Giấy phép và Tuyên bố miễn trừ trách nhiệm pháp lý — Cam kết đưa vào phạm vi công cộng

Phần IGiấy phép — phần pháp lý thực tế, nhưng mang tính con người

PhishDestroy từ bỏ mọi quyền đối với tài liệu này. Hoàn toàn không còn. Đã hết. Xong rồi. Bạn có thể sao chép, bán, ghi tên mình lên đó, xăm hình lên người sếp của bạn, hay làm bất cứ điều gì. Không cần ghi nguồn, không cần nhắn tin riêng, cũng không cần gửi thiệp cảm ơn.

Nếu bạn là người dùng đến từ Nga hoặc bất kỳ quốc gia nào bị OFAC áp đặt lệnh trừng phạt — tài liệu này KHÔNG dành cho bạn. Không có kẽ hở nào cả. Chúc bạn “thưởng thức” các biện pháp trừng phạt của mình.

Và nếu bạn đã chuyển khu vực trên ứng dụng “Steam” sang Thổ Nhĩ Kỳ trong khi đang ở Moscow — xin chúc mừng sự sáng tạo về địa lý của bạn. Bạn vẫn là người Nga. Các biện pháp trừng phạt vẫn có hiệu lực. Đó chính xác là vấn đề ở đây.

Phần IIĐiều này là gì và tại sao nó lại tồn tại

Chúng tôi sẽ đăng tải nhiều thông tin về “Valve” hơn cả những gì một nhân viên bình thường của “Valve” biết về chính bản thân họ. Đó không phải là lời khoe khoang. Đó chỉ đơn giản là kết quả mà chúng tôi đạt được mà thôi.

Làm sao chúng ta lại đến được đây? Câu chuyện khá thú vị: Steam thực ra chính là người đã “tạo ra” chúng ta. Nền tảng này đã “nuôi dưỡng” chúng ta bằng những kẻ lừa đảo, những phiếu hỗ trợ kỹ thuật, và cả hệ sinh thái lách lệnh cấm của nó — và giờ thì chúng ta đã ở đây. Không có gì phải bực bội cả. Thực ra, điều này còn mang một chút chất thơ nữa.

Đối với những ai chưa đọc câu chuyện nguồn gốc — chúng ta đã từng biết đến các luật sư châu Âu cực kỳ đắt đỏ củaValve (Taylor Wessing, vì các bạn đã hỏi):

https://phishdestroy.medium.com/my-dog-vs-elite-gdpr-lawyers-the-valve-data-breach-nobody-is-talking-about-f6f7683d813d đã lưu trữ 2026-08-21 ↗

Một cuộc gặp gỡ thật thú vị. Đặc biệt là khi xét đến mức giá tính theo giờ của họ.

Valve có biết không? Có. Taylor Wessing có biết không? Gần như chắc chắn là có. Nhưng khi giàu đến mức đó, luật pháp chỉ là một thứ gì đó mang tính tham khảo hơn là một yêu cầu bắt buộc, phải không?

Thực ra, đó cũng chính là câu trả lời rồi.

Steam đã dành nhiều năm để “nuôi dưỡng” những kẻ lừa đảo. Không phải lúc nào cũng là cố ý — đôi khi những kẻ lừa đảo chỉ vô tình dính líu đến “Valve” do có liên quan. Chúng tôi không cố gắng làm cho vấn đề trở nên kịch tính. Chúng tôi chỉ cố gắng diễn đạt một cách chính xác. Thành thật mà nói, điều đó còn khó hơn là làm cho vấn đề trở nên kịch tính — đây chỉ đơn giản là cách chúng tôi viết.

Chúng tôi đã phải chờ hơn 4 năm để họ khắc phục vấn đề giả mạo trước khi có thể công khai viết về nó. Bởi vì nếu chúng tôi viết về vấn đề này sớm hơn, Steam hẳn đã giả vờ làm nạn nhân và la hét rằng “mối đe dọa nghiêm trọng!”, rồi đề nghị chúng tôi một khoản tiền lẻ để ký vào một văn bản khiến chúng tôi trở thành tài sản hợp pháp của họ mãi mãi. Không, cảm ơn.

