ส่งมอบแฟ้มข้อมูลระยะที่ 1 ไปยังหน่วยงานกำกับดูแล

การดำเนินการที่ได้รับการยืนยัน: เริ่มการสืบสวนระดับนานาชาติ

00 ชั่วโมง

00 นาที

00 วินาที

ประกาศเจตนาในการดำเนินการสอบสวนตามกฎระเบียบระหว่างประเทศ (คำเตือนสุดท้ายภายใน 7 วัน)
ถึง: บริษัทวาล์ฟ แผนกกฎหมาย และคณะกรรมการบริหาร
จาก: โครงการ Phishdestroy และพันธมิตรด้านความปลอดภัยไซเบอร์
กำหนดเส้นตายในการแก้ไข: 7 วันตามปฏิทิน

จดหมายฉบับนี้ถือเป็นหนังสือแจ้งอย่างเป็นทางการไปยังบริษัท Valve Corporation ว่าเมื่อเวลา 7 วันครบกำหนด เอกสารชุดสมบูรณ์ซึ่งประกอบด้วยหลักฐานทางเทคนิค บันทึกภายใน และหลักฐานทางกฎหมาย จะถูกส่งไปยังหน่วยงานกำกับดูแลใน 18 เขตอำนาจศาล ซึ่งรวมถึง FTC (สหรัฐอเมริกา), CMA และ ICO (สหราชอาณาจักร), คณะกรรมาธิการยุโรป (สหภาพยุโรป), ACCC (ออสเตรเลีย), KFTC (เกาหลีใต้) รวมถึงหน่วยงานคุ้มครองผู้บริโภคที่เกี่ยวข้องในแคนาดา ญี่ปุ่น อินเดีย บราซิล และประเทศอื่นๆ

เราจะพิสูจน์ให้เห็นว่า Valve ไม่ได้เป็นเพียงเหยื่อของแฮกเกอร์เท่านั้น หากแต่ได้จงใจออกแบบสถาปัตยกรรมที่เอื้อต่อการโจรกรรมสินทรัพย์ดิจิทัล—โดยเฉพาะอย่างยิ่งการมุ่งเป้าไปที่ผู้เยาว์—เพื่อลดต้นทุนการดำเนินงานและเพิ่มผลกำไร การโต้แย้งมาตรฐานของคุณที่ว่า "ผู้ใช้เป็นผู้รับผิดชอบความปลอดภัยของบัญชี" ถือว่าไม่มีผลทางกฎหมาย

นี่คือข้อเท็จจริงที่จะถูกนำเสนอต่อหน่วยงานกำกับดูแล:

ข้อเท็จจริงที่ 1: ความประมาทเลินเล่อเชิงสถาปัตยกรรม (การสร้าง API แบบไม่มีปัจจัยยืนยันตัวตน)
Valve บังคับใช้การยืนยันตัวตนสองขั้นตอน (Steam Guard) อย่างเข้มงวดสำหรับการเข้าสู่ระบบและการยืนยันการแลกเปลี่ยนด้วยตนเอง อย่างไรก็ตาม การสร้าง Steam Web API key—which ให้สิทธิ์เข้าถึงเต็มรูปแบบเพื่อตรวจสอบและยกเลิกการแลกเปลี่ยนของบัญชีอย่างเงียบๆ—ไม่ต้องการการแจ้งเตือนแบบ push หรือการยืนยันตัวตนสองขั้นตอนเลยแม้แต่น้อย สิ่งนี้ไม่ใช่ข้อบกพร่องทางโค้ด แต่เป็นทางเลือกเชิงสถาปัตยกรรมที่จงใจ ซึ่งละเมิดมาตรฐานความปลอดภัยด้านไอทีพื้นฐาน (OWASP, NIST) อย่างร้ายแรง

ข้อเท็จจริงที่ 2: ระยะเวลาการเชื่อมต่อที่ไม่มีการควบคุม (อายุการเชื่อมต่อแบบไม่จำกัด)
การวิเคราะห์ทางเทคนิคของเราพิสูจน์แล้วว่า ในขณะที่เซสชันเกมมาตรฐานบน Steam มีข้อจำกัดและโปรโตคอลการยุติการดำเนินการสำหรับกิจกรรมที่น่าสงสัย แต่เซสชันที่เป็นอันตรายซึ่งผู้โจมตีใช้สำหรับ API Scams กลับถูก Valve ปล่อยให้ทำงานอยู่อย่างไม่มีกำหนด Valve ได้จงใจไม่ดำเนินการกลไกการทำให้เซสชันหมดอายุ (TTL limits) ขึ้นอยู่กับคำขอตำแหน่งทางภูมิศาสตร์ที่น่าสงสัย ทำให้สคริปต์อัตโนมัติสามารถควบคุมบัญชีของเหยื่อได้เป็นระยะเวลานานหลายเดือน

ข้อเท็จจริงที่ 3: การออกแบบส่วนต่อประสานผู้ใช้ที่หลอกลวง (Dark Patterns)
อินเทอร์เฟซของ Steam Mobile Authenticator ถูกออกแบบโดยใช้ "Dark Patterns" ที่ผิดกฎหมาย ระหว่างการโจมตีแบบ Trade Hijack เมื่อสคริปต์ที่เป็นอันตรายยกเลิกธุรกรรมเดิมและสร้างธุรกรรมจำลองที่มีบอทปลอมเข้ามาแทนที่ อินเทอร์เฟซผู้ใช้ของ Steam (Steam UI) ล้มเหลวโดยเจตนาที่จะแสดงคำเตือนที่สำคัญและมองเห็นได้ชัดเจนว่าผู้ใช้จะไม่ได้รับรายการใด ๆ กลับมา ผู้เยาว์ยืนยันธุรกรรมที่ว่างเปล่าโดยเชื่อว่ากำลังดำเนินการธุรกรรมเดิมอย่างแท้จริง Valve ทราบถึงข้อบกพร่องที่สำคัญของอินเทอร์เฟซนี้มานานกว่า 7 ปีแล้ว และปฏิเสธที่จะแก้ไขอย่างจงใจ ซึ่งถือเป็นการปฏิบัติทางการค้าที่หลอกลวงผู้บริโภค (เป็นการละเมิดโดยตรงตามมาตรา 5 แห่งพระราชบัญญัติคณะกรรมการการค้ากลางของสหรัฐอเมริกา หรือ FTC Act)

ข้อเท็จจริงที่ 4: การอำพรางทางกฎหมายผ่านบันทึกของระบบ
Valve อ้างว่าผู้ใช้ (รวมถึงผู้เยาว์) ได้ "ยอมรับข้อกำหนดการให้บริการ" อย่างชัดเจนเพื่ออนุญาตการเข้าถึง API อย่างไรก็ตาม บันทึกภายในของ Valve (ที่อยู่ IP, User-Agents, timestamps) ซึ่งที่ปรึกษาภายนอกของคุณ รวมถึง Taylor Wessing สามารถเข้าถึงได้ เป็นหลักฐานที่หักล้างไม่ได้ว่าคีย์ API เหล่านี้ถูกสร้างโดยสคริปต์อัตโนมัติของบุคคลที่สาม ซึ่งส่วนใหญ่มีต้นกำเนิดจากที่อยู่ IP ของรัสเซีย Valve มีความสามารถในการมองเห็นทางเทคนิคที่จะเห็นว่าการทำงานดังกล่าวไม่ได้ดำเนินการโดยเจ้าของอุปกรณ์จริง แต่ยังคงปฏิเสธการคืนรายการสินค้าอย่างมีเจตนาชั่วร้ายภายใต้ข้ออ้างอันเป็นเท็จว่าเป็น "ความผิดของผู้ใช้"

ข้อเท็จจริงที่ 5: การอำนวยความสะดวกให้กับการก่ออาชญากรรมทางไซเบอร์และการละเมิดกฎหมายคุ้มครองเด็ก (COPPA, GDPR)
การอ้างว่าเวลาการทำงานที่ได้รับค่าจ้างของนักพัฒนา Valve มากกว่า 1,100,000 ชั่วโมง ไม่สามารถตรวจพบข้อกำหนดยืนยันที่ขาดหายไปสำหรับการสร้าง API นั้น ถือเป็นการยอมรับความไร้ความสามารถอย่างสิ้นเชิงหรือการจงใจเพิกเฉย คุณกำลังเปิดช่องให้กลุ่มอาชญากรไซเบอร์ที่มีโครงสร้างเป็นระบบขโมยสินทรัพย์จากเด็ก ๆ ทั่วโลก นอกจากนี้ แม้ Valve จะเป็นที่รู้จักในด้านการปฏิบัติตามคำสั่งศาลของรัสเซียอย่างรวดเร็ว แต่กลับเพิกเฉยต่อความปลอดภัยทางดิจิทัลของผู้ใช้ฐานในตะวันตกและเอเชียอย่างสิ้นเชิง ทำให้แฮกเกอร์สามารถทำกำไรจากช่องโหว่ของแพลตฟอร์มเหล่านี้ได้อย่างอิสระ

ข้อเท็จจริงที่ 6: ความหน้าซื่อใจคดด้านเขตอำนาจศาล และการปฏิบัติตามคำสั่งลับอย่างน่าสงสัย
ในข้อกำหนดการใช้งาน (Terms of Service) Valve พยายามจำกัดช่องทางทางกฎหมายของผู้ใช้ให้ขึ้นอยู่กับศาลในเคาน์ตีคิง รัฐวอชิงตัน สหรัฐอเมริกา เป็นหลักเกือบทั้งหมด—with ข้อยกเว้นที่น่าตกใจอย่างยิ่ง: การยอมรับอำนาจศาลของศาลใดก็ได้ในสหพันธรัฐรัสเซียอย่างชัดเจน มาตรฐานคู่ด้านเขตอำนาจศาลนี้ก่อให้เกิดคำถามสำคัญและน่าวิตกอย่างยิ่งต่อหน่วยงานกำกับดูแลระดับโลก: มีหลักประกันใดที่การปฏิเสธอย่างจงใจของ Valve ในการแก้ไขช่องโหว่ API เป็นเวลา 7 ปี—ซึ่งส่งผลให้เงินหลายสิบล้านดอลลาร์จากเด็ก ๆ ในตะวันตกและเอเชียไหลเข้าสู่มือของแฮกเกอร์รัสเซียโดยตรง—ไม่ใช่ผลมาจากคำสั่งศาลรัสเซียที่ไม่ได้เปิดเผยหรือแรงกดดันเชิงระบบ?

Valve บังคับให้ผู้บริโภคในสหรัฐฯ และสหภาพยุโรปเข้าสู่กระบวนการอนุญาโตตุลาการอย่างเข้มงวดในเคาน์ตีคิง แต่กลับยอมจำนนต่อข้อเรียกร้องทางกฎหมายของรัสเซียอย่างไม่มีเงื่อนไข ทั้งที่ปล่อยให้กลุ่มอาชญากรรมไซเบอร์รัสเซียปล้นสะดมแพลตฟอร์มของตนได้อย่างอิสระโดยปราศจากการแทรกแซงใด ๆ เราตั้งใจจะบังคับให้หน่วยงานกำกับดูแลระดับสหพันธรัฐสืบสวนการไหลเวียนทางการเงินแบบไม่สมมาตรและความเป็นพัวพันด้านเขตอำนาจศาลนี้โดยเฉพาะ

ข้อเรียกร้องของเราภายในคำขาด 7 วันนี้:

1. การหักล้างต่อสาธารณะ: คัดค้านข้ออ้างทางเทคนิคเหล่านี้ต่อสาธารณะ (ซึ่งเป็นเรื่องที่เป็นไปไม่ได้ เนื่องจากกลไกของ API และการขาดการยืนยันตัวตนสองขั้นตอนนั้นมีความโปร่งใสอย่างสมบูรณ์ต่อผู้พัฒนาทุกคน)
2. แพตช์ความปลอดภัยฉุกเฉิน: ดำเนินการบังคับใช้การยืนยันตัวตนแบบสองขั้นตอน (2FA) ผ่าน Steam Guard อย่างเร่งด่วนสำหรับการสร้างและแก้ไขคีย์ Steam Web API พร้อมทั้งกำหนดขีดจำกัดอายุเซสชัน (Session Time-To-Live: TTL) อย่างเข้มงวด
3. โปรแกรมชดเชยผู้เสียหาย ยอมรับต่อสาธารณะว่าผู้ใช้ที่ตกเป็นเหยื่อของ API Scams (การยึดครองธุรกรรม) ได้รับความเสียหายอันเนื่องมาจากช่องโหว่ของแพลตฟอร์มของ Valve มิใช่จากความประมาทเลินเล่อส่วนบุคคล และเปิดช่องทางเฉพาะสำหรับการกู้คืนสินทรัพย์และการชดเชย

หาก Valve ยังคงดำเนินนโยบาย "การเพิกเฉยโดยเจตนา" ต่อไปหลังจากเวลา 7 วันครบกำหนด 31 สิงหาคม 2026 เวลา 13:37 น. (PST)...เอกสารประกอบทั้งหมด—including การตรวจสอบทางเทคนิค บันทึกการหลบเลี่ยงการยืนยันตัวตนสองขั้นตอน (2FA) และหลักฐานการออกแบบอินเทอร์เฟซผู้ใช้ที่หลอกลวง—จะถูกส่งตรงไปยังหน่วยงานกำกับดูแลระดับสากล

เด็ก ๆ จะไม่ต้องรับเคราะห์จากความประมาทเลินเล่อและกลยุทธ์ทางธุรกิจของคุณอีกต่อไป นาฬิกาได้เริ่มเดินแล้ว

Phishdestroy

การแปลบทความอ่านการสืบสวนนี้ในภาษาของคุณภาษาทางการ 16 ภาษา · ภาษาอังกฤษเป็นต้นฉบับ · แปลด้วย DeepL และโฮสต์โดย PhishDestroymiddot; ภาษาอังกฤษเป็นต้นฉบับ 16 ภาษาทางการ · ภาษาอังกฤษเป็นต้นฉบับ · แปลด้วย DeepL และโฮสต์โดย PhishDestroymiddot; ส่วนที่เพิ่มจากการแปลด้วยเครื่องโฮสต์โดย PhishDestroy

การสืบสวน

กรณีศึกษาเพิ่มเติม · รูปแบบการหลอกลวงหนึ่งประเภท · สิงหาคม 2026

ภาวะพึ่งพาอาศัยของมิจฉาชีพที่ใช้ API ของ Steam: การหลอกลวง ความประมาท และความรับผิดชอบ

โปรไฟล์เชิงลึกเกี่ยวกับกลไกการทำงานของแผงหลอกลวงส่วนบุคคล อัลกอริทึมการสลับข้อเสนอทั้งห้าประเภท ชุดฟิชชิ่ง maFile และเหตุผลที่มาตรการ 'ต่อต้านการหลอกลวง' ของ Steam เป็นกลยุทธ์ทางธุรกิจที่ผ่านการคำนวณอย่างรอบคอบ

งานวิจัย PhishDestroy21 สิงหาคม 2026ใช้เวลาอ่านประมาณ 22 นาที

5อัลกอริทึมสำหรับการสแกนการสลับข้อเสนอ

2 วันการพักการเทรดของ maFile

มากกว่า 10 ล้านดอลลาร์ประมาณการขั้นต่ำของ PhishDestroy

1 IP → 1,000+Ihor: เซสชันที่ถูกยึดครองแบบแอคทีฟบนที่อยู่เดียว

ส่งมอบระยะที่ 1: เอกสารชุดสมบูรณ์ถูกส่งไปยังหน่วยงานกำกับดูแลระดับสากล

กำหนดเวลาได้สิ้นสุดลงแล้ว PhishDestroy ได้ยกระดับหลักฐานทางเทคนิคทั้งหมดที่ผ่านการตรวจสอบ ฐานข้อมูลการรั่วไหลของเซสชัน MaFile และแฟ้มเอกสารความประมาทเลินเล่อในขั้นตอนการทำงาน ส่งตรงไปยังหน่วยงานกำกับดูแลระดับโลก รวมถึงคณะกรรมการคุ้มครองข้อมูลแห่งยุโรป (EDPB) คณะกรรมการการค้าแห่งสหพันธรัฐ (FTC) และหน่วยงานคุ้มครองผู้บริโภคใน 18 เขตอำนาจศาล

ผลการสืบสวน

Steam มีความสมรู้ร่วมคิดอย่างเต็มที่ในแผนการหลอกลวงด้วยการแลกเปลี่ยนข้อเสนอ API มูลค่าหลายล้านดอลลาร์ โดยรักษาความสัมพันธ์แบบพึ่งพาซึ่งกันและกันที่มีประโยชน์ร่วมกันไว้กับผู้ขโมยสกิน (skin stealers) และผู้ดำเนินการพนันผิดกฎหมาย

1. บทนำ: ความสัมพันธ์แบบพึ่งพาซึ่งเกิดจากความประมาทที่จงใจ

Steam ยอมรับทุกการพัฒนารวมถึงกฎระเบียบและการเปลี่ยนแปลงต่าง ๆ (เช่น การระงับการแลกเปลี่ยนหรือการแบนการแลกเปลี่ยนหลังเปลี่ยนชื่อผู้ใช้) มาโดยตลอด มาตรการเหล่านี้ถูกบังคับใช้ แต่กลับไม่มีประสิทธิภาพและไม่ครอบคลุม Valve ไม่มีเจตนาจริงในการต่อสู้กับปัญหานี้ เนื่องจากเข้าใจดีว่าแพลตฟอร์มของตนพึ่งพาทั้งการหลอกลวงและการพนัน รวมถึงเศรษฐกิจนอกระบบที่ Steam ได้บ่มเพาะ อนุญาตให้เกิดขึ้น และดำรงอยู่มาหลายปี นี่ไม่ใช่การโจมตี Steam แต่เป็นภาวะพึ่งพาซึ่งกันและกัน (symbiosis) ที่ทั้งสองฝ่ายในความสัมพันธ์นี้ได้รับประโยชน์และเข้าใจร่วมกัน

