Iluzija Steama: Kako Valve vodi sivo gospodarstvo, omogoča krajo podatkov in ignorira mednarodno pravo

Ekskluzivno preiskovalno poročilo avtorja PhishDestroy

Projekt PhishDestroy ni nastal zato, ker so bili časi dobri. Naš obstoj ni dokaz uspeha Steama, temveč nujna potreba, ki izhaja iz Valveovega popolnega preziranja varnosti uporabnikov. Dejansko je naš boj proti lažnemu ribarjenju neposredno posegel v Valveov poslovni model in motil njihovo skrbno oblikovano ekonomijo blokiranja računov in ponovne prodaje predmetov. (Kasneje bomo objavili ločen, podrobnejši članek, ki bo razkril prave »vrednote« podjetja in njihovo parodijo kibernetske varnosti).

Že več kot desetletje se družba Valve Corporation skriva za skrbno oblikovano, potrošniku prijazno fasado. A pod površino se skriva cinični korporativni stroj. S pomočjo obsežne notranje preiskave je ekipa PhishDestroy razkrila politike, o katerih Valve raje molči. To je anatomija platforme, ki deluje kot nereguliran finančni sindikat, ugoduje državam, proti katerim so uvedene sankcije, ščiti kompromitirano zunanjo podporo in evropske zakone obravnava kot neobvezne predloge.

1. Farsa sankcij in proruska pristranskost

Za podjetje Valve so uporabniki v EU in ZDA nič drugega kot krave za mleko. Medtem ko evropski igralci plačujejo polno ceno, Steam na ruskem trgu še naprej ponuja agresivne popuste v višini od 70 % do 80 %. Igra v Rusiji stane le delček tega, kar stane v Nemčiji. Tako izgledajo mednarodne »sankcije« v Valveovem slovarju.

Platforma stori vse, da bi pomirila in popularizirala ta vektor: omogoča menjavo regij, si zatiska oči pred pranjem denarja prek predmetov v igrah ter v svojih Pogojih uporabe izrecno navaja, da se podreja pristojnosti katerega koli ruskega sodišča. To doseže raven absurdnosti: v redkih primerih, ko strežniki Steama doživijo obsežne izpade, je pogosto prav Roskomnadzor (ruska zvezna agencija za cenzuro) tista, ki prva uradno komentira tehnične napake.

2. Kartel zunanjih ponudnikov podpore

Mit o »strogi in varni ameriški tehnični podpori« se sesuje v trenutku, ko ugotovite, kdo drži ključe do ozadja platforme Steam. Podjetje Valve je podporo v regiji Skupnosti neodvisnih držav (CIS) preneslo na zunanjo mrežo, ki je močno ogrožena.

Uspešno smo razkrili identiteto nekaterih članov te mreže. Ključna oseba, ki vodi ali skrbi za to podporno vejo, je posameznik po imenu Nikita. Naša preiskava je razkrila, da je ta posameznik (ali vsaj njegov glavni e-poštni naslov) registriran in aktiven kot uporabnik na podzemnih hekerskih forumih, kot je Lolzteam (Zelenka) – zloglasno središče v darknetu, ki je v celoti posvečeno prodaji ukradenih kreditnih kartic, ogroženih podatkovnih baz in dnevnikov brute-force napadov.

Podjetje Valve se te korupcije v celoti zaveda. Že prej so priznali primere, v katerih je zunanje osebje sistematično izčrpavalo dragocene zaloge uporabnikov. Kljub temu jim ohranjanje poceni in neodgovornega zunanjega osebja ostaja donosnejše kot zaposlovanje usposobljenih notranjih strokovnjakov za kibernetsko varnost.

3. Prevara kot poslovni model in offshore valute

Skinovi v igrah na platformi Steam so postali vsesplošna, nesledljiva valuta v temnem spletu – finančna pralnica, ki se izogiba mednarodnim regulatorjem in davčnim organom.

Za finančni oddelek podjetja Valve prevaranti niso grožnja; so zunanji akterji, ki spodbujajo hitrost trga. Tradicionalni model »en uporabnik, ena igra« prinaša omejene prihodke. Vendar pa ogrožen ekosistem ustvarja zelo donosen krog: uporabnik je žrtev hekerskega napada, predmeti so ukradeni, računi prevarantov prejmejo »prepoved trgovanja«, žrtev pa je prisiljena ustvariti nov profil in ponovno kupiti svoja sredstva.

