Симбіоз шахрайства на Steam із використанням «API»: Обман, недбалість та відповідальність

1. Вступ: Симбіоз навмисної недбалості

Steam завжди спокійно ставився до будь-яких змін — включаючи будь-які правила та нововведення (наприклад, блокування обміну або заборони на обмін після зміни нікнейму). Це вимушені заходи, але вони неефективні та неповні. У Valve немає справжнього бажання боротися з цим, оскільки вони розуміють, що їхня платформа залежить як від шахрайства та азартних ігор, так і від решти тіньової економіки, яку Steam породив, дозволив виникнути та існувати протягом багатьох років. Справа не в тому, що вони нападають на Steam; це симбіоз — взаємовигідний і зрозумілий обом учасникам цього симбіозу.

Відома афера «API» (широко відома як «обмін/заміна пропозицій») з’явилася вже давно. Фішинг завжди спирався на заміну сеансів. У своїй стійкій формі вона з’явилася приблизно навесні 2019 року (до цього вона існувала як окремий вид фішингу, який з часом еволюціонував у заміну з обмеженням тривалості в 1, 4 або 8 годин). До весни 2019 року всі інструменти, що діяли на ринку шахрайства, зробили викрадену сесію «мобільною». І саме так вона пережила свій пік популярності. За нашими найобережнішими оцінками, це дозволило викрасти щонайменше 10 мільйонів доларів і більше. Але ви повинні розуміти, що, загалом, це сприяє розмноженню кіберзлочинців. Steam захищає шахраїв, граючи в гру під назвою «скіни нічого не варті». Введення блокування торгів відбулося після того, як механізм обміну пропозиціями вже був налагоджений. Нескінченна 7-денна затримка обміну була додана раптово й безпідставно. Це не боротьба з шахрайством — це регулювання.

Давайте розберемося, як працює обмін пропозиціями, і чому Steam та його спроби боротьби з шахрайством — це суцільна комедія (і завжди такими були).

2. План на 2017–2018 роки: п’ять приватних алгоритмів

Щоб зрозуміти масштаби цієї операції, варто звернутися до прикладів приватних шахрайських панелей, що діяли з 2017 року до весни 2018 року. Протягом цього періоду розробники створили п’ять різних алгоритмів роботи для методу «обміну пропозиціями». Це приватне оновлення включало всі п’ять алгоритмів: бот панелі входив в обліковий запис користувача та діяв відповідно до одного з п’яти наведених нижче алгоритмів, обходячи двофакторну аутентифікацію (2FA) за допомогою перевірки Guard. Шахраї могли налаштовувати ці параметри (відправлення ігор, фільтр мінімальної ціни пропозиції тощо) безпосередньо у своїй адміністративній панелі.

Технічний додаток: варіанти підміни офера та розвиток панелі

Алгоритм № 1: Класичний обмін

• Перевіряє пропозицію: чи походить вона з торгового веб-сайту? Якщо так, то виконує наведені нижче дії.
• Скасовує пропозицію від офіційного торгового бота.
• Аналізує нікнейм, аватар та повідомлення про угоду з офіційного акаунта бота та встановлює їх усі на акаунті бота шахрая.
• Надсилає абсолютно таку саму пропозицію, але з акаунта шахрая, із тими самими товарами, тим самим ніком і тим самим аватаром.

Алгоритм № 2: Відкладений обмін

• Перевіряє пропозицію: чи походить вона з торгового веб-сайту? Якщо так, то виконує наведені нижче дії.
• Не скасовує пропозицію від офіційного бота одразу, а чекає, поки користувач прийме її на своєму комп’ютері (а не на телефоні).
• Як тільки користувач приймає її (на комп'ютері), бот скасовує офіційну пропозицію.
• Аналізує нікнейм, аватар та повідомлення про угоду з офіційного акаунта бота та встановлює їх на акаунті шахрая.
• Надсилає абсолютно таку саму пропозицію з облікового запису шахрая: з тими самими товарами, тим самим ніком і тим самим аватаром.
• Приймає пропозицію (від бота шахрая) на комп'ютері.
• У результаті користувач підтверджує операцію у своєму мобільному додатку, вважаючи, що повідомлення надійшло від офіційного бота, хоча насправді воно надійшло від шахрая.

Алгоритм № 3: Викрадення вихідного трафіку

• Користувач надсилає пропозицію, скориставшись торговим посиланням бота шахрая, і переходить до мобільного додатка, щоб її підтвердити.
• Бот шахрая скасовує пропозицію користувача.
• Надсилає пропозицію з облікового запису користувача, що містить усі його предмети (ігри, які відповідають критеріям, можна вибрати в панелі адміністратора), на посилання для обміну, надане ботом шахрая.
• Потім користувач підтверджує цю змінену операцію у своєму мобільному додатку.

Алгоритм № 4: Обмін у двох напрямках

• Отримані пропозиції:
  • Коли користувачеві надсилається пропозиція, в якій запитуються лише його предмети, обмін відбувається тоді, коли користувач переходить до її прийняття на своєму телефоні (після того, як прийняв її на комп’ютері) [за допомогою алгоритму № 2].
  • Коли користувачеві надсилається пропозиція щодо як його товарів, так і товарів контрагента, обмін відбувається тоді, коли користувач підтверджує її на своєму телефоні (після підтвердження на комп’ютері).
• Поточні пропозиції:
  • Коли користувач надсилає комусь пропозицію, що містить його власні товари, обмін здійснюється в той момент, коли він переходить до підтвердження цієї пропозиції у своєму мобільному додатку. Перевірка підтвердження користувача з боку бота здійснюється за допомогою автоматичного прийняття угоди.

Алгоритм № 5: «Очищувач запасів»

• Цей алгоритм ідентичний алгоритму № 4, за винятком того, що під час обміну вихідною пропозицією спочатку додаються предмети користувача, які вже були частиною обміну, а потім під ними додається весь інвентар вибраних ігор. Ігри, інвентар яких можна очистити, можна вибрати в панелі адміністратора (CS, DOTA, H1Z1, PUBG).

3. Інфраструктура панелі для шахрайських операцій та адміністративні функції

Шахрайські мережі функціонують так само, як і легальні підприємства, що працюють за моделлю SaaS. Їхні адміністративні панелі управління містять потужні багатопотокові функції, призначені для швидкого викрадення даних та управління:

• Таблиця з докладними записами відображення активних SteamID, що перебувають у процесі обміну: «SteamID», «Інвентар ($)», «Час, що залишився до закінчення сеансу обміну», «Обміняні пропозиції», «Алгоритм роботи», «Фільтр за ціною», «Час початку сеансу обміну», «Примітка», «Дії».
• Функції управління користувачами: призупинити, відновити, видалити, оновити посилання на угоду.
• Фільтр за мінімальним порогом ціни в доларах США (пропозиції, загальна вартість предметів у яких не досягає цього порогу, не будуть обмінюватися, що дозволяє уникнути марної трати часу на предмети з низькою вартістю). Ця опція доступна на вкладці «Налаштування». Ціни на CS, DOTA, H1Z1 та PUBG оновлюються щодня з 5:00 до 7:00 ранку.
• Ручне оновлення посилань на торгові майданчики якщо користувач змінить URL-адресу своєї угоди.
• Пропозиція щодо управління ботом (запуск, зупинка, перезапуск).
• Вбудований браузер Steam (платний додаток).
• А також багато інших функцій...

Спеціальний фішинговий пакет «maFile»

Також існує окремий набір інструментів, спрямований на maFiles (файли мобільного аутентифікатора). Основний алгоритм полягає в тому, щоб отримати SMS-код, дочекатися закінчення 2-денного періоду очікування, очистити скіни та повністю захопити обліковий запис.

Жертва входить на фішинговий сайт, вказавши своє ім’я користувача та пароль (які перевіряються в режимі реального часу). Після цього з’являється запит на введення SMS-коду (замість Steam Guard), у якому відображаються дві останні цифри номера телефону, на який було надіслано SMS. Після введення дійсного SMS-коду панель адміністратора автоматично генерує maFile. За допомогою цього файлу шахраї можуть генерувати коди двофакторної автентифікації Steam Guard та безпосередньо приймати пропозиції обміну. Однак на цей щойно створений файл maFile поширюється 2-денне обмеження на обмін (блокування): будь-які пропозиції обміну, ініційовані протягом перших 2 днів з моменту створення файлу maFile, блокуються на 48 годин і можуть бути скасовані власником.

