Golpes de chave de API da Steam e ofertas de troca falsas: a defesa do jogador de Rust

O golpe da chave de API da Steam é discreto por projeto. Suas skins continuam no inventário, sua senha continua funcionando e nada parece errado até o momento em que você faz uma troca de verdade. Aí a sua oferta some, uma quase idêntica chega de uma conta vestida de parceiro de troca, e você a confirma no celular sem olhar duas vezes. As skins vão para um desconhecido.

Os jogadores de Rust são alvo natural porque muitos de nós negociam com bots toda semana, em depósitos de apostas, vendas em marketplaces e saques. Este guia trata de como o golpe funciona, de como as contas são comprometidas logo de início, das conferências que o pegam e do que fazer se ele já aconteceu com você.

Como funciona o golpe da chave de API

Uma chave da API Web da Steam é uma credencial de desenvolvedor. Desenvolvedores legítimos usam uma para criar ferramentas que leem dados da Steam. Em mãos erradas, uma chave registrada na sua conta permite que alguém acompanhe as suas ofertas de troca conforme são criadas e aja sobre elas automaticamente. O ataque costuma correr assim:

1. Você faz login na Steam por uma página falsa, ou um programa ou extensão de navegador maliciosa copia a sua sessão logada. Alguém agora pode agir como você no site da Steam.
2. Essa pessoa registra uma chave da API Web na sua conta, ou acha uma que você criou e esqueceu.
3. Ela espera. Nada é levado, então uma olhada rápida no inventário diz que está tudo bem.
4. Você inicia uma troca de verdade, por exemplo um depósito num site de apostas de Rust.
5. Um script vê a nova oferta, cancela e envia uma substituta de uma conta montada para parecer o parceiro verdadeiro: mesmo nome, mesmo avatar, os mesmos itens listados.
6. Você confirma a substituta no app da Steam. As skins vão para o golpista, e o depósito no site simplesmente expira.

O detalhe importante é o último passo. A chave deixa o golpista observar e reagir, mas aprovar uma troca ainda exige o seu celular. Toda versão desse golpe ainda precisa que você confirme uma troca que não conferiu direito, que é exatamente onde você pode pará-lo.

A Valve acrescentou atrito ao registro de chaves ao longo dos anos, e os golpistas se adaptaram enganando os jogadores para que aprovem as etapas eles mesmos. Trate qualquer site que peça para você criar, colar ou confirmar uma chave de API como hostil. Um site de apostas de Rust não tem necessidade de uma.

Como as contas são comprometidas logo de início

Páginas de login falsas da Steam

O caminho clássico é uma página que parece um login da Steam e envia os seus dados para outra pessoa. Elas aparecem por trás de sorteios de skins grátis, sites de apostas falsos com caixas grátis, links pedindo que você vote no time de alguém num torneio e versões clonadas de sites de Rust verdadeiros.

Uma variante mais convincente desenha um pop-up de login falso dentro da própria página, com direito a uma barra de endereço falsa mostrando steamcommunity.com. Dois testes rápidos pegam a maioria. Tente arrastar o pop-up para fora da janela do navegador: uma janela de verdade sai, uma falsa desenhada pela página não sai. E observe o gerenciador de senhas: ele não oferece preenchimento num login do domínio errado, por mais real que a página pareça.

Logins por QR code

A Steam permite entrar escaneando um QR code com o app. Os golpistas abusam disso mostrando um código numa página de terceiros, ou enviando um por DM, e pedindo que você escaneie para entrar ou resgatar algo. Escaneá-lo aprova o login deles na sua conta. Escaneie apenas um código numa tela de login da Steam que você mesmo abriu, no cliente da Steam ou em steamcommunity.com.

Extensões e downloads maliciosos

Extensões de navegador que prometem consulta de preço de skins, ajudantes de troca, ferramentas de skins grátis, cheats e arquivos enviados por um amigo pedindo que você teste o jogo dele são todos portadores comuns. Alguns roubam os dados de sessão do seu navegador, o que permite a alguém usar a sua sessão logada da Steam sem saber a senha nem ver um código do Steam Guard. Instale software somente de fontes que você mesmo pesquisou, remova extensões que não usa e desconfie muito de qualquer arquivo enviado numa mensagem, mesmo de um amigo cuja conta pode já estar comprometida.

Entregar a chave você mesmo

Alguns sites e os chamados bots de troca pedem que você cole a sua chave de API para verificar trocas ou agilizar as coisas. Não cole. Mesmo quando o site não tem má intenção, uma chave ativa na sua conta está a um vazamento de banco de dados de distância do script de outra pessoa.

Uma auditoria de conta de cinco minutos

Faça isso agora, e de novo sempre que suspeitar de ter logado onde não devia. Faça de uma vez só, porque a ordem importa: você quer cortar o acesso antes de limpar.

1. Troque a sua senha da Steam pelo cliente da Steam ou por uma página da Steam digitada por você. Faça-a única para a Steam.
2. Abra Gerenciar o Steam Guard nas configurações da conta e use Desautorizar todos os outros dispositivos. Isso encerra todas as outras sessões logadas, inclusive a que um golpista possa estar usando.
3. Digite steamcommunity.com/dev/apikey na barra de endereço. Você deve ver um formulário para registrar uma chave, não uma chave existente. Se houver uma chave listada, clique em Revogar.
4. Confira se o e-mail e o telefone da conta são seus e se a conta de e-mail não tem regras de encaminhamento que você não criou.
5. Olhe as extensões do navegador e remova o que você não reconhece ou não usa mais. Rode uma verificação de malware no PC.
6. Se a sua URL de troca foi publicada abertamente, crie uma nova nas configurações de ofertas de troca e atualize-a nos sites que você usa.

