Ілюзія Steam: як Valve керує тіньовою економікою, сприяє крадіжці даних та ігнорує міжнародне право

Ексклюзивний звіт про розслідування від нашої команди

Наш проєкт виник не від хороших часів. Наше існування — це не свідчення успіху Steam, а критична необхідність, викликана абсолютним нехтуванням безпекою користувачів з боку Valve. Насправді, наша боротьба з фішингом безпосередньо заважала бізнес-моделі Valve, руйнуючи їхню ретельно вибудувану економіку блокувань акаунтів та перепродажу предметів. (Згодом ми опублікуємо окремий детальний матеріал, який викриє справжні "цінності" компанії та їхню пародію на кібербезпеку).

Понад десять років Valve Corporation ховається за ретельно створеним, дружнім до споживача фасадом. Але під цією поверхнею ховається цинічна корпоративна машина. У ході масштабного внутрішнього розслідування наша команда детально розібрала політику, про яку Valve воліє мовчати. Це анатомія платформи, яка діє як нерегульований фінансовий синдикат, потурає підсанкційним державам, прихищає скомпрометовану аутсорсингову підтримку та ставиться до європейських законів як до необов'язкових рекомендацій.

1. Фарс із санкціями та проросійська упередженість

Для Valve користувачі в ЄС та США є нічим іншим, як дійними коровами. У той час як європейські геймери платять повну вартість, Steam продовжує надавати агресивні знижки від 70% до 80% для російського ринку. Гра в Росії коштує мізерну частку від того, скільки вона коштує в Німеччині. Ось як виглядають міжнародні "санкції" у словнику Valve.

Платформа робить усе, щоб задобрити та популяризувати цей вектор: вони полегшують зміну регіону, заплющують очі на відмивання грошей через внутрішньоігрові предмети та прямо зазначають у своїх Умовах надання послуг, що підпорядковуються юрисдикції будь-якого російського суду. Це доходить до абсурду: у рідкісних випадках, коли на серверах Steam відбуваються масштабні збої, першою структурою, яка офіційно коментує технічні неполадки, часто виявляється Роскомнадзор (російське федеральне відомство з цензури).

2. Картель аутсорсингової підтримки

Міф про «сувору, безпечну американську технічну підтримку» руйнується в той момент, коли ви усвідомлюєте, хто тримає ключі від бекенду Steam. Valve делегувала підтримку в регіоні СНД глибоко скомпрометованій, корумпованій аутсорсинговій мережі, укомплектованій російськими підрядниками, які активно зловживають своїми правами доступу, щоб грабувати користувачів.

Ми успішно деанонімізували сегменти цієї мережі. Ключовою фігурою, яка керує або курує цю гілку підтримки, є особа на ім'я Nikita. Наше розслідування виявило, що цей індивід (або, принаймні, його основна електронна адреса) зареєстрований і активний як користувач на підпільних хакерських форумах, таких як Lolzteam (Zelenka), — горезвісному хабі даркнету, повністю присвяченому продажу викрадених кредитних карток, скомпрометованих баз даних та логів брутфорсу.

Цей аутсорсинговий російський картель підтримки неодноразово викрадав або передавав приватні дані користувачів стороннім шахраям для брутфорсу акаунтів, скидання паролів, відновлення доступу до сплячих профілів та викрадення цінних цифрових інвентарів задля отримання прибутку на тіньовому ринку. Valve чудово знає про цю системну корупцію і раніше вже визнавала прецеденти, коли аутсорсинговий персонал систематично спустошував цінні інвентарі користувачів. Проте утримання цієї дешевої, непідзвітної та корумпованої аутсорсингової робочої сили залишається для Valve набагато вигіднішим, ніж найм кваліфікованих внутрішніх фахівців із кібербезпеки. Для Гейба Ньюелла ваша безпека та цифрова власність — це незначні витрати порівняно із заощадженнями, отриманими від аутсорсингу доступу до бекенду зловмисникам.

3. Шахрайство як бізнес-модель та офшорна валюта

Внутрішньоігрові скіни Steam стали повсюдною, невідстежуваною валютою в даркнеті — фінансовою пральнею, яка обходить міжнародні регулятори та податкові органи.

