Steam APIキー詐欺と偽のトレードオファー：Rustプレイヤーの防衛法

Steam APIキー詐欺は、静かに進むように作られています。スキンはインベントリに残り、パスワードも使え、実際のトレードをする瞬間まで、何もおかしくは見えません。そのとき、オファーが消え、トレード相手を装ったアカウントから、ほぼ同じオファーが届き、よく見ずにスマートフォンで承認してしまいます。スキンは見知らぬ人に渡ります。

Rustプレイヤーは、格好の標的です。ギャンブルの入金、マーケットでの売却、出金のために、毎週ボットとトレードする人が多いからです。このガイドでは、詐欺の仕組み、そもそもアカウントが侵害される経路、見抜くための確認、すでに被害に遭った場合の対処を扱います。

APIキー詐欺の仕組み

Steam Web APIキーは、開発者向けの認証情報です。正規の開発者は、Steamのデータを読むツールを作るために使います。悪意のある人の手に渡ると、アカウントに登録されたキーで、作成されたトレードオファーを監視し、自動で対応できてしまいます。攻撃は、通常、次のように進みます。

1. 偽のページからSteamにログインする、または悪意のあるプログラムやブラウザ拡張機能が、ログイン中のセッションをコピーする。これで、相手はSteamのウェブサイト上で、あなたとして行動できます。
2. 相手がアカウントにWeb APIキーを登録するか、自分で作って忘れていたキーを見つける。
3. 相手は待つ。何も盗まれていないので、インベントリを軽く見ても、問題ないと思えます。
4. 本物のトレードを始める。たとえば、Rustギャンブルサイトへの入金です。
5. スクリプトが新しいオファーを見つけてキャンセルし、本物の相手に見せかけたアカウントから、代わりのオファーを送ってくる。名前もアバターも同じで、アイテムも同じものが並んでいます。
6. Steamアプリで、代わりのオファーを承認する。スキンは詐欺師に渡り、サイトの入金は、そのままタイムアウトになります。

重要なのは最後のステップです。キーで詐欺師は監視と反応ができますが、トレードを承認するには、あなたのスマートフォンが必要です。この詐欺は、どの変種も、きちんと確認していないトレードを承認させる必要があり、まさにそこで止められます。

Valveは長年にわたってキー登録に手間を加えてきましたが、詐欺師は、プレイヤー自身にステップを承認させることで適応しています。APIキーの作成、貼り付け、承認を求めるウェブサイトは、すべて敵対的なものとして扱ってください。Rustギャンブルサイトには、それが必要ありません。

そもそもアカウントが侵害される経路

偽のSteamログインページ

典型的な経路は、Steamのサインインのように見えて、情報を別の誰かに送るページです。無料スキンのプレゼント企画、無料ケースをうたう偽のギャンブルサイト、トーナメントで誰かのチームに投票するよう求めるリンク、本物のRustサイトのクローンの裏に現れます。

より巧妙な変種は、ページ内に、steamcommunity.comと表示された偽のアドレスバーまで描いた、偽のログインポップアップを表示します。2つの簡単なテストで、ほとんどが見つかります。ポップアップをブラウザのウィンドウの外にドラッグしてみてください。本物のウィンドウは外に出せますが、ページが描いた偽物は出せません。そして、パスワードマネージャーを見てください。ページがどれほど本物らしく見えても、間違ったドメインのログインは、入力を提案しません。

QRコードによるログイン

Steamでは、モバイルアプリでQRコードをスキャンしてログインできます。詐欺師はこれを悪用し、第三者のページでコードを見せたり、DMで送ったりして、ログインや何かの受け取りのためにスキャンするよう求めます。スキャンすると、相手のログインがあなたのアカウントで承認されます。スキャンするのは、Steamクライアントかsteamcommunity.comで、自分で開いたSteamのログイン画面にあるコードだけにしてください。

悪意のある拡張機能とダウンロード

スキンの価格チェック、トレードの補助、無料スキンのツールをうたうブラウザ拡張機能、ゲームのチート、友人から送られてきた、自分のゲームを試してほしいというファイルは、どれもよくある感染経路です。ブラウザのセッションデータを盗むものもあり、パスワードもSteam Guardコードも知らずに、ログイン中のSteamセッションを使われてしまいます。ソフトウェアは自分で調べた入手元からだけ入れ、使わない拡張機能は削除し、メッセージで送られてきたファイルは、すでに侵害されているかもしれない友人のアカウントからのものでも、強く疑ってください。

自分でキーを渡してしまう

サイトや、いわゆるトレードボットの中には、トレードを確認したり手早く進めたりするために、APIキーを貼り付けるよう求めるものがあります。やめてください。サイトに悪意がなくても、アカウントにある有効なキーは、データベースの漏えい1回で、他人のスクリプトに渡ります。

5分でできるアカウント点検

今すぐ行ってください。そして、ログインすべきでない場所にログインしたかもしれないと思ったときは、そのたびに。1回で済ませてください。順序が大事で、片付ける前に、アクセスを断ちたいからです。

1. Steamクライアント、または自分で入力したSteamのページから、Steamのパスワードを変更する。Steam専用の固有のものにする。
2. アカウント設定でSteam Guardの管理を開き、「他のすべてのデバイスの認証を解除」を使う。詐欺師が使っているかもしれないものを含め、ほかのログイン中のセッションがすべて終了します。
3. steamcommunity.com/dev/apikeyをアドレスバーに入力する。表示されるのは、既存のキーではなく、キーを登録するフォームのはずです。キーが表示されていたら、「失効」をクリックする。
4. アカウントのメールアドレスと電話番号が自分のものであること、メールアカウントに、自分で作っていない転送ルールがないことを確認する。
5. ブラウザの拡張機能を見て、見覚えのないものや使っていないものを削除する。PCでマルウェアスキャンを実行する。
6. トレードURLが公開されていたら、トレードオファー設定で新しいものを作成し、使っているサイトで更新する。