Confira a página da chave de API de novo no dia seguinte. Uma chave que volta depois de você a revogar significa que alguém ainda tem acesso, então repita os passos e fale com o Suporte da Steam.

Lendo uma oferta de troca que pode ser falsa

Os bots impostores copiam o que é fácil de copiar. Um nome de exibição e um avatar podem ser mudados em segundos. Um Steam ID, um link de perfil, um nível na Steam e a idade de uma conta não são falsificados tão facilmente, e é isso que você confere.

• Abra a oferta completa. Use o cliente da Steam ou steamcommunity.com, não só a notificação no celular.
• Clique no perfil do parceiro de dentro da oferta. Compare o nível, a idade da conta e o link do perfil com o que o site mostra para o bot dele. Os impostores costumam ser contas novas ou compradas há pouco.
• Confira o código de segurança, se o site imprimir um na mensagem da oferta e na tela.
• Confira os itens um a um. Num depósito, sai só o que você selecionou. Num saque, nada sai.
• Desconfie de uma segunda oferta. Se uma oferta sumiu e uma nova apareceu segundos depois, trate a nova como hostil até conferi-la do zero.
• Leia a confirmação no celular. Abra-a e confira o parceiro e os itens antes de aprovar.

Um sintoma merece uma linha própria. Se as suas ofertas de troca estão sendo canceladas sem você tocar nelas, presuma que a conta está comprometida e faça a auditoria acima antes de negociar qualquer outra coisa. Nosso guia sobre como depositar e sacar skins com segurança traz uma checklist completa para ofertas de depósito e de saque.

Suporte falso e admins falsos no Discord

A segunda grande família de golpes dispensa a tecnologia e age diretamente sobre você. O mais comum nos círculos de Rust e CS2 começa com uma mensagem dizendo que alguém denunciou a sua conta por engano e que você precisa falar com um admin da Steam para resolver. O admin é um golpista com um nome convincente e um logotipo da Valve, e a conversa termina com um pedido dos seus dados de login, de um código do Steam Guard, de um compartilhamento de tela ou de uma troca para verificar os seus itens.

O Suporte da Steam funciona por help.steampowered.com. A equipe da Valve não contata jogadores no Discord para resolver banimentos ou denúncias, e ninguém de verdade precisa da sua senha nem de códigos.

O suporte de sites de apostas é imitado do mesmo jeito. Reclame no chat público ou no Discord de um site sobre um saque travado e você pode receber uma DM em minutos de um agente de suporte oferecendo ajuda. Os golpistas vigiam canais públicos exatamente para isso. O suporte real de um site responde pelo chat ao vivo ou pelo sistema de tickets no próprio site, e não pede que você envie skins ou cripto para consertar nada.

Os golpes que os jogadores de Rust mais encontram

O ângulo da consulta de preço de skins merece uma olhada mais atenta se você avalia um inventário com regularidade. Nossa explicação sobre como funcionam os preços das skins de Rust mostra como avaliar itens só com a página do Mercado Steam, sem nenhuma extensão.

Se já aconteceu com você

A velocidade importa mais do que qualquer outra coisa aqui, porque uma conta comprometida pode ser esvaziada de novo enquanto você descobre o que houve.

1. Faça a auditoria da conta acima na hora: senha, Desautorizar todos os outros dispositivos e depois revogar qualquer chave de API.
2. Denuncie a conta que recebeu os seus itens usando Denunciar jogador no perfil dela na Steam.
3. Abra um ticket no Suporte da Steam por help.steampowered.com e explique o que houve, com datas e detalhes da troca.
4. Conte ao suporte do site de apostas, pelo chat ao vivo dele, qual bot foi imitado e quando. Os sites normalmente não conseguem reverter uma troca da Steam, mas querem saber que os bots deles estão sendo copiados.
5. Troque a senha de qualquer outra conta que usasse a mesma, começando pelo e-mail.

Seja realista sobre a recuperação. A política da Steam é que itens perdidos em trocas geralmente não são restaurados. Quem entrar em contato oferecendo recuperar skins roubadas por uma taxa está aplicando o próximo golpe da lista.

Hábitos que mantêm você fora da lista

Nada disso exige habilidade técnica. Resume-se a um punhado de hábitos que você repete até ficarem automáticos: chegar aos sites por favoritos que você mesmo criou, manter o Autenticador Móvel do Steam Guard ligado, nunca colar uma chave de API em lugar nenhum, nunca escanear um QR code que você não pediu e ler toda oferta de troca por inteiro antes de confirmar. Trate toda DM não solicitada como hostil.

A segurança da conta também faz parte de como avaliamos os sites. Nosso método de avaliação dá à confiança e segurança o maior peso dos seis critérios, e toda análise da nossa seção de análises lista o domínio que testamos para você conferir se está no verdadeiro.

Perder skins para um golpista pode ser muito parecido com perdê-las numa sequência ruim, e a vontade de ganhá-las de volta é igualmente forte. Se você se pegar depositando mais para compensar um roubo, faça uma pausa e leia nossa página de jogo responsável, que lista serviços de apoio gratuitos.