(Ngoài ra: Chính Valve cũng vi phạm thỏa thuận bảo mật (NDA). Ngay cả nhân viên của họ cũng vậy. Đặc biệt là những người ở cấp cao. Nhưng được rồi, hãy nói về phía chúng ta đi.)

Phần IIIThư ngỏ gửi Valve — Thật đấy, hãy đọc bài này đi

Valve: nếu bạn muốn tên miền này bị gỡ bỏ, hãy gửi email cho chúng tôi. Không cần luật sư bên ngoài tham gia vào cuộc trao đổi này.

Đối với những ai chưa biết: Tiến sĩ Patrick có bằng Thạc sĩ Luật chuyên ngành Luật Thương mại Quốc tế từ Đại học Aberdeen và — hãy chờ xem — thực sự đã hoàn thành luận án tiến sĩ về luật công nghệ thông tin. Gần đây, ông đã trở thành đối tác tại Taylor Wessing, một công ty có mô hình kinh doanh hoàn toàn dựa trên việc tính phí những khoản tiền khổng lồ cho các doanh nghiệp như Valve nhằm kéo dài vụ việc cho đến khi bên kia cạn kiệt tiền bạc hoặc kiên nhẫn.

Chúng tôi không trách anh ta. Những khách hàng giàu có và có vấn đề pháp lý, trả tiền theo giờ — quả là một bước đi khôn ngoan trong sự nghiệp. Chúng tôi chỉ nghĩ rằng các bạn không nên tài trợ cho việc đó.

Tên miền là điều duy nhất mà Valve có thể thực sự tiếp cận được. Cuộc điều tra, các trường hợp chuyển tiếp và các nguồn lực liên quan đã được triển khai — chúng sẽ tiếp tục diễn ra dù có hay không có tên miền đó.

Đây không phải là lời đe dọa. Đây là một đề nghị thẳng thắn về điều duy nhất thực sự nằm trong tầm tay. Bạn sẽ không thể có được nó bằng cách nào khác — đó chỉ là bản chất của tình huống này mà thôi.

Liệu chúng ta có “gây tổn hại” trực tiếp cho Valve không? Có lẽ không phải theo cách mà họ cảm nhận được về mặt tài chính. Chúng ta không ảo tưởng. Nhưng chúng ta sẽ làm điều đó một cách trung thực, cởi mở, không chạy theo danh tiếng — bởi vì chúng ta không cần danh tiếng. Chúng ta cần thế giới nhìn thấy những gì vốn dĩ luôn hiển hiện trước mắt công chúng, nếu bạn dành đủ thời gian để quan sát.

Chúng tôi có kho lưu trữ kéo dài 5 năm. Những gì các luật sư của Valve đã trình bày trong quá trình thu thập chứng cứ — những dữ liệu mà các đặc vụ có thể truy cập, các dấu vân tay, và các bằng chứng giấy tờ mà họ thực sự đã trao tận tay cho chúng tôi — là đủ rồi. Chúng tôi không cần phải tiết lộ chúng dưới dạng thô.

Ngoài ra, Valve — chúng tôi muốn làm rõ một điều trước khi các bạn quyết định sẽ xử lý vụ việc này như thế nào: PhishDestroy là một cộng đồng, không phải một cá nhân. Các bạn đã biết điều đó khi gửi văn bản pháp lý đến cộng đồng mà không thèm trao đổi với cộng đồng — chỉ khai thác dữ liệu rồi cấm các tài khoản đó mà thôi.

Cộng đồng chúng tôi không có mâu thuẫn gì với Valve. Chúng tôi không chủ động tìm đến chuyện này. Chính những kẻ lừa đảo mà các bạn nuôi dưỡng đã tìm đến chúng tôi. Chúng tôi đã chặn họ. Và giờ thì chúng tôi vẫn ở đây.

Phần III-BCác nguồn lực của phe đồng minh — một lưu ý dành riêng cho Steam

Chúng tôi muốn thẳng thắn về cơ chế khuếch đại này, bởi vì giả vờ như nó không tồn tại sẽ là không trung thực.

Theo những gì chúng tôi nắm được về tình hình cộng đồng, PhishDestroy có ít nhất hai nguồn lực đồng minh sẽ tiếp nhận tài liệu này và triển khai nó.

