Steam API-sleutelscams en valse tradevoorstellen: de verdediging van een Rust-speler

De Steam API-sleutelscam is met opzet stil. Je skins blijven in je inventory, je wachtwoord werkt nog en niets lijkt mis totdat je een echte trade doet. Dan verdwijnt je voorstel, komt er een bijna identiek voorstel binnen van een account dat zich voordoet als je tradepartner, en bevestig je het op je telefoon zonder er nog eens naar te kijken. De skins gaan naar een vreemde.

Rust-spelers zijn een natuurlijk doelwit omdat zoveel van ons elke week met bots traden, voor gambling-stortingen, marktplaatsverkopen en opnames. In deze gids lees je hoe de scam werkt, hoe accounts in de eerste plaats worden gecompromitteerd, de checks die hem vangen en wat je doet als het je al is overkomen.

Hoe de API-sleutelscam werkt

Een Steam Web API-sleutel is een ontwikkelaarsreferentie. Legitieme ontwikkelaars gebruiken er een om tools te bouwen die Steam-data lezen. In verkeerde handen laat een sleutel die op jouw account is geregistreerd iemand je tradevoorstellen volgen zodra ze worden gemaakt en er automatisch op reageren. De aanval verloopt meestal zo:

1. Je logt in op Steam via een valse pagina, of een kwaadaardig programma of browserextensie kopieert je ingelogde sessie. Iemand kan nu op de website van Steam als jou optreden.
2. Hij registreert een Web API-sleutel op je account, of vindt er een die je zelf had gemaakt en vergeten was.
3. Hij wacht. Er wordt niets weggenomen, dus een snelle blik op je inventory zegt je dat alles in orde is.
4. Jij begint een echte trade, bijvoorbeeld een storting op een Rust gambling site.
5. Een script ziet het nieuwe voorstel, annuleert het en stuurt je een vervanger vanaf een account dat is ingericht om op de echte partner te lijken: dezelfde naam, dezelfde avatar, dezelfde items.
6. Je bevestigt de vervanger in de Steam-app. De skins gaan naar de scammer, en de storting bij de site verloopt gewoon.

Het belangrijke detail is de laatste stap. Met de sleutel kan de scammer meekijken en reageren, maar een trade goedkeuren vraagt nog steeds je telefoon. Elke versie van deze scam heeft nog steeds nodig dat jij een trade bevestigt die je niet goed hebt gecheckt, en precies daar kun je hem stoppen.

Valve heeft het registreren van sleutels de afgelopen jaren lastiger gemaakt, en scammers hebben zich aangepast door spelers de stappen zelf te laten goedkeuren. Zie elke website die je vraagt een API-sleutel aan te maken, te plakken of te bevestigen als vijandig. Een Rust gambling site heeft er geen nodig.

Hoe accounts in de eerste plaats worden gecompromitteerd

Valse Steam-inlogpagina's

De klassieke route is een pagina die op een Steam-inlog lijkt en je gegevens naar iemand anders stuurt. Ze duiken op achter gratis skin-giveaways, valse gamblingsites met gratis cases, links die je vragen op iemands team te stemmen in een toernooi en gekloonde versies van echte Rust-sites.

Een overtuigender variant tekent een nep-inlogpopup binnen de pagina zelf, compleet met een valse adresbalk die steamcommunity.com toont. Twee snelle tests vangen de meeste. Probeer de popup buiten je browservenster te slepen: een echt venster kan eruit, een nep dat door de pagina is getekend niet. En let op je wachtwoordmanager: die biedt niet aan een login op het verkeerde domein in te vullen, hoe echt de pagina er ook uitziet.

Inloggen met QR-code

Met Steam kun je inloggen door een QR-code te scannen met de mobiele app. Scammers misbruiken dit door je een code te tonen op een pagina van een derde, of er een in een DM te sturen, en je te vragen hem te scannen om in te loggen of iets te claimen. Scannen keurt hun login op jouw account goed. Scan alleen een code op een Steam-inlogscherm dat je zelf hebt geopend, in de Steam-client of op steamcommunity.com.