Для фінансового відділу Valve шахраї не є загрозою; вони є зовнішніми агентами, які стимулюють швидкість ринку. Традиційна модель "один користувач — одна гра" приносить обмежений дохід. Однак скомпрометована екосистема створює надзвичайно прибутковий цикл: користувача зламують, предмети викрадають, акаунти шахрая отримують блокування обміну ("Trade Ban"), а жертва змушена створювати новий профіль і знову купувати свої активи.

Коли Valve блокує шахрая, вони не повертають викрадені активи законному власнику. Вони заморожують їх назавжди, фактично накопичуючи крадені речі всередині власної екосистеми. Це створює штучний дефіцит. Зменшення пропозиції на ринку підвищує ціни на решту товарів, що, у свою чергу, множить 15% комісію Valve на Торговому майданчику спільноти. Щоб тримати цю надзвичайно прибуткову операцію в таємниці, з 2024 року Valve активно надсилає юридичні погрози та вимоги припинити протиправні дії (cease-and-desist) стороннім базам даних та вебсайтам для відстеження інвентарю. Змушуючи ці платформи відстеження припинити лістинг заблокованих інвентарів, Valve успішно приховує точну статистику та багатомільярдну оцінку заморожених активів, на яких вони наживаються, гарантуючи, що громадськість залишається сліпою до масштабів їхньої награбованої здобичі.

4. Витік даних у CEVA Logistics: незаперечний доказ недбалості

Якщо ви вірите, що Valve принаймні захищає ваші фізичні дані в реальному світі, нещодавній інцидент із CEVA Logistics доводить протилежне. У період з 29 липня по 1 серпня 2026 року хакери зламали європейського партнера Valve з логістики апаратного забезпечення. Valve визнала витік лише 7 серпня, залишивши дані користувачів у руках зловмисників на цілий тиждень.

Витеклі дані включають справжні імена, повні домашні адреси, номери телефонів та пов'язані зі Steam електронні адреси європейських клієнтів, які замовляли фізичне апаратне забезпечення. Valve намагається заспокоїти користувачів, заявляючи, що "паролі та платіжні дані" не просочилися. Але повне ім'я, домашня адреса, номер телефону та електронна пошта Steam — це точний шаблон, необхідний для нищівно ефективного цільового фішингу та викрадення акаунта, золота жила для того самого аутсорсингового персоналу та шахрайських мереж, про які згадувалося вище. Valve фактично передала їм ваші дані.

5. Заклик до дії: європейський опір корпоративному імунітету

Кожному геймеру в Європі пора усвідомити сувору реальність: ви платите за ігри в 5 разів більше, ніж користувачі в Росії, але ваші європейські права та закони (GDPR) повністю ігноруються. Ваші персональні дані просочуються до сторонніх підрядників, а ваші запити в службу підтримки обробляються аутсорсинговою мережею в СНД із вкрай сумнівною репутацією.

Ми надсилаємо наше найлютіше, найсаркастичніше вітання високооплачуваним корпоративним юристам із Taylor Wessing, які захищають беззаконну монополію Valve. Їхня технічна некомпетентність є суспільною небезпекою. У задокументованому випадку з GDPR, коли Valve була змушена оприлюднити журнали персональних даних, ці дорогі адвокати відредагували документи, просто наклавши чорний шар поверх PDF. Під цим чорним прямокутником, який легко видалити, знаходилися повністю видимі, незашифровані персональні дані, включаючи конфіденційну інформацію неповнолітніх із ЄС та Росії. Замість того, щоб попередити жертв, Valve та Taylor Wessing тихо приховали витік, залишивши дітей під загрозою потенційної небезпеки та передаючи висококонфіденційні юридичні документи без елементарного шифрування. Якщо «елітні» європейські юристи не можуть навіть безпечно обробити PDF, ви можете лише уявити абсолютну анархію всередині аутсорсингових російських центрів підтримки Steam.