การหลอกลวงผ่าน API (ที่รู้จักกันทั่วไปในชื่อการสลับหรือแทนที่ข้อเสนอ) มีต้นกำเนิดมาตั้งแต่เนิ่นๆ การฟิชชิ่งพึ่งพาการแทนที่ธุรกรรมมาโดยตลอด ในรูปแบบที่คงอยู่อย่างถาวร ปรากฏขึ้นราวฤดูใบไม้ผลิปี 2019 (ก่อนหน้านั้นมีลักษณะเป็นการฟิชชิ่งแยกส่วน ซึ่งต่อมาพัฒนาเป็นการแทนที่พร้อมระยะเวลาจำกัด 1 4 หรือ 8 ชั่วโมง) ราวฤดูใบไม้ผลิปี 2019 เครื่องมือทั้งหมดที่ใช้งานในตลาดการหลอกลวงทำให้เซสชันที่ถูกยึดครองกลายเป็น 'โมบาย' และนั่นคือวิธีที่มันดำรงอยู่ท่ามกลางความนิยมอย่างสูง ตามการประมาณการที่ระมัดระวังที่สุดของเรา สิ่งนี้ทำให้สามารถขโมยเงินได้ไม่ต่ำกว่า 10 ล้านดอลลาร์สหรัฐขึ้นไป แต่คุณต้องเข้าใจว่าโดยทั่วไปแล้วสิ่งนี้บ่มเพาะอาชญากรไซเบอร์ Steam ปกป้องผู้หลอกลวงด้วยการเล่นเกม 'สกินไร้ค่า' การนำระบบ Trade Hold มาใช้เกิดขึ้นหลังจากกลไกการสลับข้อเสนอได้รับการสถาปนาแล้ว การเพิ่ม Trade Hold 7 วันแบบไม่มีที่สิ้นสุดเกิดขึ้นอย่างกะทันหันและไร้เหตุผล นี่ไม่ใช่การต่อต้านการหลอกลวง แต่เป็นการกำกับดูแล

ขออธิบายให้เข้าใจว่ากลไกการสลับข้อเสนอ (offer swapping) ทำงานอย่างไร และเหตุใด Steam รวมถึงความพยายามในการป้องกันการหลอกลวงของแพลตฟอร์มนี้จึงเป็นเรื่องไร้สาระสิ้นดี (และเคยเป็นเช่นนั้นมาตลอด)

2. แผนแม่บทปี 2017–2018: อัลกอริทึมภาคเอกชน 5 ตัว

เพื่อทำความเข้าใจขนาดของปฏิบัติการ เราสามารถย้อนกลับไปดูแผงสแกมส่วนตัว (private scam panels) ที่ดำเนินการระหว่างปี 2017 ถึงฤดูใบไม้ผลิปี 2018 ในช่วงเวลานี้ นักพัฒนาได้สร้างอัลกอริทึมปฏิบัติการที่แตกต่างกัน 5 รูปแบบสำหรับวิธีการแลกเปลี่ยนข้อเสนอ (offer swap method) การอัปเดตส่วนตัวนี้ครอบคลุมอัลกอริทึมทั้ง 5 รูปแบบ: บอทของแผงจะเข้าสู่ระบบบัญชีของผู้ใช้และดำเนินการตามหนึ่งใน 5 อัลกอริทึมด้านล่าง โดยข้ามการยืนยันตัวตนสองขั้นตอน (2FA) ผ่านการตรวจสอบด้วย Guard ผู้หลอกลวงสามารถกำหนดค่าการตั้งค่าเหล่านี้ (เช่น เกมที่จะส่ง ตัวกรองราคาขั้นต่ำของข้อเสนอ ฯลฯ) ได้โดยตรงในแผงผู้ดูแลระบบ (admin panel) ของพวกเขา

Five Private Algorithms — ภาพประกอบงานสืบสวน**อัลกอริทึมส่วนตัวห้าตัว**

ข้อเสนอแลกเปลี่ยน เหยื่อตรวจสอบธุรกรรมที่ถูกต้องบนคอมพิวเตอร์ ก่อนการยืนยันผ่านโทรศัพท์ เซสชันที่ควบคุมโดยผู้โจมตีจะยกเลิกธุรกรรมเดิม คัดลอกชื่อและอวตารของคู่ค้า และส่งข้อเสนอฉบับใหม่แทนที่ เหยื่อจึงยืนยันข้อเสนอฉบับดังกล่าวผ่าน Steam Guard ซึ่งมักเป็นข้อเสนอที่ไม่ได้รับสิ่งตอบแทนใดๆ รหัส Guard ไม่ได้ถูกเจาะ แต่ข้อเสนอที่อยู่เบื้องหลังขั้นตอนการยืนยันที่คุ้นเคยนั้นถูกเปลี่ยนไปแล้ว

ภาคผนวกทางเทคนิค: รูปแบบการแลกเปลี่ยนข้อเสนอและวิวัฒนาการของแผง

อัลกอริทึมที่ 1: การสลับแบบคลาสสิก

ตรวจสอบข้อเสนอ: มาจากเว็บไซต์ซื้อขายหรือไม่? หากใช่ จะดำเนินการตามขั้นตอนด้านล่าง
ยกเลิกข้อเสนอจากบอทเทรดอย่างเป็นทางการ
วิเคราะห์และแยกแยะชื่อเล่น ภาพโปรไฟล์ และข้อความการเทรดจากบัญชีของบอททางการ จากนั้นตั้งค่าข้อมูลทั้งหมดเหล่านี้ลงบนบัญชีบอทของมิจฉาชีพ
ส่งข้อเสนอที่เหมือนกันทุกประการ แต่มาจากบัญชีของมิจฉาชีพ โดยใช้รายการสินค้า นามแฝง และรูปโปรไฟล์เดิม

อัลกอริทึมที่ 2: การสลับแบบหน่วงเวลา

ตรวจสอบข้อเสนอ: มาจากเว็บไซต์ซื้อขายหรือไม่? หากใช่ จะดำเนินการตามขั้นตอนด้านล่าง
ไม่ยกเลิกข้อเสนอจากบอทอย่างเป็นทางการทันที แต่รอให้ผู้ใช้ยอมรับบนคอมพิวเตอร์ (ไม่ใช่บนโทรศัพท์)
เมื่อผู้ใช้ยอมรับข้อเสนอ (บนคอมพิวเตอร์) บอทจะยกเลิกข้อเสนออย่างเป็นทางการ
วิเคราะห์และแยกแยะชื่อเล่น รูปภาพโปรไฟล์ และข้อความการแลกเปลี่ยนจากบัญชีของบอททางการ จากนั้นตั้งค่าข้อมูลดังกล่าวลงบนบัญชีของมิจฉาชีพ
ส่งข้อเสนอที่เหมือนกันทุกประการจากบัญชีของมิจฉาชีพ โดยใช้รายการสินค้า นามแฝง และรูปโปรไฟล์เดิม
ยอมรับข้อเสนอ (จากบอทของมิจฉาชีพ) บนคอมพิวเตอร์
ผลลัพธ์คือ ผู้ใช้ยืนยันธุรกรรมบนแอปพลิเคชันมือถือ โดยเข้าใจผิดว่าเป็นบอทอย่างเป็นทางการ ทั้งที่จริงแล้วเป็นบอทของมิจฉาชีพ

อัลกอริทึมที่ 3: การยึดครองการส่งข้อมูลออก

ผู้ใช้ส่งข้อเสนอโดยใช้ลิงก์เทรดของบอทมิจฉาชีพ จากนั้นจึงดำเนินการยืนยันผ่านแอปพลิเคชันบนมือถือ
บอทของมิจฉาชีพยกเลิกข้อเสนอของผู้ใช้
ส่งข้อเสนอจากบัญชีของผู้ใช้ซึ่งประกอบด้วยรายการทั้งหมด (สามารถเลือกเกมที่มีสิทธิ์ได้ผ่านแผงควบคุมผู้ดูแลระบบ) ไปยังลิงก์แลกเปลี่ยนของบอทหลอกลวง
จากนั้นผู้ใช้ยืนยันธุรกรรมที่แก้ไขแล้วผ่านแอปพลิเคชันบนมือถือ

อัลกอริทึมที่ 4: การสลับทิศทางคู่

ข้อเสนอที่เข้ามา
- เมื่อมีการส่งคำเสนอแนะไปยังผู้ใช้โดยขอเฉพาะรายการของผู้ใช้ การแลกเปลี่ยนจะเกิดขึ้นเมื่อผู้ใช้ดำเนินการยอมรับบนโทรศัพท์ (หลังจากยอมรับบนคอมพิวเตอร์แล้ว) [โดยใช้อัลกอริทึมหมายเลข 2]
- เมื่อมีการส่งข้อเสนอไปยังผู้ใช้สำหรับทั้งรายการของผู้ใช้และรายการของคู่สัญญา การแลกเปลี่ยนจะเกิดขึ้นเมื่อผู้ใช้ดำเนินการยอมรับบนโทรศัพท์มือถือ (หลังจากที่ยอมรับบนคอมพิวเตอร์แล้ว)
ข้อเสนอขาออก:
- เมื่อผู้ใช้ส่งข้อเสนอที่ประกอบด้วยรายการของตนเองไปยังผู้ใช้รายอื่น ขณะกำลังดำเนินการยืนยันผ่านแอปพลิเคชันบนมือถือ การแลกเปลี่ยนจะดำเนินการทันที การตรวจสอบการยืนยันผ่านมือถือของผู้ใช้บนฝั่งบอทจะดำเนินการผ่านระบบการยอมรับการแลกเปลี่ยนอัตโนมัติ

อัลกอริทึมที่ 5: เครื่องมือกวาดล้างรายการสินค้าคงคลัง

มีลักษณะเดียวกันกับอัลกอริทึมหมายเลข 4 ยกเว้นว่าในขั้นตอนการสลับข้อเสนอขาออก ระบบจะเพิ่มรายการของผู้ใช้ที่เข้าร่วมการแลกเปลี่ยนอยู่แล้วก่อน จากนั้นจึงเพิ่มคลังสินค้าทั้งหมดของเกมที่ถูกเลือกไว้ด้านล่าง เกมที่มีสิทธิ์ให้ล้างข้อมูลได้สามารถเลือกได้ในแผงผู้ดูแลระบบ (CS, DOTA, H1Z1, PUBG)

3. โครงสร้างพื้นฐานของแผงควบคุมหลอกลวงและฟีเจอร์สำหรับผู้ดูแลระบบ

เครือข่ายการหลอกลวงถูกดำเนินการในลักษณะเดียวกับองค์กร SaaS ที่ถูกต้องตามกฎหมาย แดชบอร์ดสำหรับผู้ดูแลระบบของพวกมันมาพร้อมฟีเจอร์ที่แข็งแกร่งและรองรับการทำงานแบบมัลติเธรด ซึ่งออกแบบมาเพื่อวัตถุประสงค์ในการขโมยข้อมูลและควบคุมการปฏิบัติการอย่างรวดเร็ว:

ตารางบันทึกเหตุการณ์โดยละเอียด แสดง SteamID ที่กำลังใช้งานภายใต้การแทนที่: 'SteamID', 'รายการสินค้า ($)', 'เวลาที่เหลือก่อนเซสชันสวอปจะหมดอายุ', 'จำนวนข้อเสนอที่สวอปแล้ว', 'อัลกอริทึมการทำงาน', 'ตัวกรองราคา', 'เวลาเริ่มเซสชันสวอป', 'หมายเหตุ', 'การดำเนินการ'
ฟีเจอร์การจัดการผู้ใช้: หยุดชั่วคราว, ดำเนินการต่อ, ลบ, อัปเดตลิงก์ธุรกรรม
ตัวกรองเกณฑ์ราคาต่ำสุดในหน่วยดอลลาร์สหรัฐ (ข้อเสนอที่มีมูลค่ารวมของรายการต่ำกว่าเกณฑ์นี้จะไม่ถูกแลกเปลี่ยน เพื่อหลีกเลี่ยงการเสียเวลาไปกับรายการที่มีมูลค่าต่ำ) ตัวเลือกนี้สามารถเข้าถึงได้ภายใต้แท็บ 'การตั้งค่า' ราคาของ CS, DOTA, H1Z1 และ PUBG จะได้รับการอัปเดตทุกวันในช่วงเวลา 05:00 น. ถึง 07:00 น.
การอัปเดตลิงก์การซื้อขายแบบทำด้วยตนเอง หากผู้ใช้เปลี่ยน URL ของการเทรด
การควบคุมบอทเสนอราคา (เริ่ม, หยุด, เริ่มใหม่)
เบราว์เซอร์ Steam ที่ติดตั้งมาพร้อมระบบ.
และคุณลักษณะอื่นๆ อีกมากมาย...

Scam Panel Features — ภาพประกอบงานสืบสวน**ฟีเจอร์ของแผงควบคุมการหลอกลวง**

ชุดฟิชชิ่งพิเศษ 'maFile'

นอกจากนี้ยังมีชุดข้อมูล (bundle) แยกต่างหากที่มุ่งเป้าไปที่ไฟล์ maFiles (ไฟล์ Mobile Authenticator) กลไกหลักเกี่ยวข้องกับการขโมยรหัส SMS การรอจนกว่าระยะเวลาพักการใช้งาน (cooldown) 2 วันจะหมดลง การล้างข้อมูลสกิน (skins) ทั้งหมด และการยึดครองบัญชีอย่างสมบูรณ์

maFile Phishing Bundle — ภาพประกอบงานสืบสวน**ชุดการโจมตีแบบฟิชชิ่งผ่านไฟล์**

เหยื่อเข้าสู่ระบบบนเว็บไซต์ฟิชชิงโดยใช้ชื่อผู้ใช้และรหัสผ่าน (ซึ่งได้รับการตรวจสอบแบบเรียลไทม์) จากนั้นจะปรากฏหน้าป้อนรหัสยืนยันผ่าน SMS (แทนที่ Steam Guard) โดยแสดงตัวเลขสองหลักสุดท้ายของหมายเลขโทรศัพท์ที่ส่ง SMS ไป เมื่อป้อนรหัส SMS ที่ถูกต้องแล้ว แผงควบคุมของผู้ดูแลระบบจะสร้าง maFileด้วยไฟล์นี้ มิจฉาชีพสามารถสร้างรหัสยืนยันตัวตนสองขั้นตอน (Steam Guard 2FA) และยอมรับการแลกเปลี่ยนได้โดยตรง อย่างไรก็ตาม ไฟล์ maFile ที่สร้างขึ้นใหม่นี้จะอยู่ภายใต้ข้อจำกัดการแลกเปลี่ยน 2 วัน (trade hold): การแลกเปลี่ยนใด ๆ ที่เริ่มขึ้นภายใน 2 วันแรกนับตั้งแต่การสร้างไฟล์ maFile จะถูกพักไว้เป็นเวลา 48 ชั่วโมง และเจ้าของสามารถยกเลิกได้

เมื่อไฟล์ maFile ใหม่ถูกสร้างขึ้นในแผงควบคุมของมิจฉาชีพ ตัวยืนยันตัวตนบนมือถือรุ่นเก่าของเหยื่อจะเริ่มสร้างรหัสที่ไม่ถูกต้อง อย่างไรก็ตาม สำหรับเหยื่อ แอปพลิเคชันดูเหมือนจะทำงานได้ปกติสมบูรณ์ ข้อความของ SMS ที่ผู้ใช้ได้รับมีข้อความดังนี้: รหัสสำหรับปิดใช้งานหรือย้าย Authenticator คือ: 13204แดชบอร์ดสำหรับผู้ดูแลระบบยังมีตัวเลือกสำหรับการดาวน์โหลดไฟล์ maFile ตรวจสอบความถูกต้องของไฟล์ สร้างรหัส 2FA (คล้ายกับ Steam Desktop Authenticator - SDA) เริ่มต้นข้อเสนอที่รวมรายการสินค้าทั้งหมดในคลังด้วยปุ่มเดียว หรือดำเนินการอัตโนมัติข้อเสนอพร้อมระยะเวลาพัก 2 วันทันทีหลังจากสร้างไฟล์ maFile นอกจากนี้ แดชบอร์ดยังได้เพิ่มฟีเจอร์ "auto-phishing" และการยึดบัญชีแบบคลิกเดียวในภายหลัง เพื่อความสะดวก ตัวนับถอยหลังแบบภาพจะติดตามระยะเวลาพักที่เหลืออยู่โดยตรงข้างไฟล์ maFile

3b. วิธีการปฏิบัติการ

1) การมุ่งเป้าขโมยสกิน

การรั่วไหลของข้อมูลแบบล่าช้า: รอ 2 วันหลังจากสร้างไฟล์ maFile แล้วจึงส่งข้อเสนอแลกเปลี่ยนไปยังบัญชีปลายทาง (ปุ่มเดียวในแผงผู้ดูแลระบบจะส่งสกินทั้งหมดไปยังลิงก์แลกเปลี่ยนเป้าหมาย) เงื่อนไขสำหรับการดำเนินการสำเร็จ: ผู้เสียหายต้องไม่เปลี่ยนหมายเลขโทรศัพท์หรือรหัสผ่านในช่วง 2 วันนี้ (เนื่องจากหากดำเนินการดังกล่าวจะทำให้ไฟล์ maFile ในแผงผู้ดูแลระบบหมดอายุ)
ข้อเสนออัตโนมัติทันที: ส่งข้อเสนออัตโนมัติ (auto-offer) ที่ประกอบด้วยรายการสินค้าทั้งหมดไปยังลิงก์เทรดเป้าหมายทันทีเมื่อมีการสร้างไฟล์ maFile ห้ามยอมรับข้อเสนอทันที เพื่อป้องกันไม่ให้รายการสินค้าหายไปจากบัญชีของเหยื่อก่อนกำหนด เพียงรอ 2 วันแล้วจึงยอมรับข้อเสนอ ภายใต้วิธีการนี้ การเปลี่ยนรหัสผ่านหรือการผูกตัวยืนยันตัวตนบนมือถือ (mobile authenticator) ใหม่จะไม่ทำให้การเทรดหยุดชะงัก อย่างไรก็ตาม หากเหยื่ออัปเดตตัวยืนยันตัวตน การระงับ (hold) จะถูกรีเซ็ต ทำให้ต้องรออีก 2 วัน เงื่อนไขสำหรับความสำเร็จ: เหยื่อต้องไม่ยกเลิกข้อเสนอการเทรดที่ค้างอยู่ด้วยตนเองตลอดช่วงระยะเวลาการระงับ 48 ชั่วโมง

2) การมุ่งเป้าขโมยบัญชี (การหลอกลวงทางอีเมล)

