Steam-illusionen: Hur Valve driver en skuggekonomi, möjliggör datastöld och bortser från internationell rätt

En exklusiv undersökande rapport av PhishDestroy

PhishDestroy-projektet kom inte till för att tiderna var goda. Vår existens är inte ett bevis på Steams framgång, utan en kritisk nödvändighet som uppstått ur Valves totala likgiltighet för användarnas säkerhet. Faktum är att vår kamp mot nätfiske direkt störde Valves affärsmodell och störde deras noggrant utformade ekonomi kring kontoavstängningar och återförsäljning av föremål. (Vi kommer senare att publicera en separat, detaljerad artikel som avslöjar företagets sanna ”värderingar” och deras parodi på cybersäkerhet).

I över ett decennium har Valve Corporation gömt sig bakom en noggrant utformad, konsumentvänlig fasad. Men under ytan döljer sig en cynisk företagsmaskin. Genom en omfattande intern utredning har PhishDestroy-teamet analyserat de policyer som Valve helst vill hålla tyst om. Detta är en analys av en plattform som fungerar som ett oreglerat finanssyndikat, blundar för sanktionerade stater, skyddar komprometterad outsourcad support och behandlar europeisk lagstiftning som frivilliga rekommendationer.

1. Sanktionsfarsen och den pro-ryska partiskheten

För Valve är användare i EU och USA inget annat än kassakor. Medan europeiska spelare betalar fullt pris fortsätter Steam att erbjuda aggressiva rabatter på 70–80 % för den ryska marknaden. Ett spel i Ryssland kostar en bråkdel av vad det kostar i Tyskland. Så här ser internationella ”sanktioner” ut enligt Valves definition.

Plattformen gör allt för att tillmötesgå och främja denna utveckling: de underlättar byte av region, blundar för penningtvätt via spelobjekt och anger uttryckligen i sina användarvillkor att de underkastar sig jurisdiktionen hos vilken rysk domstol som helst. Det når en absurd nivå: vid de sällsynta tillfällen då Steam-servrarna drabbas av omfattande driftstörningar är det ofta Roskomnadzor (den ryska federala censurmyndigheten) som först kommenterar de tekniska felen officiellt.

2. Kartellen för outsourcad support

Myten om en ”strikt och säker amerikansk teknisk support” rasar samman så fort man inser vem som har nycklarna till Steams backend. Valve har delegerat supporten i OSS-regionen till ett djupt komprometterat nätverk av underleverantörer.

Vi har framgångsrikt avanonymiserat delar av detta nätverk. En nyckelperson som hanterar eller samordnar denna supportgren är en person vid namn Nikita. Vår undersökning avslöjade att denna person (eller åtminstone hans primära e-postadress) är registrerad och aktiv som användare på underjordiska hackerforum som Lolzteam (Zelenka) – en ökänd darknet-hubb som helt och hållet ägnar sig åt försäljning av stulna kreditkort, komprometterade databaser och brute-force-loggar.

Valve är fullt medvetet om denna korruption. De har tidigare erkänt fall där utkontrakterad personal systematiskt tömt användares lager av värdefulla föremål. Ändå är det fortfarande mer lönsamt för dem att behålla en billig, oansvarig utkontrakterad arbetsstyrka än att anställa kvalificerade, interna cybersäkerhetsexperter.

3. Bedrägerier som affärsmodell och offshore-valuta

Steams skins i spel har blivit en allestädes närvarande, ospårbar valuta på darknet – en finansiell tvättmaskin som kringgår internationella tillsynsmyndigheter och skattemyndigheter.

För Valves ekonomiavdelning utgör bedragare inget hot; de är externa aktörer som stimulerar marknadens omsättningstakt. Den traditionella modellen ”en användare, ett spel” ger begränsade intäkter. Ett komprometterat ekosystem skapar dock en mycket lönsam cirkel: en användare blir hackad, föremålen stjäls, bedragarens konton får ett ”handelsförbud” och offret tvingas skapa en ny profil och köpa tillbaka sina tillgångar.

När Valve stänger av en bedragare återlämnar de inte de stulna tillgångarna till den rättmätiga ägaren. De fryser dem permanent. Detta skapar en konstgjord brist. Att minska utbudet på marknaden driver upp priserna på de återstående föremålen, vilket i sin tur mångdubblar Valves provision på 15 % på Community Market. De vill inte stoppa bedrägerierna; de tjänar pengar på dem.

4. Dataintrånget hos CEVA Logistics: obestridliga bevis på vårdslöshet

Om du tror att Valve åtminstone skyddar dina fysiska, verkliga data, så bevisar den senaste händelsen rörande CEVA Logistics motsatsen. Mellan den 29 juli och den 1 augusti 2026 hackade sig hackare in hos Valves europeiska logistikpartner för hårdvara. Valve erkände inte intrånget förrän den 7 augusti, vilket innebar att användarnas data låg i händerna på illvilliga aktörer under en hel vecka.