Як тільки у панелі шахрая буде згенеровано новий файл maFile, старий мобільний аутентифікатор жертви почне генерувати недійсні коди, хоча для жертви додаток буде виглядати так, ніби працює абсолютно нормально. Текст SMS-повідомлення, яке отримує користувач, виглядає так: «Код для вимкнення або переміщення програми Authenticator: 13204». Панель адміністратора також містить опції для завантаження maFile, перевірки його дійсності, генерації кодів двофакторної аутентифікації (2FA) (аналогічно Steam Desktop Authenticator — SDA), ініціювання пропозиції, що містить усі предмети інвентарю, одним натисканням кнопки, або виконання автоматичної пропозиції з 2-денним періодом утримання одразу після генерації maFile. Крім того, за наявності ліцензії на автоматичне обходження фішингу панель управління розблоковує функції «автоматичного фішингу» та захоплення облікового запису одним кліком. Для зручності безпосередньо поруч із maFile розташований візуальний таймер зворотного відліку, що відстежує час, який залишився до закінчення періоду утримання.

3b. Методи роботи

1) Боротьба з крадіжками шкіри:

• Відстрочена ексфільтрація: Зачекайте 2 дні після створення maFile, а потім надішліть пропозицію про обмін на цільовий обліковий запис (одним натисканням кнопки в панелі адміністратора всі скіни надсилаються на цільове посилання для обміну). Умови успіху: жертва не повинна змінювати свій номер телефону або пароль протягом цих 2 днів (оскільки це призведе до втрати чинності maFile в панелі).
• Миттєва автоматична пропозиція: Відправте автоматичну пропозицію, що містить усі предмети з інвентарю, на цільове торговельне посилання одразу після створення файлу maFile. Не приймайте цю пропозицію одразу, щоб предмети не зникли з облікового запису жертви передчасно. Просто зачекайте 2 дні та прийміть її. За цим методом зміна пароля або підключення нового мобільного аутентифікатора не зупинить обмін, хоча якщо жертва оновить свій аутентифікатор, період утримання обнуляється, що вимагає ще 2 днів очікування. Умови успіху: жертва не повинна вручну скасувати очікуючий обмін протягом 48-годинного періоду утримання.

2) Спроби крадіжки облікових записів (фішинг):

• Прямий продаж з рахунку: Продайте обліковий запис із заздалегідь завантаженим файлом maFile. Після створення файлу maFile ймовірність того, що жертва запідозрить нечесну гру, набагато менша, ніж у випадку традиційного фішингу, який часто призводить до негайного блокування облікового запису системою «Red Sign». Відповідно, шахраї мають більше часу для перепродажу облікового запису на ринках. Однак завжди існує ризик, що жертва спробує увійти в систему з нового браузера чи комп’ютера та знову згенерує файл maFile на своєму телефоні або скине пароль.
• Автоматичний фішинг (потрібна ліцензія на фішинг): Після вилучення файлу maFile обліковий запис автоматично потрапляє в чергу на автоматичне вилучення облікових даних і блокується з накладенням заборони на участь у спільноті. Фішинг у поєднанні зі створенням файлу maFile націлений виключно на мобільний Steam Guard і вилучає лише його облікові дані.
• Фішинг одним кліком (потрібна ліцензія на фішинг): Застосовує заборону в спільноті та запускає автоматичне позбавлення прав доступу за командою.

Крім того, цей бот можна інтегрувати з функцією аналізу файлів cookie від OPSkins (за наявності ліцензії) та верифікацією за допомогою двофакторної аутентифікації (2FA). Серверна частина працює у багатопотоковому режимі та здатна обробляти незліченну кількість облікових записів за секунду.

4. Анатомія обману

Як саме відбувається ця афера? Гравцеві надсилають посилання у Steam (домен може маскуватися під турнір, роздачу призів або сайт для обміну скінами). На сторінці розміщено кнопку авторизації та дуже витончені інтерфейси входу: підроблене спливаюче вікно «браузер у браузері», яке буквально відображає «офіційний домен Steam» (використовуючи about:blank (використовуючи різні хитрощі або спеціально створені вікна, щоб приховати справжню фішингову URL-адресу). Або, замість візуального накладення вікна, відкривається повноекранна, ідеально скопійована сторінка входу в Steam, розміщена на підробленому домені. Дитина входить у систему безпосередньо, вводячи своє ім’я користувача, пароль та код Steam Guard. І на цьому все. Нічого не відбувається — фішинговий сайт або перенаправляє користувача кудись інде, або просто знову відображає форму входу.

4а. Але що насправді відбувалося за лаштунками?

На сервері зловмисника одразу після автентифікації запускається активна сесія — фактично створюється сесія облікового запису з повними правами доступу. Потім скрипт негайно запитує ключ API для цього облікового запису (через steamcommunity.com/dev/apikey). Згодом шахраї почали впроваджувати інтегровані браузери без графічного інтерфейсу в активні сесії, а також засоби автоматизації для розсилки спаму, закриття звернень до служби підтримки тощо.

Для здійснення цієї операції шахраям потрібні готові до використання акаунти-боти з активними правами на торгівлю та без обмежень спільноти. Це автоматизовані акаунти, зареєстровані масово (з попередньо завантаженим балансом рівно в 5 доларів, які простояли 14 днів для розблокування торгівлі). Так, вони реєструються повністю автоматично за допомогою програмного забезпечення для реєстрації. Steam, звісно, бачить і виявляє ці реєстрації (навіть через проксі-сервери); платформа чудово знає про характерну для програмного забезпечення активність — акаунти, на які зараховано рівно 5 доларів для зняття обмеження, причому кошти залишаються повністю недоторканими. Після придбання ці акаунти підключаються до панелі шахрайства. З цього моменту вся атака здійснюється майже виключно за допомогою необроблених запитів API. Єдиним винятком є продаж вкрадених предметів: зазвичай зловмисники вручну заходять у браузер, виставляють скіни на продаж, переказують кошти та знімають гроші (хоча деякі стверджують, що досягли повної наскрізної автоматизації, коли бот нібито виставляє скіни, здійснює продажі та автоматично виплачує гроші працівникам, спамерам та тим, хто генерує трафік).

Автентифікація походить від абсолютно нової IP-адреси, а сеанс, створений програмним забезпеченням, відбувається від статичного пулу хостингу/провайдера — переважно Ihor. Збережені дані та файли PhishDestroy з одного такого продукту демонструють більше однієї випадково перевантаженої адреси: деякі IP-адреси Ihor були послідовними, включаючи адреси, що закінчуються на .156, .157 та .158, і кожна з них містила більше 1000 активних захоплених сеансів одночасно. Це не зовнішня оцінка; воно походить від інфраструктури, перевіреної у файлах продукту. Пізніше з'явилася окрема схема на боці приймаючого бота: один бот отримував один IP-слот; заміна бота в цьому слоті зберегла адресу, фактично призначивши її приблизно на місяць. Проте вхід на сервер може створити ключ API і невизначений паралельний сеанс. Це нормальна поведінка гравця?

Крім того, у Steam ваш ключ «API» залишається дійсним на необмежений термін. Навіть якщо ви вручну видалите або зміните його, ваша сесія автоматично відновить його під час будь-якої фонової дії (наприклад, перевірки працездатності сесії, оцінки інвентарю або регулярних перевірок за таймером, які шахрайські панелі виконували тисячами). Такий постійний доступ до сеансу гарантує шахраям можливість відстежувати облікові записи в режимі реального часу, перш ніж користувачі це помітять. Користувачі рідко це виявляють: зазвичай після фішингової атаки їхній сеанс з часом завершується або скидається. Але якщо жертва просто видалить або змінить свій ключ API, скрипт негайно відтворить його, використовуючи активний сеанс.

