Steam API 키 사기와 가짜 거래 제안: 러스트 플레이어의 방어법

Steam API 키 사기는 설계부터 조용합니다. 스킨은 인벤토리에 그대로 있고, 비밀번호도 여전히 작동하며, 진짜 거래를 하는 순간까지 아무것도 이상해 보이지 않습니다. 그러다 내 제안이 사라지고, 거래 상대로 꾸민 계정에서 거의 똑같은 제안이 오고, 휴대폰에서 두 번 보지도 않고 승인하게 됩니다. 스킨은 낯선 사람에게 갑니다.

러스트 플레이어는 자연스러운 표적입니다. 많은 사람이 매주 도박 입금, 마켓 판매, 출금으로 봇과 거래하기 때문입니다. 이 가이드는 사기의 작동 방식, 애초에 계정이 탈취되는 경로, 이를 잡아내는 확인 사항, 이미 당했을 때 할 일을 다룹니다.

API 키 사기의 작동 방식

Steam Web API 키는 개발자용 자격 증명입니다. 정상적인 개발자는 Steam 데이터를 읽는 도구를 만들 때 사용합니다. 잘못된 손에 들어가면 내 계정에 등록된 키로 거래 제안이 만들어지는 순간 지켜보다가 자동으로 대응할 수 있습니다. 공격은 보통 이렇게 진행됩니다.

1. 가짜 페이지로 Steam에 로그인하거나, 악성 프로그램이나 브라우저 확장 프로그램이 로그인된 세션을 복사합니다. 이제 누군가 Steam 웹사이트에서 나처럼 행동할 수 있습니다.
2. 내 계정에 Web API 키를 등록하거나, 내가 만들었다가 잊은 키를 찾아냅니다.
3. 기다립니다. 가져가는 것이 없으니 인벤토리를 잠깐 봐서는 모든 것이 멀쩡해 보입니다.
4. 내가 러스트 도박 사이트에 입금하는 것처럼 진짜 거래를 시작합니다.
5. 스크립트가 새 제안을 보고 취소한 다음, 진짜 상대와 똑같이 보이도록 꾸민 계정에서 대체 제안을 보냅니다. 같은 이름, 같은 아바타, 같은 아이템 목록입니다.
6. Steam 앱에서 대체 제안을 승인합니다. 스킨은 사기범에게 가고, 사이트의 입금은 시간 초과로 끝납니다.

마지막 단계가 중요한 세부 사항입니다. 키는 사기범이 지켜보고 대응하게 해 줄 뿐이고, 거래를 승인하는 것은 여전히 내 휴대폰이 해야 합니다. 이 사기의 모든 버전은 내가 제대로 확인하지 않은 거래를 승인해야 완성되며, 바로 거기서 막을 수 있습니다.

Valve는 수년에 걸쳐 키 등록에 마찰을 더했고, 사기범은 플레이어를 속여 단계를 직접 승인하게 하는 쪽으로 적응했습니다. API 키를 만들거나, 붙여 넣거나, 승인하라는 웹사이트는 적대적인 곳으로 취급하세요. 러스트 도박 사이트에는 필요하지 않습니다.

애초에 계정이 탈취되는 경로

가짜 Steam 로그인 페이지

고전적인 경로는 Steam 로그인처럼 보이지만 정보를 다른 사람에게 보내는 페이지입니다. 무료 스킨 경품, 무료 케이스를 주는 가짜 도박 사이트, 대회에서 누군가의 팀에 투표해 달라는 링크, 진짜 러스트 사이트의 복제본 뒤에 나타납니다.

더 그럴듯한 변종은 페이지 안에 steamcommunity.com을 표시하는 가짜 주소창까지 갖춘 가짜 로그인 팝업을 그려 넣습니다. 두 가지 간단한 테스트로 대부분 잡아냅니다. 팝업을 브라우저 창 밖으로 끌어 보세요. 진짜 창은 나갈 수 있고, 페이지가 그린 가짜는 나갈 수 없습니다. 그리고 비밀번호 관리자를 지켜보세요. 페이지가 아무리 진짜 같아도 틀린 도메인의 로그인에는 자동 입력을 제안하지 않습니다.

QR 코드 로그인

Steam은 모바일 앱으로 QR 코드를 스캔해서 로그인하는 방법을 제공합니다. 사기범은 제3자 페이지에 코드를 띄우거나 DM으로 보내고, 로그인하거나 무언가를 받으려면 스캔하라고 요구하는 식으로 이를 악용합니다. 스캔하면 내 계정에 대한 그들의 로그인을 승인하게 됩니다. Steam 클라이언트나 steamcommunity.com에서 내가 직접 연 Steam 로그인 화면의 코드만 스캔하세요.

