Steam API-nøgle-svindel og falske trade-tilbud: en Rust-spillers forsvar

Steam API-nøgle-svindlen er stille af design. Dine skins bliver i dit inventar, din adgangskode virker stadig, og intet ser forkert ud, før du laver en ægte trade. Så forsvinder dit tilbud, et næsten identisk et ankommer fra en konto, der er klædt ud som din handelspartner, og du bekræfter det på telefonen uden et ekstra blik. Skinsene går til en fremmed.

Rust-spillere er et naturligt mål, fordi så mange af os trader med bots hver uge, til gambling-indbetalinger, markedssalg og udbetalinger. Denne guide dækker, hvordan svindlen virker, hvordan konti bliver kompromitteret i første omgang, de tjek der opdager den, og hvad du gør, hvis det allerede er sket for dig.

Sådan virker API-nøgle-svindlen

En Steam Web API-nøgle er en udviklerlegitimation. Legitime udviklere bruger en til at bygge værktøjer, der læser Steam-data. I de forkerte hænder lader en nøgle, der er registreret på din konto, nogen følge dine trade-tilbud, mens de oprettes, og handle på dem automatisk. Angrebet forløber som regel sådan:

1. Du logger ind på Steam via en falsk side, eller et ondsindet program eller en browserudvidelse kopierer din indloggede session. Nogen kan nu handle som dig på Steams hjemmeside.
2. De registrerer en Web API-nøgle på din konto eller finder en, du har oprettet og glemt.
3. De venter. Intet bliver taget, så et hurtigt kig på dit inventar fortæller dig, at alt er fint.
4. Du starter en ægte trade, for eksempel en indbetaling på en Rust gambling-side.
5. Et script ser det nye tilbud, annullerer det og sender dig en erstatning fra en konto, der er sat op til at ligne den rigtige partner: samme navn, samme avatar, de samme items listet.
6. Du bekræfter erstatningen i Steam-appen. Skinsene går til svindleren, og sidens indbetaling løber simpelthen ud af tid.

Den vigtige detalje er det sidste trin. Nøglen lader svindleren følge med og reagere, men at godkende en trade kræver stadig din telefon. Hver version af denne svindel har stadig brug for, at du bekræfter en trade, du ikke har tjekket ordentligt, og det er præcis der, du kan stoppe den.

Valve har tilføjet friktion til registrering af nøgler gennem årene, og svindlere har tilpasset sig ved at narre spillere til selv at godkende trin. Behandl enhver hjemmeside, der beder dig oprette, indsætte eller bekræfte en API-nøgle, som fjendtlig. En Rust gambling-side har ikke brug for en.

Hvordan konti bliver kompromitteret i første omgang

Falske Steam-loginsider

Den klassiske vej er en side, der ligner et Steam-login og sender dine oplysninger til en anden. De dukker op bag gratis skin-giveaways, falske gambling-sider med gratis cases, links der beder dig stemme på nogens hold i en turnering, og klonede versioner af rigtige Rust-sider.

En mere overbevisende variant tegner en falsk login-popup inde i selve siden, komplet med en falsk adresselinje, der viser steamcommunity.com. To hurtige tests fanger de fleste. Prøv at trække popup'en ud af dit browservindue: Et rigtigt vindue kan forlade det, et falsk tegnet af siden kan ikke. Og hold øje med din adgangskodemanager: Den tilbyder ikke at udfylde et login på det forkerte domæne, uanset hvor ægte siden ser ud.

Login med QR-kode

Steam lader dig logge ind ved at scanne en QR-kode med mobilappen. Svindlere misbruger det ved at vise dig en kode på en tredjepartsside eller sende en i en DM og bede dig scanne den for at logge ind eller indløse noget. At scanne den godkender deres login på din konto. Scan kun en kode på en Steam-loginskærm, du selv har åbnet, i Steam-klienten eller på steamcommunity.com.

Ondsindede udvidelser og downloads

Browserudvidelser, der lover prischeck af skins, trade-hjælpere, gratis skin-værktøjer, spilcheats og filer sendt af en ven, der beder dig prøve deres spil, er alle almindelige bærere. Nogle af dem stjæler din browsers sessionsdata, hvilket lader nogen bruge din indloggede Steam-session uden at kende din adgangskode eller se en Steam Guard-kode. Installér kun software fra kilder, du selv har slået op, fjern udvidelser, du ikke bruger, og vær meget mistænksom over for enhver fil sendt i en besked, også fra en ven, hvis konto måske allerede er kompromitteret.

At give nøglen væk selv

Nogle sider og såkaldte trade-bots beder dig indsætte din API-nøgle for at verificere trades eller gøre tingene hurtigere. Gør det ikke. Selv når siden ikke mener noget ondt, er en aktiv nøgle på din konto ét databaselæk fra at blive en andens script.

Et kontotjek på fem minutter

Gør det nu, og igen hver gang du mistænker, at du loggede ind et sted, du ikke burde. Gør det i ét stræk, for rækkefølgen betyder noget: Du vil afskære adgangen, før du rydder op.

1. Skift din Steam-adgangskode fra Steam-klienten eller en Steam-side, du selv har skrevet. Gør den unik for Steam.
2. Åbn Manage Steam Guard i dine kontoindstillinger, og brug Deauthorize all other devices. Det afslutter hver anden indloggede session, også en, en svindler måske bruger.
3. Skriv steamcommunity.com/dev/apikey i adresselinjen. Du bør se en formular til at registrere en nøgle, ikke en eksisterende nøgle. Hvis en nøgle er listet, så klik på Revoke.
4. Tjek, at e-mailadressen og telefonnummeret på kontoen er dine, og at e-mailkontoen ikke har videresendelsesregler, du ikke har oprettet.
5. Gennemgå dine browserudvidelser, og fjern alt, du ikke genkender eller ikke længere bruger. Kør en malware-scanning på pc'en.
6. Hvis din trade-URL har været postet offentligt, så opret en ny i dine indstillinger for trade-tilbud, og opdater den på de sider, du bruger.

