Мошенничество с API-ключом Steam и фальшивые предложения обмена: защита для игрока в Rust

Мошенничество с API-ключом Steam тихое по замыслу. Скины остаются в инвентаре, пароль по-прежнему работает, и ничего не выглядит неправильно до момента, когда вы совершаете настоящий обмен. Тогда ваше предложение исчезает, приходит почти такое же от аккаунта, замаскированного под вашего партнёра по обмену, и вы подтверждаете его в телефоне, не присмотревшись. Скины уходят постороннему.

Игроки Rust естественная мишень, потому что многие из нас каждую неделю обмениваются с ботами: ради депозитов в гемблинге, продаж на площадках и выводов. Этот гайд рассказывает, как работает схема, как аккаунты вообще оказываются взломанными, какие проверки её ловят и что делать, если это уже случилось.

Как работает мошенничество с API-ключом

Ключ Steam Web API это учётные данные разработчика. Настоящие разработчики используют его для создания инструментов, читающих данные Steam. В чужих руках ключ, зарегистрированный на вашем аккаунте, позволяет следить за вашими предложениями обмена по мере их создания и автоматически на них реагировать. Атака обычно идёт так:

1. Вы входите в Steam через поддельную страницу, либо вредоносная программа или расширение браузера копирует вашу авторизованную сессию. Теперь кто-то может действовать на сайте Steam от вашего имени.
2. Он регистрирует ключ Web API на вашем аккаунте или находит тот, что вы создали и забыли.
3. Он ждёт. Ничего не забирается, поэтому беглый взгляд на инвентарь говорит, что всё в порядке.
4. Вы начинаете настоящий обмен, например депозит на сайте гемблинга в Rust.
5. Скрипт замечает новое предложение, отменяет его и присылает замену от аккаунта, оформленного под настоящего партнёра: то же имя, тот же аватар, те же предметы в списке.
6. Вы подтверждаете замену в приложении Steam. Скины уходят мошеннику, а депозит на сайте просто истекает по времени.

Важна последняя деталь. Ключ позволяет мошеннику наблюдать и реагировать, но одобрить обмен по-прежнему должен ваш телефон. Любая версия этой схемы всё равно требует, чтобы вы подтвердили обмен, который не проверили как следует, и именно здесь её можно остановить.

За годы Valve добавила препятствий при регистрации ключей, а мошенники приспособились и обманом заставляют игроков самих одобрять шаги. Относитесь к любому сайту, который просит создать, вставить или подтвердить API-ключ, как к враждебному. Сайту гемблинга в Rust ключ не нужен.

Как аккаунты вообще оказываются взломанными

Поддельные страницы входа в Steam

Классический путь это страница, похожая на вход в Steam и отправляющая ваши данные кому-то другому. Они появляются за бесплатными раздачами скинов, поддельными сайтами гемблинга с бесплатными кейсами, ссылками с просьбой проголосовать за чью-то команду на турнире и клонами настоящих сайтов Rust.

Более убедительный вариант рисует поддельное окно входа внутри самой страницы, вместе с фальшивой адресной строкой, показывающей steamcommunity.com. Большинство ловят два быстрых теста. Попробуйте перетащить окно за пределы окна браузера: настоящее окно может выйти, поддельное, нарисованное страницей, нет. И следите за менеджером паролей: он не предложит заполнить вход на неверном домене, как бы реально страница ни выглядела.

Вход по QR-коду

Steam позволяет входить по QR-коду из мобильного приложения. Мошенники злоупотребляют этим, показывая вам код на сторонней странице или присылая его в личных сообщениях и прося отсканировать, чтобы войти или что-то получить. Сканирование одобряет их вход в ваш аккаунт. Сканируйте код только на экране входа Steam, который вы открыли сами, в клиенте Steam или на steamcommunity.com.

Вредоносные расширения и загрузки

Расширения браузера, обещающие проверку цен скинов, помощников обмена, бесплатные инструменты для скинов, читы и файлы от друга с просьбой попробовать его игру, все они частые переносчики. Некоторые крадут данные сессии вашего браузера, что позволяет использовать вашу авторизованную сессию Steam, не зная пароля и не видя кода Steam Guard. Устанавливайте программы только из источников, которые вы нашли сами, удаляйте неиспользуемые расширения и очень подозрительно относитесь к любому файлу в сообщении, даже от друга, чей аккаунт уже может быть взломан.

