Oszustwa z kluczem API Steam i fałszywe oferty wymiany: obrona gracza Rusta

Oszustwo z kluczem Steam API jest ciche z założenia. Skiny zostają w ekwipunku, hasło nadal działa i nic nie wygląda podejrzanie, aż do chwili prawdziwej wymiany. Wtedy twoja oferta znika, a w jej miejsce przychodzi niemal identyczna od konta podającego się za twojego partnera, i potwierdzasz ją w telefonie bez drugiego spojrzenia. Skiny trafiają do obcego.

Gracze Rusta są naturalnym celem, bo wielu z nas co tydzień handluje z botami: wpłaty na stronach z gamblingiem, sprzedaż na rynkach ze skinami i wypłaty. Ten poradnik opisuje, jak działa to oszustwo, jak w ogóle dochodzi do przejęcia kont, jakie kontrole je wyłapują i co robić, jeśli już ci się przytrafiło.

Jak działa oszustwo z kluczem API

Klucz Steam Web API to poświadczenie dla deweloperów. Uczciwi programiści używają go do budowania narzędzi, które odczytują dane ze Steama. W niepowołanych rękach klucz zarejestrowany na twoim koncie pozwala obserwować twoje oferty wymiany w chwili ich tworzenia i automatycznie na nie reagować. Atak zwykle przebiega tak:

1. Logujesz się do Steama przez fałszywą stronę albo złośliwy program lub rozszerzenie przeglądarki kopiuje twoją zalogowaną sesję. Ktoś może teraz działać na stronie Steama jako ty.
2. Rejestruje klucz Web API na twoim koncie albo znajduje stary klucz, który kiedyś utworzyłeś i o którym zapomniałeś.
3. Czeka. Nic nie zostaje zabrane, więc szybki rzut oka na ekwipunek mówi ci, że wszystko jest w porządku.
4. Zaczynasz prawdziwą wymianę, na przykład wpłatę na stronie z gamblingiem w Rust.
5. Skrypt widzi nową ofertę, anuluje ją i wysyła ci zamiennik z konta ustawionego tak, by wyglądało jak prawdziwy partner: ta sama nazwa, ten sam awatar, te same przedmioty na liście.
6. Potwierdzasz zamiennik w aplikacji Steam. Skiny trafiają do oszusta, a wpłata na stronie po prostu wygasa.

Najważniejszy jest ostatni krok. Klucz pozwala oszustowi obserwować i reagować, ale zatwierdzenie wymiany nadal wymaga twojego telefonu. Każda wersja tego oszustwa wciąż potrzebuje, żebyś potwierdził wymianę, której nie sprawdziłeś porządnie, i właśnie tam możesz je zatrzymać.

Valve przez lata dokładało utrudnień przy rejestracji kluczy, a oszuści się dostosowali, nakłaniając graczy do samodzielnego zatwierdzania kolejnych kroków. Traktuj każdą stronę, która prosi o utworzenie, wklejenie lub potwierdzenie klucza API, jako wrogą. Strona z gamblingiem w Rust nie potrzebuje go do niczego.

Jak w ogóle dochodzi do przejęcia konta

Fałszywe strony logowania do Steama

Klasyczna droga to strona wyglądająca jak logowanie do Steama, która wysyła twoje dane komuś innemu. Pojawiają się przy darmowych rozdaniach skinów, na fałszywych stronach z gamblingiem z darmowymi skrzynkami, w linkach z prośbą o zagłosowanie na czyjąś drużynę w turnieju i w sklonowanych wersjach prawdziwych stron Rust.

Bardziej przekonujący wariant rysuje fałszywe okno logowania wewnątrz samej strony, razem z fałszywym paskiem adresu pokazującym steamcommunity.com. Dwa szybkie testy wyłapują większość takich podróbek. Spróbuj przeciągnąć okno poza okno przeglądarki: prawdziwe może wyjść, fałszywe narysowane przez stronę nie. I obserwuj menedżer haseł: nie zaproponuje wypełnienia logowania na złej domenie, choćby strona wyglądała na prawdziwą.

Logowanie kodem QR

Steam pozwala logować się przez zeskanowanie kodu QR w aplikacji mobilnej. Oszuści to wykorzystują: pokazują ci kod na stronie osoby trzeciej albo wysyłają go w wiadomości prywatnej i proszą o zeskanowanie, żeby się zalogować lub coś odebrać. Zeskanowanie zatwierdza ich logowanie na twoje konto. Skanuj kod tylko na ekranie logowania Steam, który sam otworzyłeś, w kliencie Steam albo na steamcommunity.com.