Tjek API-nøgle-siden igen en dag senere. En nøgle, der kommer tilbage, efter du har tilbagekaldt den, betyder, at nogen stadig har adgang, så gentag trinnene, og kontakt Steam Support.

Sådan læser du et trade-tilbud, der kan være falsk

Bots, der udgiver sig for andre, kopierer det, der er let at kopiere. Et visningsnavn og en avatar kan ændres på sekunder. Et Steam-ID, et profillink, et Steam-niveau og en kontos alder kan ikke forfalskes lige så let, og det er det, du tjekker.

• Åbn tilbuddet i sin fulde form. Brug Steam-klienten eller steamcommunity.com, ikke kun telefonnotifikationen.
• Klik videre til partnerens profil inde fra tilbuddet. Sammenlign niveauet, kontoens alder og profillinket med det, siden viser for sin bot. Dem, der udgiver sig for andre, er som regel nye eller nyligt købte konti.
• Match sikkerhedskoden, hvis siden skriver en i tilbudsbeskeden og på skærmen.
• Tjek items linje for linje. Ved en indbetaling forlader kun det, du valgte, dit inventar. Ved en udbetaling forlader intet det overhovedet.
• Vær mistænksom over for et andet tilbud. Hvis et tilbud forsvandt, og et nyt dukkede op sekunder senere, så behandl det nye som fjendtligt, til du har tjekket det fra bunden.
• Læs mobilbekræftelsen. Tryk ind på den, og tjek partner og items, før du godkender.

Ét symptom fortjener sin egen linje. Hvis dine trade-tilbud bliver annulleret, uden at du rører dem, så antag, at din konto er kompromitteret, og kør kontotjekket ovenfor, før du trader andet. Vores guide til sikker indbetaling og udbetaling af skins har en fuld tjekliste til indbetalings- og udbetalingstilbud.

Falsk support og falske admins på Discord

Den anden store familie af svindel springer teknologien over og arbejder direkte på dig. Den mest almindelige i Rust- og CS2-kredse starter med en besked om, at nogen ved et uheld har anmeldt din konto, og at du skal tale med en Steam-admin for at rydde op. Admin'en er en svindler med et overbevisende navn og et Valve-logo, og samtalen ender med en anmodning om dine loginoplysninger, en Steam Guard-kode, en skærmdeling eller en trade for at verificere dine items.

Steam Support arbejder via help.steampowered.com. Valves medarbejdere kontakter ikke spillere på Discord for at løse bans eller anmeldelser, og ingen ægte har brug for din adgangskode eller dine koder.

Gambling-siders support bliver udgivet for på samme måde. Klag i en sides offentlige chat eller Discord over en fastsiddende udbetaling, og du kan få en DM inden for få minutter fra en supportmedarbejder, der tilbyder hjælp. Svindlere holder øje med offentlige kanaler netop efter det. Ægte sidesupport svarer via live chat eller sagssystemet på siden, og den beder dig ikke sende skins eller krypto for at ordne noget.

Den svindel, Rust-spillere oftest støder på

Vinklen med skin-prischeck er værd at se nærmere på, hvis du jævnligt værdisætter et inventar. Vores forklaring af hvordan priser på Rust-skins fungerer viser, hvordan du værdisætter items kun med siden på Steam Market, uden nogen udvidelse.

Hvis det allerede er sket for dig

Hastighed betyder mere end noget andet her, for en kompromitteret konto kan tømmes igen, mens du finder ud af, hvad der skete.

1. Kør kontotjekket ovenfor med det samme: adgangskode, Deauthorize all other devices og tilbagekald derefter enhver API-nøgle.
2. Anmeld den konto, der modtog dine items, med Report Player på dens Steam-profil.
3. Åbn en sag hos Steam Support via help.steampowered.com, og forklar, hvad der skete, med datoer og trade-detaljer.
4. Fortæl gambling-sidens support, via dens egen live chat, hvilken bot der blev efterlignet, og hvornår. Sider kan normalt ikke omgøre en Steam-trade, men de vil gerne vide, at deres bots bliver kopieret.
5. Skift adgangskoden på alle andre konti, der delte den samme, begyndende med din e-mail.

Vær realistisk omkring genopretning. Steams politik er, at items tabt gennem trades generelt ikke genskabes. Enhver, der kontakter dig og tilbyder at få stjålne skins tilbage mod et gebyr, kører den næste svindel på listen.

Vaner, der holder dig væk fra listen

Intet af det kræver tekniske færdigheder. Det handler om en håndfuld vaner, du gentager, til de er automatiske: Nå sider via bogmærker, du selv har lavet, hold Steam Guard Mobile Authenticator slået til, indsæt aldrig en API-nøgle noget sted, scan aldrig en QR-kode, du ikke selv bad om, og læs hvert trade-tilbud i sin helhed, før du bekræfter det. Behandl enhver uopfordret DM som fjendtlig.

Kontosikkerhed er også en del af, hvordan vi scorer sider. Vores vurderingsmetode giver tillid og sikkerhed den største vægt af de seks kriterier, og hver anmeldelse i vores anmeldelsessektion lister det domæne, vi testede, så du kan tjekke, at du er på den rigtige.

At miste skins til en svindler kan føles meget som at miste dem i en dårlig stime, og trangen til at vinde dem tilbage er lige så stærk. Hvis du opdager, at du indbetaler mere for at kompensere for et tyveri, så hold en pause, og læs vores side om ansvarligt spil, som lister gratis støttetjenester.