Боти — це масово зареєстровані акаунти з балансом у 5 доларів. Ринок величезний, а конкуренція настільки жорстка, що акаунти продаються майже за собівартістю — 5 доларів. Steam чітко бачить, наприклад, що телефон дитини — активна сесія, яка містить аутентифікатор Steam Guard — знаходиться в США; він бачить, що її комп’ютер і браузер також знаходяться в США. І водночас він бачить активну сесію, що походить із Росії або Нідерландів (провайдер Ігор довгий час був головним вузлом, оскільки там було безліч саме таких IP-адрес).

Так, крадіжки почалися масово. Steam ніяк не прокоментував ситуацію. Коли діти зверталися до служби підтримки, Steam навіть не порадив їм змінити пароль; натомість служба підтримки надсилала стандартні шаблонні відповіді, в яких зазначалося, що скіни зникли і це «не наша проблема». Пізніше (приблизно у 2021–2022 роках) шахраї почали самостійно автоматично закривати звернення до служби підтримки: дитина відкривала звернення, а автоматизований скрипт панелі одразу ж його закривав. Діти вважали, що це служба підтримки Steam відхиляє їхні звернення. Це не було так. Але Steam, по суті, стояв осторонь і дозволяв цьому відбуватися.

Гіпокризія Steam та його оновлень, спрямованих на боротьбу з шахрайством, вражає, зважаючи на те, скільки даних зберігає Steam: сервіс відстежує країни, історію IP-адрес та ідентифікатори пристроїв. Steam свідомо приховував той факт, що акаунти активно піддавалися зломів. А потім трапилися випадки, коли Steam застосував масові блокування до акаунтів користувачів потерпілі яких було викрито під час активних сеансів обміну даними. Ого, чудова робота, Steam! Steam заблокував акаунти жертв лише тому, що вони мали спільну IP-адресу проксі з іншими сеансами, замість того, щоб, скажімо, припинити несанкціоновані сеанси. А коли жертви звернулися до служби підтримки, щоб оскаржити блокування, там вдавали, що нічого не бачать і не знають. Але ми знаємо, що вони бачать усе: ваші пристрої, ідентифікатори обладнання, журнали транзакцій, історію змін, попередні паролі, номери телефонів, електронні адреси, а також точний час і пристрій, з якого вони були змінені (це найсмішніше: Steam знає, коли обліковий запис викрадено — він фіксує точний ідентифікатор пристрою, часовий штамп та IP-адресу зловмисника).

4b. Ілюзія утримання позиції

Отже, переляканий підліток пише до служби підтримки Steam: «Ааа, допоможіть, у мене вкрали скіни! Я відправляв їх своєму другові, торговцю чи на торговий сайт, але вони потрапили на зовсім інший акаунт із точно таким самим ніком та аватаром, а не на той, який я погодився прийняти в обміні!»

Як це, власне, сталося?

Дійсно, шахрай не перехоплює угоду миттєво. У браузері ви переглядаєте початкову пропозицію обміну, натискаєте «підтвердити» — обмін предметами або відправлення на перевірений акаунт вашого друга. Ви перевіряєте деталі, і все збігається. Але саме в той короткий проміжок часу між прийняттям пропозиції на ПК та відкриттям телефону для підтвердження — саме тоді бот шахрая, клонований з тим самим ім'ям та аватаром, скасовує законну пропозицію та надсилає свою.

Так, на екрані вашого телефону ви бачите обмін. Спочатку там відображаються ваші відправлені предмети, але внизу ви не отримуєте абсолютно нічого натомість. А користувачі ігнорують попередження, оскільки вже перевірили все на своєму комп’ютері. Психологічна витонченість цієї афери та вразливість користувачів вражають, особливо з огляду на те, що жертви цілком переконані, що здійснюють безпечний переказ. Проте сервери Steam фіксують сесію, створену кілька тижнів або місяців тому з абсолютно іншої IP-адреси, скасовують активну угоду та одразу ж ініціюють і приймають нову — і розглядають її як цілком звичайну, законну транзакцію. Виглядає дуже законно, чи не так?

Хочу підкреслити, що задовго до того, як Steam запровадив свої незграбні й неефективні оновлення, сторонні торговельні сайти вже вжили відповідних заходів. Вони дбали про свою репутацію, а, можливо, їм просто було шкода дітей, яких обдурили. Наприклад, сайт tradeit.gg впровадили систему, за якої у разі скасування офіційної пропозиції обміну на екрані користувача з’являлося величезне попередження «СКАСОВАНО». Це було реальне рішення, тому ми визнаємо їх піонерами, які насправді намагалися щось зробити. Отже, зовнішній сайт, що використовував API Steam API, міг виявляти обмін предметами в режимі реального часу, а сам Steam — ні? Або вони просто відмовилися припинити неавторизовану сесію, яка, очевидно, не мала жодного стосунку до законного користувача? Так, у відповідях на звернення до служби підтримки Steam неодноразово стверджувалося: «Ваші предмети зникли, ми не можемо допомогти», а боти-отримувачі шахраїв рідко навіть блокувалися (а якщо й блокувалися, то лише через тривалий час після події). Навіть після запровадження блокування обмінів середній рівень блокування активних шахрайських ботів (блокування, які в кінцевому підсумку приносять користь економіці Steam, а не повертають предмети жертвам) коливався в пікові періоди на рівні 15–25%. Тим часом хостинг-провайдер, на якому працювали боти, залишався Ігор, і під час цих автоматизованих сеансів ніколи не використовувалися побутові або мобільні ротаційні проксі-сервери.

4c. Підтвердження наявності статичної інфраструктури

Ми можемо це довести. Як вам відомо, PhishDestroy — це радикальний антифішинговий проєкт. Ми масово засипали фішингові форми фейковими посівними фразами, щоб вичерпати пропускну здатність і обчислювальні ресурси їхніх серверів. Саме звідси ми й взяли цю ідею: Steam встановлює обмеження на кількість спроб входу з однієї IP-адреси. Кілька років тому ми реалізували це за допомогою безкоштовних публічних проксі-серверів, надсилаючи нескінченні недійсні спроби входу або атакуючи акаунти, захищені електронною поштою Steam Guard. Зрештою, Valve почала блокувати ці спроби, і оскільки ми не купували комерційних проксі-мереж, з часом цей підхід виявився малоефективним. Однак, як ми тепер розуміємо, це могло б мати значний руйнівний ефект, але за викривленою логікою Valve втручання в діяльність шахраїв вважалося «неетичним».

В результаті проведення нами навантажувальних тестів на порталах входу шахраїв — що призвело до повного відключення їхніх систем аутентифікації на кілька годин — ми підтвердили, що вони не використовували великі мережі побутових проксі-серверів (які налічували б мільйони IP-адрес). Натомість вони покладалися на статичні проксі та дешевий VPS-хостинг. Зокрема, їхня конфігурація передбачала прив’язку саме 1 бота до 1 IP-адреси, і ці IP-адреси належали виключно серверам Ihor VPS.

Висновок: відкрите місце злочину

Steam бачив усе, знав усе, але замість того, щоб вжити заходів для захисту своїх користувачів, просто мовчав. І це на платформі, яка стверджує, що безпека є її головним пріоритетом.

Крім того, зловмисник, який має активну сесію в браузері, може одночасно стежити за вашим обліковим записом, читати ваші чати або змінювати ваш профіль (наприклад, підробляючи повідомлення про «VAC-бан»), щоб змусити вас у паніці швидко переказати всі свої предмети другу або на «безпечний» альтернативний обліковий запис — тим самим загнавши вас прямо в пастку обміну пропозиціями. Так, зловмисник може активно читати ваші приватні чати з друзями та переглядати ваші медіафайли в режимі реального часу разом із вами. Очевидно, Steam вважає паралельні сесії з абсолютно різних країн стандартною поведінкою для ігрової платформи (можливо, виходячи з того, що, оскільки існує функція «Спільний доступ для сім’ї», «немає нічого страшного, якщо вони крадуть, аби тільки не грали в CS:GO одночасно»).

5. Пастка «API»: змінити пароль — недостатньо

Навіть якщо ви змінили пароль, але забули скасувати діючий ключ API, шахраї все одно можуть вас обікрасти. Так, без активної сесії їхній скрипт більше не зможе переглядати ваш профіль або автоматично приймати угоди. Однак офіційний сервіс Steam API все ще дозволяє їм виконувати найважливіші дії: відстежувати активність вашого облікового запису та скасовувати угоди, що знаходяться на розгляді (через CancelTradeOffer).

