide o voľbu priorít, ktorá vyvoláva zrejmú otázku týkajúcu sa slobody prejavu.

Spoločnosť Valve tiež nezverejnila žiadne verejné stanovisko k ruskej invázii na Ukrajinu, porovnateľné so spoločnosťami, ktoré pozastavili prevádzku alebo otvorene podporili Ukrajinu. Jej súkromná kapitálová štruktúra nevyžaduje taký druh zverejňovania informácií investorom, aký sa očakáva od verejne obchodovanej spoločnosti, takže vonkajší pozorovatelia nemôžu úplne preskúmať, čie záujmy sa chránia. Naďalej je zrejmé mimoriadne zameranie na trh s nižšími cenami, ktorý je spojený s podvodmi v priemyselnom meradle, hazardom, krádežami účtov a službami na obchádzanie sankcií. Možno sa dôvod vyjasní, ak sa Steam niekedy dohodne na prepojení s identitou Gosuslugi.

Príbeh o outsourcingu sa vyznačuje rovnakou neprehľadnosťou. Spoločnosť Valve uzatvára zmluvy so spoločnosťami, nie s jednotlivými pracovníkmi podpory, ktorých používatelia vidia. Podľa primárneho zdroja a materiálov, ktoré preskúmal PhishDestroy, osoba spojená so skorším škandálom týkajúcom sa krádeže cenného inventára nezmizla z malého ekosystému dodávateľov podpory: prešla do inej agentúry. Neskôr tvrdila, že nepracovala pre Steam a nevedela, že účet bol prepojený so Steamom. Stopa však viedla späť do Írska, k tej istej osobe a opäť k službe Steam. Tento prípad by sa mal vyšetriť ako zlyhanie outsourcingu a kontroly prístupu; nie je tu prezentovaný ako trestnoprávny rozsudok. Spoločnosť Valve by mala zverejniť, ktoré agentúry majú prístup k systémom účtov, ako sa personál opätovne preveruje pri prechode medzi dodávateľmi a či sa osoba, ktorá bola odstránená z jedného dodávateľa, môže jednoducho znovu objaviť prostredníctvom iného.

Vietnam už dokázal, že status súkromnej spoločnosti Valve ju nestavia nad vnútroštátne právo. Steam tam bol zablokovaný po tom, čo úrady uviedli, že Valve nespolupracovala. Vietnam existuje. Právo EÚ existuje. Existuje každá jurisdikcia, v ktorej spoločnosť Valve zarába peniaze, aj keď sa Valve správa tak, akoby záležalo len na „akomkoľvek súde v Rusku“. A ak platí teória, že Steam môže fungovať kdekoľvek chce, na základe akýchkoľvek skrytých dohôd, ktoré si želá, bez akejkoľvek zmysluplnej zodpovednosti, možno by sme mali priamo položiť túto absurdnú otázku: existuje aj špeciálny Steam pre Severnú Kóreu, o ktorom zatiaľ nikto neprezradil?

Toto sú overené fakty: tím technickej podpory je ruský a táto podpora opakovane kradla alebo odovzdávala informácie tretím stranám s cieľom obnoviť prístup k neaktívnym účtom, aby ich mohla prevziať a získať z toho zisk.

Som si teda istý, že upozornenie o úniku vašich údajov pre nich absolútne nič neznamená, najmä pri takom obrovskom oneskorení (na 100 % čakali na odpoveď od Taylor Wessing; je zázrak, že nečakali tri týždne).

Nikdy som to predtým nerobil, nikdy som nikoho nepodnecoval ani neprovokoval, aby niečo urobil, a nechcel by som to robiť ani teraz. Ale práve takúto situáciu si Steam želá. Myslia si, že otvorený tlak a diskriminácia voči používateľom z EÚ sú úplne v poriadku a že Taylor Wessing všetko vyrieši tým, že bude ľuďom otvorene vyhrážať v súvislosti so žiadosťami podľa GDPR. To je môj názor, moja skúsenosť a informácie z primárneho zdroja, ktorému dôverujem.

Tak či onak, podanie sťažnosti trvá len pár kliknutí. Možno sa potom Steam konečne naučí rešpektovať zahraničné zákony – a nielen zákony „akéhokoľvek súdu v Rusku“. Možno konečne prestanú hrať hlúpych a predstierať, že sú úplne neschopní blokovať autorizačné domény nelegálnych hazardných stránok. Namiesto súčasnej reality, kde sú všetci v posteli jeden s druhým – ruskí majitelia detských kasín a podporný personál, ktorý sedí na Lolzteame a diskutuje o tom, ako pomocou hrubou silou prelomiť účty.

PhishDestroy bude naďalej monitorovať, vyšetrovať a odhaľovať. Tieňová ekonomika bude vynesená na svetlo.

Som si istý, že komunikácia so zástupcami spoločnosti Valve bude pre vás zaujímavým zážitkom. Ak sa ukáže, že ide o spoločnosť Taylor Wessing, je úplne normálne, že sa k vám budú správať povýšenecky, budú vám vyhrážať a budú zdržiavať – to je ich práca. Vo všeobecnosti sú známi hlavne vďaka žalobe za sexuálne obťažovanie podanej proti ich vlastnej firme a inak ničím iným. Ach áno, spoločnosti s príliš veľkým množstvom peňazí si ich najímajú práve na to, aby vás vyčerpali, pričom im platia obrovskú hodinovú sadzbu.