Ця протиправна поведінка не може тривати далі. Платформа, яка активно потурає державі-спонсору тероризму, сприяє обходу санкцій та ставить інтереси корпоративного багатства вище за елементарну безпеку дітей, не має права ховатися за порожніми вибаченнями. Вони повинні понести відповідальність у кожній окремій юрисдикції, яку вони експлуатують.

Якщо вони відмовляться, заявлять, що не ведуть логів, або сховаються за корпоративною угодою про нерозголошення (NDA) для захисту своїх аутсорсерів, перешліть цю відмову безпосередньо до вашого DPA. Масові судові позови — єдина мова, яку розуміє ця монополія.

Додаток автора: ринок за платформою

На платформі Steam рекомендовані регіональні ціни для Росії (і загалом для регіону СНД) зазвичай на 40–60% нижчі за базову ціну в доларах США. Росія класифікується як Tier 2: Emerging Market (рівень 2: ринок, що розвивається), для якого загалом передбачена знижка 40–50% від базової ціни. Наприклад, стандартна інді-гра вартістю $19.99 (що при прямій конвертації становило б близько 1900 рублів) за рекомендаціями Valve має коштувати близько 419–499 рублів.

Потрібно чітко заявити, що аутсорсингова підтримка розташована в Ірландії, але укомплектована росіянами — причому деякі співробітники базуються безпосередньо в Росії. О, і до речі, CSGOFast володіє популярним розширенням SteamInventoryHelper, яке використовується виключно для реклами їхнього казино для дітей (казино, яке заборонене в кількох європейських країнах). А хто володіє цим казино? Правильно, росіяни, як і більшістю подібних сайтів. Хіба Steam про це не знає? Чи вони просто не хочуть знати, враховуючи, що оборот тіньового ринку, на мою думку, становить близько мільярда доларів.

Крім того, за моїми оцінками, 40% шахраїв із СНД, які зараз займаються криптошахрайством, починали свій шлях у Steam. Я особисто знаю щонайменше про два конкретні випадки відмивання грошей через скіни. Я не буду деталізувати їх тут, але за потреби можу розповісти — тільки не публічно, бо не хочу називати платформи тощо. Але Steam чудово про це знає. Або вони справді сподіваються, що ми повіримо, ніби гравці, які навіть не володіють грою, просто купують один і той самий предмет знову і знову, щоб просто "пограти" з ним? Ага, звісно, це просто смішно.

, 'Пріоритети Steam є максимально проросійськими — як у ціноутворенні, так і в юридичних аспектах, а також у популяризації Путіна, прапорів і заборонених терористів. Але Steam, схоже, це цілком влаштовує, як і те, що вони толерують антисемітизм, дискримінацію, переслідування, сталкінг та торгівлю наркотиками. Для Steam це абсолютно нормально, як і ігри категорії 18+. Схоже, вони отримують від цього задоволення.

Це не короткочасна суперечка про політику платформи. Російські чиновники та галузеві робочі групи витратили понад рік на розробку режиму контролю над відеоіграми, який включає ідентифікацію гравців за російським номером телефону, через державний портал ідентифікації Держпослуги або державну біометричну систему. Steam та GOG були прямо названі серед платформ, на які може вплинути ця пропозиція, а учасники зазначили, що відповідна урядова робоча група на грудень 2024 року проводила зустрічі вже майже півтора року. Valve не дала жодних аналогічних публічних зобов'язань щодо того, що вона залишить російський ринок, а не підключить своїх користувачів до цієї державної архітектури ідентифікації.

Контраст виглядає огидно. Великі гравці індустрії призупинили продажі або надання послуг у Росії — Microsoft зупинила всі нові продажі, у той час як консольні платформи та видавці оголосили про свій вихід, — проте Steam обрав стабільність. Він продовжує надавати комерційну та соціальну інфраструктуру країні, яку Європейський Парламент офіційно визнав державою-спонсором тероризму та державою, яка використовує засоби тероризму.