Kwaadaardige extensies en downloads

Browserextensies die skinprijschecks beloven, tradehulpjes, gratis skintools, gamecheats en bestanden die een vriend je stuurt met het verzoek hun game te proberen, zijn allemaal gangbare dragers. Sommige stelen de sessiegegevens van je browser, waarmee iemand je ingelogde Steam-sessie kan gebruiken zonder je wachtwoord te kennen of een Steam Guard-code te zien. Installeer software alleen uit bronnen die je zelf hebt opgezocht, verwijder extensies die je niet gebruikt en wees erg wantrouwig tegenover elk bestand dat in een bericht wordt gestuurd, ook van een vriend wiens account misschien al is gecompromitteerd.

De sleutel zelf weggeven

Sommige sites en zogenoemde tradebots vragen je je API-sleutel te plakken om trades te verifiëren of dingen te versnellen. Doe dat niet. Ook als de site geen kwaad wil, staat een actieve sleutel op je account één datalek verwijderd van het script van iemand anders.

Een accountcheck van vijf minuten

Doe dit nu, en opnieuw elke keer dat je vermoedt dat je ergens bent ingelogd waar het niet had gemogen. Doe het in één keer, want de volgorde doet ertoe: je wilt de toegang afsnijden voordat je opruimt.

1. Wijzig je Steam-wachtwoord vanuit de Steam-client of een Steam-pagina die je zelf hebt getypt. Maak het uniek voor Steam.
2. Open Steam Guard beheren in je accountinstellingen en gebruik Alle andere apparaten deautoriseren. Dat beëindigt elke andere ingelogde sessie, inclusief eentje die een scammer misschien gebruikt.
3. Typ steamcommunity.com/dev/apikey in de adresbalk. Je hoort een formulier te zien om een sleutel te registreren, geen bestaande sleutel. Staat er een sleutel, klik dan op Intrekken.
4. Check dat het e-mailadres en telefoonnummer op het account van jou zijn, en dat het e-mailaccount geen doorstuurregels heeft die je niet zelf hebt gemaakt.
5. Loop je browserextensies na en verwijder alles wat je niet herkent of niet meer gebruikt. Draai een malwarescan op de pc.
6. Is je trade-URL openbaar geplaatst, maak dan een nieuwe aan in je instellingen voor tradevoorstellen en werk hem bij op de sites die je gebruikt.

Check de pagina van de API-sleutel een dag later nog eens. Een sleutel die terugkomt nadat je hem hebt ingetrokken, betekent dat iemand nog toegang heeft, dus herhaal de stappen en neem contact op met Steam Support.

Een tradevoorstel lezen dat nep kan zijn

Nepbots kopiëren wat makkelijk te kopiëren is. Een weergavenaam en een avatar zijn in seconden te wijzigen. Een Steam-ID, een profiellink, een Steam-level en de leeftijd van een account zijn niet zo makkelijk te vervalsen, en daar kijk jij naar.

• Open het voorstel volledig. Gebruik de Steam-client of steamcommunity.com, niet alleen de telefoonmelding.
• Klik vanuit het voorstel door naar het profiel van de partner. Vergelijk het level, de accountleeftijd en de profiellink met wat de site voor zijn bot toont. Imitators zijn meestal nieuwe of recent gekochte accounts.
• Laat de beveiligingscode overeenkomen als de site er een in het voorstelbericht en op het scherm toont.
• Check de items regel voor regel. Bij een storting verlaat alleen wat je selecteerde je inventory. Bij een opname verlaat er helemaal niets.
• Wees achterdochtig over een tweede voorstel. Als een voorstel verdween en seconden later een nieuw verscheen, behandel het nieuwe dan als vijandig totdat je het van nul hebt gecheckt.
• Lees de mobiele bevestiging. Tik erin en check de partner en de items voordat je goedkeurt.