Маючи в своєму розпорядженні лише ваш ключ «API», бот миттєво виявляв і скасовував вашу законну угоду, а потім негайно надсилав підроблену пропозицію-клон зі свого облікового запису (за посиланням на вашу угоду). Далі скрипт просто чекав. Він не міг натиснути «Підтвердити» від вашого імені. Уся афера базувалася на тому, що ви відкриєте мобільний додаток і добровільно підтвердите підмінену транзакцію в Steam Guard. І це спрацювало бездоганно.

Існує важливий технічний нюанс: маючи лише ключ «API» (і без активної сесії), скрипт не може безпосередньо додати обмін до ваших підтверджень Steam Guard. Він повинен надіслати нову пропозицію обміну. Це означає, що вам спочатку доведеться вручну натиснути «Прийняти обмін» на вашому ПК, перш ніж вона з’явиться у вашому додатку Steam Guard.

Можна було б подумати, що цей додатковий крок знижує ймовірність успіху шахрайства — зрештою, під час прийняття нової угоди від незнайомця Steam відображає численні попередження («Ви не в друзях», «Цей обліковий запис позначено як підозрілий»). Але шахраї скористалися людською психологією та «м’язовою пам’яттю». Оскільки жертва сама ініціювала первинний обмін, вона вже була психологічно готова розлучитися зі своїми предметами. Побачивши, що обмін раптово скасувався, а одразу ж з’явився новий із точно такими самими предметами, ніком та аватаром, вона припустила: «Сайт затримався і повторно оформив угоду».

Користувач механічно, на автопілоті, прокручував попередження Steam, погодився на фальшиву угоду та підтвердив її на своєму телефоні. Шахрайство вдалося не завдяки обходу системи безпеки Steam Guard, а завдяки використанню людської інерції.

6. Висновок: Співучасть за задумом

Наше головне послання залишається незмінним: ми висловлюємо особливу подяку компанії Valve та її службі підтримки, для якої було надзвичайно зручно «нічого не бачити й нічого не знати».

Вони люблять стверджувати, що технічно не мають інструментів чи можливостей для надання допомоги. Але реальність зовсім інша. Щоб відновити викрадене облікове запису, службі підтримки насправді не потрібен якийсь стародавній, запилений CD-ключ десятирічної давнини. Steam фіксує величезну кількість інших параметрів, які навмисно ігноруються під час суперечок щодо відновлення. Мова йде про унікальний ідентифікатор вашого пристрою. Це не просто HWID, серійний номер жорсткого диска чи версія BIOS — це унікальний «відбиток» апаратного забезпечення, який Steam отримує, ймовірно, на тому самому рівні ядра/глибокої системи, що й їхня античіт-система VAC.

Отже, коли Valve відмовляється відновити ваш акаунт лише тому, що у вас «відсутній CD-ключ», це не технічне обмеження. Це бізнес-стратегія. Це прагнення змусити вас знову купувати ігри та категорична відмова повернути вам контроль над цінними запасами скінів.

Це неетично, але цілком у дусі «Steam». Те саме стосується й їхньої системи підтримки — дешевої служби обслуговування клієнтів, що надається аутсорсинговою компанією, внутрішні правила якої спрямовані на те, щоб уникнути надання реальної допомоги чи навіть елементарної ввічливості. Усе зводиться до стандартних відповідей, скопійованих і вставлених за сценарієм, та одностороннього закриття звернень.

Але Steam це цілком влаштовує.

7. Питання, які Конгрес повинен поставити до Valve

Конгрес / нормативна довідка

Не питайте про бейсбольні картки. Слідкуйте за грошима та книгою речей.

Якщо Valve постає перед Конгресом або регулятором, аналогії не є доказом. Вимагайте під присягою перевірених відповідей про цінності, які він знерухомлює, жертв, яких він відмовляється відновити, і контроль, який він вирішує застосувати.

Скільки значення гравця заблоковано?

Скільки предметів CS2 і Dota зберігаються в облікових записах, заборонених торгівлею чи спільнотою? Який відсоток циркулюючої пропозиції та яку ринкову вартість вони представляють у розбивці за роками, типом обмежень, рідкістю предметів і часом заморожування?

Попит:Сукупні підсумки, методологія, вікові сегменти, незалежний аудит і перевірене розкриття інвентаризації заборонених ботів. Якщо цифри спростовують звинувачення, опублікуйте їх.

Чому приховують докази?

Коли інвентаризація чи профіль стають закритими після обмеження, для якої мети безпеки це служить? Чи змінилася політика видимості приблизно у 2020 році та навіщо приховувати облікову книгу замість відображення помітного загальнодоступного попередження, подібного до сповіщення VAC?

Попит:Історія політики, внутрішнє обґрунтування, правила доступу та шлях оскарження.

Чому конвеєри ботів не зупиняються при народженні?

Сам Steam каже, що зловмисники зазвичай керують фіктивними обліковими записами та використовують поріг у 5 доларів США. Що виявляє автоматичну реєстрацію, підготовку телефону та автентифікатора, фінансування на рівні порогу, відсутність ігрової активності, тривалий стан спокою, а потім машинні потоки елементів?

Попит:Коефіцієнти хибно-позитивних і хибно-негативних результатів, а також те, чи відбувається заборона до того, як обліковий запис має значення, чи тільки після надходження цінних речей.

Чи «дублювання» все ще є надійним виправданням?

Обґрунтування дублювання сягає практик відновлення та історій про зловживання підтримкою з середини 2010-х років. Сучасний предмет має унікальний рекорд, відомий ланцюжок передачі та торгівельні фіксації. Чому відкликання того самого елемента від перевіреного незаконного одержувача та перепризначення його підтвердженому попередньому власнику створює копію? На якому саме етапі з’являється другий предмет у 2026 році?

Попит:Історія політики з 2014 року, відтворюване технічне пояснення та кількість фактичних подвійних інцидентів, спричинених відновленням, з 2019 року.

На підставі якого органу предмет знерухомлений?

Чи розглядає Valve скін як власність, ліцензію чи лише як право на базу даних? Яке положення договору та правова теорія дозволяють постійне знерухомлення після крадіжки, одночасно відмовляючи у відшкодуванні підтвердженому попередньому власнику? Майно, вилучене у злодія, не стає доходом поліції; чому цифровий еквівалент залишається під виключним контролем платформи, а не повертається до жертви?

Попит:Повідомлення, розкриття доказів, перевірка персоналом, апеляція, часові обмеження та точне правило, що регулює остаточне розміщення кожного елемента.

Кого захищає бан і скільки вже заробив Valve?

В офіційних поширених запитаннях Valve зазначено 5% комісії за транзакцію Steam плюс 10% комісії за конкретну гру для CS2 і Dota, які сплачує покупець під час продажу Community Market. Виручку від Steam Wallet не можна вивести в банк або перевести на інший рахунок. Тому виправдане питання полягає не в тому, чи отримує Valve знову повну номінальну ціну при кожному перепродажі, а в тому, скільки грошей із замкнутого циклу та кумулятивний дохід комісії було прикріплено до товару до того, як його було заблоковано, і як усунення пропозиції впливає на дефіцит і ціну всього, що залишилося.

Попит:Довічні збори, стягнені з кожного предмета, який пізніше було заморожено, відшкодування потерпілим і ставки втручання до втрати, а також модель впливу на ціну заморожених поставок. Не вважайте бан без компенсації за допомогу потерпілому.

Чи захищає Valve презумпцію вини?

Обмеження шкіри не є тюремним вироком; аналогія перевіряє процедуру. Якби Valve або його керівники зіткнулися з необґрунтованим покаранням, нерозкритими доказами та номінальною апеляцією, на яку відповіли «прочитайте закон», чи назвали б його юристи це правосуддям? Проте для запасів високої вартості Valve може здаватися обвинувачем, суддею та зберігачем замороженої вартості. Яка незалежна перевірка вирішує цей конфлікт?