Ko Valve blokira prevaranta, ukradenega premoženja ne vrne pravemu lastniku. Namesto tega ga trajno zamrzne. S tem ustvarja umetno pomanjkanje. Zmanjšanje ponudbe na trgu povzroči dvig cen preostalih predmetov, kar posledično pomnoži Valveovo 15-odstotno provizijo na Community Marketu. Ne želijo ustaviti prevar; iz njih namreč ustvarjajo dobiček.

4. Kršitev varnosti pri podjetju CEVA Logistics: nesporen dokaz malomarnosti

Če menite, da Valve vsaj ščiti vaše fizične, realne podatke, nedavni incident v zvezi s podjetjem CEVA Logistics dokazuje nasprotno. Med 29. julijem in 1. avgustom 2026 so hekerji vdrli v sistem Valveovega evropskega partnerja za logistiko strojne opreme. Valve je vdor priznal šele 7. avgusta, s čimer so bili podatki uporabnikov en teden v rokah zlonamernih akterjev.

Med razkrite podatke spadajo prava imena, polni naslovi prebivališča, telefonske številke in e-poštni naslovi, povezani s platformo Steam, evropskih strank, ki so naročile fizično strojno opremo. Podjetje Valve poskuša pomiriti uporabnike z izjavo, da »gesla in podatki o plačilih« niso bili razkrite. Vendar pa so polno ime, naslov prebivališča, telefonska številka in e-poštni naslov na platformi Steam točno tisti podatki, ki so potrebni za izjemno učinkovito ciljno lažno ribarjenje in prevzemanje računov – prava zlata jama za zunanje izvajalce in mreže prevarantov, omenjene zgoraj. Valve jim je v bistvu izročil vaše podatke.

5. Poziv k ukrepanju: Evropsko stališče proti korporativni imuniteti

Vsak igralec v Evropi se mora zavedati krute realnosti: za igre plačujete petkrat več kot uporabniki v Rusiji, vendar so vaše evropske pravice in zakoni (GDPR) popolnoma utišani. Vaši osebni podatki uhajajo k zunanjim izvajalcem, vaše zahtevke za podporo pa obdeluje mreža zunanjih izvajalcev iz Skupnosti neodvisnih držav (CIS) z zelo vprašljivim ugledom.

Poseben, sarkastičen pozdrav pošiljamo odvetnikom iz pisarne Taylor Wessing, ki bodo neizogibno morali braniti interese podjetja Valve na evropskih sodiščih. Pripravite se – braniti monopol, ki aktivno pljuva na zakonodajo EU, bo kmalu postalo precej težje.

Čas je, da prenehate biti priročen sponzor. Ne oprostite teh uhajanj podatkov.

Če zavrnejo, trdijo, da ne vodijo dnevnikov, ali se skrivajo za korporativnim sporazumom o nerazkrivanju podatkov (NDA), da bi zaščitili svoje zunanje sodelavce, to zavrnitev nemudoma posredujte svojemu organu za varstvo podatkov. Množični pravni ukrepi so edini jezik, ki ga ta monopol razume.

Avtorjev dodatek: Trg za platformo

Na platformi Steam so priporočene regionalne cene za Rusijo (in celotno območje Skupnosti neodvisnih držav) običajno za 40–60 % nižje od osnovne cene v ameriških dolarjih. Rusija je uvrščena v kategorijo 2: nastajajoči trg, ki običajno prejme 40–50-odstotni popust na osnovno ceno. Na primer, standardna neodvisna igra s ceno 19,99 USD (kar bi po neposrednem pretvorbenem tečaju znašalo približno 1.900 rubljev) bi morala po priporočilih podjetja Valve stati približno 419–499 rubljev.