การขายบัญชีโดยตรง ขายบัญชีพร้อมไฟล์ maFile ที่ถูกโหลดไว้ล่วงหน้าแล้ว หลังจากสร้างไฟล์ maFile เสร็จสิ้น ผู้ตกเป็นเหยื่อจะมีความสงสัยในกิจกรรมที่ผิดปกติได้น้อยกว่าเมื่อเทียบกับวิธีการฟิชชิ่งแบบดั้งเดิม ซึ่งมักทำให้เกิดการล็อกบัญชีด้วย Red Sign ทันที ส่งผลให้มิจฉาชีพมีช่วงเวลาที่กว้างขึ้นในการนำบัญชีไปเปลี่ยนมือในตลาดมืด อย่างไรก็ตาม ยังคงมีความเสี่ยงอยู่เสมอที่เหยื่อจะพยายามเข้าสู่ระบบจากเบราว์เซอร์หรือคอมพิวเตอร์เครื่องใหม่ และสร้างไฟล์ maFile ขึ้นใหม่บนโทรศัพท์มือถือ หรือดำเนินการรีเซ็ตรหัสผ่าน
ฟิชชิ่งอัตโนมัติ: หลังจากจับไฟล์ maFile ได้แล้ว บัญชีจะถูกจัดคิวอัตโนมัติเพื่อกระบวนการขโมยข้อมูลรับรอง (credential stripping) และถูกล็อกด้วย Community Ban การโจมตีแบบ Phishing ที่รวมกับการสร้างไฟล์ maFile จะมุ่งเป้าและขโมยเฉพาะระบบ Steam Guard บนอุปกรณ์เคลื่อนที่เท่านั้น
ฟิชชิ่งแบบคลิกเดียว ติดตั้งคำสั่งห้ามใช้ชุมชน (Community Ban) และกระตุ้นการถอนสิทธิ์การเข้าถึง (credentials) โดยอัตโนมัติเมื่อสั่งการ

นอกจากนี้ บอทนี้ยังสามารถบูรณาการกับการวิเคราะห์คุกกี้ของ OPSkins และการยืนยันตัวตนแบบสองขั้นตอน (2FA) ได้ ระบบหลังบ้าน (Backend) ใช้สถาปัตยกรรมแบบมัลติเธรด (Multi-threaded) และมีความสามารถในการประมวลผลบัญชีจำนวนมหาศาลต่อวินาที

4. โครงสร้างของกลลวง

กระบวนการหลอกลวงทำงานอย่างไรในทางปฏิบัติ? เด็กคนหนึ่งได้รับลิงก์ผ่าน Steam (โดเมนอาจปลอมตัวเป็นทัวร์นาเมนต์ การแจกของฟรี หรือเว็บไซต์แลกเปลี่ยนสกิน) หน้าเว็บมีปุ่มอนุญาตและอินเทอร์เฟซเข้าสู่ระบบที่ซับซ้อนมาก: หน้าต่างป๊อปอัพแบบเบราว์เซอร์ในเบราว์เซอร์ (browser-in-browser) ที่แสดง 'โดเมนทางการของ Steam' อย่างชัดเจน (โดยใช้ about:blank เทคนิคหรือหน้าต่างแบบกำหนดเองเพื่อซ่อน URL การฟิชชิ่งที่แท้จริง) หรือในทางกลับกัน แทนที่จะใช้การซ้อนทับหน้าต่างแบบภาพ (visual window overlay) ระบบจะเปิดหน้าเข้าสู่ระบบ Steam ที่ถูกโคลนนิ่งมาอย่างสมบูรณ์ในแบบเต็มหน้าจอ ซึ่งโฮสต์อยู่บนโดเมนที่ถูกปลอมแปลง เด็กจะยืนยันตัวตนโดยตรง โดยพิมพ์ชื่อผู้ใช้ รหัสผ่าน และรหัส Steam Guard จากนั้นก็จบลงตรงนั้น ไม่เกิดเหตุการณ์ใดๆ ขึ้น—เว็บไซต์ฟิชชิ่งจะเปลี่ยนเส้นทางไปยังที่อื่น หรือเพียงแสดงฟอร์มการเข้าสู่ระบบซ้ำอีกครั้ง

The Flow of Deception — ภาพประกอบงานสืบสวน**กระแสแห่งการหลอกลวง**

4a. แต่เบื้องหลังเกิดอะไรขึ้นจริง?

บนเซิร์ฟเวอร์ของผู้โจมตี เซสชันแบบเรียลไทม์จะถูกสร้างขึ้นทันทีหลังจากการยืนยันตัวตน—ซึ่งเทียบเท่ากับการสร้างเซสชันของบัญชีที่ได้รับอนุญาตอย่างสมบูรณ์ จากนั้นสคริปต์จะขอคีย์ API สำหรับบัญชีนั้นทันที (ผ่าน steamcommunity.com/dev/apikey). ผู้ฉ้อโกงจะนำเบราว์เซอร์แบบไร้หัว (headless browsers) ที่บูรณาการเข้ามาใช้งานภายในเซสชันที่ทำงานอยู่ ควบคู่ไปกับระบบอัตโนมัติสำหรับส่งสแปมอัตโนมัติ ปิดใบคำขอรับบริการ (support tickets) และฟังก์ชันอื่น ๆ

การดำเนินการโจมตีนี้ อาศัยบัญชีบอทที่พร้อมใช้งานทันที ซึ่งมีสิทธิ์ซื้อขายเปิดใช้งานอยู่และไม่มีข้อจำกัดจากชุมชน บัญชีเหล่านี้เป็นบัญชีที่ลงทะเบียนเป็นจำนวนมากโดยอัตโนมัติ (เติมเงินจำนวน 5 ดอลลาร์สหรัฐพอดี และเลี้ยงบัญชีไว้ 14 วันเพื่อปลดล็อกสิทธิ์การซื้อขาย) ใช่แล้ว บัญชีเหล่านี้ถูกลงทะเบียนโดยอัตโนมัติทั้งหมดโดยใช้ซอฟต์แวร์ลงทะเบียน Steam ย่อมมองเห็นและตรวจจับการลงทะเบียนเหล่านี้ได้ (แม้จะใช้งานผ่านพร็อกซีก็ตาม) ระบบตระหนักดีถึงรูปแบบกิจกรรมที่ขับเคลื่อนด้วยซอฟต์แวร์—บัญชีที่เติมเงินจำนวน 5 ดอลลาร์สหรัฐพอดีเพื่อปลดล็อกข้อจำกัด โดยยอดเงินดังกล่าวไม่มีการเคลื่อนไหวใดๆ เลย เมื่อซื้อบัญชีเหล่านี้แล้ว จะถูกนำไปเชื่อมต่อเข้ากับแผงควบคุมการหลอกลวง (scam panel) ตั้งแต่จุดนั้นเป็นต้นไป การโจมตีทั้งหมดจะดำเนินการผ่านคำขอ API แบบดิบ (raw API requests) เป็นหลักแทบจะทั้งหมด ยกเว้นขั้นตอนการขายไอเทมที่ถูกขโมย: โดยทั่วไป ผู้โจมตีจะเข้าถึงเบราว์เซอร์ด้วยตนเอง เพื่อลงรายการสกิน โอนเงิน และถอนเงินสด (แม้ว่าบางรายจะอ้างว่าสามารถบรรลุการอัตโนมัติแบบครบวงจรได้ ซึ่งบอทจะลงรายการสกิน ดำเนินการขาย และจ่ายเงินค่าตอบแทนให้คนงาน ผู้ส่งสแปม และผู้สร้างทราฟฟิกโดยอัตโนมัติ)

การยืนยันตัวตนมีต้นกำเนิดจาก IP ใหม่ล่าสุด และเซสชันที่สร้างโดยซอฟต์แวร์มาจากพูลโฮสติ้ง/ISP แบบสแตติก ซึ่งส่วนใหญ่เป็นของ Ihor ข้อมูลและไฟล์ที่ PhishDestroy เก็บรักษาไว้จากผลิตภัณฑ์ดังกล่าว แสดงให้เห็นว่ามีที่อยู่ IP ที่ซ้อนทับกันโดยบังเอิญมากกว่าหนึ่งรายการ: IP บางตัวของ Ihor ติดต่อกัน รวมถึงที่อยู่ลงท้ายด้วย .156, .157 และ .158 โดยแต่ละตัวมีเซสชันที่ถูกยึดครอง (hijacked) ที่ทำงานอยู่พร้อมกันมากกว่า 1,000 เซสชัน ตัวเลขนี้ไม่ใช่การประมาณการจากภายนอก แต่เป็นข้อมูลที่ได้จากการตรวจสอบโครงสร้างพื้นฐานภายในไฟล์ผลิตภัณฑ์ นอกจากนี้ ยังพบรูปแบบการดำเนินงานอีกชุดหนึ่งบนฝั่งบอทผู้รับ: บอทหนึ่งตัวได้รับสล็อต IP หนึ่งตัว การแทนที่บอทในสล็อตนั้นยังคงรักษาที่อยู่ IP ไว้ ส่งผลให้ที่อยู่ดังกล่าวถูกจัดสรรใช้งานเป็นระยะเวลาประมาณหนึ่งเดือน อย่างไรก็ตาม การเข้าสู่ระบบเซิร์ฟเวอร์ยังคงสามารถสร้าง API key และเซสชันขนานที่ไม่มีกำหนดเวลาสิ้นสุดได้ พฤติกรรมดังกล่าวเป็นพฤติกรรมปกติของผู้เล่นหรือไม่?

From intercepted MFA to token replay and mass session pooling — กลไกการโจมตีที่บันทึกไว้ · ขนาดโครงสร้างพื้นฐานระบุไว้ด้านล่าง**จากการดักจับ MFA ไปจนถึงการโจมตีแบบ Token Replay และการรวมเซสชันจำนวนมาก**

ข้อเท็จจริงจากการสืบสวนที่บันทึกไว้1 IHOR IP = มากกว่า 1,000 เซสชันที่ถูกยึดครองที่ใช้งานอยู่

ไม่ใช่ 1,000 ที่อยู่ IP แต่เป็นเซิร์ฟเวอร์ของ Ihor เพียงตัวเดียวที่รองรับเซสชันที่ใช้งานอยู่กว่า 1,000 เซสชัน ซึ่งทั้งหมดเป็นของบุคคลอื่น ที่อยู่ IP บางส่วนเป็นลำดับติดต่อกัน เช่น .156, .157, .158 และแต่ละที่อยู่มีเซสชันมากกว่า 1,000 เซสชัน Steam ไม่ได้ยุติการเชื่อมต่อของกลุ่มที่อยู่ IP เหล่านั้น

สัญญาณฝั่งเซิร์ฟเวอร์

การเข้าสู่ระบบเพียงครั้งเดียวอาจดูเป็นปกติ แต่การเชื่อมต่อต่อเนื่องกันเป็นกลุ่มมากกว่า 1,000 เซสชันย่อมไม่อาจเป็นปกติได้

ในด้านบัญชีที่ถูกยึดครอง IP ของ Ihor หนึ่งรายการให้บริการเซสชันขนานมากกว่า 1,000 รายการ บอทฝั่งผู้รับใช้รูปแบบที่แตกต่างกัน: บอทหนึ่งตัวต่อสล็อต IP ที่เสถียร ซึ่งสล็อตดังกล่าวจะถูกคงไว้แม้บอทจะถูกแทนที่ PhishDestroy ได้เก็บรักษาข้อมูลและไฟล์จากผลิตภัณฑ์ดังกล่าวไว้หนึ่งรายการ และพร้อมส่งมอบแหล่งข้อมูลต้นฉบับเพื่อการตรวจสอบอิสระ

One account, two rules: strict game enforcement and tolerated web-session abuse — การบูรณะเนื้อหาโดยกองบรรณาธิการ · กฎระเบียบทางการของ Steam ที่เชื่อมโยงไว้ด้านล่างบัญชีเดียว กฎสองข้อ: การบังคับใช้กฎของเกมอย่างเข้มงวด และการยอมรับการละเมิดการใช้งานเซสชันบนเว็บ

ความไม่สมมาตรในการบังคับใช้กฎหมาย

Valve ปกป้องสิทธิ์การใช้งาน (license) ไม่ใช่บัญชี

การที่บุคคลสองคนพยายามใช้งานจากบัญชีเดียวกันถือเป็นสถานการณ์ฉุกเฉิน ในขณะที่การที่ IP ของ Ihor หนึ่งรายการถือครองเซสชันที่ถูกยึดครอง (hijacked) ที่กำลังทำงานอยู่ 1,000 รายการ กลับไม่ถือเป็นเช่นนั้น

ใบอนุญาตเกมผู้เล่นคนที่สอง: บังคับให้เข้าสู่ระบบใหม่

กฎของ Steam ระบุชัดเจนว่าไม่รองรับการเล่นพร้อมกันบนบัญชีเดียว: ผู้ใช้คนแรกจะพบข้อความ "Invalid Steam UserID Ticket" ในที่สุด และต้องเข้าสู่ระบบใหม่ ส่วนอุปกรณ์ที่ไม่ได้รับรองจะต้องการรหัส Steam Guard แยกต่างหาก

ความปลอดภัยของบัญชีเซสชันจากต่างประเทศ: อนุญาตให้คงอยู่

ในโครงสร้างพื้นฐานที่บันทึกไว้ IP ของ Ihor หนึ่งรายการได้ถือครองเซสชันที่ถูกยึดครอง (hijacked) ที่ทำงานอยู่พร้อมกัน 1,000 เซสชัน ซึ่งเซสชันเหล่านี้ได้สร้างคีย์ ติดตามบัญชี และยกเลิกหรือแทนที่คำสั่งซื้อขาย Steam ไม่ได้เพิกถอนพูลเซสชันดังกล่าวเป็นจำนวนมากหรือบังคับให้เจ้าของบัญชีต้องเข้าสู่ระบบใหม่ผ่านกระบวนการยืนยันตัวตนที่สะอาด

สิ่งที่ไม่มีคุณค่าเพียงพอที่จะปกป้องคืออะไรกันแน่—รายการสินค้า ข้อความส่วนตัว โปรไฟล์ หรือเพื่อนทุกคนที่ตกเป็นเหยื่อของสแปมฟิชชิ่ง?

การตอบสนองขั้นต่ำที่ชัดเจนคือ เมื่อบัญชีสหรัฐฯ ที่ทราบอยู่แล้วได้รับเซสชันโฮสติ้งแบบขนานจาก IP ที่มียอดบัญชีที่ถูกยึดครอง (hijacked) อยู่แล้ว 1,000 บัญชี ให้เพิกถอนเซสชันดังกล่าว คีย์ API ที่สร้างขึ้น และคำยืนยันที่เกี่ยวข้อง ในทางตรงกันข้าม เซสชัน MITM สามารถอ่านแชทข้างเคียงกับเจ้าของบัญชีได้อย่างไม่จำกัดเวลา และควบคุมการเทรดได้ การแชร์ใบอนุญาตถูกระงับ สัญญาณการยึดครองบัญชีได้รับการยอมรับ และความเสียหายถูกโยนกลับไปยังเหยื่อ

นอกจากนี้ บนแพลตฟอร์ม Steam คีย์ API ของคุณยังคงมีสถานะไม่แน่นอนอย่างสมบูรณ์ แม้ว่าคุณจะลบหรือเปลี่ยนคีย์ดังกล่าวด้วยตนเอง เซสชันของคุณก็จะสร้างคีย์ใหม่ขึ้นโดยอัตโนมัติเมื่อมีการดำเนินการใดๆ ในเบื้องหลัง (เช่น การตรวจสอบสุขภาพของเซสชัน การประเมินมูลค่ารายการในคลังสินค้า หรือการตรวจสอบตามรอบเวลา ซึ่งแผงควบคุมสำหรับมิจฉาชีพได้ดำเนินการในลักษณะนี้หลายพันครั้ง) การเข้าถึงเซสชันอย่างต่อเนื่องนี้ทำให้มิจฉาชีพสามารถเฝ้าติดตามบัญชีแบบเรียลไทม์ได้ก่อนที่ผู้ใช้จะทันสังเกต เป็นเรื่องยากที่ผู้ใช้จะจับผิดได้: โดยทั่วไปแล้ว เมื่อผู้ใช้ตกเป็นเหยื่อของการหลอกลวง (phishing) เซสชันของพวกเขาก็จะหมดอายุหรือถูกทิ้งไปในที่สุด แต่หากเหยื่อเพียงลบหรือเปลี่ยนคีย์ API สคริปต์จะสร้างคีย์ใหม่ขึ้นทันทีโดยใช้เซสชันที่ยังคงใช้งานอยู่

บอทเหล่านี้คือบัญชีที่ลงทะเบียนเป็นจำนวนมากโดยมียอดคงเหลือ 5 ดอลลาร์ ตลาดมีขนาดใหญ่มาก และการแข่งขันรุนแรงจนทำให้บัญชีเหล่านี้ถูกขายในราคาใกล้เคียงกับต้นทุนจริงที่ 5 ดอลลาร์ Steam สามารถตรวจจับได้ชัดเจน เช่น เซสชันที่ใช้งานอยู่ซึ่งมีตัวตรวจสอบ Steam Guard ติดตั้งอยู่บนโทรศัพท์ของเด็ก ซึ่งระบุตำแหน่งอยู่ในสหรัฐอเมริกา รวมถึงคอมพิวเตอร์และเบราว์เซอร์ของพวกเขาก็อยู่ในสหรัฐอเมริกาเช่นกัน แต่ในขณะเดียวกัน ระบบก็ตรวจพบเซสชันที่ใช้งานอยู่ซึ่งมีต้นกำเนิดจากรัสเซียหรือเนเธอร์แลนด์ (ผู้ให้บริการ อิฮอร์ เคยเป็นศูนย์กลางหลักมาเป็นเวลานาน เนื่องจากมีการรวมกลุ่มของ IP เฉพาะเหล่านี้ไว้เป็นจำนวนมาก

ใช่ การโจรกรรมเริ่มต้นขึ้นในระดับกว้างใหญ่ Steam ไม่ได้แสดงความคิดเห็นใดๆ เมื่อเด็ก ๆ เขียนจดหมายถึงฝ่ายสนับสนุน Steam ไม่ได้แม้แต่จะแนะนำพวกเขาให้เปลี่ยนรหัสผ่าน แต่กลับส่งข้อความตอบกลับแบบสำเร็จรูปทั่วไปที่ระบุว่าสกินได้หายไปและไม่ใช่ 'ปัญหาของเรา' ต่อมา (ประมาณปี 2021–2022) นักต้มตุ๋นเริ่มปิดใบคำขอสนับสนุนด้วยตนเองโดยอัตโนมัติ: เมื่อเด็กเปิดใบคำขอ สคริปต์อัตโนมัติของแผงควบคุมจะปิดมันทันที เด็ก ๆ คิดว่าเป็นฝ่ายสนับสนุนของ Steam ที่ปฏิเสธคดีของพวกเขา แต่ไม่ใช่ ทว่า Steam กลับยืนดูเฉยๆ และปล่อยให้เหตุการณ์นี้เกิดขึ้น