Попит:Точне правило, передбачувана дія, стислий виклад доказів, експерт, обґрунтоване рішення, незалежна ескалація та розкриття інформації про те, як обробляються заморожені кошти.

Чому змістовне звернення недоступне?

Шаблонна відповідь і широке посилання на Steam Subscriber Agreement не є фактом. Чому звичайному споживачеві можуть відмовити у звинуваченні та доказах, а потім зіткнутися з технічними, юридичними та фінансовими перешкодами, які роблять оскарження автоматизованого чи помилкового обмеження непрактичним?

Попит:Безкоштовна апеляція вручну, рішення простою мовою, кінцеві терміни відповіді, зовнішній доступ до оскарження та статистика щодо автоматичних заборон, перевірок людьми, скасувань і повторних шаблонних відповідей.

Спільнота, відновлення та сесія Valve вирішили не вбивати

Що таке «спільнота» в Steam Community?

Після того, як генеральний прокурор New York подав до суду на Valve у лютому 2026 року, Valve опублікував заяву підтримки Steam, спрямовану на користувачів і посилаючись на вплив на користувачів і публічний процес. Але коли рішення щодо платформи впливають на цінні інвентаризації цих користувачів, які офіційні повноваження має ця «спільнота» — голоси, аргументи, консультації щодо політики, нагляд або навіть видимість результатів звіту?

Попит:Визначте права спільноти на управління та опублікуйте записи консультацій, звітуйте про результати та незалежний механізм нагляду за користувачами — або визнайте, що «спільнота» — це брендинг, а не представництво.

Чому звичайне правозастосування успадковує секретність VAC?

Зберігання в таємниці сигнатур виявлення античітів може захистити метод виявлення. Обмеження спільноти чи торгівлі – це інше. Який ризик безпеки заважає Valve назвати правило, мітку часу, передбачувану дію та категорію доказів? Скільки звітів користувачів і ботів спонукають до дій і які засоби контролю доброчесності охоплюють персонал, підрядників і волонтерів?

Попит:Рівень помилок і скасування, статистика звітності до дії, незалежні аудити доброчесності, правила щодо конфлікту інтересів і сукупні дисциплінарні результати.

Чи розроблено відновлення облікового запису на основі доказів, які користувачі навряд чи збережуть?

Steam каже, що роздрібний CD-ключ може встановити право власності, і рекомендує зберегти його; також сказано, що перевірений телефон дає додаткові варіанти відновлення. Навіщо вимагати фізичний ключ десятирічної давнини, якщо Valve може зберігати записи про оплату, електронну пошту та номер телефону, пристрій і вхід? За внутрішніми оцінками PhishDestroy, 15–20% заявників не завершують відновлення після такої вимоги, хоча деякі все ще пишуть від давнього постачальника та комп’ютера та контролюють електронну пошту чи телефон. Valve може спростувати цю оцінку, опублікувавши свої дані.

Попит:Спроби, схвалення, відхилення та скасовані процедури за типом доказів; результати для заявників, які зберігають електронну пошту, телефон або пристрій; і перевірене пояснення зважування сигналу.

Навіщо карати жертву замість того, щоб скасувати ворожу сесію?

У досліджуваній інфраструктурі кілька послідовних IP-адрес Ihor, включно з адресами, що закінчуються на .156, .157 і .158, проводили понад 1000 активних зламаних сеансів, у той час як власники залишалися на відомих пристроях в інших місцях. Ці сеанси могли відтворювати ключі API, чекати, змінювати угоди та паралельно читати чат. Steam Subscriber Agreement загрожує припинення дії облікового запису через IP-проксі, яке приховує місце проживання, в тому числі «з будь-якою іншою метою». Чому проксі-сервер, який містить тисячу непов’язаних облікових записів, не викликає навіть скасування сеансу?

Попит:Автоматично скасовувати сеанс хостингу, його ключ API і підтвердження, коли він об’єднує непов’язані облікові записи в масовому масштабі; потім вимагають чистої повторної автентифікації без обмеження жертви.

Сім років, 79 співробітників Steam і 1,16 мільйона номінальних годин: провал чи бізнес-модель?

PhishDestroy може обґрунтувати пули з 1000+ сеансів на одній IP-адресі, послідовні адреси в одного провайдера та окремі стабільні IP-слоти для отримання ботів. Проте шаблон на стороні сервера не викликав очевидної відповіді: скасування сеансу хостингу, анулювання його доступу до API і вимагання чистої автентифікації від власника. Valve уже застосовує правила одночасного використання навколо ігрових сеансів. Чому еквівалентна логіка ризику не була застосована, коли російська адреса хостингу перебувала між власником і Steam, у той час як у нього була тисяча непов’язаних облікових записів?

Знімок організації за 2021 рік, випадково оприлюднений під час антимонопольного судового процесу Wolfire у 2024 році, як повідомляється, перелічує 79 осіб у категорії Valve «Steam» із загальною сумою валової зарплати в розмірі 76 446 633 доларів США — приблизно 968 000 доларів США на одного працівника. як середня категорія, а не індивідуальна зарплата. Цей знімок не доводить, що 79 інженерів безпеки працювали над обміном пропозицій, що чисельність персоналу залишалася постійною або що весь час співробітників був доступний для вирішення цієї проблеми. Це встановлює шкалу, яку повинен пояснити Valve.

≈88 місЗміна пропозиції постійного мобільного сеансу з весни 2019 року до цієї публікації: приблизно 2700 днів

79 осібОпублікований знімок категорії Steam за 2021 рік, а не кількість команди безпеки

1 162 880Ілюстративна ємність-годин: 79 × 14 720 — незаявлені години розслідування шахрайства

Run Liability Audit Simulate Attack Sequence

Паралельна сесія

Торговельні потоки

Реакція служби безпеки

На адресу: жертв крадіжки активів та оманливої юридичної команди компанії Valve

Ви намагалися переконати як суди, так і гравців, що крадіжка предметів — це виключно провина «дурних дітей», а архітектура вашої платформи не несе за це жодної відповідальності. Давайте скинемо корпоративні маски й пояснимо найпростішими словами, чому ваша надзвичайно складна та надзвичайно прибуткова фішингова екосистема існує виключно завдяки архітектурним лазівкам Steam. Фішинг — це всього лише крадіжка ключа від вхідних дверей. Але те, що за цими дверима знаходиться абсолютно беззахисний контролер сховища, — це виключно провина розробників Valve.

Давайте розглянемо кілька аналогій для вашої моделі безпеки, щоб зрозуміти весь масштаб цієї помилки.

1. Ви не «GitHub» (Казка про розробника)

Компанія Valve виправдовує свою незахищену систему «API», стверджуючи, що Steam є «відкритою платформою для розробників». Гаразд, давайте порівняємо вас із GitHub. Що відбувається, коли ви намагаєтеся створити особистий токен доступу (PAT) на сайті GitHub?

• Система вимагає повторного введення пароля.
• Система запросить у вас код двофакторної аутентифікації.
• Це зобов’язує вас явно позначити дозволи на рівні областей дії (розмежування привілеїв) для цього токена.
• Що особливо важливо, вам буде запропоновано встановити термін дії (TTL) для токена.

А що робить Steam? Він одним кліком непомітно видає безкінечний, всемогутній ключ, який не вимагає жодних підтверджень і надає необмежений доступ на читання та запис, що дозволяє назавжди скасовувати та замінювати пропозиції обміну. Ви — не відкрита платформа для розробників; ви — відкриті ворота.

2. Ви гірші за криптоміксери, що потрапили під санкції (синдром Tornado Cash)

Якщо Steam не є платформою для розробників, то, можливо, це фінансова біржа? Давайте порівняємо вас не з легальними фондовими біржами, а з тіньовими сервісами змішування криптовалют та платформами, що перебувають під санкціями, які Міністерство фінансів США та ФБР ліквідують за відмивання грошей (такими як Tornado Cash, Bitzlato чи Garantex).