Treba je jasno navesti, da se zunanja podporna služba nahaja na Irskem, vendar jo sestavljajo Rusi – nekateri zaposleni pa delujejo neposredno iz Rusije. Oh, in mimogrede, podjetje CSGOFast je lastnik priljubljenega razširjenega programa SteamInventoryHelper, ki se uporablja izključno za oglaševanje njihovega igralniškega spletnega mesta, namenjenega otrokom (igralniško spletno mesto, ki je v več evropskih državah prepovedano). In kdo je lastnik tega igralniškega spletnega mesta? Prav, Rusi, tako kot večina podobnih spletnih mest. Ali Steam tega ne ve? Ali pa preprosto ne želijo vedeti, glede na to, da je promet na tem sivi trgu, če se ne motim, okoli milijarde dolarjev.

Poleg tega ocenjujem, da je 40 % prevarantov iz Skupnosti neodvisnih držav (CIS), ki trenutno izvajajo kriptoprevare, začelo prav na platformi Steam. Osebno poznam vsaj dva konkretna primera pranja denarja prek skinov. Tukaj jih ne bom podrobno opisoval, lahko pa to storim, če bo potrebno – le ne javno, saj ne želim imenovati platform itd. Vendar pa se Steam tega dobro zaveda. Ali pa morda res pričakujejo, da bomo verjeli, da igralci, ki sploh ne posedujejo igre, le vedno znova kupujejo popolnoma isti predmet, samo da bi se z njim »igrali«? Ja, seveda, to je šala.

Ker se bojim spolnega nadlegovanja s strani podjetja Taylor Wessing, ne bom napisal in prosil, da moje sporočilo posredujete žrtvam uhajanja podatkov – ljudem, ki jih je Valve razočaral in ki so prejeli ta obvestilna e-poštna sporočila. Satire / Joke

Prioritete Steama so izrazito proruske – tako v smislu cen in pravnih pogojev kot tudi pri popularizaciji Putina, zastav in prepovedanih teroristov. A zdi se, da je to Steamu všeč, prav tako kot tolerirajo antisemitizem, diskriminacijo, nadlegovanje, zalezovanje in trgovanje z drogami. Za Steam je to popolnoma v redu, prav tako kot igre za starejše od 18 let. Očitno jim je to všeč.

To ni kratkotrajen politični spor. Ruski uradniki in delovne skupine iz industrije so več kot leto dni razvijali sistem nadzora videoiger, ki vključuje identifikacijo igralcev prek ruske telefonske številke, državnega portala za identifikacijo Gosuslugi ali državnega biometričnega sistema. Platforme Steam in GOG sta bili izrecno navedeni med platformami, na katere bi predlog lahko vplival, udeleženci pa so povedali, da se je vladna delovna skupina, ki stoji za tem, do decembra 2024 že skoraj leto in pol sestajala. Podjetje Valve ni javno izrazilo nobene primerljive zaveze, da bi raje zapustilo ruski trg, kot da bi svoje uporabnike povezalo s to državno usmerjeno arhitekturo identifikacije.

Kontrast je nezaslišan. Glavni akterji v industriji so v Rusiji začasno ustavili prodajo ali storitve – Microsoft je ustavil vso novo prodajo, medtem ko so platforme za igralne konzole in založniki napovedali svoj umik –, vendar se je Steam odločil za nadaljevanje. Še naprej zagotavlja komercialno in družbeno infrastrukturo državi, ki jo je Evropski parlament uradno priznal kot državo, ki podpira terorizem, in državo, ki uporablja teroristična sredstva.

Ta podpora je vidna znotraj Valveove lastne ekonomije. Uradni trg skupnosti Steam ponuja v prodajo ozadje profila »Putin & Trump« ter tisoče predmetov z imeni, kot so »Putin forever«, »Putin smile«, »Putin like« in »Putin angry«. Podjetje Valve teh slik ni ustvarilo, vendar jih distribuira, ponuja in z njimi ustvarja dobiček prek tržnice, ki jo upravlja Valve. Hkrati pa v primerih, ki jih je dokumentiral PhishDestroy, nadlegovanje na podlagi narodnosti ostaja vidno ali se obravnava kot običajen spor v skupnosti. Sporočilo platforme Steam je nedvoumno: s politično propagando se da ustvarjati dobiček, medtem ko morajo ljudje, ki so tarča zlorab zaradi narodnosti, to preprosto prenašati.