ความหน้าซื่อใจคดของ Steam และอัปเดต 'ต่อต้านการหลอกลวง' ของพวกเขานั้นน่าตกใจอย่างยิ่ง เมื่อพิจารณาจากปริมาณข้อมูลมหาศาลที่ Steam เก็บรักษาไว้: ระบบติดตามประเทศ ประวัติ IP และลายนิ้วมืออุปกรณ์ (device fingerprinting) Steam ได้จงใจปกปิดข้อเท็จจริงที่ว่าบัญชีต่างๆ กำลังถูกเจาะระบบอยู่อย่างแข็งขัน และจากนั้น ก็เกิดเหตุการณ์ที่ Steam ออกคำสั่งแบนชุมชนเป็นจำนวนมากต่อบัญชีของ เหยื่อ ผู้ที่ถูกจับได้ขณะอยู่ในเซสชันสวอปที่กำลังดำเนินอยู่ โอ้โห งานดีเยี่ยมเลย Steam! Steam ได้ล็อกบัญชีของผู้เสียหายเพียงเพราะพวกเขาใช้ IP ของพร็อกซีร่วมกับเซสชันอื่น ๆ แทนที่จะดำเนินการยุติเซสชันที่ไม่ได้รับอนุญาต และเมื่อผู้เสียหายติดต่อฝ่ายสนับสนุนเพื่ออุทธรณ์การแบน ฝ่ายสนับสนุนกลับทำเป็นไม่รู้ไม่เห็น โดยแกล้งทำเป็นว่าไม่สามารถมองเห็นหรือทราบข้อมูลใด ๆ แต่เรารู้ดีว่าพวกเขาเห็นทุกอย่าง: อุปกรณ์ของคุณ, รหัสฮาร์ดแวร์, บันทึกธุรกรรม, ประวัติการเปลี่ยนแปลง, รหัสผ่านก่อนหน้า, หมายเลขโทรศัพท์, อีเมล และเวลาที่อุปกรณ์ใดถูกแก้ไข (นี่คือส่วนที่ตลกที่สุด: Steam รู้ว่าบัญชีถูกยึดเมื่อใด—they บันทึก ID ของอุปกรณ์, เวลา และที่อยู่ IP ของผู้โจมตีอย่างแม่นยำ)

ความขัดแย้ง

ความผิดปกติปรากฏให้เห็นได้ชัด คำตอบยังคงถูกเขียนขึ้นล่วงหน้า

ฝ่ายสนับสนุนไม่ขาดสัญญาณ บันทึกบัญชีแสดงอุปกรณ์ท้องถิ่นที่ได้รับการยืนยัน เซสชันโฮสติ้งจากต่างประเทศที่เกิดขึ้นพร้อมกัน การแก้ไขธุรกรรมซ้ำๆ และเวลาที่เกิดการโจรกรรมอย่างแม่นยำ แต่ร่างคำตอบกลับเพิกเฉยต่อข้อมูลทางเทคนิคดังกล่าว โดยกล่าวโทษว่าเป็น "ความผิดพลาดของผู้ใช้หรือการหลอกลวงผ่านฟิชชิ่ง" ปฏิเสธการกู้คืนข้อมูล และปิดเคส นั่นคือการเลือกที่จะไม่ดำเนินการ ไม่ใช่การขาดหลักฐาน

อุปกรณ์ภายในเครือข่ายที่ผ่านการยืนยันตัวตน เซสชันการโฮสต์จากต่างประเทศ การเปลี่ยนแปลงธุรกรรมซ้ำๆ การปฏิเสธตามเทมเพลต · ปิดใบงาน

The data says account takeover; the reply says “user error” — การจำลองเพื่อเป็นตัวอย่าง · ไม่ใช่ส่วนติดต่อผู้ใช้ของ Steam ที่รั่วไหลข้อมูลบ่งชี้ว่ามีการยึดครองบัญชี (Account Takeover) แต่คำตอบกลับระบุว่า “เกิดจากผู้ใช้ทำผิดพลาด”

4b. ภาพลวงตาของการระงับธุรกรรม

ดังนั้น เด็กหนุ่มที่หวาดกลัวจึงเขียนจดหมายถึงฝ่ายสนับสนุนของ Steam: โอ้ ช่วยด้วย! สกินของฉันถูกขโมย! ฉันกำลังส่งสกินให้เพื่อน หรือเทรดเดอร์ หรือเว็บไซต์เทรด แต่สกินกลับไปยังบัญชีอื่นที่ต่างออกไปโดยสิ้นเชิง ซึ่งมีชื่อผู้ใช้และรูปโปรไฟล์เหมือนกันเป๊ะ ไม่ใช่บัญชีที่ฉันยอมรับในการเทรด!

The final screen feels familiar, although the trade underneath has already changed — จุดบอดด้านประสบการณ์ผู้ใช้หน้าจอสุดท้ายให้ความรู้สึกคุ้นเคย แม้ว่าการแลกเปลี่ยนที่อยู่เบื้องล่างจะเปลี่ยนแปลงไปแล้วก็ตาม

จุดบอดด้านประสบการณ์ผู้ใช้

ตรวจสอบได้ง่าย แต่ยากที่จะสังเกตว่าอะไรหายไป

รายการที่มีคุณค่าของคุณ + ปุ่มยืนยันที่ชัดเจน

ไม่มีข้อมูลใดถูกส่งกลับ

อินเทอร์เฟซมีความสะดวกและคุ้นเคย: รายการขาออกสามารถสแกนได้ง่ายและขั้นตอนการยืนยันมีความชัดเจน แต่ข้อเท็จจริงที่สำคัญที่สุดกลับไม่เด่นชัดเท่ากัน—นั่นคือไม่มีค่าคืน (return value) เนื่องจากข้อเสนอที่ถูกต้องตามกฎหมายได้รับการตรวจสอบบนคอมพิวเตอร์แล้ว ผู้เสียหายจึงตีความสิ่งนี้เป็นขั้นตอนสุดท้ายของการแลกเปลี่ยนเดียวกันนั้น ไม่ใช่ข้อเสนอการแลกเปลี่ยนใหม่ที่ไม่มีการคืนค่า การออกแบบนี้รักษาโมเมนตัมไว้ ในขณะที่ควรบังคับให้เกิดการเปรียบเทียบใหม่

Steam confirmation screen: valuable items leave while the receiving-items column is empty — การสลับบนหน้าจอเดียว**รายการของคุณถูกระบุแล้ว ฝั่งผู้รับว่างเปล่า**

เหตุการณ์นี้เกิดขึ้นได้อย่างไรกันแน่

จริง ๆ แล้ว การแทนที่นี้ไม่ได้ยึดครองธุรกรรมทันที ในเบราว์เซอร์ของคุณ คุณตรวจสอบข้อเสนอธุรกรรมเดิม คลิก 'ยืนยัน'—แลกเปลี่ยนไอเทมต่อไอเทม หรือส่งไปยังบัญชีที่ผ่านการยืนยันตัวตนของเพื่อน คุณตรวจสอบรายละเอียด และทุกอย่างตรงกัน แต่ในช่วงเวลาสั้น ๆ ระหว่างการยอมรับธุรกรรมบนคอมพิวเตอร์ของคุณกับการเปิดโทรศัพท์เพื่อยืนยัน—นั่นคือช่วงเวลาที่บอทของมิจฉาชีพ ซึ่งถูกโคลนด้วยชื่อและอวตารเดียวกัน จะยกเลิกธุรกรรมที่ถูกต้องตามกฎหมายและส่งธุรกรรมของตนเองเข้ามาแทน

ใช่ครับ บนหน้าจอโทรศัพท์ของคุณ คุณกำลังมองดูรายการแลกเปลี่ยนที่ถูกสลับเปลี่ยน ในตอนแรกจะแสดงรายการสินค้าที่คุณส่งออกไป แต่ที่ด้านล่าง คุณจะไม่ได้รับสิ่งใดตอบแทนเลย และผู้ใช้ก็มักเพิกเฉยต่อคำเตือน เพราะพวกเขาได้ตรวจสอบทุกอย่างเรียบร้อยแล้วบนคอมพิวเตอร์ ความแม่นยำทางจิตวิทยาของกลโกงนี้และช่องโหว่ของฐานผู้ใช้ช่างน่าตกใจ โดยเฉพาะอย่างยิ่งเมื่อเหยื่อเชื่อว่าตนเองกำลังดำเนินการโอนย้ายที่ปลอดภัยอย่างเต็มที่ ในขณะที่เซิร์ฟเวอร์ของ Steam สังเกตเห็นเซสชันที่ถูกสร้างขึ้นเมื่อหลายสัปดาห์หรือหลายเดือนก่อนจากที่อยู่ IP ที่แตกต่างกันอย่างสิ้นเชิง จึงยกเลิกการแลกเปลี่ยนที่กำลังดำเนินอยู่และเริ่มดำเนินการใหม่ทันทีพร้อมยอมรับ—โดยมองว่าเป็นธุรกรรมปกติและถูกต้องตามกฎหมายอย่างสมบูรณ์ ดูเหมือนมีความน่าเชื่อถือสูงมากใช่ไหมครับ?

ผมต้องการเน้นย้ำว่า ก่อนที่ Steam จะเปิดตัวระบบอัปเดตที่ล้าสมัยและไร้ประสิทธิภาพนานมาแล้ว เว็บไซต์ซื้อขายของบุคคลที่สามได้เข้ามามีบทบาทเพื่อจัดการกับปัญหานี้ พวกเขาให้ความสำคัญกับชื่อเสียงของตนเอง และอาจเพียงรู้สึกเห็นใจเด็ก ๆ ที่ถูกหลอกลวงเป็นเหยื่อ ตัวอย่างเช่น เว็บไซต์ tradeit.gg ได้พัฒนาระบบที่เมื่อข้อเสนอแลกเปลี่ยนทางการถูกยกเลิก สัญญาณเตือน "CANCELED" ขนาดใหญ่จะดังขึ้นบนหน้าจอของผู้ใช้ นี่ถือเป็นแนวทางแก้ไขที่แท้จริง ซึ่งทำให้เราต้องยอมรับพวกเขาในฐานะผู้บุกเบิกที่พยายามลงมือทำอย่างจริงจัง ดังนั้น เว็บไซต์ภายนอกที่ใช้ Steam API จึงสามารถตรวจจับการแลกเปลี่ยนได้แบบเรียลไทม์ แต่ตัว Steam เองกลับทำไม่ได้? หรือว่าพวกเขาเพียงแต่ปฏิเสธที่จะยุติเซสชันที่ไม่ได้รับอนุญาตซึ่งไม่มีส่วนเกี่ยวข้องใดๆ กับผู้ใช้ที่แท้จริง? ใช่แล้ว ตั๋วสนับสนุนของ Steam ได้กล่าวซ้ำแล้วซ้ำเล่าว่า 'ไอเทมของคุณหายไปแล้ว เราไม่สามารถช่วยเหลือได้' และบอทรับของของมิจฉาชีพก็แทบไม่เคยถูกแบน (และหากถูกแบน ก็จะเป็นหลังจากเหตุการณ์ผ่านไปนานแล้ว) แม้กระทั่งหลังจากมีการนำระบบ trade hold มาใช้ อัตราการแบนเฉลี่ยของบอทหลอกลวงที่ทำงานอยู่ (การล็อกที่ในท้ายที่สุดกลับส่งผลดีต่อเศรษฐกิจของ Steam แทนที่จะคืนไอเทมให้เหยื่อ) ยังคงอยู่ที่ประมาณ 15–25% ในช่วงเวลาสูงสุด ขณะเดียวกัน ผู้ให้บริการโฮสติ้งที่บอทเหล่านี้ทำงานอยู่ยังคง อิฮอร์และเซสชันอัตโนมัติเหล่านี้ไม่เคยใช้พร็อกซีหมุนเวียนแบบที่อยู่อาศัยหรือมือถือ

4c. หลักฐานยืนยันโครงสร้างพื้นฐานแบบคงที่

เราสามารถพิสูจน์สิ่งนี้ได้ ดังที่คุณทราบ PhishDestroy เป็นโครงการต่อต้านฟิชชิ่งเชิงรุก เราได้ส่งคำขอหลอกลวง (fake seed phrases) จำนวนมหาศาลเข้าสู่ฟอร์มฟิชชิ่ง เพื่อทำให้ขีดความสามารถในการโหลดและประมวลผลของเซิร์ฟเวอร์ของพวกมันหมดลง แนวคิดนี้เกิดขึ้นจากข้อเท็จจริงที่ว่า Steam กำหนดอัตราส่วนการจำกัด (rate limits) สำหรับความพยายามในการเข้าสู่ระบบต่อหนึ่งที่อยู่ IP เมื่อหลายปีก่อน เราได้ดำเนินการโดยใช้พร็อกซีสาธารณะฟรี โดยส่งความพยายามในการเข้าสู่ระบบที่ไม่ถูกต้องเป็นจำนวนมาก หรือมุ่งเป้าไปที่บัญชีที่ป้องกันด้วย Steam Guard ผ่านอีเมล ในที่สุด Valve ก็เริ่มบล็อกความพยายามเหล่านี้ และเนื่องจากเราไม่ได้ซื้อเครือข่ายพร็อกซีเชิงพาณิชย์ วิธีการนี้จึงพิสูจน์แล้วว่ามีความเป็นไปได้ลดลงเมื่อเวลาผ่านไป อย่างไรก็ตาม ตามที่เราตระหนักได้ในปัจจุบัน วิธีการนี้สามารถสร้างความเสียหายอย่างรุนแรงได้ แต่ในตรรกะที่บิดเบี้ยวของ Valve การแทรกแซงปฏิบัติการของมิจฉาชีพกลับถูกมองว่าเป็น 'การกระทำที่ไม่จริยธรรม'

จากการทำให้ฟอร์มยืนยันตัวตนของมิจฉาชีพทำงานแบบออฟไลน์นานหลายชั่วโมง เราสามารถยืนยันได้ว่าพวกเขาไม่ได้ใช้เครือข่ายพร็อกซีที่อยู่อาศัยขนาดใหญ่ แต่ใช้พร็อกซีแบบสถิตหรือที่อยู่ VPS แทน ไฟล์ผลิตภัณฑ์ที่เก็บรักษาไว้ยืนยันว่ามีรูปแบบที่แตกต่างกันสองแบบ: เซสชันที่ถูกยึดครองจะถูกรวบรวมรวมกันมากกว่า 1,000 รายการต่อ IP ของ Ihor ในขณะที่บอทรับข้อมูลจะใช้สล็อตที่เสถียร คือหนึ่งบอทต่อหนึ่ง IP การแทนที่บอทในสล็อตเดิมจะยังคงใช้ IP เดิม โดยที่อยู่ดังกล่าวจะถูกกำหนดให้ใช้งานอย่างมีประสิทธิภาพเป็นระยะเวลาประมาณหนึ่งเดือน

สรุปประเด็น: ฐานที่เกิดเหตุที่เปิดกว้าง

Steam ได้เห็นทุกอย่าง รู้ทุกอย่าง และเลือกที่จะนิ่งเฉยแทนที่จะดำเนินการปกป้องผู้ใช้ นี่แหละคือแพลตฟอร์มที่อ้างว่าความปลอดภัยคือความสำคัญลำดับแรก

นอกจากนี้ ผู้โจมตีที่มีเซสชันเบราว์เซอร์ที่ใช้งานอยู่สามารถเฝ้าติดตามบัญชีของคุณพร้อมกัน อ่านแชทของคุณ หรือแก้ไขโปรไฟล์ของคุณ (เช่น การสร้างประกาศ 'VAC Ban' ปลอม) เพื่อทำให้คุณตกใจจนรีบโอนไอเทมทั้งหมดไปยังเพื่อนหรือบัญชีสำรองที่ 'ปลอดภัย' ซึ่งเป็นการนำพาคุณเข้าสู่กับดักการแลกเปลี่ยนข้อเสนอโดยตรง ใช่แล้ว พวกเขาสามารถอ่านแชทส่วนตัวของคุณกับเพื่อนและดูสื่อของคุณแบบเรียลไทม์ได้พร้อมกันกับคุณอย่างชัดเจน ดูเหมือนว่า Steam จะถือว่าเซสชันขนานจากประเทศที่แตกต่างกันโดยสิ้นเชิงเป็นพฤติกรรมมาตรฐานสำหรับแพลตฟอร์มเกม (อาจมีเหตุผลว่า เนื่องจากมี Family Sharing อยู่ 'การขโมยจึงไม่เป็นไร ตราบใดที่พวกเขาไม่ได้เล่น CS:GO พร้อมกัน')

5. กับดักของ API Key: การเปลี่ยนรหัสผ่านเพียงอย่างเดียวไม่เพียงพอ

แม้ว่าคุณจะเปลี่ยนรหัสผ่านแล้วแต่ลืมเพิกถอนคีย์ API ที่ยังใช้งานอยู่ มิจฉาชีพก็ยังสามารถขโมยทรัพย์สินของคุณได้ ใช่แล้ว โดยไม่มีเซสชันที่ใช้งานอยู่ สคริปต์ของพวกเขาจะไม่สามารถเข้าถึงโปรไฟล์ของคุณหรือยอมรับการแลกเปลี่ยนโดยอัตโนมัติได้อีกต่อไป อย่างไรก็ตาม API อย่างเป็นทางการของ Steam ยังคงอนุญาตให้พวกเขาดำเนินการที่สำคัญที่สุดได้ นั่นคือการตรวจสอบกิจกรรมในบัญชีของคุณและยกเลิกการแลกเปลี่ยนที่กำลังดำเนินการอยู่ (ผ่าน CancelTradeOffer).