Хочеш дізнатися про найвищу іронію, Гебе? Навіть нелегальні, санкціоновані крипто-пральні в дарквебі забезпечують кращий рівень безпеки API, ніж Steam! Навіть адміністратори підпільних міксерів розуміють, що для генерації ключа API, здатного керувати балансами користувачів, вони повинні змусити користувача ввести код 2FA, підтвердити його через електронну пошту та прив’язати ключ до конкретних IP-адрес. Проте Valve — легальна американська корпорація, вартість якої обчислюється мільярдами доларів, — дозволяє невидимому скрипту, що працює на сервері в Росії, одним кліком отримувати постійний доступ без підтвердження до інвентарів користувачів на суму в десятки тисяч доларів. Невже кіберзлочинці насправді дотримуються вищих стандартів безпеки, ніж ваші розробники, яким платять мільйонні зарплати?

3. «Сірі» ринки виявилися кмітливішими за багатомільярдну корпорацію

Найсмішніше в цьому — це сторонні майданчики для азартних ігор та торгівлі скінами (наприклад, OPSkins або колишній BitSkins), проти яких компанія Valve так агресивно виступала. Ще у 2017 році вони зіткнулися з точно такою ж проблемою підміни пропозицій та обміну (API). І знаєте, що вони зробили? Вони — невелика група незалежних розробників без багатомільярдних бюджетів — просто виправили цю проблему за лічені дні, додавши систему підтверджень, що миттєво зірвало плани шахраїв.

Тим часом компанія Valve протягом 7 років проводила експерименти з дітьми, спостерігаючи, як довго користувачі продовжуватимуть купувати нові скіни на заміну вкрадених, і скільки незаконних коштів шахраї зможуть відмити за допомогою цього циклу.

4. Геніальні тимчасові рішення замість справжніх способів усунення проблеми

Замість того, щоб усунути вразливість, Valve запровадила «геніальні» тимчасові заходи. 7-денна затримка торгівлі. 4-годинна блокада торгівлі під час зміни нікнейму. Протягом 7 років ви лікували відкритий перелом за допомогою пластиру. Вкрадений ніж ніколи не повертався жертві; його просто назавжди заморожували на заблокованому боті, штучно зменшуючи обіг і підвищуючи ринкову вартість. Це був ідеальний бізнес-цикл: шахраї крадуть, Valve блокує, пропозиція зменшується, ціни зростають, а Гейб отримує солідну комісію з кожної нової угоди.

Головне питання, на яке Valve не може відповісти:

STEAM, ЧОМУ, ЗА РАДИ ВСЕГО СВІТУ, ВИ НЕ МОЖЕТЕ ПРОСТО ДОДАТИ ОБОВ’ЯЗКОВЕ ПІДТВЕРДЖЕННЯ АБО ПОВІДОМЛЕННЯ НА МОБІЛЬНИЙ ТЕЛЕФОН У STEAM GUARD ДЛЯ ГЕНЕРУВАННЯ КЛЮЧА «API» — ЦЬОГО ВСЕМОГУТНЬОГО ІНСТРУМЕНТУ, ЯКИЙ КОНТРОЛЮЄ ТИСЯЧІ ДОЛАРІВ У ВІРТУАЛЬНИХ АКТИВАХ?!

Ви змушуєте користувачів підтверджувати продаж колекційної картки вартістю 3 центи у своєму мобільному додатку. Водночас протягом 7 років ви дозволяли невидимому скрипту отримати постійний контроль над усім їхнім інвентарем, не надіславши жодного повідомлення. Це не «фішинг». Це навмисна, обдумана недбалість, і ваші користувачі заплатили за це високу ціну.

«Хроніки криокамери»: що компанія Valve пропустила за 7 років Наведіть курсор, щоб прочитати

Текст приховано. Наведіть курсор, щоб його відобразити

Якщо керівництво компанії Valve навесні 2017 року піддало своїх інженерів з безпеки незаконним експериментам із кріогенного заморожування і розбудило їх лише сьогодні — ми відкликаємо всі наші твердження. Це б усе пояснило. Наука вимагає жертв (у цьому випадку — запасів користувачів).

Але якщо ваші співробітники були при повній свідомості й отримували зарплату протягом цих 7 років, у нас для вас погані новини. Поки ваші розробники витратили 1,16 мільйона годин, намагаючись захистити ключі API, не впровадивши навіть просту функцію підтвердження Steam Guard, ось короткий огляд того, чого вдалося досягти решті людства, поки ви перебували в стані стазису:

Технологічні та наукові прориви людства (2017–2024):

• Революція штучного інтелекту: людство винайшло генеративні нейронні мережі. Компанія OpenAI запустила ChatGPT, який склав іспити на адвоката, навчився писати складний код, діагностувати захворювання та створювати фотореалістичні картини, що повністю змінило світову економіку.
• Дослідження космосу: НАСА успішно здійснило посадку марсохода «Perseverance» на Марсі, провело політ вертольота «Ingenuity» у марсіанській атмосфері та запустило космічний телескоп імені Джеймса Вебба, який дозволяє зазирнути у початок часів. Компанія SpaceX освоїла технологію уловлювання падаючих 50-метрових ракетних прискорювачів у повітрі за допомогою гігантських механічних маніпуляторів.
• Медицина: Світ зіткнувся з пандемією COVID-19. За рекордно короткий час вчені розшифрували геном вірусу, розробили та випробували революційні мРНК-вакцини й провели вакцинацію мільярдів людей, щоб зупинити пандемію.
• Квантовий прорив: компанії Google та IBM офіційно досягли «квантової переваги», створивши квантові комп’ютери, здатні за лічені секунди розв’язувати рівняння, на розв’язання яких класичним суперкомп’ютерам знадобилися б тисячі років.
• Революції в області апаратного забезпечення: компанія Apple відмовилася від архітектури процесорів, на яку покладалася протягом десятиліть, і з нуля розробила власні високопродуктивні чіпи серії M. Тим часом сама компанія Valve зуміла розробити, виготовити та випустити на ринок інноваційну ігрову консоль Steam Deck.

«Досягнення» команди безпеки Steam за ті самі 7 років:

• Введено 7-денну заборону на торгівлю (це не допомогло запобігти крадіжкам).
• 5 років думав, а потім на 4 години заблокував торгівлю предметами після зміни ніка (що викликало сміх у шахраїв).

Короткий зміст: За той час, що знадобився людству, щоб дістатися до Марса, винайти штучний інтелект, подолати глобальну пандемію та створити квантові комп’ютери, компанія Valve — багатомільярдна корпорація — так і не змогла додати на сторінку dev/apikey хоча б одне спливаюче вікно з кнопкою «Підтвердити в мобільному додатку».

Панове з Valve, ласкаво просимо у майбутнє. Ваш кріогенний сон закінчився. Людство зробило величезний стрибок уперед. Давайте нарешті підключимо двофакторну аутентифікацію до вашого «API», щоб діти перестали втрачати мільйони доларів через вашу корпоративну лінь. Або, може, нам варто почекати ще 7 років, поки Ілон Маск колонізує Марс?

Приховування інциденту зі «API» у Steam: як Valve узаконила приховане шпигунство

Протягом останніх 7 років компанія Valve перекладала провину за масштабну аферу з підміною предметів у грі «API» на своїх користувачів. У стандартній відповіді служби підтримки Steam жертв відмахуються, стверджуючи, що вони просто потрапили на фішинг і самі зламали свої облікові записи.

Це навмисна корпоративна брехня. Те, що компанія Valve називає «крадіжкою облікового запису», насправді є безперервною автоматизованою операцією стеження за принципом «людина посередині» (MITM), яку уможливлює їхня власна несправна інфраструктура.

Крадіжка облікового запису проти прихованого шпигунства методом «людина посередині» (MITM)

Умовами надання послуг Steam суворо заборонено використання автоматизованих скриптів. Проте серверна частина Valve закриває на це очі, коли саме ці скрипти захоплюють сесії користувачів.

• Звичайна крадіжка: Вхід на сайт з неавторизованого пристрою призводить до накладення заборони в спільноті, внаслідок чого обліковий запис блокується, а інвентар користувача зберігається.
• API Шпигунство: Шкідливий сервер встановлює паралельне з'єднання, цілодобово відстежуючи обліковий запис у фоновому режимі, не викликаючи при цьому жодних сповіщень чи блокувань.
• «Міф про інтерфейс»: Під час обміну мобільний додаток Steam відображає законну транзакцію, змушуючи користувача підтвердити обмін, який невидимий скрипт скасовує та замінює за лічені мілісекунди.