Ця підтримка помітна всередині власної економіки Valve. На офіційному Торговому майданчику спільноти Steam доступний для придбання фон профілю «Putin & Trump» та тисячі предметів із назвами «Putin forever», «Putin smile», «Putin like» та «Putin angry». Valve не малювала ці зображення, але вона розповсюджує, розміщує та монетизує їх через свій майданчик. Водночас у випадках, які ми задокументували, цькування за національною ознакою залишається видимим або розцінюється як звичайний конфлікт у спільноті. Посил Steam очевидний: політичну пропаганду можна монетизувати, тоді як люди, що зазнають образ через своє національне походження, змушені це терпіти.

Приватна власність — це не юридичний імунітет

Valve is privately held and its shares are not publicly traded. That means its ownership structure, investors, internal controls and financial incentives receive far less routine public scrutiny than those of a listed company. It does not mean that consumer-protection law, child-safety duties, data-protection law or national regulators cease to exist. If Gabe Newell aggressively defends the right to sell explicit adult and hentai games on the same platform frequented by minors, yet hires expensive lawyers at Taylor Wessing specifically to stonewall basic GDPR transparency requests, it exposes a grotesque distortion of priorities. Perhaps Valve’s executive leadership is comfortable shielding attorneys whose main public notoriety stems from a high-profile sexual harassment lawsuit against their own firm, but EU regulators and data protection authorities will not be so easily intimidated. If Newell and his highly paid legal proxies prefer playing cozy corporate games instead of protecting kids and complying with international law, they are about to face a harsh legal reckoning. Satire / Joke

Власна Угода підписника Valve зазначає, що Steam не призначений для дітей віком до 13 років, проте юридичний відділ Ньюелла роками агресивно переписував ці умови, щоб вимагати гроші та залякувати підлітків, які домінують на платформі. Протягом тривалого часу угода прямо містила мстиву застережну умову про розправу: у ній зазначалося, що якщо користувач звернеться за будь-якою незалежною юридичною допомогою, піде до суду або подасть колективний позов проти Steam, Valve залишає за собою право на помсту у вигляді миттєвого видалення його акаунта Steam, знищення його цифрових предметів та повного стирання всієї його віртуальної бібліотеки. Ізолюючи користувачів та змушуючи їх підпорядковуватися виключній юрисдикції Окружного суду США Західного округу Вашингтона, Valve створила середовище юридичного терору, покликане налякати неповнолітніх і змусити їх відмовитися від захисту своїх елементарних законних прав. Самостійно вказана дата народження, сторінка попередження та фільтри в уподобаннях не є дієвим підтвердженням віку; це косметичні бар'єри, створені для того, щоб Valve могла експлуатувати дітей за примусовими, протиправними умовами контракту.

Правовласники також повинні пояснити, чому вони погоджуються на таке сусідство. Сімейна гра, дитяча гра або мейнстримний реліз можуть перебувати в одній рекомендації або результаті пошуку від відвертого матеріалу, тоді як Valve збирає гроші з обох. Видавці витрачають цілі статки на захист своїх брендів, але, здається, готові ігнорувати те, що оточує ці бренди всередині Steam. Приватна власність не робить таку поведінку відповідальною, а домінування на ринку не робить її неминучою.

Принципи модерації Valve стає ще важче захищати, якщо порівняти їх із реакцією на російську державну цензуру. У 2024 році Роскомнадзор оголосив, що Steam видалив усі матеріали, яких вимагало відомство, і що 11 URL-адрес Steam згодом будуть виключені з російського реєстру забороненої інформації. У 2025 році Steam видалив матеріали зі сторінки гри для дорослих після чергової вимоги Роскомнадзору щодо так званої «пропаганди» ЛГБТ. Це була політична цензура, застосована навіть до твору категорії 18+, а не захист дитини, яка обійшла віковий фільтр. Valve може підпорядковуватися російським цензурним спискам, але чомусь залишається безпорадною, коли її просять захистити користувачів від образ за національною ознакою, нелегальних каналів азартних ігор чи агресивного впливу контенту для дорослих. Це вибір пріоритетів, і він порушує очевидне питання свободи вираження поглядів.