ด้วยเพียงคีย์ API ของคุณ บอทจะตรวจจับและยกเลิกธุรกรรมที่ถูกต้องของคุณทันที จากนั้นส่งข้อเสนอปลอมจากบัญชีของมันเอง (ไปยังลิงก์ธุรกรรมของคุณ) ตั้งแต่นั้นเป็นต้นมา สคริปต์จะรอเฉยๆ มันไม่สามารถกดยืนยันแทนคุณได้ การหลอกลวงทั้งหมดนี้ขึ้นอยู่กับที่คุณเปิดแอปมือถือและยืนยันการสลับธุรกรรมใน Steam Guard ด้วยตนเอง และมันทำงานได้อย่างไร้ที่ติ

มีรายละเอียดทางเทคนิคที่สำคัญ: เมื่อมีเพียง API key (และไม่มีเซสชันที่ใช้งานอยู่) สคริปต์จะไม่สามารถแทรกคำสั่งซื้อขายโดยตรงเข้าสู่การยืนยันผ่าน Steam Guard ได้ แต่จำเป็นต้องส่งข้อเสนอการแลกเปลี่ยน (trade offer) ใหม่เข้ามา ซึ่งหมายความว่า คุณต้องกดปุ่ม 'ยอมรับการแลกเปลี่ยน' (Accept Trade) บนคอมพิวเตอร์ของคุณก่อน เพื่อให้รายการดังกล่าวปรากฏขึ้นในแอป Steam Guard

หลายคนอาจคิดว่าขั้นตอนเพิ่มเติมนี้จะลดอัตราการสำเร็จของแผนหลอกลวง—毕竟 เมื่อรับข้อเสนอแลกเปลี่ยนใหม่จากคนแปลกหน้า Steam จะแสดงคำเตือนขนาดใหญ่ ('คุณไม่ได้เป็นเพื่อนกัน', 'บัญชีนี้ถูกติดธง') แต่ผู้หลอกลวงได้ใช้ประโยชน์จากจิตวิทยาและกล้ามเนื้อความจำของมนุษย์ เนื่องจากเหยื่อเป็นผู้ริเริ่มการแลกเปลี่ยนเดิมด้วยตนเอง พวกเขาจึงเตรียมพร้อมทางจิตใจที่จะยอมสละไอเทมอยู่แล้ว เมื่อเห็นว่าการแลกเปลี่ยนถูกยกเลิกอย่างกะทันหันและมีข้อเสนอใหม่เข้ามาทันทีพร้อมไอเทม นามแฝง และอวตารที่เหมือนกันทุกประการ พวกเขาจึงสันนิษฐานว่า เว็บไซต์ทำงานช้าและสร้างธุรกรรมใหม่

ผู้ใช้คลิกผ่านคำเตือนของ Steam ไปอย่างกลไกโดยไม่ได้คิดอะไร ยอมรับข้อเสนอแลกเปลี่ยนปลอม และยืนยันการดำเนินการผ่านโทรศัพท์มือถือ การหลอกลวงครั้งนี้สำเร็จไม่ได้เกิดจากการเจาะทะลุระบบรักษาความปลอดภัยของ Steam Guard แต่เกิดจากการนำความเฉื่อยชาของมนุษย์มาใช้เป็นอาวุธ

6. คำตัดสิน: การสมรู้ร่วมคิดโดยเจตนา

ข้อความหลักของเราไม่เปลี่ยนแปลง: เราต้องขอบคุณเป็นพิเศษต่อ Valve และทีมงานสนับสนุนของพวกเขา ซึ่งพบว่ามันสะดวกอย่างยิ่งที่จะ “ไม่เห็นอะไรและไม่รู้เรื่องอะไร”

Complicit by Design — ภาพประกอบงานสืบสวน**สมรู้ร่วมคิดโดยเจตนา**

พวกเขาชอบอ้างว่าในทางเทคนิคแล้วพวกเขาขาดเครื่องมือหรือความสามารถในการช่วยเหลือ แต่ความเป็นจริงกลับตรงกันข้ามอย่างสิ้นเชิง ในการกู้คืนบัญชีที่ถูกยึดครอง ฝ่ายสนับสนุนไม่จำเป็นต้องมีคีย์ CD เก่าแก่ที่ฝุ่นเกาะจากเมื่อสิบปีก่อนแต่อย่างใด Steam บันทึกพารามิเตอร์อื่น ๆ ไว้มากมาย ซึ่งถูกจงใจเพิกเฉยในระหว่างการโต้แย้งเรื่องกู้คืนบัญชี เราหมายถึงตัวระบุอุปกรณ์เฉพาะของคุณ สิ่งนี้ไม่ใช่ HWID ธรรมดา ไม่ใช่หมายเลขซีเรียลของฮาร์ดดิสก์ หรือเวอร์ชัน BIOS แต่เป็นลายนิ้วมือฮาร์ดแวร์เฉพาะที่ Steam ดึงข้อมูลมา ซึ่งน่าจะอยู่ในระดับเคอร์เนลหรือระดับระบบลึกเช่นเดียวกับระบบป้องกัน Чит VAC

ดังนั้น เมื่อ Valve ปฏิเสธที่จะกู้คืนบัญชีของคุณเพียงเพราะคุณ 'ไม่มีคีย์ซีดี' สิ่งนั้นไม่ใช่ข้อจำกัดทางเทคนิค แต่เป็นกลยุทธ์ทางธุรกิจ คือความตั้งใจที่จะบังคับให้คุณต้องซื้อเกมทั้งหมดใหม่อีกครั้ง และเป็นการปฏิเสธอย่างเด็ดขาดที่จะคืนความเป็นเจ้าของคลังสินค้าสกินที่มีมูลค่าสูง

การกระทำดังกล่าวถือเป็นเรื่องไม่จริยธรรม แต่กลับสะท้อนลักษณะเฉพาะของ Steam ได้อย่างลึกซึ้ง ระบบสนับสนุนลูกค้าก็เช่นกัน เป็นศูนย์บริการลูกค้าที่ถูกจ้างเหมาภายนอกในต้นทุนต่ำ โดยมีนโยบายภายในที่ออกแบบมาเพื่อหลีกเลี่ยงการให้ความช่วยเหลือที่แท้จริง หรือแม้แต่การให้มารยาทพื้นฐาน สิ่งต่าง ๆ ถูกลดทอนเหลือเพียงการตอบกลับแบบคัดลอก-วางตามสคริปต์ และการปิดเคสโดยฝ่ายเดียว

แต่ Steam ยอมรับสิ่งนั้นได้อย่างสมบูรณ์

7. คำถามที่สภาคองเกรสต้องตั้งกับ Valve

Diagram of hidden inventories, frozen items and platform economic benefit — แผนที่ข้อกล่าวหาเชิงบรรณาธิการ · ตัวชี้วัดของ Valve ที่ไม่ได้รับการเผยแพร่ระบบจะซ่อนยอดรวมสินทรัพย์ที่ถูกแช่แข็งไว้ โดยเฉพาะ Valve เท่านั้นที่สามารถเปิดเผยข้อมูลดังกล่าวได้

เอกสารสรุปสำหรับสภาคองเกรส/หน่วยงานกำกับดูแล

อย่าถามเรื่องการ์ดเบสบอล จงติดตามเส้นทางการเงินและทะเบียนรายการสินค้า

หาก Valve ต้องปรากฏตัวต่อหน้าสภาคองเกรสหรือหน่วยงานกำกับดูแล การเปรียบเทียบนั้นไม่ใช่หลักฐาน ขอให้ขอคำตอบภายใต้คำสาบานที่สามารถตรวจสอบได้ เกี่ยวกับมูลค่าที่ถูกแช่แข็ง ผู้เสียหายที่ปฏิเสธการชดเชย และมาตรการควบคุมที่เลือกนำมาบังคับใช้

มูลค่าผู้เล่นที่ถูกล็อกอยู่ที่เท่าไร

มีไอเทม CS2 และ Dota กี่รายการที่ค้างอยู่ในบัญชีที่ถูกแบนจากการแลกเปลี่ยนหรือถูกแบนโดยชุมชน? ไอเทมเหล่านี้คิดเป็นสัดส่วนเท่าใดของอุปทานหมุนเวียนและมูลค่าตลาด โดยแยกวิเคราะห์ตามปี ประเภทข้อจำกัด ระดับความหายากของไอเทม และระยะเวลาที่ถูกแช่แข็ง?

ความต้องการ ยอดรวม วิธีการคำนวณ ช่วงอายุ การตรวจสอบโดยอิสระ และการเปิดเผยรายการบอทที่ถูกแบนที่สามารถตรวจสอบได้ หากตัวเลขเหล่านี้หักล้างข้อกล่าวหาได้ ให้เผยแพร่ข้อมูลดังกล่าว

เหตุใดหลักฐานจึงถูกซ่อนไว้

เมื่อรายการสินค้าคงคลังหรือโปรไฟล์ถูกเปลี่ยนสถานะเป็นข้อมูลที่ไม่เปิดเผยต่อสาธารณะภายหลังการกำหนดข้อจำกัด วัตถุประสงค์ด้านความปลอดภัยที่ดำเนินการนี้คืออะไร? นโยบายการมองเห็นข้อมูลมีการเปลี่ยนแปลงในช่วงปี 2020 หรือไม่ และเหตุใดจึงเลือกที่จะซ่อนข้อมูลในบัญชีแยกประเภท (ledger) แทนที่จะแสดงคำเตือนสาธารณะที่เด่นชัดในลักษณะคล้ายกับประกาศ VAC?

ความต้องการ ประวัติของนโยบาย เหตุผลภายใน กฎการเข้าถึง และช่องทางในการอุทธรณ์

เหตุใดจึงไม่สามารถหยุดยั้งสายการผลิตบอทได้ตั้งแต่เริ่มต้น

ตัว Steam เองระบุว่าผู้ใช้ที่เป็นภัยคุกคามมักดำเนินการผ่านบัญชีหลอก และใช้เกณฑ์มูลค่า 5 ดอลลาร์สหรัฐ แล้วอะไรคือสิ่งที่ตรวจจับการลงทะเบียนโดยอัตโนมัติ การตั้งค่าหมายเลขโทรศัพท์และตัวตรวจสอบสิทธิ์ (authenticator) การเติมเงินเข้าบัญชีในจำนวนที่ตรงกับเกณฑ์พอดี การไม่มีกิจกรรมในเกม การทิ้งร้างบัญชีเป็นเวลานาน และรูปแบบการไหลเวียนของไอเทมที่คล้ายกับพฤติกรรมของเครื่องจักร?

ความต้องการ อัตราส่วนผลบวกปลอมและผลลบปลอม—รวมถึงการแบนเกิดขึ้นก่อนที่บัญชีจะมีมูลค่า หรือเกิดขึ้นเฉพาะหลังจากได้รับรายการที่มีมูลค่าแล้ว

คำว่า “การซ้ำซ้อน” ยังเป็นข้ออ้างที่น่าเชื่อถืออยู่หรือไม่?

เหตุผลของการทำสำเนา (Duplication) ย้อนกลับไปถึงแนวปฏิบัติในการกู้คืนข้อมูลและกรณีการสนับสนุนการฉ้อโกงในช่วงกลางทศวรรษ 2010s รายการสมัยใหม่มีบันทึกเฉพาะเจาะจง โซ่การโอนย้ายที่ทราบแล้ว และคำสั่งระงับการแลกเปลี่ยน (Trade Holds) เหตุใดการเพิกถอนรายการเดียวกันนั้นจากผู้รับที่พิสูจน์แล้วว่าเป็นผู้รับจากแหล่งที่มาที่ผิดกฎหมาย และจัดสรรใหม่ให้แก่ผู้ถือครองก่อนหน้าที่ได้รับการยืนยันแล้ว จึงทำให้เกิดสำเนาขึ้น? ในขั้นตอนที่แน่นอนใดที่รายการที่สองจะปรากฏขึ้นในปี 2026?

ความต้องการ ประวัติของนโยบายตั้งแต่ปี 2014 คำอธิบายทางเทคนิคที่สามารถทำซ้ำได้ และจำนวนเหตุการณ์ซ้ำซ้อนที่เกิดขึ้นจริงอันเนื่องจากการกู้คืนข้อมูลตั้งแต่ปี 2019

รายการดังกล่าวถูกยึดไว้ภายใต้อำนาจของหน่วยงานใด

Valve จัดการกับสกิน (skin) ในฐานะทรัพย์สิน ใบอนุญาต หรือเพียงแต่สิทธิ์ในฐานข้อมูล? เงื่อนไขในสัญญาและทฤษฎีทางกฎหมายใดที่อนุญาตให้ยึดครองถาวรหลังการโจรกรรม ในขณะที่ปฏิเสธการชดใช้คืนแก่ผู้ถือครองเดิมที่ได้รับการยืนยันตัวตน? ทรัพย์สินที่ถูกยึดคืนจากผู้โจรกรรมย่อมไม่กลายเป็นรายได้ของตำรวจ เหตุใดรูปแบบดิจิทัลจึงยังคงอยู่ภายใต้การควบคุมอย่างเด็ดขาดของแพลตฟอร์ม แทนที่จะส่งคืนให้แก่ผู้เสียหาย?

ความต้องการ การแจ้งเตือน การเปิดเผยหลักฐาน การทบทวนโดยมนุษย์ การอุทธรณ์ ระยะเวลาที่กำหนด และกฎเกณฑ์ที่ชัดเจนซึ่งควบคุมการดำเนินการขั้นสุดท้ายของแต่ละรายการ

การแบนนี้ปกป้องใคร และ Valve ได้สร้างรายได้ไปมากน้อยเพียงใดแล้ว?

FAQ อย่างเป็นทางการของ Valve ระบุว่ามีค่าธรรมเนียมธุรกรรม Steam 5% และค่าธรรมเนียมเฉพาะเกม 10% สำหรับ CS2 และ Dota ซึ่งผู้ซื้อต้องชำระเมื่อทำการซื้อขายในตลาดชุมชน เงินที่ได้รับใน Steam Wallet ไม่สามารถถอนไปยังบัญชีธนาคารหรือโอนไปยังบัญชีอื่นได้ ดังนั้น คำถามที่สามารถตั้งข้อโต้แย้งได้อย่างมีเหตุผลจึงไม่ใช่เรื่องที่ว่า Valve ได้รับราคาเต็มตามมูลค่าหน้าตั๋วอีกครั้งในทุกครั้งที่มีการขายต่อ แต่เป็นเรื่องที่ว่าเงินในระบบปิดและรายได้จากค่าธรรมเนียมสะสมมีมูลค่าเท่าใดที่ผูกติดอยู่กับไอเทมก่อนที่มันจะถูกล็อก และวิธีการที่การลดอุปทานส่งผลต่อความหายากและราคาของทุกสิ่งที่ยังคงเหลืออยู่

ความต้องการ ค่าธรรมเนียมตลอดชีพที่เรียกเก็บจากทุกรายการซึ่งถูกแช่แข็งในภายหลัง อัตราการชดเชยผู้เสียหายและอัตราการแทรกแซงก่อนเกิดความเสียหาย และแบบจำลองของผลกระทบด้านราคาจากการที่อุปทานถูกแช่แข็ง ห้ามไม่นับการห้ามใช้โดยไม่มีชดเชยว่าเป็นการช่วยเหลือผู้เสียหาย

Valve กำลังปกป้องการสันนิษฐานว่ามีความผิดหรือไม่?

ข้อจำกัดการเข้าถึงบัญชี (Skin restriction) มิใช่คำพิพากษาจำคุก แต่เป็นกลไกที่ทดสอบกระบวนการ หาก Valve หรือผู้บริหารของบริษัทต้องเผชิญกับบทลงโทษที่ไม่มีการอธิบายหลักฐานที่ไม่ได้เปิดเผย และช่องทางอุทธรณ์ที่เป็นเพียงพิธีกรรมโดยได้รับคำตอบว่า "จงอ่านกฎหมาย" ทนายความของบริษัทจะเรียกสิ่งนั้นว่าความยุติธรรมหรือไม่? ทว่าสำหรับสินทรัพย์ที่มีมูลค่าสูง Valve สามารถปรากฏตัวในฐานะทั้งผู้กล่าวหา ผู้พิพากษา และผู้ดูแลมูลค่าที่ถูกแช่แข็ง มาตรการตรวจสอบอิสระใดที่จะจัดการกับความขัดแย้งทางผลประโยชน์นี้?

ความต้องการ กฎเกณฑ์ที่ชัดเจน พฤติกรรมที่ถูกกล่าวหา สรุปหลักฐาน ผู้ตรวจสอบโดยมนุษย์ การตัดสินใจพร้อมเหตุผล การยกระดับการตรวจสอบอย่างเป็นอิสระ และการเปิดเผยวิธีการจัดการกับมูลค่าที่ถูกแช่แข็ง

เหตุใดการอุทธรณ์ที่มีนัยสำคัญจึงไม่สามารถเข้าถึงได้

การตอบกลับแบบสูตรสำเร็จและการให้ลิงก์กว้างๆ ไปยังข้อตกลงผู้สมัครสมาชิกของ Steam ไม่ได้ถือเป็นข้อสรุปจากข้อเท็จจริง ทำไมผู้บริโภคทั่วไปจึงถูกปฏิเสธทั้งข้อกล่าวหาและหลักฐาน จากนั้นต้องเผชิญกับอุปสรรคทางเทคนิค กฎหมาย และทางการเงิน ซึ่งทำให้การคัดค้านข้อจำกัดที่ดำเนินการโดยอัตโนมัติหรือผิดพลาดเป็นเรื่องที่ไม่สามารถปฏิบัติได้จริง

ความต้องการ การอุทธรณ์โดยมนุษย์ฟรี คำตัดสินที่เข้าใจง่าย กำหนดเวลาในการตอบกลับ การเข้าถึงช่องทางไกล่เกลี่ยข้อพิพาทจากภายนอก และสถิติเกี่ยวกับการแบนโดยอัตโนมัติ การทบทวนโดยมนุษย์ การกลับคืนสถานะ และการตอบกลับแบบเทมเพลตซ้ำ

ชุมชน การกู้คืน และเซสชันที่ Valve เลือกที่จะไม่ยุติ

คำว่า “community” ใน Steam Community หมายถึงอะไร?

หลังจากอัยการสูงสุดแห่งรัฐนิวยอร์กยื่นฟ้องบริษัท Valve ในเดือนกุมภาพันธ์ พ.ศ. 2569 Valve ได้เผยแพร่แถลงการณ์ผ่าน Steam Support ซึ่งมุ่งเน้นไปยังผู้ใช้ โดยอ้างถึงผลกระทบที่มีต่อผู้ใช้และกระบวนการสาธารณะ แต่เมื่อการตัดสินใจของแพลตฟอร์มส่งผลกระทบต่อคลังสินค้าที่มีคุณค่าของผู้ใช้เหล่านั้น อำนาจอย่างเป็นทางการที่ “ชุมชน” นี้มีอยู่คืออะไร—ไม่ว่าจะเป็นสิทธิในการลงคะแนนเสียง เหตุผล การปรึกษาหารือเกี่ยวกับนโยบาย การกำกับดูแล หรือแม้กระทั่งการเข้าถึงผลลัพธ์ของการรายงาน?

ความต้องการ กำหนดสิทธิ์ในการกำกับดูแลของชุมชนและเผยแพร่บันทึกการปรึกษาหารือ รายงานผลลัพธ์ และกลไกการกำกับดูแลโดยผู้ใช้ที่เป็นอิสระ — หรือยอมรับว่าคำว่า “ชุมชน” เป็นเพียงการสร้างแบรนด์ ไม่ใช่การเป็นตัวแทน

เหตุใดการบังคับใช้กฎหมายทั่วไปจึงสืบทอดความลับของ VAC?

การรักษาความลับของลายเซ็นการตรวจจับระบบป้องกันโกง (Anti-cheat) สามารถช่วยปกป้องวิธีการตรวจจับได้ ซึ่งแตกต่างจากการจำกัดชุมชนหรือข้อจำกัดทางธุรกิจ ความเสี่ยงด้านความปลอดภัยใดกันที่ขัดขวางไม่ให้ Valve ระบุกฎเกณฑ์ เวลา (Timestamp) การกระทำที่ถูกกล่าวหา และหมวดหมู่ของหลักฐาน? รายงานจากผู้ใช้และรายงานจากบอทจำนวนเท่าใดที่นำไปสู่การดำเนินการ และมีการควบคุมความสมบูรณ์ (Integrity Controls) ครอบคลุมพนักงาน ผู้รับเหมา และอาสาสมัครอย่างไร?