«Примарна угода»: як Steam бреше щодо вашої «згоди»

Давайте поговоримо про улюблену відмовку служби підтримки Steam, коли вони відмовляються повернути вам вкрадені предмети: «Ви несете відповідальність за безпеку свого облікового запису та дії, що здійснюються з його використанням».

Вони натякають, що ви, як користувач, погодилися з умовами, які дозволили здійснити цю крадіжку. Невже? Ви ніколи не бачили цю сторінку з угодою для розробників: https:// steamcommunity.com /dev/apiterms. Ви ніколи не натискали «Погоджуюсь». Хакер прийняв цю угоду від вашого імені через частки секунди після входу у ваш обліковий запис з російської IP-адреси.

Отже, ми закликаємо будь-якого юриста або представника компанії Valve показати нам, де саме в Угоді користувача Steam зазначено: «Користуючись Steam, ви даєте згоду на цілодобове фонове спостереження за вашим обліковим записом або обліковим записом вашої дитини за допомогою автоматизованого сервера, розташованого в Росії».

У 90% випадків крадіжки акаунтів жертва навіть не знає, що таке ключ Web API. Вона ніколи ним не користувалася. Проте компанія Valve вже 7 років спокійно сидить склавши руки, повністю ігноруючи рішення, про яке спільнота кричить з самого початку: просто додайте обов’язкове підтвердження через Steam Guard для генерації ключа API!

Steam: дітей не слід змушувати спонсорувати хакерів

Уявіть собі звичайного підлітка з Європи. Він грає в ігри, збирає гроші на улюблені скіни, а в якийсь момент припускається помилки — заходить на фішинговий сайт. У нормальній цифровій екосистемі порядок дій простий: обліковий запис автоматично блокується (Community Ban), паролі скидаються, а доступ безпечно відновлюється. Підліток усвідомлює свою помилку, але система захищає його від фатальних наслідків.

Але в Steam все працює інакше. Замість того, щоб блокувати підозрілу активність, Valve непомітно відкриває приховані двері. Сервер із юрисдикції, що перебуває під санкціями (Росія), отримує паралельний, несанкціонований доступ до облікового запису цього підлітка. Без будь-якого додаткового підтвердження, без жодного запиту від Steam Guard, сторонній скрипт генерує ключ Web API. Він приймає юридичні угоди від імені користувача та починає цілодобово стежити за його чатами, обмінами та інвентарем.

Підліток з ЄС ніколи не давав згоди на приховане стеження. Він не зобов’язаний фінансувати хакерів із території, на яку накладено санкції OFAC, лише тому, що багатомільярдна корпорація лінується забезпечити безпеку власного веб-сайту API. Зберігаючи вкрадені скіни та відмовляючись їх відновити, Valve приховує свою інфраструктурну недбалість, фактично легалізуючи витік цифрових активів європейських громадян на території, що перебувають під санкціями.

Чому система «API» та токени Steam порушують законодавство

Steam дозволяє стороннім особам генерувати ключі «API» та перехоплювати токени сеансів через проксі-сервери типу «MitM» без ЖОДНИХ попереджень для користувачів або перевірок за допомогою двофакторної аутентифікації (2FA). Така недбалість прямо порушує основні закони про захист даних та права споживачів:

• 🇪🇺 Закон ЄС «Про захист даних» (GDPR) (ст. 25 та 32): Вимагає дотримання принципу «безпека на етапі проектування» та забезпечення належного технічного захисту. Генерація ключів критичного доступу без двофакторної аутентифікації (2FA) є серйозним порушенням безпеки.
• 🇺🇸 Закон США про Федеральну торговельну комісію (розділ 5): Застосовує санкції за «недобросовісні практики» та відсутність «належного захисту даних». Федеральна торгова комісія (FTC) регулярно вживає заходів проти платформ, які не забезпечують багатофакторну аутентифікацію (MFA) під час виконання критично важливих операцій з обліковими записами.
• ⚖️ Директива ЄС 2019/770: Цифрові сервіси повинні відповідати базовим очікуванням споживачів щодо безпеки. Ця вразливість у системі «API» сервісу Steam, яка існує вже 7 років, повністю не відповідає цим вимогам.
• 🛡️ Директива NIS 2: Вимагає дотримання суворих правил кібергігієни, зокрема обов’язкового багатофакторного автентифікації (MFA) для управління доступом, що компанія Valve ігнорує у поколінні API.

Висновок: коли платформа передає ваші ключі API у проксі-сесію без жодного попередження чи підтвердження, це не просто недолік — це серйозне порушення вимог до дотримання нормативних стандартів.

Готові дати відсіч? Створіть своє повідомлення про оскарження

Не погоджуйтеся на їхні автоматичні відмови на підставі Умов надання послуг. Притягніть компанію Valve до юридичної відповідальності відповідно до міжнародного законодавства про захист прав споживачів та захист даних. Скористайтеся нашим безкоштовним інтерактивним генератором, щоб миттєво скласти офіційне юридичне повідомлення про спір (PDF) для вашого регіону.

Створити повідомлення та зберегти у форматі PDF

Чи зберігає Valve журнали на рівні сеансу для автентифікації, створення ключа API, скасування пропозицій і заміни, підтвердження, історію IP-адрес і дії підтримки? Якщо ці записи існують, чи може Valve підтвердити, коли він уперше побачив пули Ihor і чому залишив їх активними? Якщо вони не існують, чому платформа, яка обробляє інвентаризацію високої вартості, не змогла зберегти контрольний слід, необхідний для дослідження відомого класу атак?

Приблизно за 88 місяців скільки користувачів (включно з неповнолітніми, де відомо) відкривали тікети саме щодо заміни пропозиції? У скількох квитків відображено іноземний паралельний сеанс, але отримано сценарій відповіді замість негайного скасування? Скільки випадків призвело до запобігання перед втратою, фактичного повернення предмета або заборони прийомного бота, пов’язаного з цим запитом або звітом, а не пізніше непов’язаним виявленням? Перегляд PhishDestroy публічних звітів потерпілих і обговорень на Reddit не виявив жодного випадку, який можна було б впевнено пов’язати зі звітом жертви; це не є доказом того, що такого не існує, і Valve може виправити запис, опублікувавши свої внутрішні підсумки.

Грошове питання також вимагає точного обліку. Для продажу CS2 або Dota Community Market, під час якого продавець отримує 100 одиниць вартості Steam Wallet, покупець платить приблизно 115 після зазначеної комісії 5% Steam і 10% комісії за гру, з урахуванням округлення. Додаткові 15 є платними; 100 продавця – це вартість Wallet, а не інші 100 комісії, тому «115% прибутку» буде неточним. Але якщо цей предмет згодом буде вкрадено та заморожено без повернення, Valve усе ще контролює фонди замкнутого циклу, стягує комісію та вилучає предмет з обігу. Які загальні платежі покупців, комісії Valve, зобов’язання Wallet, вартість заморожених предметів, вплив ціни та суми відшкодування для цього класу атак?

Попит:Опублікувати фактичну кількість персоналу служби безпеки та підтримки за роками; години та бюджет, призначені для запобігання обміну пропозиціями; повний графік звітів, рішень і пропущених масових пулів; відкликання квитка до сеансу, заборона квитка до бота та відшкодування; збережені журнали запитів/дій; а також перевірене порівняння Steam зарплати та прибутку платформи з втратами користувачів, зібраними зборами, вартістю гаманця та замороженими предметами. Відповідь для протоколу: чи це був кадровий збій, збій політики підтримки чи свідомий бізнес-вибір?

Аутсорсингова підтримка та привілейований доступ

Чи може зовнішній агент запитувати будь-якого користувача Steam у всьому світі?

У Політиці конфіденційності Valve зазначено, що сторонні постачальники послуг підтримки можуть отримувати персональні дані лише за необхідності. PhishDestroy знає набір полів і модель доступу перевіреного інтерфейсу; Valve просять підтвердити або спростувати це в записі. Чи може агент-підрядник в Ірландії або деінде відкрити користувача в США, Німеччині, Австралії, Китаї чи Росії? Чи можуть вони переглядати поточну та історичну електронну пошту, телефон, IP-адресу та записи пристроїв, сеанси, зміни облікового запису, транзакції чи приватні чати? Чи потрібен призначений квиток?