De läckta uppgifterna innehåller riktiga namn, fullständiga bostadsadresser, telefonnummer och Steam-kopplade e-postadresser till europeiska kunder som beställt fysisk hårdvara. Valve försöker lugna användarna genom att hävda att ”lösenord och betalningsuppgifter” inte har läckt ut. Men ett fullständigt namn, en bostadsadress, ett telefonnummer och en Steam-e-postadress är precis den information som krävs för förödande effektiv spear-phishing och kontokapning – en guldgruva för just den outsourcade personalen och de bedrägerinätverk som nämns ovan. Valve har i praktiken överlämnat dina uppgifter till dem.

5. Uppmaning till handling: Europas ställningstagande mot företagsimmunitet

Alla spelare i Europa måste inse den hårda verkligheten: ni betalar fem gånger mer för spel än användare i Ryssland, samtidigt som era europeiska rättigheter och lagar (GDPR) helt ignoreras. Era personuppgifter läcker ut till externa underleverantörer, och era supportärenden hanteras av ett outsourcat nätverk i OSS-länderna med ett högst tvivelaktigt rykte.

Vi skickar en speciell, sarkastisk hälsning till advokaterna på Taylor Wessing, som oundvikligen kommer att tvingas försvara Valves intressen i europeiska domstolar. Gör er redo – att försvara ett monopol som aktivt struntar i EU-lagstiftningen kommer snart att bli betydligt svårare.

Det är dags att sluta vara en bekväm sponsor. Förlåt inte dessa dataläckor.

Om de vägrar, hävdar att de inte för loggar eller gömmer sig bakom ett företagssekretessavtal för att skydda sin underleverantörspersonal, vidarebefordra denna vägran direkt till din dataskyddsmyndighet. Massiva rättsliga åtgärder är det enda språk som detta monopol förstår.

Författarens tillägg: Marknaden bakom plattformen

På Steam-plattformen är de rekommenderade regionala priserna för Ryssland (och OSS-regionen som helhet) vanligtvis 40–60 % lägre än baspriset i amerikanska dollar. Ryssland klassificeras som en Tier 2-marknad: tillväxtmarknad, vilket generellt innebär en rabatt på 40–50 % på baspriset. Till exempel bör ett vanligt indiespel med priset 19,99 dollar (vilket vid direkt omräkning motsvarar cirka 1 900 rubel) kosta cirka 419–499 rubel enligt Valves rekommendationer.

Det måste tydligt framgå att den utkontrakterade supporten är belägen i Irland, men bemannas av ryssar – och att en del av personalen är stationerad direkt i Ryssland. Åh, och förresten, CSGOFast äger det populära tillägget SteamInventoryHelper, som enbart används för att marknadsföra deras kasinot som riktar sig till barn (ett kasino som är förbjudet i flera europeiska länder). Och vem äger detta kasino? Just det, ryssar, precis som majoriteten av liknande webbplatser. Vet inte Steam detta? Eller vill de helt enkelt inte veta, med tanke på att omsättningen på den svarta marknaden uppgår till omkring en miljard dollar, tror jag.

Dessutom uppskattar jag att 40 % av bedrägerierna från OSS-länderna som för närvarande bedriver kryptovalutabedrägerier började sin verksamhet på Steam. Jag känner personligen till minst två specifika fall av penningtvätt via skins. Jag kommer inte att gå in på detaljerna här, men jag kan göra det om det behövs – bara inte offentligt, eftersom jag inte vill namnge plattformarna osv. Men Steam är väl medvetna om detta. Eller förväntar de sig verkligen att vi ska tro att spelare som inte ens äger spelet bara köper exakt samma föremål om och om igen bara för att ”leka” med det? Ja, visst, det är ett skämt.

Eftersom jag är rädd för sexuella trakasserier från Taylor Wessing kommer jag inte att skriva och be om att mitt meddelande ska vidarebefordras till offren för dataläckan – de människor som Valve svek och som fick dessa meddelandemejl. Satire / Joke

Steams prioriteringar är så proryska som det går att bli – både när det gäller prissättning och juridiska villkor, liksom när det gäller att popularisera Putin, flaggor och förbjudna terrorister. Men Steam verkar gilla det, precis som de tolererar antisemitism, diskriminering, trakasserier, stalking och droghandel. För Steam är detta helt okej, precis som spel för 18+. De verkar tydligen njuta av det.

