Estafas de clave API de Steam y ofertas de intercambio falsas: la defensa de un jugador de Rust

La estafa de la clave API de Steam es silenciosa por diseño. Tus skins siguen en tu inventario, tu contraseña sigue funcionando y nada parece raro hasta el momento en que haces un intercambio real. Entonces tu oferta desaparece, llega una casi idéntica desde una cuenta disfrazada de tu contraparte y la confirmas en el móvil sin mirarla dos veces. Las skins van a parar a un desconocido.

Los jugadores de Rust son un objetivo natural porque muchos intercambiamos con bots cada semana, para depósitos de apuestas, ventas en mercados y retiros. Esta guía cubre cómo funciona la estafa, cómo se comprometen las cuentas en primer lugar, las comprobaciones que la detectan y qué hacer si ya te ha pasado.

Cómo funciona la estafa de la clave API

Una clave de la API web de Steam es una credencial de desarrollador. Los desarrolladores legítimos la usan para construir herramientas que leen datos de Steam. En malas manos, una clave registrada en tu cuenta permite a alguien ver tus ofertas de intercambio en cuanto se crean y actuar sobre ellas automáticamente. El ataque suele desarrollarse así:

1. Inicias sesión en Steam a través de una página falsa, o un programa malicioso o una extensión del navegador copia tu sesión iniciada. Alguien puede ahora actuar como tú en la web de Steam.
2. Registra una clave de la API web en tu cuenta, o encuentra una que creaste y olvidaste.
3. Espera. No se lleva nada, así que un vistazo rápido a tu inventario te dice que todo está bien.
4. Empiezas un intercambio real, por ejemplo un depósito en un sitio de gambling de Rust.
5. Un script ve la nueva oferta, la cancela y te envía una sustituta desde una cuenta preparada para parecerse a la contraparte real: mismo nombre, mismo avatar, los mismos objetos listados.
6. Confirmas la sustituta en la app de Steam. Las skins van al estafador, y el depósito del sitio simplemente caduca.

El detalle importante es el último paso. La clave permite al estafador observar y reaccionar, pero aprobar un intercambio sigue necesitando tu móvil. Todas las versiones de esta estafa siguen necesitando que confirmes un intercambio que no has revisado bien, que es justo donde puedes frenarla.

Valve ha añadido fricción al registro de claves con los años, y los estafadores se han adaptado engañando a los jugadores para que aprueben ellos mismos los pasos. Trata como hostil cualquier web que te pida crear, pegar o confirmar una clave API. Un sitio de gambling de Rust no la necesita para nada.

Cómo se comprometen las cuentas en primer lugar

Páginas de acceso a Steam falsas

La vía clásica es una página que parece un inicio de sesión de Steam y envía tus datos a otra persona. Aparecen detrás de sorteos de skins gratis, sitios de apuestas falsos con cajas gratis, enlaces que te piden votar por el equipo de alguien en un torneo y versiones clonadas de sitios reales de Rust.

Una variante más convincente dibuja una ventana emergente de acceso falsa dentro de la propia página, con una falsa barra de direcciones que muestra steamcommunity.com. Dos pruebas rápidas detectan la mayoría. Intenta arrastrar la ventana emergente fuera de la ventana de tu navegador: una ventana real puede salir, una falsa dibujada por la página no. Y fíjate en tu gestor de contraseñas: no se ofrecerá a rellenar un acceso en el dominio equivocado, por real que parezca la página.

Accesos con código QR

Steam permite iniciar sesión escaneando un código QR con la app móvil. Los estafadores abusan de esto mostrándote un código en una página de terceros, o enviándote uno por mensaje directo, y pidiéndote que lo escanees para iniciar sesión o reclamar algo. Escanearlo aprueba su inicio de sesión en tu cuenta. Escanea solo un código de una pantalla de acceso de Steam que hayas abierto tú, en el cliente de Steam o en steamcommunity.com.

Extensiones y descargas maliciosas

Las extensiones del navegador que prometen comprobar precios de skins, ayudantes de intercambio, herramientas de skins gratis, trucos para juegos y archivos enviados por un amigo que te pide probar su juego son vehículos habituales. Algunos roban los datos de sesión de tu navegador, lo que permite a alguien usar tu sesión de Steam iniciada sin conocer tu contraseña ni ver un código de Steam Guard. Instala software solo de fuentes que hayas buscado tú, elimina las extensiones que no uses y desconfía mucho de cualquier archivo enviado en un mensaje, incluso de un amigo cuya cuenta puede estar ya comprometida.

Entregar la clave tú mismo

Algunos sitios y los llamados bots de intercambio te piden pegar tu clave API para verificar intercambios o agilizar las cosas. No lo hagas. Aunque el sitio no tenga mala intención, una clave activa en tu cuenta está a una filtración de base de datos de convertirse en el script de otro.

Una auditoría de cuenta de cinco minutos

Hazla ahora, y otra vez siempre que sospeches que iniciaste sesión donde no debías. Hazla de una sentada, porque el orden importa: conviene cortar el acceso antes de limpiar.

1. Cambia tu contraseña de Steam desde el cliente de Steam o desde una página de Steam que hayas escrito tú. Que sea única para Steam.
2. Abre Administrar Steam Guard en los ajustes de tu cuenta y usa Desautorizar todos los demás dispositivos. Eso cierra todas las demás sesiones iniciadas, incluida la que pueda estar usando un estafador.
3. Escribe steamcommunity.com/dev/apikey en la barra de direcciones. Deberías ver un formulario para registrar una clave, no una clave existente. Si aparece una clave, haz clic en Revocar.
4. Comprueba que la dirección de correo y el número de teléfono de la cuenta son tuyos, y que la cuenta de correo no tiene reglas de reenvío que no hayas creado.
5. Revisa las extensiones de tu navegador y elimina cualquiera que no reconozcas o ya no uses. Pasa un análisis de malware al PC.
6. Si tu URL de intercambio se ha publicado abiertamente, crea una nueva en los ajustes de ofertas de intercambio y actualízala en los sitios que uses.

