HET STEAM-DOSSIER / II
Automatisering in de publieke sector. Uitbestede ondersteuning. De mensen die achterblijven om de rekening te betalen.
Volg de infrastructuur, de gemelde verliezen en de documenten waarop de claims zijn gebaseerd.
Steam accounts die momenteel actief te koop staan op FSB Market (geanonimiseerde naam; de oorspronkelijke naam wordt hier niet vermeld)
op dit moment
Het belangrijkste ondergrondse knooppunt voor gekaapte Steam-accounts, FSB Market (andere verwante namen niet vermeld) verifieert zowel kopers als verkopers met behulp van de officiële Steam OpenID van Valve (openid.realm = https://FSB Market). Op elk willekeurig moment worden meer dan een half miljoen gestolen en gehackte accounts (logbestanden van RedLine/Lumma, phishing-vangsten, credential stuffing) actief te koop aangeboden voor een paar cent ($0.50–$2.00). Noch FSB Market noch het bijbehorende forum wordt geblokkeerd door het linkfilter van Valve. Dit is het industriële reservoir dat de 63.06% betaalde botaccounts bevoorraadt die Valve blokkeert zonder het slachtoffer te helpen.
01 / EEN ECOSYSTEEM MET AUTEURS
Genoemde projecten. Gepubliceerde mogelijkheden. Traceer een tool naar de bijbehorende documentatie en bekijk vervolgens de verzamelde relaties tussen ontwikkelaars.
De grafiek brengt de gepubliceerde relaties tussen bijdragers en forkers in kaart tussen genoemde projecten en GitHub-profielen. Dit zijn openbare gegevens: forks van repositories, lijsten met bijdragen, profielkoppelingen. De vraag is wat het spoor van gepubliceerde vaardigheden en relaties tussen ontwikkelaars vereist dat Valve beantwoordt, niet wat dit onderzoek heeft verzonnen. Bron-hashes worden opgeslagen in de herkomst op de kaart.
02 / VERSCHILLENDE BEVOEGDHEDEN. VERSCHILLENDE BEVOEGDHEDEN.
Om een spel te spelen hoeft de speler geen persoonlijke Web API-sleutel op te geven. Dat is het cruciale verschil waar deze kwestie om draait.
steamcommunity.com/dev/apikeyWordt afgegeven vanuit een gebruikersaccount voor toegestane API-aanroepen. Het aanmaken, de zichtbaarheid en het intrekken van sleutels, evenals het opsporen van misbruik, zijn kwesties die onder de accountbeveiliging vallen.
Steamworks-partners gebruiken de inloggegevens van de uitgever voor ondersteunde backend-bewerkingen, waaronder spelgerelateerde diensten. De persoonlijke sleutel van een speler is een ander soort inloggegeven.
OpenID bevestigt de identiteit bij een website. Een Steam-sessie- of vernieuwingstoken dient een ander doel. Deze mechanismen mogen niet worden voorgesteld als één onderling uitwisselbare „API-sleutel”.
Valve bevat zowel de Web API-sleutels van gebruikers als die van uitgevers. De volledige Web API staat daarom niet los van Steamworks. Documentatie over API-sleutels ↗ gearchiveerd 2026-09-15 ↗ · Authenticatie tijdens een spelsessie ↗ gearchiveerd 2026-08-29 ↗
DE MENSELIJKE KANT / EEN ILLUSTRATIEF PHISHING-TRAJECT
Een bericht van een vriend. Een verzoek om te stemmen. Een ‘bedankpagina’. Voor de speler is de taak volbracht. Een gehackte sessie kan echter nog langer duren dan dat moment.
OP HET SCHERM VAN DE SPELER
UIT HET ZICHT
De speler was niet van plan om inloggegevens voor automatisering aan te maken of de controle over te dragen. Het feit dat iemand terugkeert naar een spel, is geen bewijs dat het account veilig is. Valve bewaart de sessielogboeken, het overzicht van aangemaakte API-sleutels en de gegevens over de koppeling met apparaten. Het slachtoffer doet dat niet. Die asymmetrie vormt het probleem op het gebied van verantwoordingsplicht.
Een API-sleutel en een ingelogde sessie zijn afzonderlijke inloggegevens met verschillende bevoegdheden. Het intrekken van een sleutel beëindigt een actieve sessie niet. In de eigen documentatie van Valve worden beide beschreven; Valve beschikt over de logbestanden waaruit blijkt welke inloggegevens actief waren op het moment van een betwiste handeling. De eis is openbaarmaking van dat verslag — niet een conclusie die het onderzoek zelf heeft verzonnen. Documentatie van de beheerder over het omgaan met tokens ↗ gearchiveerd 2026-09-24 ↗ · Valve belangrijke documentatie ↗ gearchiveerd 2026-09-15 ↗
03 / DE OFFICIËLE MARKT HEEFT EEN BOVENGRENS
Een prijs die hoger is dan het maximale noteringsbedrag kan niet worden gerealiseerd via één notering op de Community Market tegen die volledige prijs.
Een illustratie van de gepubliceerde limiet; dit is geen waardebepaling of aanbeveling om te handelen.
Geld uit de wallet kan niet naar een bankrekening worden overgemaakt. Deze beperkingen zorgen voor een vraag waar de skin-marktplaatsen van derden in voorzien: een vraag die ontstaat door de limieten voor het aanbieden en de wallet, terwijl de eigen regels van Valve commerciële exploitanten verbieden hieraan te voldoen.