Detta är inte en kortlivad politisk tvist. Ryska tjänstemän och branscharbetsgrupper har ägnat långt över ett år åt att utveckla ett kontrollsystem för videospel som innefattar identifiering av spelare via ett ryskt telefonnummer, den statliga identitetsportalen Gosuslugi eller det statliga biometriska systemet. Steam och GOG nämndes uttryckligen bland de plattformar som förslaget skulle kunna påverka, och deltagarna uppgav att den bakomliggande statliga arbetsgruppen redan i december 2024 hade sammanträtt i nästan ett och ett halvt år. Valve har inte gjort något motsvarande offentligt åtagande om att man skulle lämna den ryska marknaden hellre än att koppla sina användare till denna statligt styrda identitetsarkitektur.

Kontrasten är skandalös. Stora aktörer inom branschen har avbrutit försäljning eller tjänster i Ryssland – Microsoft har stoppat all nyförsäljning, medan konsolplattformar och spelutgivare har meddelat att de drar sig tillbaka – men Steam har valt att fortsätta som vanligt. Företaget fortsätter att tillhandahålla kommersiell och social infrastruktur till ett land som Europaparlamentet formellt har erkänt som en stat som stöder terrorism och som använder sig av terroristmetoder.

Detta stöd syns tydligt inom Valves egen ekonomi. På den officiella Steam Community Market finns en profilbakgrund med namnet ”Putin & Trump” att köpa, liksom tusentals föremål med namn som ”Putin forever”, ”Putin smile”, ”Putin like” och ”Putin angry”. Valve har inte skapat dessa bilder, men företaget distribuerar, listar och tjänar pengar på dem via en marknadsplats som drivs av Valve. Samtidigt tillåts, i fall som dokumenterats av PhishDestroy, trakasserier baserade på nationalitet att förbli synliga eller behandlas som vanliga konflikter inom gemenskapen. Steams budskap är otvetydigt: politisk propaganda kan omsättas i pengar, medan de personer som utsätts för kränkningar på grund av sitt nationella ursprung lämnas att ta emot det.

Privat ägande innebär inte rättslig immunitet

Valve är ett privatägt företag och dess aktier handlas inte på börsen. Det innebär att dess ägarstruktur, investerare, interna kontroller och ekonomiska incitament utsätts för betydligt mindre rutinmässig offentlig granskning än hos ett börsnoterat företag. Det innebär inte att konsumentskyddslagstiftningen, skyldigheterna avseende barnsäkerhet, dataskyddslagstiftningen eller de nationella tillsynsmyndigheterna upphör att gälla. Om en plattform inte övervakas tillräckligt noggrant är det ett misslyckande i tillsynen – inte ett tillstånd att förvandla den till en plats där barn utsätts för sexuellt innehåll, marknadsföring av spel, stalking och organiserad trakassering.

Enligt Valves eget abonnemangsavtal är Steam inte avsett för barn under 13 år. Det innebär ändå att en enorm tonårspublik finns på samma plattform som säljer vanliga spel bredvid uttryckligt vuxeninnehåll och hentai-titlar. Ett självuppgivet födelsedatum, en varningssida och inställningsfilter utgör ingen meningsfull ålderskontroll. Problemet är inte att vuxenmedia existerar; problemet är att placera det på en spelplattform för massmarknaden som används av minderåriga och sedan låtsas att en ytlig spärr får risken att försvinna. Om Gabe Newell, Valves ledning eller dess supportleverantörer vill ha en plattform för vuxeninnehåll bör de driva en sådan öppet och separat, istället för att tvinga alla spelutgivare att dela en kommersiell hylla med den.

Rättighetsinnehavarna bör också förklara varför de accepterar denna placering. Ett familjespel, ett barnspel eller en mainstream-release kan ligga bara en rekommendation eller ett sökresultat bort från explicit material, samtidigt som Valve tjänar pengar på båda. Utgivare lägger ner förmögenheter på att skydda sina varumärken, men verkar ändå villiga att ignorera vad som omger dessa varumärken inne på Steam. Privat ägande gör inte detta ansvarsfullt, och marknadsdominans gör det inte oundvikligt.

Valves principer för moderering blir ännu svårare att försvara när man jämför dem med företagets reaktion på den ryska statliga censuren. År 2024 meddelade Roskomnadzor att Steam hade tagit bort allt material som myndigheten krävt och att 11 Steam-URL:er därför skulle tas bort från Rysslands register över förbjuden information. År 2025 tog Steam bort material från sidan för ett spel endast för vuxna efter ytterligare ett krav från Roskomnadzor gällande så kallad HBTQ-”propaganda”. Det var politisk censur som tillämpades till och med på ett verk för 18+, inte skydd av ett barn som hade kringgått en åldersgräns. Valve kan följa en rysk censurlista, men förblir på något sätt hjälplöst när man ombeds att skydda användare från kränkningar på grund av nationellt ursprung, kanaler för olagligt spelande eller påträngande exponering för vuxeninnehåll. Det är ett val av prioriteringar, och det väcker en uppenbar fråga om yttrandefrihet.