Valve також не зробила жодної публічної корпоративної заяви щодо вторгнення Росії в Україну, порівнянної з діями компаній, які призупинили діяльність або відкрито підтримали Україну. Її приватна структура капіталу не вимагає розкриття інформації для інвесторів, як це передбачено для публічних компаній, тому сторонні особи не можуть повністю проаналізувати, чиї інтереси захищаються. Те, що залишається видимим, — це надзвичайна прив'язаність до дешевого ринку, пов'язаного з промисловими масштабами читерства, азартних ігор, викрадення акаунтів та послуг з обходу санкцій. Можливо, причина стане яснішою, якщо Steam колись погодиться на підключення ідентифікації через Держпослуги.

Історія з аутсорсингом повторює ту саму схему непрозорості. Valve укладає контракти з компаніями, а не з окремими працівниками підтримки, які спілкуються з користувачами. Згідно з першоджерелом та матеріалами, які вивчили ми, особа, пов'язана з попереднім скандалом щодо крадіжки дорогого інвентарю, не зникла з невеликої екосистеми підрядників підтримки: вона перейшла до іншої агенції. Вона пізніше стверджувала, що не працювала на Steam і не знала, що акаунт був пов'язаний зі Steam. Проте слід знову привів до Ірландії, до тієї самої людини і знову до Steam. Цей випадок слід розслідувати як збій в аутсорсингу та контролі доступу; він не подається тут як вирок суду. Valve повинна розкрити, які агенції мають доступ до систем акаунтів, як проходить повторна перевірка персоналу під час переходу між підрядниками і чи може особа, звільнена з одного підрядника, просто з'явитися в іншому.

В'єтнам уже продемонстрував, що приватний статус Valve не ставить її вище національного права. Steam був заблокований там після того, як влада заявила, що Valve відмовилася співпрацювати. В'єтнам існує. Право ЄС існує. Кожна юрисдикція, яку монетизує Valve, існує, навіть якщо Valve поводиться так, ніби значення має лише «будь-який суд у Росії». І якщо теорія полягає в тому, що Steam може працювати де завгодно, на будь-яких прихованих умовах, без будь-якої реальної відповідальності, можливо, нам варто поставити це абсурдне питання прямо: чи існує також спеціальний Steam для Північної Кореї, про який досі ніхто не заявляв?

Це встановлені факти: служба підтримки є російською, і ця підтримка неодноразово викрадала або передавала інформацію четвертим особам для відновлення доступу до неактивних акаунтів з метою їх подальшого викрадення задля отримання прибутку.

Якщо Valve вважає, що надання значних російських знижок та монетизація терористичної пропаганди — це просто «геополітична політика», і якщо їхні некомпетентні юристи можуть лише залякувати, погрожувати та зливати дані неповнолітніх, затягуючи запити щодо GDPR, то вони можуть засунути свої вибачення з тижневим запізненням собі в дупу. Нам не потрібні ні дозвіл Valve, ні погрози Taylor Wessing, ні тритижневі затримки, щоб притягнути до повної відповідальності корпорацію, яка любить Росію і зневажає європейські права. Steam роками нахабно обманював і змушував користувачів погоджуватися на беззаконні умови. Ми закликаємо кожного постраждалого громадянина підвестися, знати свої права та не дозволяти собою маніпулювати. І до хакерів, які викрили вразливості в системі безпеки дірявого логістичного партнера Steam: оскільки Valve систематично не здатна захистити або вчасно повідомити власних жертв, ми були б раді, якби ви використовували цей звіт для прямого повідомлення постраждалих користувачів про витік їхніх даних. Нехай они вимагають своїх законних прав за Статтею 77 GDPR, замість того, щоб ковтати брехливі ігри жадібної, маніпулятивної монополії.

PhishDestroy продовжуватиме стежити, розслідувати та викривати. Тіньову економіку буде виведено на світло.

З огляду на прямий конфлікт інтересів та ворожу юридичну позицію представників Valve, Taylor Wessing, пряма координація через них для зв'язку з постраждалими від витоку даних є неможливою. Цей незалежний публічний звіт є головним інструментом розкриття інформації для постраждалих громадян ЄС, яких Valve та її партнери не змогли захистити.