악성 확장 프로그램과 다운로드

스킨 시세 확인, 거래 도우미, 무료 스킨 도구, 게임 치트를 약속하는 브라우저 확장 프로그램과, 친구가 자기 게임을 해 보라며 보낸 파일은 모두 흔한 운반책입니다. 일부는 브라우저의 세션 데이터를 훔쳐서, 비밀번호를 모르거나 Steam Guard 코드를 보지 않고도 로그인된 Steam 세션을 쓸 수 있게 합니다. 직접 찾아본 출처에서만 소프트웨어를 설치하고, 쓰지 않는 확장 프로그램은 제거하고, 메시지로 받은 파일은 이미 탈취되었을 수 있는 친구의 계정에서 온 것이라도 크게 의심하세요.

키를 직접 건네주는 경우

일부 사이트와 이른바 거래 봇은 거래를 확인하거나 속도를 높인다며 API 키를 붙여 넣으라고 합니다. 하지 마세요. 사이트에 악의가 없더라도 계정에 살아 있는 키는 데이터베이스 유출 한 번이면 남의 스크립트가 쓸 수 있습니다.

5분짜리 계정 점검

지금 하고, 가면 안 되는 곳에 로그인한 것 같을 때 다시 하세요. 한 번에 끝내세요. 순서가 중요합니다. 정리하기 전에 접근부터 끊고 싶기 때문입니다.

1. Steam 클라이언트나 내가 직접 입력한 Steam 페이지에서 Steam 비밀번호를 바꾸세요. Steam에서만 쓰는 고유한 비밀번호로 하세요.
2. 계정 설정의 Steam Guard 관리를 열고 다른 모든 기기 인증 해제를 사용하세요. 사기범이 쓰고 있을 수 있는 것을 포함해 로그인된 다른 모든 세션이 종료됩니다.
3. 주소창에 steamcommunity.com/dev/apikey를 입력하세요. 기존 키가 아니라 키를 등록하는 양식이 보여야 합니다. 키가 나열되어 있다면 Revoke를 클릭하세요.
4. 계정의 이메일 주소와 전화번호가 내 것인지, 그리고 이메일 계정에 내가 만들지 않은 전달 규칙이 없는지 확인하세요.
5. 브라우저 확장 프로그램을 훑어보고 모르거나 더 이상 쓰지 않는 것은 제거하세요. PC에서 악성코드 검사를 하세요.
6. 거래 URL이 공개적으로 게시되었다면 거래 제안 설정에서 새로 만들고, 쓰는 사이트에서 업데이트하세요.

하루 뒤에 API 키 페이지를 다시 확인하세요. 폐기한 키가 돌아왔다면 누군가 아직 접근할 수 있다는 뜻이니, 단계를 반복하고 Steam 고객 지원에 연락하세요.

가짜일 수 있는 거래 제안 읽기

사칭 봇은 베끼기 쉬운 것을 베낍니다. 표시 이름과 아바타는 몇 초면 바꿀 수 있습니다. Steam ID, 프로필 링크, Steam 레벨, 계정 나이는 그렇게 쉽게 위조할 수 없으며, 그것이 확인할 대상입니다.

• 제안을 전체로 여세요. 휴대폰 알림만이 아니라 Steam 클라이언트나 steamcommunity.com을 쓰세요.
• 제안 안에서 상대의 프로필로 들어가세요. 레벨, 계정 나이, 프로필 링크를 사이트가 자기 봇이라며 보여 주는 것과 비교하세요. 사칭 계정은 보통 새 계정이거나 최근에 산 계정입니다.
• 사이트가 제안 메시지와 화면에 보안 코드를 표시한다면 코드를 대조하세요.
• 아이템을 한 줄씩 확인하세요. 입금이라면 내가 고른 것만 나갑니다. 출금이라면 나가는 것이 전혀 없습니다.
• 두 번째 제안을 의심하세요. 제안이 사라지고 몇 초 뒤에 새 제안이 나타났다면 처음부터 확인하기 전까지 적대적인 것으로 취급하세요.
• 모바일 승인을 읽으세요. 들어가서 승인하기 전에 상대와 아이템을 확인하세요.

한 가지 증상은 따로 짚을 만합니다. 내가 건드리지 않았는데 거래 제안이 취소되고 있다면 계정이 탈취되었다고 가정하고, 다른 거래를 하기 전에 위의 점검을 하세요. 입금과 출금 제안의 전체 체크리스트는 스킨을 안전하게 입출금하는 법 가이드에 있습니다.