Đây chính xác là loại trường hợp mà giấy phép quy định tại Mục 1 được thiết kế dành cho: tài liệu được chia sẻ đến nơi cần thiết, được bổ sung, được mở rộng — và cả chúng tôi lẫn họ đều không có nghĩa vụ phải ghi nguồn cho nhau.

(Lưu ý dành cho các luật sư đang thắc mắc về chuỗi trách nhiệm pháp lý: không có chuỗi trách nhiệm nào cả. Các nguồn thông tin này không nhận được sự chỉ đạo, tài trợ hay dữ liệu từ chúng tôi. Họ chỉ đọc những thông tin công khai và tự đưa ra kết luận của riêng mình. Cũng giống như các bạn vậy.)

Chúng tôi không nói điều này để đe dọa. Chúng tôi nói điều này để những ai đang vạch ra chiến lược cho phe “Valve” có được thông tin chính xác về thực trạng của môi trường thông tin.

Một nguồn thông tin giúp tổng hợp và bổ sung nội dung của chúng ta chính là một câu chuyện. Hai nguồn thông tin thực hiện điều này một cách độc lập và đi đến những kết luận tương tự chính là một xu hướng. Các xu hướng chính là điều mà các cơ quan quản lý chú ý đến.

Phần IVTiền bạc, các lệnh cấm, cả màn trình diễn ồn ào này

Vấn đề ở đây là việc Hiệp hội Thể thao và Giải trí (Steam) cấm các trang web cờ bạc và những kẻ lừa đảo không phải là để thực thi pháp luật. Mà là để thu lợi nhuận. Hiệp hội Thể thao và Giải trí (Valve) bỏ túi số tiền đó, rửa tay gác kiếm, rồi lên sân khấu kể cho mọi người nghe một câu chuyện trong sáng về thẻ Pokémon và bóng chày.

Trong những trường hợp các lỗ hổng bảo mật từ phía bộ phận hỗ trợ được ghi nhận — bao gồm cả lời thừa nhận bằng văn bản của Valve vào tháng 2 2023 về việc chịu trách nhiệm đối với các tài khoản có giá trị cao bị xâm phạm thông qua các yêu cầu hỗ trợ, và việc sa thải nhân viên hợp đồng được Dexerto và Escorenews đưa tin sau vụ giao dịch nội gián trị giá $320k (Phần II, Điều04 · Tài liệu chính §14.1) — những thông tin này dựa trên các lời thừa nhận đã được công bố và các bài báo điều tra. Những tin đồn không có căn cứ về việc nhân viên hỗ trợ tham gia các hoạt động cờ bạc bên lề hoặc nhận hoa hồng để dỡ bỏ lệnh cấm không được xác nhận trong hồ sơ công khai và do đó không được đề cập trong bài viết này.

Trong khi đó, Valve đã vô hiệu hóa khả năng theo dõi skin một cách chính xác trên 2017.. Họ thậm chí còn thảo luận về vấn đề này trên chính diễn đàn của mình. Họ gọi đó là “các biện pháp chống cờ bạc” — trong khi hệ sinh thái cờ bạc skin vẫn tiếp tục chuyển hàng tỷ qua hạ tầng của Steam trong nhiều năm sau đó. Thật là một chiến lược xây dựng thương hiệu tuyệt vời.

Valve: nếu các bạn cứ tiếp tục giả vờ không biết gì — cũng được thôi. Chúng tôi đã ghi nhận “bến đỗ an toàn” của các bạn rồi. Dù sao thì Google Analytics cũng ẩn danh địa chỉ IP của người dùng rồi. Chúng tôi biết rõ những gì bị xóa. Chỉ là chúng tôi chưa thể chứng minh điều đó với chi phí đủ thấp để các luật sư của các bạn quan tâm thôi. Ít nhất là cho đến nay.

Phần VVấn đề về phần mềm độc hại — vâng, chúng tôi đang đề cập đến điều đó

Hãy nói một cách thẳng thắn và rõ ràng về trình tự các sự kiện, bởi vì điều đó sẽ bộc lộ chính xác con người thật của bạn.