Valve har inte heller utfärdat något offentligt företagsuttalande om Rysslands invasion av Ukraina som kan jämföras med de företag som avbröt sin verksamhet eller öppet stödde Ukraina. Dess privata kapitalstruktur kräver inte den typ av informationsskyldighet gentemot investerare som förväntas av ett börsnoterat företag, så utomstående kan inte fullt ut granska vems intressen som skyddas. Det som fortfarande är tydligt är en extraordinär anknytning till en lågprismarknad som förknippas med fusk i industriell skala, spel, kontostöld och tjänster för att kringgå sanktioner. Kanske blir orsaken tydligare om Steam någonsin går med på en identitetskoppling till Gosuslugi.

Berättelsen om outsourcing följer samma mönster av bristande insyn. Valve anlitar företag, inte de enskilda supportmedarbetare som användarna möter. Enligt en primärkälla och material som granskats av PhishDestroy försvann inte en person med koppling till den tidigare skandalen om stöld av värdefullt lager från det lilla ekosystemet av supportentreprenörer: han bytte till en annan byrå. Han hävdade senare att han inte arbetade för Steam och inte visste att kontot var kopplat till Steam. Ändå ledde spåren tillbaka till Irland, till samma person och till Steam igen. Detta fall bör utredas som ett misslyckande inom outsourcing och åtkomstkontroll; det presenteras inte här som en brottslig bedömning. Valve bör redovisa vilka byråer som har åtkomst till kontosystemen, hur personalen kontrolleras på nytt när de byter leverantör, och om en person som avskedats från en underleverantör helt enkelt kan dyka upp igen via en annan.

Vietnam har redan visat att Valves status som privatföretag inte ställer företaget över nationell lagstiftning. Steam blockerades där efter att myndigheterna hävdat att Valve inte hade samarbetat. Vietnam existerar. EU-lagstiftningen existerar. Varje jurisdiktion där Valve tjänar pengar existerar, även när Valve beter sig som om endast ”vilken domstol som helst i Ryssland” spelar någon roll. Och om teorin är att Steam kan bedriva verksamhet var det vill, enligt vilka dolda överenskommelser det vill, utan något meningsfullt ansvar, kanske vi borde ställa den absurda frågan direkt: finns det också ett särskilt Steam för Nordkorea som ingen ännu har avslöjat?

Detta är fastställda fakta: supportteamet är ryskt, och denna support har upprepade gånger stulit eller överlämnat information till fjärde part för att återställa åtkomsten till vilande konton i syfte att ta över dem för vinst.

Så jag är säker på att det inte betyder någonting alls för dem att meddela dig om att dina uppgifter har läckt ut, särskilt med en så enorm fördröjning (de väntade till 100 % på svar från Taylor Wessing; det är ett mirakel att de inte väntade i tre veckor).

Jag har aldrig gjort detta förut, jag har aldrig uppmanat eller provocerat någon att göra något, och jag vill inte göra det nu heller. Men detta är precis den situation som Steam vill ha. De anser att öppet tryck och diskriminering mot EU-användare är helt okej, och att Taylor Wessing helt enkelt kommer att lösa allt genom att öppet hota människor angående GDPR-förfrågningar. Det är min åsikt, min erfarenhet och information från en primärkälla som jag litar på.

Hur som helst tar det bara några klick att lämna in ett klagomål. Kanske kommer Steam då äntligen att lära sig att respektera utländska lagar – och inte bara lagarna i ”vilken domstol som helst i Ryssland”. Kanske kommer de äntligen att sluta spela dumma och låtsas att de är helt oförmögna att blockera auktoriseringsdomäner för olagliga spelsajter. Istället för den verklighet vi har nu: alla ligger i säng med varandra – de ryska ägarna av barnkasinon och supportpersonalen som sitter på Lolzteam och diskuterar hur man kan brute-force-hacka konton.

PhishDestroy kommer att fortsätta att övervaka, utreda och avslöja. Den svarta ekonomin kommer att lyftas fram i ljuset.

Jag är säker på att du kommer att få en intressant upplevelse när du kommunicerar med Valves representanter. Om det visar sig vara Taylor Wessing är det helt normalt att de talar nedlåtande till dig, hotar och försöker vinna tid – det är deras jobb. Generellt sett är de mest kända för en stämning om sexuella trakasserier riktad mot deras egen byrå, och inte mycket annat. Just det, företag med alldeles för mycket pengar anlitar dem specifikt för att uttrött dig, samtidigt som de betalar dem en enorm timlön.