Попит:Реєстр процесорів і субпроцесорів, кожна країна обробки, матриця доступу для ролей за полями, регіональні обмеження, своєчасний доступ на основі заявок і чітка відповідь у чаті та історичні ідентифікатори.

Чи знає Valve людину, яка стоїть за кожним привілейованим пошуком?

Працівник підрядника може мати особисті, політичні чи державні зв’язки, про які користувач не знає. Що перешкоджає тому, щоб FSB — чи будь-який інший розвідувальний або правоохоронний орган — підкупив, примусив або доручив оператору отримати історію IP-адрес особи, час активності, контакти чи зміни в обліковому записі? Valve ідентифікує кожну фізичну особу, забороняє спільні облікові дані, записує кожен пошук і перегляд полів, виявляє доступ за межами призначеної справи, блокує масовий експорт і вимагає, щоб усі державні вимоги проходили через судовий процес Valve?

Попит:Індивідуальні журнали аудиту, апаратна автентифікація, сповіщення про аномалії, періодичні перевірки доступу, періоди зберігання журналів, статистика інсайдерських зловживань, загальні дані урядових запитів підрядників, результати дисциплінарних дій і публічний звіт прозорості за країнами.

Зобов'язання вилучити докази

Чи стверджуватиме Valve, що ботів і жертв більше неможливо знайти?

Якщо Valve повідомляє на слуханні, що його інтерфейс, безпека та підтримка вийшли з ладу, або перекладає збій на аутсорсера, а потім обіцяє відшкодування, «ми більше не можемо ідентифікувати ботів або жертв» не може стати наступним виправданням. PhishDestroy готовий надати збережені SteamIDs прийомних ботів і пов’язаних записів про торгівлю та крадіжки з основного перевіреного продукту. Наша поточна внутрішня оцінка полягає в тому, що порівняння цього матеріалу з повною торговою книгою Valve може ідентифікувати приблизно 80% жертв класичного обміну пропозиціями, а не maFile, випадки фішингу облікових даних або RAT; точне покриття можна встановити лише шляхом звірки. Існували ще дві панелі: одну групу розробників тепер може бути важко знайти, але інші учасники та дослідники можуть надати додаткові списки.

Якщо Valve повідомить Конгресу, що великомасштабні запаси замороженої шкіри не впливають на пропозицію, дефіцит, ціни чи дохід платформи, тоді як його внутрішні дані свідчать про інше, це буде неправдива заява для Конгресу. Тверджень недостатньо: потрібні основні дані та незалежна модель впливу. Час має значення. Обмін пропозиціями втрачає актуальність, оскільки шахрайство Steam переходить на корисне навантаження RAT і підроблені приманки заборони VAC, які доставляються через файли; люди, які стоять за старими продуктами, можуть зникнути разом із доказами.

Незалежний шлях перевірки

Очікуючи виправдання «довіри»: 213 000 облікових записів ботів пропозицій-свопів

Ми очікуємо стандартного захисту Valve: «Ми не можемо сліпо довіряти списку жертв, наданому третьою стороною». Ми поважаємо цей скептицизм. Тому ми не пропонуємо список жертв. Ми пропонуємо перевірений список ботів-одержувачів, які використовуються класичними панелями обміну пропозиціями.

У нас є засоби захисту баз даних, що охоплюють приблизно 80% історичного класичного обсягу пропозицій-свопів API — механізму, який скасовує законну торгову пропозицію та надсилає заміну, — якщо Valve справді зобов’язується реституції, а не PR-контролю збитків. Ця оцінка не охоплює крадіжки maFile, звичайний фішинг облікових даних, корисні дані RAT чи інші типи шахрайства: ці потоки можуть використовувати обмежені або приховані роботи, і їх неможливо відтворити з такою самою впевненістю. Ми можемо запитати безпосередньо у авторів scam-панелі. Вони доступні кодери: ми можемо негайно зв’язатися принаймні з одним і мати шлях до іншого. Метою є не полювання на відьом на окремих розробників, а змусити Steam виправити семирічний системний збій. Порівняно з корпоративною тишею Valve, розробники панелей інколи демонстрували більше людяності та прозорості.

≈213 тис«Необмежені» облікові записи ботів для отримання та ліквідації · лише класична пропозиція-своп · внутрішня оцінка PhishDestroy · деякі вже забороненіНадані ідентифікатори ботів → Valve перевіряє власну книгу → жертви та предмети

Навіть якщо автори відмовляються надавати свої журнали, у нас є альтернативні криміналістичні методи ідентифікації мереж ботів, які використовуються виключно для цього конкретного механізму скасування пропозиції та заміни. Відповідно до цього критерію ексклюзивного використання кожна вхідна торгівля перевіреному боту-одержувачу панелі є задокументованою крадіжкою.

Ніхто не просить Valve передати свої внутрішні журнали PhishDestroy. Ми надамо SteamIDs або облікові записи для ботів, які використовуються лише для отримання та ліквідації предметів, викрадених через заміну пропозиції; Valve може зберігати свою книгу у власному середовищі та самостійно виконувати збіг. Багато з цих ботів успішно продавали вкрадені речі, деякі вже забанені, а обсяг вхідних угод величезний.

Підтвердженням перевірки є власний Valve: поведінка облікового запису лише для бота, час скасування законної пропозиції та надсилання заміни, вхідні елементи та історія ліквідації, задокументована інфраструктура Ihor і підтвердження від постраждалих користувачів. Для облікового запису, підтвердженого як ексклюзивний бот для отримання пропозицій-свопів, кожна вхідна угода за період його роботи є крадіжкою, а не звичайною діяльністю гравця.

Пряме запитання до Valve:Чи порушують правила Steam Subscriber Agreement і платформи Steam Subscriber Agreement і правила платформи, керовані ботом, і автоматизовану ліквідацію викрадених скінів — чи лише тоді, коли це зручно для Valve? Чи є організована крадіжка шкіри комерційною діяльністю, чи це визначення також змінюється, коли зручно?

Valve не потрібно довіряти нашій оцінці жертви. Йому потрібно лише перехресно порівняти приблизно 213 000 ідентифікаторів ботів із власною книгою та незалежно перевірити їхню роботу. Після перевірки ідентифікація жертв і відновлення елементів є запитом до бази даних. Ми зробимо все, що в наших силах, щоб доставити список. Єдиний відсутній елемент – це бажання Valve діяти.

Зобов'язання PhishDestroy:Якщо Valve справді розпочне реституцію, ми докладемо всіх можливих зусиль, щоб отримати, зберегти та безпечно надати доступні списки.Вимога до Valve:тепер зберігати внутрішні журнали, не передаючи їх нам, відкривати захищений канал для ідентифікаторів ботів, узгоджувати SteamIDs і торгівлю всередині власної книги, сповіщати ідентифікованих жертв і публікувати кількість відновлених елементів.

Реальні гроші вже потрапили в замкнутий цикл Steam, і Valve збирав комісію, коли товар поширювався. Якщо його історію можна повністю відстежити, попередній власник відомий, а Valve потім заморожує його назавжди, відмовляючись від повернення та приховуючи інвентар, неминуче постає питання: чому громадськість повинна розглядати це як захист, а не як монетизацію власної вразливості платформи? Заборона, яка залишає жертву з порожніми руками, не є реституцією.

Примітка редакції:Операційні заяви Ihor базуються на збережених даних і файлах PhishDestroy з одного перевіреного продукту та можуть бути подані на незалежну перевірку. Зведені підсумки, вибіркове застосування та економічні мотиви вимагають записів Valve. Посилання на Ірландію, Росію, FSB або іншу державу описують модель загрози; вони не звинувачують названого підрядника чи оператора у розкритті без доказів. Цифри з 79 осіб і 76,4 мільйона доларів взяті з поданої до суду таблиці категорій за 2021 рік, яка була представлена ​​до виправленого редагування. Цифра в 1 162 880 годин є ілюстративним розрахунком штату, а не твердженням, що 79 людей були інженерами безпеки або витратили ці години на це шахрайство.