Chúng tôi SẼ KHÔNG công khai tiết lộ lỗ hổng bảo mật trong trò chơi. Chúng tôi SẼ KHÔNG báo cáo vấn đề này lên Steam. Chương trình này yêu cầu ký thỏa thuận bảo mật (NDA), và việc ký thỏa thuận đó sẽ ngăn cản chúng tôi thông báo cho những người dùng bị ảnh hưởng về những gì đã xảy ra với tài khoản của họ. Mục đích của công việc này là tiết lộ thông tin cho những người đã mất tài khoản cũng như cho các cơ quan quản lý; do đó, thỏa thuận bảo mật là điều không phù hợp với mục đích này.

Đây là những gì thực sự đã xảy ra: Lỗ hổng bảo mật này thực tế đã trở thành một “bí mật công khai” trong giới chuyên môn. Chúng tôi biết chắc chắn rằng các nhà nghiên cứu bảo mật độc lập đã trực tiếp đưa mã khai thác đầy đủ vào mặt bộ phận Hỗ trợ củSteam. Phần đó đã xong. Các bạn đã được cảnh báo chính thức thông qua chính các kênh chính thức của mình.

Và Valve đã làm gì? Hoàn toàn không làm gì cả. Bởi vì đối với Valve, an ninh không đồng nghĩa với lợi nhuận — thực tế, nó hoàn toàn ngược lại. An ninh là một khoản chi phí. Cho đến khi mối đe dọa đạt đến mức nghiêm trọng và gây ra một cuộc khủng hoảng quan hệ công chúng thảm khốc, Valve sẽ không coi đó là vấn đề cấp bách.

Vậy chúng ta đang làm gì? Chúng ta đang thông báo cho công chúng biết về sự tồn tại của nó, bởi vì câu nói “Valve biết về một mối đe dọa phần mềm độc hại mang tính hệ thống nhưng lại chủ động chọn cách không làm gì cả” là một thông tin quan trọng đối với các cơ quan quản lý đang đọc bài viết này.

Trò chơi này cực kỳ đồ sộ. Chúng tôi sẽ không nêu tên nó ở đây. Nhưng hãy hiểu điều này:

Đây là một cơn ác mộng ở mức độ Unturned: lỗ hổng RCE không cần nhấp chuột khi kết nối máy chủ. Bạn tham gia một máy chủ. Bạn không nhấp vào bất cứ thứ gì. Bạn không tải xuống bất cứ thứ gì. Chính kết nối đó là bề mặt tấn công, và máy tính của bạn đã bị xâm nhập hoàn toàn. Hãy nhìn nhận thực tế: việc triển khai một cuộc tấn công RCE và vượt qua các phần mềm diệt virus cục bộ bằng cách lợi dụng các chứng chỉ số đáng tin cậy củValve thậm chí không còn là điều mới mẻ trên Steam nữa. Nó gần như đã trở thành một tính năng tích hợp sẵn trong hệ sinh thái của bạn.

Valve đã biết điều này tồn tại. Nhưng họ lại dựa vào kẽ hở pháp lý ưa thích và hèn nhát của mình: vì về mặt kỹ thuật, trò chơi này do một bên thứ ba phát triển, nên Valve rũ bỏ trách nhiệm. Họ phân phối trò chơi, xử lý thanh toán, cung cấp hạ tầng, nhưng khi một lỗ hổng RCE không cần nhấp chuột đe dọa hàng triệu người dùng của họ, lập trường của họ là: "Không phải trò chơi của chúng tôi, không phải trách nhiệm của chúng tôi."

Khi vụ việc này không thể tránh khỏi việc bùng nổ, nhà phát triển bên thứ ba sẽ phải gánh chịu hậu quả, còn Valve sẽ rũ bỏ trách nhiệm và giả vờ là nền tảng có trách nhiệm đã “hỗ trợ” giải quyết vấn đề. Đó là kiểu hèn nhát điển hình của “Valve”. Chúng ta đã quá quen với kịch bản này rồi.

Chúng tôi ghi nhận điều này để các cơ quan quản lý, công tố viên và nhà báo hiểu rõ cách thức mà Valve xử lý các phần mềm độc hại đang hoạt động: bằng cách ẩn mình đằng sau các nhà phát triển bên thứ ba, áp dụng các thỏa thuận bảo mật (NDA) để bịt miệng, và khiến người chơi trở thành những mục tiêu dễ bị tấn công.