ความต้องการ อัตราความผิดพลาดและอัตราการทำธุรกรรมย้อนกลับ สถิติการรายงานสู่การดำเนินการ การตรวจสอบความสมบูรณ์อย่างเป็นอิสระ กฎระเบียบเกี่ยวกับความขัดแย้งทางผลประโยชน์ และผลลัพธ์ทางวินัยในภาพรวม

การกู้คืนบัญชีถูกออกแบบมาโดยอาศัยหลักฐานที่ผู้ใช้มีแนวโน้มที่จะไม่เก็บรักษาไว้หรือไม่?

Steam ระบุว่าคีย์รีเทล (retail CD key) สามารถใช้ยืนยันความเป็นเจ้าของได้ และแนะนำให้เก็บรักษาไว้ นอกจากนี้ยังระบุว่าหมายเลขโทรศัพท์ที่ผ่านการยืนยันแล้วจะเปิดทางเลือกในการกู้คืนบัญชีเพิ่มเติม ทำไมจึงต้องเรียกร้องคีย์กายภาพที่มีอายุมากกว่าทศวรรษ ในขณะที่ Valve อาจมีบันทึกการชำระเงิน อีเมลและโทรศัพท์ในประวัติศาสตร์ รวมถึงบันทึกอุปกรณ์และการเข้าสู่ระบบ? PhishDestroy ประเมินภายในว่า 15–20% ของผู้ร้องขอไม่ดำเนินการกู้คืนจนสำเร็จหลังจากถูกเรียกร้องเช่นนี้ แม้ว่าบางส่วนจะยังคงส่งข้อความจากผู้ให้บริการและคอมพิวเตอร์เดิม และยังคงควบคุมอีเมลหรือโทรศัพท์นั้นอยู่ Valve สามารถหักล้างการประเมินดังกล่าวได้โดยการเผยแพร่ข้อมูลของตนเอง

ความต้องการ จำนวนการพยายามดำเนินการ การอนุมัติ การปฏิเสธ และขั้นตอนที่ถูกยกเลิก จำแนกตามประเภทของหลักฐาน; ผลลัพธ์สำหรับผู้ร้องที่ยังคงมีอีเมล หมายเลขโทรศัพท์ หรืออุปกรณ์อยู่; และคำอธิบายที่ตรวจสอบได้เกี่ยวกับน้ำหนักของสัญญาณ

เหตุใดจึงลงโทษเหยื่อ แทนที่จะเพิกถอนเซสชันที่เป็นภัยคุกคาม?

ในโครงสร้างพื้นฐานที่ถูกตรวจสอบ พบว่า IP หลายตัวที่อยู่ติดกันของ Ihor—including ที่อยู่ลงท้ายด้วย .156, .157 และ .158—แต่ละตัวมีเซสชันที่ถูกยึดครอง (hijacked) ที่ยังใช้งานอยู่กว่า 1,000 เซสชัน ขณะที่เจ้าของบัญชียังคงอยู่บนอุปกรณ์ที่ทราบอยู่แล้วในสถานที่อื่น เซสชันเหล่านี้สามารถสร้างคีย์ API ใหม่ รอคอย แก้ไขคำสั่งซื้อขาย และอ่านแชทได้พร้อมกันตามขนาน ข้อตกลงผู้สมัครสมาชิกของ Steam (Steam Subscriber Agreement) ระบุถึงการระงับบัญชีในกรณีที่มีการใช้ IP proxy เพื่ออำพรางที่อยู่อาศัย รวมถึง “เพื่อวัตถุประสงค์อื่นใด” เหตุใดเซิร์ฟเวอร์ proxy ที่ถือครองบัญชีที่ไม่เกี่ยวข้องกันนับพันจึงไม่กระตุ้นให้เกิดการเพิกถอนเซสชันแม้แต่ครั้งเดียว

ความต้องการ เพิกถอนเซสชันโฮสติ้ง คีย์ API และการยืนยันตัวตนโดยอัตโนมัติ เมื่อระบบตรวจพบการรวมกลุ่มบัญชีที่ไม่เกี่ยวข้องกันในระดับจำนวนมาก จากนั้นบังคับให้ต้องเข้าสู่ระบบใหม่อย่างปลอดภัย โดยไม่จำกัดสิทธิ์ของผู้เสียหาย

เจ็ดปี พนักงาน Steam 79 คน และชั่วโมงการทำงานตามชื่อ 1.16 ล้านชั่วโมง: ความล้มเหลวหรือโมเดลธุรกิจ?

PhishDestroy สามารถยืนยันการรวมกลุ่มเซสชันมากกว่า 1,000 รายการบน IP เดียวกัน ที่อยู่ต่อเนื่องจากผู้ให้บริการรายเดียว และช่อง IP ที่เสถียรแยกต่างหากสำหรับบอทรับข้อมูล อย่างไรก็ตาม รูปแบบฝั่งเซิร์ฟเวอร์ไม่ได้กระตุ้นให้เกิดการตอบสนองที่ชัดเจน นั่นคือ การเพิกถอนเซสชันโฮสติ้ง ทำให้การเข้าถึง API ของมันหมดผล และบังคับให้เจ้าของต้องยืนยันตัวตนใหม่อย่างสะอาด Valve บังคับใช้กฎการใช้งานพร้อมกันสำหรับเซสชันเกมอยู่แล้ว เหตุใดจึงไม่ได้ใช้ตรรกะความเสี่ยงที่เทียบเท่ากัน เมื่อที่อยู่โฮสติ้งจากรัสเซียตั้งอยู่ระหว่างเจ้าของกับ Steam ขณะถือครองบัญชีที่ไม่เกี่ยวข้องกันนับพันรายการ

ภาพรวมขององค์กรในปี 2021 ซึ่งหลุดออกมานอกเหนือความตั้งใจในคดีการผูกขาดของ Wolfire ในปี 2024 ระบุว่ามีพนักงาน 79 คนในหมวด “Steam” ของ Valve และมีรายได้รวม (gross pay) อยู่ที่ 76,446,633 ดอลลาร์สหรัฐ ซึ่งคิดเป็นค่าเฉลี่ยต่อคนในหมวดประมาณ 968,000 ดอลลาร์สหรัฐ ไม่ใช่เงินเดือนรายบุคคล ภาพรวมดังกล่าวไม่ได้พิสูจน์ว่ามีวิศวกรความปลอดภัย 79 คนทำงานในประเด็นการสลับข้อเสนอ (offer swapping) ไม่ได้พิสูจน์ว่าจำนวนพนักงานคงที่ หรือไม่ได้พิสูจน์ว่าเวลาทำงานของพนักงานทั้งหมดถูกจัดสรรให้กับปัญหานี้ แต่ภาพรวมดังกล่าวได้ยืนยันถึงขนาดขององค์กรที่ Valve ต้องอธิบาย

ประมาณ 88 เดือนการสลับข้อเสนอเซสชันมือถือแบบถาวรตั้งแต่ฤดูใบไม้ผลิปี 2019 จนถึงวันเผยแพร่บทความนี้: ประมาณ 2,700 วัน

79 คนรายงานข้อมูลภาพรวมหมวดหมู่ Steam ปี 2021 — ไม่ใช่จำนวนที่นับโดยทีมความปลอดภัย

1,162,880ตัวอย่างชั่วโมงการทำงาน: 79 × 14,720 — ไม่ใช่ชั่วโมงที่ใช้ในการสืบสวนคดีฉ้อโกง

ถึง: ผู้เสียหายจากการถูกขโมยสินทรัพย์ และทีมกฎหมายหลอกลวงของ Valve

คุณพยายามโน้มน้าวทั้งศาลและผู้ใช้งานมาตลอดว่า การขโมยไอเทมเป็นความผิดของ "เด็กโง่" อย่างเดียว และว่าสถาปัตยกรรมของแพลตฟอร์มคุณไม่มีความรับผิดชอบใดๆ เลย ลองถอดหน้ากากองค์กรออก แล้วอธิบายให้เข้าใจง่ายที่สุดว่า ทำไมระบบฟิชชิงที่ซับซ้อนและสร้างกำไรมหาศาลของคุณถึงดำรงอยู่ได้ก็เพราะช่องโหว่ทางสถาปัตยกรรมของ Steam เท่านั้น ฟิชชิงเป็นเพียงการขโมยกุญแจประตูหน้า แต่ความจริงที่ว่า เบื้องหลังประตูนั้นเป็นห้องนิรภัยที่ไร้การป้องกันอย่างสิ้นเชิง นั่นคือความผิดของนักพัฒนาของ Valve ทั้งหมด

ลองพิจารณาอุปมาอุปไมยบางประการสำหรับโมเดลความปลอดภัยของคุณ เพื่อทำความเข้าใจถึงขนาดความรุนแรงของข้อบกพร่องนี้

1. คุณไม่ใช่ GitHub (เทพนิยายของนักพัฒนา)

Valve พยายามปกป้อง API ที่ไม่ปลอดภัยของตนโดยอ้างว่า Steam เป็น "แพลตฟอร์มแบบเปิดสำหรับนักพัฒนา" เอาล่ะ ลองเปรียบเทียบคุณกับ GitHub ดูสิ เมื่อคุณพยายามสร้าง Personal Access Token (PAT) บน GitHub จะเกิดอะไรขึ้น?

ระบบบังคับให้คุณป้อนรหัสผ่านอีกครั้ง
ระบบจะขอให้คุณกรอกรหัส 2FA
ข้อกำหนดนี้บังคับให้คุณต้องเลือกยืนยันสิทธิ์ขอบเขต (scope permissions) (การแยกสิทธิ์) สำหรับโทเคนอย่างชัดเจน
สิ่งสำคัญคือ ระบบจะกำหนดให้คุณตั้งค่าวันหมดอายุ (TTL) สำหรับโทเคน

แล้ว Steam ทำอะไร? มันออกคีย์ที่มีอำนาจไม่จำกัดและไม่มีวันหมดอายุอย่างเงียบๆ ด้วยคลิกเดียว โดยไม่ต้องมีการยืนยันใดๆ ทั้งสิ้น และมอบสิทธิ์ในการอ่านและเขียนแบบไม่จำกัดสำหรับการยกเลิกและแทนที่ข้อเสนอการแลกเปลี่ยนตลอดไป คุณไม่ใช่แพลตฟอร์มที่เปิดกว้างสำหรับนักพัฒนา คุณคือประตูที่เปิดกว้าง

2. คุณเลวร้ายกว่ามิกเซอร์คริปโตที่ถูกคว่ำบาตร (ภาวะ Tornado Cash)

หาก Steam ไม่ใช่แพลตฟอร์มสำหรับนักพัฒนา แล้วมันคือตลาดแลกเปลี่ยนทางการเงินหรือ? ลองเปรียบเทียบคุณกับตลาดหุ้นที่ถูกต้องตามกฎหมายไม่ได้ แต่ให้เปรียบเทียบกับคริปโตมิกเซอร์ใต้ดินและแพลตฟอร์มที่ถูกคว่ำบาตร ซึ่งกระทรวงการคลังและ FBI ของสหรัฐฯ ทำลายล้างเพื่อสกัดกั้นการฟอกเงิน (เช่น Tornado Cash, Bitzlato หรือ Garantex)

คุณอยากทราบความย้อนแย้งขั้นสุดไหม เกบ แม้จะเป็นบริการฟอกคริปโตบนดาร์กเว็บที่ถูกกฎหมายและอยู่ภายใต้มาตรการคว่ำบาตร แต่ระบบรักษาความปลอดภัยของ API ก็ยังแข็งแกร่งกว่าของ Steam เสียอีก แม้แต่ผู้ดูแลระบบของบริการผสมธุรกรรมใต้ดิน (Underground Mixers) ยังตระหนักดีว่า การสร้างคีย์ API ที่สามารถจัดการยอดคงเหลือของผู้ใช้ได้นั้น จำเป็นต้องบังคับให้ผู้ใช้ป้อนรหัสยืนยันตัวตนสองขั้นตอน (2FA) ยืนยันผ่านอีเมล และผูกคีย์ดังกล่าวเข้ากับที่อยู่ IP เฉพาะเจาะจง แต่ Valve ซึ่งเป็นบริษัทอเมริกันที่ถูกต้องตามกฎหมายและมีมูลค่าหลายพันล้านดอลลาร์ กลับอนุญาตให้สคริปต์ที่มองไม่เห็นซึ่งทำงานอยู่บนเซิร์ฟเวอร์ในรัสเซีย สามารถเข้าถึงคลังสินค้า (Inventory) ของผู้ใช้ที่มีมูลค่าหลายหมื่นดอลลาร์ได้อย่างถาวร โดยไม่ต้องมีการยืนยันใดๆ เพียงแค่คลิกเดียว ผู้ก่ออาชญากรรมไซเบอร์กำลังบังคับใช้มาตรฐานความปลอดภัยที่สูงกว่านักพัฒนาซอฟต์แวร์ที่ได้รับเงินเดือนหลักล้านดอลลาร์ของคุณจริงหรือ?

3. ตลาดสีเทาพิสูจน์แล้วว่ามีความฉลาดเหนือกว่าบริษัทมูลค่าหลายพันล้านดอลลาร์

ส่วนที่ตลกที่สุดคือตลาดซื้อขายและพนันสกินจากบุคคลที่สาม (เช่น OPSkins หรือ BitSkins ในอดีต) ซึ่ง Valve เคยดำเนินการอย่างแข็งกร้าว ในอดีตเมื่อปี 2017 พวกเขาเคยเผชิญกับปัญหาการแทนที่ข้อเสนอแบบ Offer-Swap ผ่าน API ในลักษณะเดียวกัน และคุณรู้ไหมว่าพวกเขาทำอะไร? พวกเขา—กลุ่มนักพัฒนาอิสระขนาดเล็กที่ไม่มีงบประมาณระดับหลายพันล้านดอลลาร์—เพียงแก้ไขปัญหานี้ภายในไม่กี่วันด้วยการเพิ่มขั้นตอนการยืนยัน ซึ่งทำให้แผนการหลอกลวงของมิจฉาชีพพังทลายลงทันที

ในขณะเดียวกัน Valve ใช้เวลา 7 ปีในการทดลองกับเด็ก ๆ โดยสังเกตว่าผู้ใช้จะซื้อสกินใหม่เพื่อทดแทนสกินที่ถูกขโมยไปนานแค่ไหน และเงินผิดกฎหมายจำนวนเท่าใดที่มิจฉาชีพสามารถฟอกผ่านวงจรนี้ได้

4. ไม้ค้ำยันที่ดูดีแต่ไม่ได้แก้ปัญหาที่ต้นตอ

แทนที่จะปิดช่องโหว่ Valve กลับนำ "ไม้ค้ำยัน" ที่ "อัจฉริยะ" มาใช้ ได้แก่ การระงับการแลกเปลี่ยนเป็นเวลา 7 วัน และการล็อกการเปลี่ยนชื่อผู้ใช้เป็นเวลา 4 ชั่วโมง ตลอดระยะเวลา 7 ปี คุณได้จัดการกับอาการกระดูกหักเปิดด้วยเพียงพลาสเตอร์ปิดแผล มีดที่ถูกขโมยไม่เคยถูกส่งคืนให้เหยื่อ แต่ถูกแช่แข็งไว้บนบอทที่ถูกแบนอย่างถาวร ซึ่งทำให้ปริมาณอุปทานที่หมุนเวียนลดลงเทียมและผลักดันมูลค่าตลาดให้สูงขึ้น นี่คือวงจรธุรกิจที่สมบูรณ์แบบ: นักต้มตุ๋นขโมย Valve บัญญัตินั้น อุปทานลดลง ราคาสูงขึ้น และ Gabe ก็เก็บค่าธรรมเนียมธุรกรรมที่คุ้มค่าจากทุกการขายครั้งใหม่

คำถามหลักที่ Valve ไม่สามารถตอบได้:

STEAM ทำไมถึงไม่เพิ่มการยืนยันตัวตนแบบบังคับหรือการแจ้งเตือนผ่านมือถือ (Mobile Push) ใน Steam Guard เพื่อสร้างคีย์ API ซึ่งเป็นเครื่องมืออันทรงพลังที่สามารถควบคุมสินทรัพย์เสมือนมูลค่าหลายพันดอลลาร์ได้?!