Discord의 가짜 고객 지원과 가짜 관리자

두 번째 큰 사기 계열은 기술을 건너뛰고 나에게 직접 작용합니다. 러스트와 CS2 커뮤니티에서 가장 흔한 것은 누군가 실수로 내 계정을 신고했으니 해결하려면 Steam 관리자와 이야기해야 한다는 메시지로 시작합니다. 그 관리자는 그럴듯한 이름과 Valve 로고를 단 사기범이고, 대화는 로그인 정보, Steam Guard 코드, 화면 공유, 내 아이템을 확인하기 위한 거래 요구로 끝납니다.

Steam 고객 지원은 help.steampowered.com을 통해 운영됩니다. Valve 직원은 Discord에서 플레이어에게 연락해 정지나 신고를 해결하지 않으며, 진짜인 사람은 누구도 비밀번호나 코드를 필요로 하지 않습니다.

도박 사이트의 고객 지원도 같은 방식으로 사칭됩니다. 사이트의 공개 채팅이나 Discord에서 멈춘 출금을 불평하면 몇 분 안에 도와주겠다는 고객 지원 직원의 DM을 받을 수 있습니다. 사기범은 바로 그런 것을 노리고 공개 채널을 지켜봅니다. 진짜 사이트 고객 지원은 사이트 내 라이브 채팅이나 티켓 시스템으로 답하며, 무언가를 고치려고 스킨이나 암호화폐를 보내라고 요구하지 않습니다.

러스트 플레이어가 가장 자주 만나는 사기

인벤토리 가치를 정기적으로 확인한다면 스킨 시세 확인이라는 미끼는 더 자세히 볼 만합니다. 확장 프로그램 없이 Steam 마켓 페이지만으로 아이템 가치를 매기는 법은 러스트 스킨 가격 해설에서 보여 드립니다.

이미 당했다면

여기서는 속도가 무엇보다 중요합니다. 무슨 일인지 파악하는 동안 탈취된 계정이 다시 털릴 수 있기 때문입니다.

1. 위의 계정 점검을 곧바로 하세요. 비밀번호, 다른 모든 기기 인증 해제, 그다음 모든 API 키 폐기입니다.
2. 내 아이템을 받은 계정의 Steam 프로필에서 플레이어 신고를 사용해 신고하세요.
3. help.steampowered.com으로 Steam 고객 지원에 티켓을 열고 날짜와 거래 상세 정보를 포함해 무슨 일이 있었는지 설명하세요.
4. 어느 봇이 언제 사칭되었는지 도박 사이트의 고객 지원에 라이브 채팅으로 알리세요. 사이트가 Steam 거래를 되돌릴 수는 없지만, 자기 봇이 복제되고 있다는 사실은 알고 싶어 합니다.
5. 같은 비밀번호를 공유한 다른 모든 계정의 비밀번호를 이메일부터 바꾸세요.

복구에 대해서는 현실적이어야 합니다. 거래로 잃은 아이템은 일반적으로 복구되지 않는다는 것이 Steam의 정책입니다. 훔친 스킨을 수수료를 받고 되찾아 주겠다고 연락하는 사람은 이 목록의 다음 사기를 벌이는 중입니다.

목록에서 빠지게 해 주는 습관

이 중 기술이 필요한 것은 없습니다. 자동으로 나올 때까지 반복하는 몇 가지 습관으로 귀결됩니다. 직접 만든 북마크로 사이트에 접속하기, Steam Guard 모바일 인증기 켜 두기, API 키는 어디에도 붙여 넣지 않기, 요청하지 않은 QR 코드는 절대 스캔하지 않기, 거래 제안은 승인하기 전에 전체를 읽기입니다. 요청하지 않은 DM은 모두 적대적인 것으로 취급하세요.

계정 보안은 저희가 사이트에 점수를 매기는 방식의 일부이기도 합니다. 저희 평가 방식은 여섯 가지 평가 항목 중 신뢰도와 안전성에 가장 큰 가중치를 주며, 리뷰 섹션의 모든 리뷰에는 진짜 사이트에 있는지 확인할 수 있도록 저희가 테스트한 도메인이 적혀 있습니다.

사기범에게 스킨을 잃는 것은 운이 나쁜 날 잃는 것과 매우 비슷하게 느껴질 수 있고, 되찾고 싶은 충동도 똑같이 강합니다. 도난을 만회하려고 더 입금하고 있다면 잠시 쉬면서 무료 지원 서비스가 정리된 책임 있는 도박 페이지를 읽어 보세요.