Zasebna lastnina ni pravna imuniteta

Podjetje Valve je v zasebni lasti in njegove delnice se ne trgujejo na borzi. To pomeni, da so njegova lastniška struktura, vlagatelji, notranji nadzor in finančne spodbude veliko manj podvrženi rednemu javnemu nadzoru kot pri podjetjih, ki kotirajo na borzi. To pa ne pomeni, da zakoni o varstvu potrošnikov, obveznosti glede varnosti otrok, zakoni o varstvu podatkov ali nacionalni regulatorji ne veljajo več. Če platforma ni dovolj natančno nadzorovana, gre za pomanjkljivost nadzora – ne pa za dovoljenje, da se jo spremeni v prostor, kjer so otroci izpostavljeni spolnim vsebinam, promociji iger na srečo, zalezovanju in organiziranemu nadlegovanju.

V Valveovi lastni naročniški pogodbi je navedeno, da Steam ni namenjen otrokom, mlajšim od 13 let. To pa še vedno pomeni, da je na isti trgovinski platformi, ki poleg običajnih iger prodaja tudi eksplicitne naslove za odrasle in hentai, prisotno ogromno najstniško občinstvo. Samoprijavljeni datum rojstva, opozorilna stran in filtri po preferencah niso zanesljiva zagotovila glede starosti. Problem ni v tem, da obstajajo mediji za odrasle; problem je v tem, da se jih umesti v igralno platformo za množični trg, ki jo uporabljajo mladoletniki, nato pa se pretvarja, da kozmetična pregrada tveganje odpravlja. Če Gabe Newell, vodstvo podjetja Valve ali njegovi pogodbeni izvajalci podpore želijo platformo z vsebinami za odrasle, naj jo upravljajo odprto in ločeno, namesto da vsakemu izdajatelju iger nalagajo, da si z njo deli komercialno polico.

Imetniki pravic morajo poleg tega pojasniti, zakaj sprejemajo to sosedstvo. Družinska igra, naslov za otroke ali mainstream izdaja se lahko nahaja le eno priporočilo ali iskalni rezultat stran od eksplicitne vsebine, medtem ko Valve pobira denar od obeh. Izdajatelji porabljajo ogromne vsote za zaščito svojih blagovnih znamk, a se zdi, da so pripravljeni spregledati, kaj te znamke obdaja znotraj Steama. Zasebna lastnina tega ne naredi odgovornega, prevlada na trgu pa tega ne naredi neizogibnega.

Načela moderiranja podjetja Valve je še težje zagovarjati, če jih primerjamo z njegovim odzivom na rusko državno cenzuro. Leta 2024 je Roskomnadzor objavil, da je Steam odstranil ves material, ki ga je zahtevala agencija, in da bo zato 11 URL-jev Steama odstranjenih iz ruskega registra prepovedanih informacij. Leta 2025 je Steam odstranil material s strani igre, namenjene izključno odraslim, po še eni zahtevi Roskomnadzorja v zvezi s tako imenovano »propagando« LGBT. To je bila politična cenzura, ki se je uporabila celo za delo, namenjeno osebam, starejšim od 18 let, in ne za zaščito otroka, ki je zaobšel starostno omejitev. Valve se lahko prilagodi ruskemu seznamu cenzure, a kljub temu ostaja nekako nemočen, ko se od njega zahteva, da zaščiti uporabnike pred zlorabami na podlagi narodnosti, nezakonitimi kanali za igre na srečo ali izkoriščevalskim izpostavljanjem vsebin za odrasle. To je izbira prioritet in sproža očitno vprašanje svobode izražanja.

Podjetje Valve prav tako ni izdalo nobenega javnega odziva na rusko invazijo na Ukrajino, primerljivega z odzivi podjetij, ki so začasno ustavila poslovanje ali odprto podprla Ukrajino. Zaradi svoje zasebne kapitalske strukture ni dolžno zagotavljati takšnega razkritja informacij vlagateljem, kot se pričakuje od javnih družb, zato zunanji opazovalci ne morejo v celoti preveriti, čigave interese se ščitijo. Vidna ostaja izjemna navezanost na trg z nižjimi cenami, povezan z goljufanjem v industrijskem obsegu, igrami na srečo, krajo računov in storitvami za izogibanje sankcijam. Morda bo razlog postal jasnejši, če se bo Steam kdaj strinjal s povezavo z identiteto prek Gosuslugi.