คุณบังคับให้ผู้ใช้ยืนยันการขายการ์ดเทรดราคา 3 เซ็นต์ผ่านแอปบนมือถือ แต่ตลอดระยะเวลา 7 ปี คุณกลับอนุญาตให้สคริปต์ที่มองไม่เห็นเข้าควบคุมคลังสินค้าทั้งหมดของผู้ใช้อย่างถาวร โดยไม่มีการแจ้งเตือนแม้แต่ครั้งเดียว สิ่งนี้ไม่ใช่ 'ฟิชชิ่ง' แต่เป็นความประมาทเลินเล่ออย่างจงใจและผ่านการคำนวณมาอย่างถี่ถ้วน และผู้ใช้ของคุณต้องเป็นผู้รับเคราะห์

การปิดบังข้อมูลของ Steam API: วิธีที่ Valve ทำให้การจารกรรมข้อมูลแบบเงียบๆ เป็นเรื่องถูกกฎหมาย

Valve ใช้เวลา 7 ปีที่ผ่านมาในการโยนความรับผิดชอบของเหตุฉ้อโกงจากการแทนที่ API ทางการค้าครั้งใหญ่ไปยังผู้ใช้ คำตอบมาตรฐานของฝ่ายสนับสนุน Steam มักปฏิเสธผู้เสียหายโดยอ้างว่าพวกเขาเพียงตกเป็นเหยื่อของฟิชชิงและทำให้บัญชีของตนเองถูกบุกรุก

นี่คือคำโกหกขององค์กรที่ถูกคำนวณไว้ล่วงหน้า สิ่งที่ Valve เรียกว่า 'การขโมยบัญชี' แท้จริงแล้วคือปฏิบัติการเฝ้าระวังแบบ Man-in-the-Middle (MITM) ที่ทำงานโดยอัตโนมัติอย่างต่อเนื่อง ซึ่งถูกทำให้เกิดขึ้นได้โดยโครงสร้างพื้นฐานที่ชำรุดของตัวพวกเขาเอง

การโจรกรรมบัญชี vs. การจารกรรมแบบ MITM เงียบ

ข้อกำหนดการให้บริการของ Steam ห้ามมิให้ใช้สคริปต์อัตโนมัติอย่างเด็ดขาด ทว่าระบบเบื้องหลังของ Valve กลับเพิกเฉยต่อสถานการณ์ที่สคริปต์เหล่านี้เองที่ทำการยึดครองเซสชันของผู้ใช้

การโจรกรรมแบบมาตรฐาน: การเข้าสู่ระบบจากอุปกรณ์ที่ไม่ได้รับอนุญาตจะกระตุ้นให้เกิดการแบนระดับชุมชน (Community Ban) ซึ่งจะทำให้บัญชีถูกล็อกและรักษาคลังสินค้าของผู้ใช้ไว้
การจารกรรม API เซิร์ฟเวอร์ที่เป็นอันตรายจะสร้างการเชื่อมต่อแบบขนานเพื่อตรวจสอบบัญชีในเบื้องหลังตลอด 24 ชั่วโมง โดยไม่กระตุ้นให้เกิดการแจ้งเตือนหรือการระงับบัญชีแต่อย่างใด
ความเท็จของอินเทอร์เฟซ: ระหว่างการทำธุรกรรม แอป Steam บนมือถือจะแสดงรายการธุรกรรมที่ถูกต้องตามกฎหมาย ซึ่งบังคับให้ผู้ใช้ต้องอนุมัติธุรกรรมที่สคริปต์ที่มองไม่เห็นจะยกเลิกและแทนที่ภายในเวลาเพียงไม่กี่มิลลิวินาที

ข้อตกลงเงา: วิธีที่ Steam โกหกเกี่ยวกับ "การยินยอม" ของคุณ

A hacker agreeing to Steam API Developer Terms on behalf of a victim — หลักฐานสคริปต์ตัวแทนของรัสเซียยอมรับสัญญาโดยอัตโนมัติภายในเวลาเพียงไม่กี่มิลลิวินาที

มาพูดถึงข้ออ้างที่ทีมสนับสนุนของ Steam ชอบใช้เมื่อปฏิเสธการคืนทรัพย์สินที่ถูกขโมยของคุณกันเถอะ: "คุณเป็นผู้รับผิดชอบความปลอดภัยของบัญชีและทุกการกระทำที่เกิดขึ้นในบัญชีนั้น"

ข้อความเหล่านี้บ่งชี้ว่าคุณในฐานะผู้ใช้ได้ยอมรับข้อกำหนดที่ทำให้การโจรกรรมครั้งนี้เกิดขึ้นจริงหรือ? คุณไม่เคยเห็นหน้าข้อตกลงสำหรับนักพัฒนา (developer agreement) นี้มาก่อน: https://steamcommunity.com/dev/apiterms คุณไม่เคยกดปุ่ม “ยอมรับ” แฮกเกอร์คือผู้ที่ยอมรับสัญญาฉบับนี้แทนคุณ ภายในเศษเสี้ยววินาทีหลังจากที่เข้าสู่ระบบบัญชีของคุณจากที่อยู่ IP ของรัสเซีย

ดังนั้น เราจึงท้าทายทนายความหรือตัวแทนของ Valve ให้ชี้ชัดว่าในข้อตกลงผู้สมัครสมาชิก Steam (Steam Subscriber Agreement) มีข้อความใดที่ระบุว่า "ด้วยการใช้งาน Steam คุณยินยอมให้ดำเนินการเฝ้าระวังบัญชีของคุณหรือบัญชีบุตรหลานของคุณตลอด 24 ชั่วโมง โดยเซิร์ฟเวอร์อัตโนมัติที่ตั้งอยู่ในรัสเซีย"

ใน 90% ของกรณีการแทนที่ธุรกรรม (trade substitution) ผู้เสียหายไม่แม้แต่จะรู้ว่า Web API key คืออะไร พวกเขาไม่เคยใช้งานมาก่อนเลย แต่ Valve กลับนิ่งเฉยมาตลอด 7 ปี โดยเพิกเฉยต่อแนวทางแก้ไขที่ชุมชนเรียกร้องมาตั้งแต่แรกเริ่มอย่างสิ้นเชิง: เพียงแค่เพิ่มการยืนยันตัวตนผ่าน Steam Guard แบบบังคับก่อนการสร้าง API key ก็พอ!

Steam: เด็กไม่ควรถูกบังคับให้สนับสนุนแฮกเกอร์

ลองนึกภาพวัยรุ่นธรรมดาคนหนึ่งจากยุโรป พวกเขาเล่นเกม เก็บเงินเพื่อซื้อสกินที่ชื่นชอบ และในสักวันหนึ่ง พวกเขาทำผิดพลาดโดยเข้าสู่ระบบเว็บไซต์ฟิชชิ่ง ในระบบนิเวศดิจิทัลปกติ ขั้นตอนการดำเนินการนั้นเรียบง่าย: บัญชีจะถูกปิดกั้นโดยอัตโนมัติ (Community Ban) รหัสผ่านจะถูกรีเซ็ต และการเข้าถึงระบบจะได้รับการฟื้นฟูอย่างปลอดภัย วัยรุ่นคนนั้นตระหนัก到自己的ผิดพลาด แต่ระบบจะปกป้องพวกเขาจากผลลัพธ์ที่ร้ายแรง

แต่ใน Steam ทุกอย่างทำงานต่างออกไป แทนที่จะบล็อกกิจกรรมที่น่าสงสัย Valve กลับเปิดประตูลับอย่างเงียบๆ เซิร์ฟเวอร์จากเขตอำนาจที่ถูกคว่ำบาตร (รัสเซีย) ได้รับสิทธิ์เข้าถึงบัญชีของเด็กคนนี้แบบขนานโดยไม่ได้รับอนุญาต โดยไม่มีขั้นตอนยืนยันตัวตนขั้นที่สองแม้แต่ครั้งเดียว และไม่มีคำเตือนจาก Steam Guard เลย สคริปต์จากภายนอกสร้าง Web API key ขึ้นมา มันยอมรับข้อตกลงทางกฎหมายแทนผู้ใช้ และเริ่มเฝ้าระวังแชท การแลกเปลี่ยน และคลังสินค้าของผู้เล่นตลอด 24 ชั่วโมง

วัยรุ่นจากสหภาพยุโรปไม่เคยให้ความยินยอมต่อการสอดแนมแบบซ่อนเร้น พวกเขาไม่มีหน้าที่ต้องสนับสนุนแฮกเกอร์จากดินแดนที่ถูก OFAC กำหนดมาตรการคว่ำบาต เพียงเพราะบริษัทมูลค่าหลายพันล้านดอลลาร์ขี้เกียจที่จะรักษาความปลอดภัยให้กับ API ของตนเอง การที่ Valve ยังคงยึดสกินที่ถูกขโมยไว้และปฏิเสธที่จะคืนให้ ถือเป็นการปกปิดความประมาทเลินเล่อในโครงสร้างพื้นฐาน ซึ่งส่งผลให้การดูดซับสินทรัพย์ดิจิทัลของพลเมืองยุโรปไปยังดินแดนที่ถูกคว่ำบาตกลายเป็นเรื่องที่ถูกกฎหมายโดยนัย

เหตุใดการละเมิดความปลอดภัยของ API และโทเคนของ Steam จึงขัดต่อกฎหมาย

Steam อนุญาตให้บุคคลภายนอกสร้างคีย์ API และยึดโทเคนเซสชันผ่านพร็อกซีแบบ MitM โดยไม่มีการแจ้งเตือนผู้ใช้หรือการตรวจสอบ 2FA เลย ความประมาทเลินเล่อดังกล่าวถือเป็นการละเมิดกฎหมายคุ้มครองข้อมูลและกฎหมายคุ้มครองผู้บริโภคที่สำคัญโดยตรง:

🇪🇺 กฎหมายคุ้มครองข้อมูลส่วนบุคคลของสหภาพยุโรป (GDPR) (มาตรา 25 และ 32): เรียกร้องให้ใช้แนวทาง "Security by Design" และมาตรการป้องกันทางเทคนิคที่เหมาะสม การสร้างคีย์การเข้าถึงที่สำคัญโดยไม่มีระบบยืนยันตัวตนสองขั้นตอน (2FA) ถือเป็นความล้มเหลวด้านความปลอดภัยอย่างร้ายแรง
🇺🇸 กฎหมาย FTC ของสหรัฐอเมริกา (มาตรา 5): ลงโทษ "การปฏิบัติที่ไม่เป็นธรรม" และ "การขาดมาตรการรักษาความปลอดภัยข้อมูลที่เหมาะสม" FTC ดำเนินการกับแพลตฟอร์มที่ขาดการยืนยันตัวตนแบบหลายปัจจัย (MFA) สำหรับปฏิบัติการสำคัญบนบัญชีเป็นประจำ
⚖️ ระเบียบของสหภาพยุโรป (EU Directive) ฉบับที่ 2019/770: บริการดิจิทัลต้องตอบสนองต่อความคาดหวังด้านความปลอดภัยขั้นพื้นฐานของผู้บริโภค ช่องโหว่ของ API ของ Steam ที่มีอายุ 7 ปี ไม่ผ่านเกณฑ์นี้เลย
🛡️ ระเบียบ NIS 2: กำหนดมาตรฐานสุขอนามัยทางไซเบอร์อย่างเข้มงวด รวมถึงการบังคับใช้ MFA สำหรับการจัดการการเข้าถึง ซึ่ง Valve เพิกเฉยต่อข้อกำหนดดังกล่าวในการสร้าง API

สรุปคือ: เมื่อแพลตฟอร์มส่งมอบคีย์ API ของคุณไปยังเซสชันพร็อกซีโดยไม่มีคำเตือนหรือการยืนยันใด ๆ เลย สิ่งนี้ไม่ใช่เพียงข้อบกพร่อง แต่เป็นการละเมิดข้อกำหนดด้านความสอดคล้อง (Compliance) อย่างร้ายแรง

พร้อมที่จะโต้กลับหรือไม่? สร้างหนังสือแจ้งข้อโต้แย้งของคุณ

อย่ายอมรับการปฏิเสธตามข้อกำหนดการให้บริการอัตโนมัติของพวกเขา จงบังคับให้ Valve รับผิดชอบทางกฎหมายภายใต้กฎหมายคุ้มครองผู้บริโภคและกฎหมายคุ้มครองข้อมูลส่วนบุคคลระหว่างประเทศ ใช้เครื่องมือสร้างเอกสารแบบอินเทอร์แอกทีฟของเราฟรี เพื่อจัดทำเอกสารแจ้งข้อโต้แย้งทางกฎหมาย (Notice of Dispute) อย่างเป็นทางการในรูปแบบ PDF สำหรับภูมิภาคของคุณได้อย่างรวดเร็ว

สร้างประกาศและบันทึกเป็น PDF

Valve เก็บบันทึกข้อมูลระดับเซสชัน (session-level logs) สำหรับกระบวนการยืนยันตัวตน การสร้างคีย์ API การยกเลิกและแทนที่ข้อเสนอ (offer) การยืนยัน (confirmations) ประวัติ IP และปฏิบัติการสนับสนุนหรือไม่ หากบันทึกเหล่านี้มีอยู่ Valve สามารถพิสูจน์ได้หรือไม่ว่าเมื่อใดที่ระบบตรวจพบพูลของ Ihor เป็นครั้งแรก และเพราะเหตุใดจึงยังคงปล่อยให้พูลเหล่านั้นทำงานอยู่ หากบันทึกเหล่านี้ไม่มีอยู่ เหตุใดแพลตฟอร์มที่จัดการกับสินค้าคงคลังมูลค่าสูงจึงล้มเหลวในการรักษาเส้นทางการตรวจสอบ (audit trail) ที่จำเป็นต่อการสืบสวนประเภทการโจมตีที่ทราบอยู่แล้ว

ตลอดระยะเวลาประมาณ 88 เดือน มีผู้ใช้จำนวนเท่าใด (โดยระบุจำนวนผู้เยาว์ในกรณีที่ทราบ) ที่เปิดตั๋ว (ticket) โดยเฉพาะเกี่ยวกับเรื่องการแทนที่ข้อเสนอ (offer replacement)? มีตั๋วจำนวนเท่าใดที่แสดงเซสชันขนานจากต่างประเทศ (foreign parallel session) แต่กลับได้รับคำตอบตามสคริปต์ (scripted response) แทนการเพิกถอนสิทธิ์ทันที (immediate revocation)? มีกรณีจำนวนเท่าใดที่นำไปสู่การป้องกันก่อนเกิดความเสียหาย การคืนสินค้าจริง หรือการแบนบอทรับ (receiving-bot ban) ซึ่งสามารถระบุสาเหตุได้ว่าเป็นผลจากตั๋วหรือรายงานฉบับนั้นโดยเฉพาะ แทนที่จะเป็นการตรวจจับที่ไม่เกี่ยวข้องกันซึ่งเกิดขึ้นภายหลัง? การทบทวนรายงานของผู้เสียหายสาธารณะและการอภิปรายบน Reddit ของ PhishDestroy ไม่พบกรณีใดที่สามารถเชื่อมโยงได้อย่างมั่นใจกับรายงานของผู้เสียหาย ซึ่งสิ่งนี้ไม่ได้เป็นข้อพิสูจน์ว่าไม่มีกรณีดังกล่าวเกิดขึ้น และ Valve สามารถแก้ไขบันทึกข้อมูลได้โดยการเผยแพร่ยอดรวมภายในองค์กรของตน

คำถามเรื่องเงินทองจำเป็นต้องมีการบัญชีที่แม่นยำ สำหรับธุรกรรมขายในตลาดชุมชนของ CS2 หรือ Dota ซึ่งผู้ขายได้รับมูลค่า Steam Wallet จำนวน 100 หน่วย ผู้ซื้อจะชำระเงินประมาณ 115 หน่วย หลังหักค่าธรรมเนียม Steam 5% และค่าธรรมเนียมเกม 10% ตามที่ระบุไว้ โดยอาจมีการปัดเศษ ส่วนต่าง 15 หน่วยดังกล่าวคือค่าธรรมเนียม; มูลค่า 100 หน่วยของผู้ขายคือมูลค่าใน Wallet ไม่ใช่ค่าคอมมิชชันอีก 100 หน่วย ดังนั้นการระบุว่า "กำไร 115%" จึงไม่ถูกต้อง แต่หากไอเทมดังกล่าวถูกขโมยและถูกระงับการใช้งานโดยไม่มีเงินชดเชย Valve ยังคงควบคุมเงินทุนในระบบปิด (closed-loop) ได้ เก็บค่าธรรมเนียมไปแล้ว และนำไอเทมออกจากตลาดแล้ว สำหรับประเภทการโจมตีนี้ ยอดชำระเงินรวมของผู้ซื้อ ค่าธรรมเนียมของ Valve หนี้สินใน Wallet มูลค่าไอเทมที่ถูกระงับ ผลกระทบต่อราคา และจำนวนเงินชดเชย มีมูลค่าเท่าใด

ความต้องการ เปิดเผยจำนวนบุคลากรด้านความปลอดภัยและการสนับสนุนแยกตามปี; ชั่วโมงงานและงบประมาณที่จัดสรรเพื่อป้องกันการแลกเปลี่ยนข้อเสนอ (offer-swap); ไทม์ไลน์ฉบับเต็มของรายงาน การตัดสินใจ และกลุ่มผู้ใช้จำนวนมาก (mass pools) ที่ถูกมองข้าม; อัตราการเพิกถอนเซสชันจากตั๋ว (ticket-to-session-revocation) อัตราการแบนบอทจากตั๋ว (ticket-to-bot-ban) และอัตราการชดเชย; บันทึกคำขอ/การดำเนินการ (request/action logs) ที่ถูกเก็บรักษาไว้; และผลการเปรียบเทียบแบบตรวจสอบแล้ว (audited comparison) ระหว่างเงินเดือนพนักงานของ Steam และกำไรของแพลตฟอร์ม กับความเสียหายของผู้ใช้ ค่าธรรมเนียมที่เก็บ มูลค่าในกระเป๋าเงิน (Wallet) และรายการที่ถูกแช่แข็ง (items frozen) ให้ตอบอย่างเป็นทางการ (on the record): กรณีนี้เกิดจากความล้มเหลวของกำลังคน ความล้มเหลวของนโยบายการสนับสนุน หรือเป็นทางเลือกทางธุรกิจที่ตั้งใจไว้?

การสนับสนุนที่จ้างภายนอกและการเข้าถึงแบบมีสิทธิ์พิเศษ

ตัวแทนภายนอกสามารถสืบค้นข้อมูลผู้ใช้ Steam ทั่วโลกได้หรือไม่

นโยบายความเป็นส่วนตัวของ Valve ระบุว่าผู้ให้บริการสนับสนุนบุคคลที่สามอาจได้รับข้อมูลส่วนบุคคลเฉพาะเท่าที่จำเป็นเท่านั้น PhishDestroy ทราบชุดข้อมูล (field set) และโมเดลการเข้าถึง (access model) ของอินเทอร์เฟซที่ตรวจสอบแล้ว จึงขอให้ Valve ยืนยันหรือปฏิเสธข้อมูลดังกล่าวเป็นลายลักษณ์อักษร ตัวแทนผู้รับเหมาในไอร์แลนด์—or ในที่อื่น—สามารถเปิดดูข้อมูลผู้ใช้ในสหรัฐอเมริกา เยอรมนี ออสเตรเลีย จีน หรือรัสเซีย ได้หรือไม่? พวกเขาสามารถดูบันทึกอีเมล เบอร์โทรศัพท์ IP และอุปกรณ์ ทั้งปัจจุบันและย้อนหลัง รวมถึงเซสชัน การเปลี่ยนแปลงบัญชี รายการธุรกรรม หรือแชทส่วนตัวได้หรือไม่? จำเป็นต้องมีใบสั่งงาน (ticket) ที่กำหนดไว้หรือไม่?