De marktlimieten van Steam ↗ gearchiveerd 2026-09-21 ↗04 / BINNEN DE GRENZEN VAN DE ONDERSTEUNING
In het privacybeleid van Valve is uitdrukkelijk bepaald dat persoonsgegevens mogen worden gedeeld met externe ondersteuningsdienstverleners, voor zover dit nodig is voor de ondersteuning.
Privacybeleid §5.2 ↗ · Het eigen beleid van Valve staat toegang door derden toe. De openstaande vragen zijn: welke rechten zijn verleend, welke controletrajecten bestaan er en wat is er gebeurd toen er naar verluidt misbruik werd gemaakt van die toegang?
Valve erkende dat er op grote schaal accounts waren gestolen en beschreef de beschermende maatregelen.
Valve publicatie ↗ gearchiveerd 2026-08-09 ↗Valve heeft een klein intern Steam Support Leadership-team en verklaarde dat "heb een paar verschillende bedrijven ingehuurd" om ondersteuning te bieden (Erik Johnson, Valve, aan Kotaku); artikel 5.2 van het privacybeleid geeft deze derde partijen toestemming om toegang te krijgen tot gebruikersgegevens. Welke aannemer toegang heeft tot de functie voor het herstellen van accounts, heeft Valve nooit bekendgemaakt — In de discussie binnen de gemeenschap worden bedrijven als Concentrix genoemd, maar geen enkele daarvan is Valve-bevestigd. De uitbestede helpdesk bestond al jaren voordat een van beide onderstaande verklaringen werd afgelegd.
Kotaku: Valve op de ondersteuningspagina ↗ gearchiveerd 2025-07-11 ↗Het CS:GO-team van Valve neemt schriftelijk de verantwoordelijkheid op zich voor een account dat via zijn eigen hulpverzoekprocedure is gehackt, en maakt de ruiltransacties ongedaan.
Open het outsourcingdossier ↓33 maanden later schrijft Steam Support dat een technicus „ons proces niet heeft gevolgd, waardoor uw account aan iemand anders is toegewezen”. Hetzelfde kanaal. Hetzelfde resultaat.
Dexerto, 14 nov. 2025 ↗DOSSIER / HFB & DE BESCHULDIGINGEN INZAKE UITBESTEDING
In het antwoord van de klantenservice dat door Dexerto is gepubliceerd, neemt het CS:GO-team van Valve de verantwoordelijkheid op zich voor het gehackte account via de procedure voor het indienen van een hulpverzoek — via zijn eigen kanaal, niet via een phishingpagina en niet via de gebruiker. De items werden teruggevonden en de transacties ongedaan gemaakt, wat volgens Valve de oplossing is die voor andere slachtoffers niet bestaat. De voorraad van HFB werd gerapporteerd op $2,000,000+ op die dag en $3,000,000+ in de vervolgfase; Qkss verloor op dezelfde manier $1,000,000+ en kreeg niets.
“gecompromitteerd via een ondersteuningsverzoek, waarvoor het CS:GO-team de verantwoordelijkheid op zich neemt”Lees het verslag en het weergegeven bericht ↗ gearchiveerd 2025-08-18 ↗
Het antwoord heeft betrekking op het gehackte account en de terugboeking van de transacties daarvan. Valve heeft ze teruggedraaid — de transacties waren dus terugdraaibaar. Het oorspronkelijke, geauthenticeerde ticket bevindt zich niet in deze verzameling.
De aannemer heeft zijn volledige Steam-ondersteuningspersoneel ontslagen — zoals gemeld door Mzkshow via Dexerto, en niet via een Valve-personeelsverklaring. Drieëndertig maanden later schreef Steam Support aan een andere incassant dat „een ondersteuningsmedewerker die de hulpvraag behandelde, ons proces niet heeft gevolgd, waardoor uw account aan iemand anders is toegewezen.” Een citaat van Valve zelf, over hetzelfde kanaal.
De tweede opname, 14 november 2025 ↗Uit deze bronnen blijkt noch wie de aannemer was, noch waar de locatie zich bevond. Dat is geen leemte in de berichtgeving — het is een feit dat Valve niet heeft bekendgemaakt wie toegang had tot de gebruikersaccounts.
Hedendaags verslag van de zaak ↗Drie vragen die Valve nog niet heeft beantwoord: wie zou het herstel van een account kunnen blokkeren, wat bleek uit het toegangsonderzoek en wat is er daarna veranderd?
Twee Reddit-berichten uit 2024 maken melding van verdere onderzoeken door Mzkshow: een zaak uit juli 2024 betreffende de opheffing van een VAC-ban en een zaak uit december 2024 betreffende de $13,000-inventaris. Dit zijn afzonderlijk gemelde incidenten. De vraag naar de verantwoordelijkheid is in beide gevallen identiek: wie had toegang om de blokkering op te heffen, wat bracht de controle aan het licht en wat is er veranderd?
05 / VOLG HET VERLIES
Tien gevallen, juni 2022 tot maart 2026. Elk bedrag is het cijfer dat door de genoemde bron is gepubliceerd — $6,300,000, $2,000,000+, $1,000,000+, ≈$320,000, ≈$300,000, en gedaald tot € 288. Valve bewaart het transactielogboek, het sessieverslag en het ondersteuningsaudittraject voor elk daarvan, en heeft geen van deze documenten verstrekt.
De bronvermeldingen en bedragen blijven zoals door elke bron gerapporteerd. Valve beschikt over de transactielogboeken, sessieverslagen en het ondersteuningsaudittraject voor elk van deze gevallen. Leg deze over. Een bewaard gebleven Reddit-bericht biedt geen uitsluitsel — de eigen gegevens van Valve doen dat wel.