Eén symptoom verdient een eigen regel. Worden je tradevoorstellen geannuleerd zonder dat je ze aanraakt, ga er dan van uit dat je account is gecompromitteerd en voer de accountcheck hierboven uit voordat je iets anders tradet. In onze gids over veilig skins storten en opnemen staat een volledige checklist voor stortings- en opnamevoorstellen.

Nepsupport en nepadmins op Discord

De tweede grote familie scams slaat de techniek over en werkt direct op jou. De gangbaarste in Rust- en CS2-kringen begint met een bericht dat iemand je account per ongeluk heeft gerapporteerd en dat je met een Steam-admin moet praten om het op te lossen. De admin is een scammer met een overtuigende naam en een Valve-logo, en het gesprek eindigt met een verzoek om je inloggegevens, een Steam Guard-code, een schermdeling of een trade om je items te verifiëren.

Steam Support werkt via help.steampowered.com. Medewerkers van Valve benaderen spelers niet op Discord om bans of meldingen op te lossen, en niemand die echt is, heeft je wachtwoord of codes nodig.

Gamblingsite-support wordt op dezelfde manier nagebootst. Klaag in de openbare chat of Discord van een site over een vastgelopen opname, en binnen minuten kun je een DM krijgen van een supportmedewerker die aanbiedt te helpen. Scammers houden openbare kanalen daar precies voor in de gaten. Echte sitesupport antwoordt via de livechat op de site of het ticketsysteem, en vraagt je niet skins of crypto te sturen om iets op te lossen.

Scams waar Rust-spelers het vaakst tegenaan lopen

De invalshoek van de skinprijscheck verdient een nadere blik als je regelmatig een inventory waardeert. In onze uitleg over hoe Rust-skinprijzen werken zie je hoe je items waardeert met alleen de pagina van de Steam Market, zonder extensie.

Als het je al is overkomen

Snelheid telt hier meer dan wat ook, want een gecompromitteerd account kan opnieuw worden leeggehaald terwijl jij uitzoekt wat er is gebeurd.

1. Voer meteen de accountcheck hierboven uit: wachtwoord, Alle andere apparaten deautoriseren en daarna elke API-sleutel intrekken.
2. Meld het account dat je items ontving met Speler rapporteren op zijn Steam-profiel.
3. Open een ticket bij Steam Support via help.steampowered.com en leg uit wat er gebeurde, met data en tradegegevens.
4. Vertel de support van de gamblingsite, via zijn eigen livechat, welke bot is nagebootst en wanneer. Sites kunnen een Steam-trade normaal niet terugdraaien, maar ze willen weten dat hun bots worden gekopieerd.
5. Wijzig het wachtwoord van elk ander account dat hetzelfde wachtwoord deelde, te beginnen bij je e-mail.

Wees realistisch over herstel. Steams beleid is dat items die via trades verloren gaan over het algemeen niet worden hersteld. Wie contact met je opneemt en aanbiedt gestolen skins tegen betaling terug te halen, draait de volgende scam uit de lijst.

Gewoontes die je van de lijst houden

Niets hiervan vraagt technische vaardigheid. Het komt neer op een handvol gewoontes die je herhaalt totdat ze vanzelf gaan: bereik sites via bladwijzers die je zelf hebt gemaakt, laat de Steam Guard Mobile Authenticator aan, plak nooit ergens een API-sleutel, scan nooit een QR-code waar je niet om vroeg en lees elk tradevoorstel volledig voordat je bevestigt. Behandel elke ongevraagde DM als vijandig.

Accountbeveiliging maakt ook deel uit van hoe wij sites scoren. In onze beoordelingsmethode krijgen vertrouwen en veiligheid het grootste gewicht van de zes criteria, en elke review in onze reviewsectie noemt het domein dat we testten zodat je kunt checken dat je op het echte zit.

Skins aan een scammer kwijtraken kan net zo voelen als ze verliezen in een slechte reeks, en de drang om ze terug te winnen is even sterk. Merk je dat je meer stort om een diefstal goed te maken, neem dan een pauze en lees onze pagina over verantwoord gokken, waar gratis hulpdiensten staan.