Zgodba o zunanjem izvajanju sledi enakemu vzorcu nepreglednosti. Valve sklepa pogodbe s podjetji, ne pa s posameznimi delavci podpore, ki so predstavljeni uporabnikom. Glede na primarni vir in gradivo, ki ga je pregledal PhishDestroy, oseba, povezana s prejšnjim škandalom kraje dragocenega inventarja, ni izginila iz majhnega ekosistema podizvajalcev podpore: preselila se je v drugo agencijo. Kasneje je trdil, da ni delal za Steam in da ni vedel, da je račun povezan s Steamom. Vendar pa je sled vodila nazaj na Irsko, k isti osebi in spet k Steamu. Ta primer bi bilo treba preiskati kot neuspeh na področju zunanjega izvajanja storitev in nadzora dostopa; tukaj ni predstavljen kot kazenska obsodba. Podjetje Valve bi moralo razkriti, katere agencije imajo dostop do sistemov računov, kako se osebje ponovno preverja, ko prehaja med ponudniki, in ali se lahko posameznik, odstranjen iz enega izvajalca, preprosto ponovno pojavi prek drugega.

Vietnam je že dokazal, da status zasebnega podjetja Valve ne pomeni, da je nad nacionalno zakonodajo. Steam je bil tam blokiran, potem ko so oblasti dejale, da Valve ni sodeloval. Vietnam obstaja. Zakonodaja EU obstaja. Vsaka jurisdikcija, v kateri Valve ustvarja dobiček, obstaja, tudi če se Valve obnaša, kot da je pomembno le »katero koli sodišče v Rusiji«. In če velja teorija, da lahko Steam deluje kjerkoli želi, v okviru kakršnih koli skritih dogovorov želi, brez kakršne koli pomembne odgovornosti, bi morda morali neposredno zastaviti absurdno vprašanje: ali obstaja tudi poseben Steam za Severno Korejo, ki ga še nihče ni razkril?

To so ugotovljena dejstva: ekipa za podporo je ruska, ta podpora pa je večkrat ukradla ali predala podatke tretjim osebam, da bi ponovno vzpostavila dostop do neaktivnih računov in jih prevzela v last za pridobivanje dobička.

Zato sem prepričan, da jim obvestilo o uhajanju vaših podatkov sploh nič ne pomeni, še posebej ob tako ogromni zamudi (100-odstotno so čakali na odgovor Taylor Wessing; čudež je, da niso čakali tri tedne).

Tega še nikoli nisem storil, nikoli nisem nikogar spodbujal ali izzival k čemerkoli, in tega tudi zdaj ne bi želel. A to je točno tista situacija, ki si jo želi Steam. Menijo, da je odprt pritisk in diskriminacija proti uporabnikom iz EU popolnoma v redu, in da bo Taylor Wessing vse rešil tako, da bo ljudi odkrito grozil zaradi zahtev v zvezi z GDPR. To je moje mnenje, moja izkušnja in informacije iz primarnega vira, v katerega zaupam.

V vsakem primeru je vložitev pritožbe stvar le nekaj klikov. Morda se bo Steam takrat končno naučil spoštovati tuje zakone – in ne le zakone »katerega koli sodišča v Rusiji«. Morda bodo končno nehali igrati neumne in se pretvarjati, da so popolnoma nezmožni blokirati avtorizacijske domene za nezakonite spletne igre na srečo. Namesto sedanje realnosti: vsi so v postelji drug z drugim – ruski lastniki otroških igralnic in podporno osebje, ki sedi na Lolzteamu in razpravlja o tem, kako z brute-force napadi prevzeti račune.

PhishDestroy bo še naprej spremljal, preiskoval in razkrival. Siva ekonomija bo prišla na dan.

Prepričan sem, da boš imel zanimivo izkušnjo pri komuniciranju s predstavniki podjetja Valve. Če se izkaže, da gre za odvetniško pisarno Taylor Wessing, je povsem normalno, da te bodo poniževali, grozili in zavlačevali – to je namreč njihovo delo. Na splošno so znani predvsem po tožbi zaradi spolnega nadlegovanja proti lastni pisarni, drugače pa ne po kaj dosti drugem. Aha, prav, podjetja z veliko preveč denarja jih najamejo prav zato, da vas izčrpajo, hkrati pa jim plačujejo ogromno urno postavko.