Złośliwe rozszerzenia i pliki do pobrania

Rozszerzenia przeglądarki obiecujące sprawdzanie cen skinów, pomoc przy wymianach, darmowe narzędzia do skinów, cheaty do gier, a także pliki od znajomego, który prosi o przetestowanie jego gry, to częste nośniki. Część z nich kradnie dane sesji z przeglądarki, co pozwala komuś używać twojej zalogowanej sesji Steam bez znajomości hasła i bez kodu Steam Guard. Instaluj oprogramowanie tylko ze źródeł, które sam sprawdziłeś, usuwaj nieużywane rozszerzenia i bądź bardzo podejrzliwy wobec każdego pliku przysłanego w wiadomości, nawet od znajomego, którego konto mogło już zostać przejęte.

Samodzielne oddanie klucza

Niektóre strony i tak zwane boty do wymian proszą o wklejenie klucza API, żeby zweryfikować wymiany albo je przyspieszyć. Nie rób tego. Nawet gdy strona nie ma złych zamiarów, aktywny klucz na twoim koncie jest o jeden wyciek bazy danych od cudzego skryptu.

Pięciominutowy audyt konta

Zrób to teraz i powtórz za każdym razem, gdy podejrzewasz, że zalogowałeś się gdzieś, gdzie nie powinieneś. Zrób to za jednym podejściem, bo kolejność ma znaczenie: najpierw odcinasz dostęp, dopiero potem sprzątasz.

1. Zmień hasło do Steama w kliencie Steam albo na stronie Steama, którą wpisałeś samodzielnie. Niech będzie unikalne i używane tylko w Steamie.
2. Otwórz Zarządzaj Steam Guard w ustawieniach konta i użyj opcji Wyłącz autoryzację wszystkich innych urządzeń. Kończy to każdą inną zalogowaną sesję, także tę, której może używać oszust.
3. Wpisz steamcommunity.com/dev/apikey w pasku adresu. Powinieneś zobaczyć formularz rejestracji klucza, a nie istniejący klucz. Jeśli klucz jest na liście, kliknij Unieważnij.
4. Sprawdź, czy adres e-mail i numer telefonu przypisane do konta są twoje oraz czy skrzynka e-mail nie ma reguł przekierowania, których nie tworzyłeś.
5. Przejrzyj rozszerzenia przeglądarki i usuń wszystko, czego nie rozpoznajesz lub już nie używasz. Przeskanuj komputer pod kątem złośliwego oprogramowania.
6. Jeśli twój link do wymiany został opublikowany publicznie, utwórz nowy w ustawieniach ofert wymiany i zaktualizuj go na stronach, z których korzystasz.

Sprawdź stronę klucza API jeszcze raz po dobie. Klucz, który wraca po unieważnieniu, oznacza, że ktoś nadal ma dostęp, więc powtórz kroki i skontaktuj się ze Steam Support.

Jak czytać ofertę wymiany, która może być fałszywa

Boty-podszywacze kopiują to, co łatwo skopiować. Nazwę wyświetlaną i awatar da się zmienić w kilka sekund. Steam ID, linku do profilu, poziomu Steam i wieku konta nie da się podrobić tak łatwo, i to właśnie sprawdzasz.

• Otwórz ofertę w całości. Użyj klienta Steam albo steamcommunity.com, a nie samego powiadomienia w telefonie.
• Kliknij w profil partnera z wnętrza oferty. Porównaj poziom, wiek konta i link do profilu z tym, co strona pokazuje dla swojego bota. Podszywacze to zwykle nowe lub niedawno kupione konta.
• Dopasuj kod bezpieczeństwa, jeśli strona podaje go w wiadomości oferty i na ekranie.
• Sprawdzaj przedmioty linijka po linijce. Przy wpłacie wychodzi tylko to, co wybrałeś. Przy wypłacie nie wychodzi nic.
• Bądź podejrzliwy wobec drugiej oferty. Jeśli oferta zniknęła, a po kilku sekundach pojawiła się nowa, traktuj nową jako wrogą, dopóki nie sprawdzisz jej od zera.
• Przeczytaj potwierdzenie w telefonie. Wejdź w nie i sprawdź partnera oraz przedmioty, zanim zatwierdzisz.

Jeden objaw zasługuje na osobny akapit. Jeśli twoje oferty wymiany są anulowane bez twojego udziału, załóż, że konto zostało przejęte, i przeprowadź powyższy audyt, zanim wymienisz cokolwiek innego. Nasz poradnik o bezpiecznym wpłacaniu i wypłacaniu skinów zawiera pełną listę kontrolną dla ofert wpłat i wypłat.