ความต้องการ ทะเบียนผู้ประมวลผลและผู้ประมวลผลย่อย ประเทศที่ดำเนินการประมวลผลทั้งหมด เมทริกซ์การเข้าถึงตามบทบาทและฟิลด์ ข้อจำกัดตามภูมิภาค การเข้าถึงแบบ Just-in-Time ที่กำหนดขอบเขตตามตั๋ว (ticket) และคำตอบที่ชัดเจนบนแชทและตัวระบุข้อมูลทางประวัติศาสตร์

Valve ทราบหรือไม่ว่าใครคือบุคคลที่อยู่เบื้องหลังการสืบค้นที่มีสิทธิ์พิเศษทุกครั้ง

พนักงานของบริษัทร่วมสัญญาอาจมีความสัมพันธ์ส่วนตัว การเมือง หรือภาครัฐที่ผู้ใช้ไม่ทราบ อะไรคือสิ่งที่ป้องกันไม่ให้ผู้ปฏิบัติงานถูกสินบน ถูกข่มขู่ หรือถูกสั่งการโดย FSB หรือหน่วยงานข่าวกรองหรือบังคับใช้กฎหมายอื่นใด ให้ดึงประวัติ IP เวลาการใช้งาน รายชื่อผู้ติดต่อ หรือการเปลี่ยนแปลงบัญชีของบุคคลหนึ่ง Valve ระบุตัวตนบุคคลธรรมดารายบุคคล ห้ามใช้ข้อมูลรับรองร่วมกัน บันทึกทุกการค้นหาและการเรียกดูข้อมูล ตรวจจับการเข้าถึงนอกเหนือจากคดีที่ได้รับมอบหมาย บล็อกการส่งออกข้อมูลจำนวนมาก และกำหนดให้คำขอจากรัฐบาลทั้งหมดต้องผ่านกระบวนการทางกฎหมายของ Valve หรือไม่

ความต้องการ บันทึกการตรวจสอบที่สามารถระบุตัวตนผู้กระทำได้อย่างชัดเจน การยืนยันตัวตนที่ผูกกับฮาร์ดแวร์ การแจ้งเตือนเมื่อพบความผิดปกติ การทบทวนสิทธิ์การเข้าถึงเป็นระยะ ระยะเวลาในการเก็บรักษาบันทึกสถิติ สถิติการใช้อำนาจภายในโดยมิชอบรวมจำนวนคำขอจากรัฐบาลที่มาจากผู้รับเหมา ผลการลงโทษทางวินัย และรายงานความโปร่งใสต่อสาธารณะแยกตามประเทศ

คำมั่นในการกู้คืนหลักฐาน

Valve จะอ้างว่าไม่สามารถค้นหาบอทและเหยื่อได้อีกต่อไปหรือไม่?

หาก Valve ชี้แจงต่อศาลว่าระบบอินเทอร์เฟซ ความปลอดภัย และการสนับสนุนของพวกเขาล้มเหลว—หรือโยนความล้มเหลวไปให้ผู้รับจ้างภายนอก—และต่อมาได้สัญญาว่าจะชดเชยความเสียหาย คำว่า “เราไม่สามารถระบุบอทหรือเหยื่อได้อีกต่อไป” จะไม่สามารถใช้เป็นข้ออ้างได้อีกต่อไป PhishDestroy พร้อมที่จะยื่นหลักฐาน SteamIDs ที่ถูกเก็บรักษาไว้ของบอทผู้รับ รวมถึงบันทึกการทำธุรกรรมและการโจรกรรมที่เกี่ยวข้องกับผลิตภัณฑ์หลักที่ถูกตรวจสอบ ประเมินภายในปัจจุบันของเราชี้ว่า การจับคู่ข้อมูลนี้กับบัญชีธุรกรรมทั้งหมดของ Valve อาจช่วยระบุเหยื่อของรูปแบบการแลกเปลี่ยนข้อเสนอแบบคลาสสิกได้ประมาณ 80%—ไม่รวมกรณี maFile การหลอกลวงข้อมูลรับรอง (credential-phishing) หรือกรณี RAT; อัตราการครอบคลุมที่แน่นอนสามารถกำหนดได้เฉพาะผ่านการตรวจสอบความสอดคล้องเท่านั้น มีอีกสองกลุ่มที่เกี่ยวข้อง: กลุ่มนักพัฒนาชุดหนึ่งอาจยากต่อการระบุตำแหน่งในขณะนี้ แต่ผู้เข้าร่วมและนักวิจัยคนอื่น ๆ อาจสามารถจัดเตรียมรายการเพิ่มเติมได้

หาก Valve แจ้งต่อสภาคองเกรสว่าคลังสินค้าสกินที่ถูกแช่แข็งในปริมาณมากไม่มีผลกระทบต่ออุปทาน ความขาดแคลน ราคา หรือรายได้ของแพลตฟอร์ม ในขณะที่ข้อมูลภายในของบริษัทชี้ไปในทิศทางตรงกันข้าม นั่นจะถือเป็นการให้ข้อมูลเท็จต่อสภาคองเกรส การอ้างลอยๆ ไม่เพียงพอ จำเป็นต้องมีการเปิดเผยข้อมูลพื้นฐานและแบบจำลองผลกระทบที่เป็นอิสระด้วย เวลาเป็นสิ่งสำคัญ การเสนอแลกเปลี่ยนกำลังสูญเสียความเกี่ยวข้อง เนื่องจากกลโกงบน Steam กำลังเปลี่ยนไปสู่การส่งมัลแวร์ประเภท RAT และเหยื่อล่อปลอมแปลงการแบน VAC ผ่านไฟล์ ผู้ที่อยู่เบื้องหลังผลิตภัณฑ์รุ่นเก่าอาจหายตัวไปพร้อมหลักฐาน

เส้นทางตรวจสอบอิสระ

การคาดการณ์ข้ออ้างเรื่อง 'ความไว้วางใจ': งบดุลของบอทแลกเปลี่ยนข้อเสนอ 213,000 รายการ

เราคาดการณ์การตอบโต้มาตรฐานของ Valve ไว้ว่า “เราไม่สามารถไว้วางใจรายชื่อเหยื่อที่จัดทำโดยบุคคลที่สามอย่างตาบอดได้” เราชื่นชมความระมัดระวังดังกล่าว นั่นคือเหตุผลที่เราไม่ได้เสนอรายชื่อเหยื่อ แต่เรากำลังเสนอรายชื่อของบอทผู้รับ (receiving bots) ที่ใช้โดยแผงสลับข้อเสนอแบบคลาสสิก (classic offer-swap panels) ซึ่งสามารถตรวจสอบยืนยันได้

เรามีความสามารถในการปกป้องฐานข้อมูลที่ครอบคลุมปริมาณธุรกรรมแบบเสนอ-แลกเปลี่ยน (offer-swap) ผ่าน API แบบดั้งเดิมในอดีตประมาณร้อยละ 80 ซึ่งเป็นกลไกที่ทำการยกเลิกข้อเสนอการแลกเปลี่ยนที่ถูกต้องตามกฎหมายและส่งข้อเสนอฉบับใหม่แทน หาก Valve ยืนยันอย่างจริงจังที่จะชดเชยความเสียหายจริง แทนที่จะเป็นเพียงการควบคุมภาพลักษณ์ผ่านงานประชาสัมพันธ์ ตัวเลขประมาณการนี้ไม่ครอบคลุมการขโมยไฟล์ maFile การหลอกลวงเพื่อขโมยข้อมูลรับรอง (credential phishing) โหลดของมัลแวร์ประเภท RAT หรือรูปแบบการหลอกลวงอื่น ๆ เนื่องจากกระบวนการเหล่านั้นอาจใช้บอทในปริมาณจำกัดหรือถูกปกปิดไว้ ทำให้ไม่สามารถสร้างภาพรวมของเหตุการณ์ได้อย่างมั่นใจในระดับเดียวกัน เราสามารถสอบถามผู้พัฒนาโมดูลหลอกลวง (scam-panel) โดยตรงได้ เนื่องจากพวกเขาเป็นนักพัฒนาที่เข้าถึงได้ง่าย เราสามารถติดต่อกับอย่างน้อยหนึ่งคนได้ทันที และมีช่องทางในการติดต่ออีกคน วัตถุประสงค์ไม่ใช่การล่าแม่มดต่อผู้พัฒนาแต่ละราย แต่เป็นการบังคับให้ Steam แก้ไขความล้มเหลวเชิงระบบที่เกิดขึ้นมานานเจ็ดปี เมื่อเปรียบเทียบกับความเงียบงันขององค์กร Valve ผู้พัฒนาโมดูลเหล่านี้ได้แสดงให้เห็นถึงความเป็นมนุษย์และความโปร่งใสมากกว่าในบางช่วงเวลา

≈213,000บัญชีบอทสำหรับรับและชำระบัญชีแบบ “ไม่จำกัด” · เฉพาะการแลกเปลี่ยนข้อเสนอแบบคลาสสิก · ประมาณการภายในของ PhishDestroy · บางบัญชีถูกแบนแล้วBot IDs ที่ส่งมอบ → Valve ตรวจสอบภายในบัญชีแยกประเภทของตนเอง → ผู้เสียหายและรายการ

แม้ว่าผู้พัฒนาจะปฏิเสธที่จะแบ่งปันบันทึกข้อมูล (logs) แต่เรามีวิธีการตรวจสอบทางนิติวิทยาศาสตร์ทางเลือกสำหรับการระบุเครือข่ายบอทที่ถูกนำไปใช้โดยเฉพาะสำหรับกลไกการยกเลิกและแทนที่ข้อเสนอเฉพาะนี้ ภายใต้เกณฑ์การใช้งานเฉพาะดังกล่าว ทุกธุรกรรมขาเข้าที่ส่งไปยังแผงควบคุม (verified panel) ที่ได้รับบอท ถือเป็นการโจรกรรมที่มีหลักฐานบันทึกไว้

ไม่มีใครเรียกร้องให้ Valve ส่งบันทึกภายใน (internal logs) ให้แก่ PhishDestroy เราจะระบุ SteamID หรือข้อมูลเข้าสู่ระบบของบอทที่ถูกใช้เพื่อรับและขายของที่ถูกขโมยผ่านวิธีการแทนที่ข้อเสนอ (offer replacement) เท่านั้น Valve สามารถเก็บรักษาบัญชีรายการ (ledger) ไว้ในสภาพแวดล้อมของตนเองและดำเนินการจับคู่ข้อมูลด้วยตนเอง บอทเหล่านี้จำนวนมากสามารถขายของที่ถูกขโมยได้สำเร็จ บางส่วนถูกแบนไปแล้ว และปริมาณการแลกเปลี่ยนที่เข้ามาเป็นจำนวนมากมหาศาล

หลักฐานการยืนยันมาจาก Valve เอง ได้แก่ พฤติกรรมของบัญชีที่ใช้งานโดยบอทเท่านั้น ช่วงเวลาที่ข้อเสนอที่ถูกต้องตามกฎหมายถูกยกเลิกและมีการส่งข้อเสนอทดแทนเข้ามา ประวัติรายการรับไอเทมและประวัติการแปลงเป็นเงินสด โครงสร้างพื้นฐานของ Ihor ที่ได้รับการบันทึกไว้ และคำยืนยันจากผู้ใช้ที่ได้รับผลกระทบ สำหรับบัญชีที่ได้รับการยืนยันว่าเป็นบอทที่รับข้อเสนอแลกเปลี่ยนแบบเอกสิทธิ์เฉพาะ ทุกธุรกรรมที่เข้ามาในช่วงเวลาทำงานของบัญชีนั้นถือเป็นบันทึกการโจรกรรม ไม่ใช่กิจกรรมปกติของผู้เล่น

คำถามโดยตรงถึง Valve: การรับโอนและกระบวนการขายทอดตลาดโดยอัตโนมัติของสกินที่ถูกขโมย ซึ่งดำเนินการโดยบอท ถือเป็นการละเมิดข้อตกลงผู้สมัครสมาชิกของ Steam และกฎระเบียบของแพลตฟอร์มหรือไม่ หรือจะถือเป็นการละเมิดเฉพาะเมื่อ Valve เห็นว่าสะดวกต่อการบังคับใช้เท่านั้น? การขโมยสกินอย่างเป็นระบบจัดเป็นการดำเนินกิจกรรมเชิงพาณิชย์หรือไม่ หรือคำนิยามดังกล่าวก็เปลี่ยนแปลงไปตามความเหมาะสมเช่นกัน?

Valve ไม่จำเป็นต้องไว้วางใจการประเมินผู้เสียหายของเรา แต่เพียงต้องนำตัวระบุบอทประมาณ 213,000 รายการไปตรวจสอบความสอดคล้องกับบัญชีรายการของตนเอง และยืนยันการทำงานของพวกมันอย่างอิสระ เมื่อการยืนยันเสร็จสิ้นแล้ว การระบุตัวผู้เสียหายและการคืนทรัพย์สินก็เป็นเพียงการสืบค้นฐานข้อมูล เราจะดำเนินการทุกวิถีทางเพื่อส่งมอบรายการดังกล่าว องค์ประกอบเดียวที่ขาดหายไปคือความเต็มใจของ Valve ในการดำเนินการ

พันธสัญญาของ PhishDestroy: หาก Valve เริ่มดำเนินการชดใช้ค่าเสียหายอย่างจริงจัง เราจะพยายามอย่างเต็มที่ในการรวบรวม อนุรักษ์ และส่งมอบรายการข้อมูลที่มีอยู่อย่างปลอดภัย คำเรียกร้องต่อ Valve: บันทึกข้อมูลล็อกภายในไว้ทันทีโดยไม่ต้องส่งมอบให้เรา เปิดช่องทางสื่อสารแบบปลอดภัยสำหรับตัวระบุบอท และตรวจสอบความถูกต้องของ SteamID และรายการแลกเปลี่ยนภายในบัญชีแยกประเภทของระบบเอง แจ้งเตือนเหยื่อที่ถูกระบุตัวตน และเผยแพร่จำนวนรายการที่กู้คืนได้

เงินจริงได้เข้าสู่ระบบปิดของ Steam ไปแล้ว และ Valve ได้เรียกเก็บค่าธรรมเนียมตลอดการหมุนเวียนของสินค้านั้น หากประวัติการครอบครองสามารถตรวจสอบได้ครบถ้วน ผู้ครอบครองก่อนหน้าเป็นที่ทราบกันดี และ Valve ดำเนินการระงับสินค้านั้นอย่างถาวรโดยปฏิเสธการชดเชยและปิดบังรายการสินค้าในคลัง คำถามที่หลีกเลี่ยงไม่ได้คือ ทำไมสาธารณชนจึงควรมองสิ่งนี้ว่าเป็นการปกป้อง มากกว่าการเปลี่ยนจุดอ่อนของแพลตฟอร์มเองให้เป็นรายได้ การแบนที่ทำให้เหยื่อไม่ได้รับค่าชดเชยใดๆ ไม่อาจเรียกว่าเป็นการชดเชยได้

Editorial illustration: a child receives a skin, a scammer steals it, and the item remains locked at Valve — ภาพประกอบบรรณาธิการ · โมเดลความเป็นเจ้าของเชิงปฏิบัติค่าธรรมเนียมที่จัดเก็บ รายการถูกล็อก ผู้ถือสิทธิ์โดยชอบธรรมจะได้รับอะไร

หมายเหตุบรรณาธิการ: ข้อกล่าวอ้างเชิงปฏิบัติการของ Ihor นั้นตั้งอยู่บนพื้นฐานของข้อมูลและไฟล์ที่ PhishDestroy เก็บรักษาไว้จากผลิตภัณฑ์หนึ่งที่ถูกตรวจสอบ และสามารถยื่นเสนอเพื่อรับการทบทวนอย่างเป็นอิสระได้ ส่วนยอดรวม การบังคับใช้กฎหมายแบบเลือกปฏิบัติ และแรงจูงใจทางเศรษฐกิจ จำเป็นต้องอาศัยบันทึกของ Valve การอ้างอิงถึงไอร์แลนด์ รัสเซีย FSB หรือรัฐอื่นใด เป็นการอธิบายโมเดลภัยคุกคาม มิใช่การกล่าวหาว่าผู้รับเหมาหรือผู้ปฏิบัติการรายใดรายหนึ่งได้เปิดเผยข้อมูลโดยปราศจากหลักฐาน ตัวเลข 79 คน และ 76.4 ล้านดอลลาร์สหรัฐ เป็นข้อมูลที่รายงานจากตารางหมวดหมู่ปี 2021 ซึ่งยื่นต่อศาลและถูกเปิดเผยก่อนการแก้ไขการปิดบังข้อมูล (redaction) ส่วนตัวเลข 1,162,880 ชั่วโมง เป็นการคำนวณเพื่อแสดงขีดความสามารถด้านกำลังคน ไม่ใช่การกล่าวหาว่าบุคคลทั้ง 79 คนเป็นวิศวกรความปลอดภัยหรือได้ใช้เวลาเหล่านั้นไปกับคดีฉ้อโกงนี้

ผู้เขียนและผู้เชี่ยวชาญด้านการบรรณาธิการ

จัดทำโดย ทีมวิจัย PhishDestroyกลุ่มนักวิเคราะห์ภัยคุกคามด้านความปลอดภัยไซเบอร์ นักวิจัยนิติวิทยาศาสตร์บล็อกเชน และผู้เชี่ยวชาญด้าน OSINT ที่ทำงานอย่างอิสระ สมาชิกในทีมของเราถือใบรับรองและมีความเชี่ยวชาญอย่างกว้างขวางในการติดตามการรั่วไหลของข้อมูล การวิเคราะห์ย้อนกลับมัลแวร์ และการตรวจสอบโครงสร้างพื้นฐานที่เป็นอันตรายตั้งแต่ปี 2018 กรุณาตรวจสอบการสืบสวนที่ได้รับการยืนยันของเราที่ คลังข่าวและงานสืบสวน หรือตรวจสอบความมุ่งมั่นของเราในด้านความโปร่งใสของเรา นโยบายบรรณาธิการ.

ฝ่ายติดต่อและสำนักงานทะเบียน

เพื่อส่งรายงาน ขอแก้ไขข้อมูล หรือยกระดับการแจ้งเตือนภัยคุกคาม กรุณาเยี่ยมชมเว็บไซต์ของเรา ติดต่อเคาน์เตอร์ หรือส่งใบคำขออย่างเป็นทางการผ่านระบบ ศูนย์อุทธรณ์.

สมาคม PhishDestroy
รีจิสทรีเสมือนและกล่องจดหมายสำหรับปฏิบัติการลดการปล่อยคาร์บอน:
10685-B Hazelhurst Dr, Houston, TX 77043, สหรัฐอเมริกา

คำแถลงเรื่องความโปร่งใสและการเปิดเผยข้อมูล

คำเตือน: PhishDestroy เป็นโครงการข่าวกรองภัยคุกคามอิสระที่ไม่แสวงหากำไร งานวิจัยบนหน้านี้มีวัตถุประสงค์เพื่อการศึกษา การวิเคราะห์ความปลอดภัย และการสร้างความตระหนักรู้เกี่ยวกับภัยคุกคามสาธารณะเท่านั้น เนื้อหาเหล่านี้ไม่ถือเป็นคำแนะนำทางกฎหมาย การเงิน การลงทุน หรือความปลอดภัยระดับมืออาชีพ โปรดดำเนินการตรวจสอบด้วยตนเองอย่างอิสระและปรึกษาผู้เชี่ยวชาญที่ได้รับใบอนุญาตก่อนดำเนินการกับสินทรัพย์ดิจิทัล API อนุญาต หรือแพลตฟอร์มของบุคคลที่สาม