1日後に、もう一度APIキーのページを確認してください。失効させたキーが戻ってきたなら、まだ誰かにアクセスされているということなので、手順を繰り返して、Steamサポートに連絡してください。

偽の可能性があるトレードオファーの読み方

なりすましボットがコピーするのは、コピーしやすいものです。表示名とアバターは、数秒で変えられます。Steam ID、プロフィールのリンク、Steamレベル、アカウントの古さは、それほど簡単には偽造できず、確認するのはそこです。

• オファーを全体で開く。スマートフォンの通知だけでなく、Steamクライアントかsteamcommunity.comを使う。
• オファーの中から相手のプロフィールに進む。レベル、アカウントの古さ、プロフィールのリンクを、サイトがボットとして表示するものと比べる。なりすましは、通常、新しいか、最近買われたアカウント。
• セキュリティコードを照合する。サイトがオファーのメッセージと画面に表示している場合。
• アイテムを1行ずつ確認する。入金なら、選んだものだけが出ていく。出金なら、何も出ていかない。
• 2つ目のオファーを疑う。オファーが消えて、数秒後に新しいものが現れたなら、最初から確認し直すまで、新しいものは敵対的と考える。
• モバイルの承認を読む。中に入って、承認する前に相手とアイテムを確認する。

1つの症状は、特に取り上げる価値があります。触っていないのにトレードオファーがキャンセルされるなら、アカウントが侵害されたと考え、ほかのトレードをする前に、上のアカウント点検を実行してください。入金と出金のオファーのチェックリスト全体は、スキンの安全な入金と出金のガイドにあります。

Discordの偽サポートと偽の管理者

2つ目の大きな詐欺の系統は、技術を使わず、あなたに直接働きかけます。RustやCS2の界隈で最も多いのは、誰かがうっかりアカウントを報告したので、解決するにはSteamの管理者と話す必要がある、というメッセージから始まるものです。その管理者は、もっともらしい名前とValveのロゴを使った詐欺師で、会話は、ログイン情報、Steam Guardコード、画面共有、アイテムを確認するためのトレードの要求で終わります。

Steamサポートは、help.steampowered.comで対応しています。Valveのスタッフが、BANや報告の解決のためにDiscordでプレイヤーに連絡することはなく、本物の誰かがパスワードやコードを必要とすることもありません。

ギャンブルサイトのサポートも、同じようになりすまされます。サイトの公開チャットやDiscordで出金が止まったと訴えると、数分でサポート担当者を名乗る人からDMが来て、助けると申し出ることがあります。詐欺師は、まさにそのために公開チャンネルを見張っています。本物のサイトのサポートは、サイト上のライブチャットかチケットシステムで答え、何かを直すためにスキンや仮想通貨を送るよう求めることはありません。

Rustプレイヤーが最もよく出会う詐欺

インベントリの価値を定期的に調べているなら、スキンの価格チェックの切り口は、詳しく見る価値があります。拡張機能を使わず、Steamマーケットのページだけでアイテムを評価する方法は、Rustスキンの価格の仕組みの解説で見せています。

すでに被害に遭った場合

ここでは何よりもスピードが重要です。侵害されたアカウントは、何が起きたかを考えている間に、再び空にされる可能性があるからです。

1. 上のアカウント点検をすぐに実行する。パスワード、「他のすべてのデバイスの認証を解除」、そしてAPIキーの失効の順に。
2. アイテムを受け取ったアカウントを、Steamプロフィールの「プレイヤーを報告」で報告する。
3. help.steampowered.comからSteamサポートにチケットを開き、日付とトレードの詳細を添えて、何が起きたか説明する。
4. ギャンブルサイトのサポートに、サイト自身のライブチャットで、どのボットがいつなりすまされたかを伝える。サイトは通常、Steamのトレードを取り消せませんが、自社のボットがコピーされていることを知りたがります。
5. 同じパスワードを共有していたほかのアカウントのパスワードを、メールから始めて変更する。

取り戻せる見込みについては現実的に考えてください。Steamの方針では、トレードで失ったアイテムは、一般に復元されません。盗まれたスキンを手数料と引き換えに取り戻すと連絡してくる人は、リストの次の詐欺を実行しています。

リストに載らないための習慣

どれにも技術的なスキルは必要ありません。自動的にできるようになるまで繰り返す、いくつかの習慣に尽きます。自分で作ったブックマークからサイトに行く、Steam Guardモバイル認証をオンにしておく、APIキーをどこにも貼り付けない、頼んでいないQRコードは絶対にスキャンしない、承認する前にすべてのトレードオファーを全文読む。頼んでいないDMは、すべて敵対的なものとして扱ってください。

アカウントのセキュリティは、当サイトのサイトの採点にも関わっています。評価方法は、6つの基準のうち、信頼性と安全性に最大の配点を与えており、レビュー一覧のすべてのレビューには、テストしたドメインを載せているので、本物のサイトにいることを確認できます。

詐欺師にスキンを奪われるのは、運悪く負けが続いたときの感覚によく似ていて、取り返したい衝動も同じくらい強いものです。盗難の穴埋めのためにさらに入金している自分に気づいたら、休憩して、無料の支援サービスを載せた責任あるギャンブルのページを読んでください。