Vuelve a mirar la página de la clave API un día después. Una clave que reaparece después de revocarla significa que alguien sigue teniendo acceso, así que repite los pasos y contacta con el Soporte de Steam.

Cómo leer una oferta de intercambio que podría ser falsa

Los bots suplantadores copian lo que es fácil de copiar. Un nombre visible y un avatar se pueden cambiar en segundos. Un Steam ID, un enlace de perfil, un nivel de Steam y la antigüedad de una cuenta no se pueden falsificar con tanta facilidad, y eso es lo que compruebas.

• Abre la oferta completa. Usa el cliente de Steam o steamcommunity.com, no solo la notificación del móvil.
• Entra en el perfil de la contraparte desde dentro de la oferta. Compara el nivel, la antigüedad de la cuenta y el enlace del perfil con lo que muestra el sitio para su bot. Los suplantadores suelen ser cuentas nuevas o compradas hace poco.
• Haz coincidir el código de seguridad si el sitio lo imprime en el mensaje de la oferta y en pantalla.
• Revisa los objetos línea por línea. En un depósito, solo sale lo que seleccionaste. En un retiro, no sale nada.
• Desconfía de una segunda oferta. Si una oferta se esfumó y una nueva apareció segundos después, trata la nueva como hostil hasta haberla revisado desde cero.
• Lee la confirmación móvil. Entra en ella y comprueba la contraparte y los objetos antes de aprobar.

Un síntoma merece una línea propia. Si tus ofertas de intercambio se cancelan sin que las toques, da por hecho que tu cuenta está comprometida y haz la auditoría de arriba antes de intercambiar nada más. Nuestra guía de cómo depositar y retirar skins con seguridad tiene una lista completa para las ofertas de depósito y retiro.

Falso soporte y falsos admins en Discord

La segunda gran familia de estafas se salta la tecnología y trabaja directamente sobre ti. La más común en los círculos de Rust y CS2 empieza con un mensaje que dice que alguien denunció tu cuenta por error y que tienes que hablar con un admin de Steam para aclararlo. El admin es un estafador con un nombre convincente y un logo de Valve, y la conversación termina con una petición de tus datos de acceso, un código de Steam Guard, compartir pantalla o un intercambio para verificar tus objetos.

El Soporte de Steam funciona a través de help.steampowered.com. El personal de Valve no contacta con los jugadores por Discord para resolver baneos o denuncias, y nadie genuino necesita tu contraseña ni tus códigos.

El soporte de los sitios de apuestas se suplanta del mismo modo. Quéjate en el chat público o en el Discord de un sitio por un retiro atascado y puede que en minutos recibas un mensaje directo de un agente de soporte que se ofrece a ayudar. Los estafadores vigilan los canales públicos justo por eso. El soporte real de un sitio responde por el chat en vivo del propio sitio o por su sistema de tickets, y no te pide enviar skins ni cripto para arreglar nada.

Las estafas con las que más se topan los jugadores de Rust

El enfoque de la comprobación de precios de skins merece una mirada más atenta si valoras un inventario con regularidad. Nuestra explicación de cómo funcionan los precios de las skins de Rust muestra cómo valorar objetos solo con la página del Mercado de Steam, sin ninguna extensión de por medio.

Si ya te ha pasado

La rapidez importa más que cualquier otra cosa aquí, porque una cuenta comprometida puede vaciarse otra vez mientras averiguas qué ocurrió.

1. Haz enseguida la auditoría de cuenta de arriba: contraseña, Desautorizar todos los demás dispositivos y después revocar cualquier clave API.
2. Reporta la cuenta que recibió tus objetos con Denunciar jugador en su perfil de Steam.
3. Abre un ticket con el Soporte de Steam en help.steampowered.com y explica lo ocurrido, con fechas y detalles del intercambio.
4. Cuéntale al soporte del sitio de apuestas, por su propio chat en vivo, qué bot se suplantó y cuándo. Los sitios normalmente no pueden revertir un intercambio de Steam, pero quieren saber que sus bots están siendo copiados.
5. Cambia la contraseña de cualquier otra cuenta que compartiera la misma, empezando por tu correo.

Sé realista con la recuperación. La política de Steam es que los objetos perdidos en intercambios en general no se restituyen. Quien te contacte ofreciéndote recuperar skins robadas a cambio de una comisión está montando la siguiente estafa de la lista.

Hábitos que te mantienen fuera de la lista

Nada de esto requiere conocimientos técnicos. Se reduce a un puñado de hábitos que repites hasta que son automáticos: llega a los sitios por marcadores que hayas creado tú, mantén activado el autenticador móvil de Steam Guard, no pegues nunca una clave API en ninguna parte, no escanees nunca un código QR que no hayas pedido tú y lee cada oferta de intercambio completa antes de confirmarla. Trata como hostil todo mensaje directo no solicitado.

La seguridad de la cuenta forma parte también de cómo puntuamos los sitios. Nuestro método de puntuación da a la confianza y la seguridad el mayor peso de los seis criterios, y cada reseña de nuestra sección de reseñas lista el dominio que probamos para que puedas comprobar que estás en el real.

Perder skins a manos de un estafador puede parecerse mucho a perderlas en una mala racha, y las ganas de recuperarlas son igual de fuertes. Si te pillas depositando más para compensar un robo, tómate un descanso y lee nuestra página de juego responsable, que lista servicios de apoyo gratuitos.