Fałszywe wsparcie i fałszywi admini na Discordzie

Druga duża rodzina oszustw omija technikę i działa bezpośrednio na ciebie. Najczęstsza w kręgach Rusta i CS2 zaczyna się od wiadomości, że ktoś przez pomyłkę zgłosił twoje konto i musisz porozmawiać z adminem Steama, żeby to wyjaśnić. Admin jest oszustem z przekonującą nazwą i logo Valve, a rozmowa kończy się prośbą o dane logowania, kod Steam Guard, udostępnienie ekranu albo wymianę, rzekomo w celu zweryfikowania twoich przedmiotów.

Steam Support działa przez help.steampowered.com. Pracownicy Valve nie kontaktują się z graczami na Discordzie, żeby rozstrzygać bany czy zgłoszenia, a nikt prawdziwy nie potrzebuje twojego hasła ani kodów.

W ten sam sposób podszywa się pod wsparcie stron z gamblingiem. Narzekasz na publicznym czacie albo Discordzie strony na zawieszoną wypłatę, a po kilku minutach możesz dostać DM od „agenta wsparcia”, który chce pomóc. Oszuści obserwują publiczne kanały właśnie po to. Prawdziwe wsparcie strony odpowiada przez czat na żywo na stronie albo system zgłoszeń i nie prosi o wysłanie skinów ani krypto, żeby cokolwiek naprawić.

Oszustwa, na które gracze Rusta trafiają najczęściej

Wątek sprawdzania cen skinów zasługuje na bliższe spojrzenie, jeśli regularnie wyceniasz ekwipunek. Nasze wyjaśnienie jak działają ceny skinów do Rusta pokazuje, jak wyceniać przedmioty samą stroną Rynku Steam, bez żadnego rozszerzenia.

Jeśli już ci się to przytrafiło

Szybkość liczy się tu bardziej niż cokolwiek innego, bo przejęte konto można opróżnić ponownie, zanim ustalisz, co się stało.

1. Od razu przeprowadź powyższy audyt konta: hasło, Wyłącz autoryzację wszystkich innych urządzeń, a potem unieważnij każdy klucz API.
2. Zgłoś konto, które otrzymało twoje przedmioty, przyciskiem Zgłoś gracza na jego profilu Steam.
3. Otwórz zgłoszenie w Steam Support przez help.steampowered.com i opisz, co się stało, z datami i szczegółami wymiany.
4. Powiedz wsparciu strony z gamblingiem, przez jej własny czat na żywo, który bot został podrobiony i kiedy. Strony zwykle nie mogą cofnąć wymiany na Steamie, ale chcą wiedzieć, że ich boty są kopiowane.
5. Zmień hasło na każdym innym koncie, które miało to samo, zaczynając od e-maila.

Bądź realistą co do odzyskania. Polityka Steam jest taka, że przedmioty utracone w wymianach zasadniczo nie są przywracane. Każdy, kto kontaktuje się z tobą i oferuje odzyskanie skradzionych skinów za opłatą, prowadzi następne oszustwo z tej listy.

Nawyki, które trzymają cię poza listą

Nic z tego nie wymaga umiejętności technicznych. Sprowadza się do garstki nawyków, które powtarzasz, aż staną się automatyczne: wchodź na strony przez zakładki, które sam zrobiłeś, trzymaj włączony Steam Guard Mobile Authenticator, nigdzie nie wklejaj klucza API, nigdy nie skanuj kodu QR, o który nie prosiłeś, i czytaj każdą ofertę wymiany w całości, zanim ją potwierdzisz. Każdą niezamówioną wiadomość prywatną traktuj jako wrogą.

Bezpieczeństwo konta wchodzi też w sposób, w jaki oceniamy strony. Nasza metoda oceny daje zaufaniu i bezpieczeństwu największą wagę z sześciu kryteriów, a każda recenzja w naszym dziale recenzji podaje domenę, którą testowaliśmy, żebyś mógł sprawdzić, czy jesteś na prawdziwej.

Utrata skinów na rzecz oszusta bywa bardzo podobna do przegranej na złej passie, a chęć odegrania się jest równie silna. Jeśli łapiesz się na tym, że wpłacasz więcej, żeby wyrównać kradzież, zrób przerwę i przeczytaj naszą stronę o odpowiedzialnej grze, która wymienia bezpłatne usługi wsparcia.