Передача ключа самим игроком

Некоторые сайты и так называемые торговые боты просят вставить ваш API-ключ, чтобы проверить обмены или ускорить процесс. Не делайте этого. Даже если сайт не желает зла, действующий ключ на вашем аккаунте это одна утечка базы данных до чужого скрипта.

Пятиминутный аудит аккаунта

Сделайте это сейчас и снова в любой момент, когда подозреваете, что вошли куда-то, куда не следовало. Делайте всё за один присест, потому что порядок важен: сначала нужно отрезать доступ, а потом наводить порядок.

1. Смените пароль Steam из клиента Steam или со страницы Steam, которую вы набрали сами. Пароль должен быть уникальным только для Steam.
2. Откройте «Управление Steam Guard» в настройках аккаунта и выберите «Отменить авторизацию на других устройствах». Это завершит все остальные авторизованные сессии, в том числе ту, которой пользуется мошенник.
3. Наберите steamcommunity.com/dev/apikey в адресной строке. Вы должны увидеть форму регистрации ключа, а не существующий ключ. Если ключ указан, нажмите «Отозвать».
4. Проверьте, что адрес почты и номер телефона в аккаунте ваши, и что в почтовом ящике нет правил пересылки, которых вы не создавали.
5. Просмотрите расширения браузера и удалите всё незнакомое или неиспользуемое. Запустите проверку компьютера на вредоносные программы.
6. Если ваша ссылка для обмена опубликована открыто, создайте новую в настройках предложений обмена и обновите её на сайтах, которыми пользуетесь.

Проверьте страницу API-ключа ещё раз через день. Если ключ вернулся после отзыва, доступ у кого-то всё ещё есть, поэтому повторите шаги и обратитесь в поддержку Steam.

Как читать предложение обмена, которое может быть фальшивым

Боты-самозванцы копируют то, что копировать легко. Отображаемое имя и аватар меняются за секунды. Steam ID, ссылку на профиль, уровень Steam и возраст аккаунта подделать не так просто, и именно их вы и проверяете.

• Откройте предложение целиком. В клиенте Steam или на steamcommunity.com, а не только как уведомление в телефоне.
• Перейдите в профиль партнёра прямо из предложения. Сравните уровень, возраст аккаунта и ссылку на профиль с тем, что сайт показывает для своего бота. Самозванцы обычно новые или недавно купленные аккаунты.
• Сверьте код безопасности, если сайт печатает его в сообщении предложения и на экране.
• Проверьте предметы строка за строкой. При депозите уходит только выбранное вами. При выводе не уходит ничего.
• Относитесь с подозрением ко второму предложению. Если предложение пропало, а через секунды появилось новое, считайте новое враждебным, пока не проверите его с нуля.
• Прочитайте мобильное подтверждение. Откройте его и проверьте партнёра и предметы, прежде чем одобрять.

Один симптом заслуживает отдельной строки. Если ваши предложения обмена отменяются без вашего участия, считайте аккаунт взломанным и проведите аудит выше, прежде чем обмениваться чем-либо ещё. Полный чек-лист для предложений при депозите и выводе есть в нашем гайде о том, как безопасно вносить и выводить скины.

Фальшивая поддержка и фальшивые админы в Discord

Второе большое семейство схем обходится без технологий и работает прямо на вас. Самая распространённая в кругах Rust и CS2 начинается с сообщения о том, что на ваш аккаунт случайно пожаловались и чтобы это уладить, нужно поговорить с админом Steam. Админ это мошенник с убедительным именем и логотипом Valve, а разговор заканчивается просьбой дать данные для входа, код Steam Guard, показать экран или совершить обмен для проверки ваших предметов.

Поддержка Steam работает через help.steampowered.com. Сотрудники Valve не связываются с игроками в Discord, чтобы разбираться с банами или жалобами, и никому настоящему не нужны ваш пароль или коды.

Поддержку сайтов гемблинга выдают за себя так же. Пожалуйтесь в публичном чате или Discord сайта на застрявший вывод, и через несколько минут вам может написать «агент поддержки», предлагающий помощь. Мошенники следят за публичными каналами именно ради этого. Настоящая поддержка сайта отвечает через живой чат на сайте или систему обращений и не просит отправлять скины или крипту для чего-либо.

Схемы, с которыми игроки Rust сталкиваются чаще всего

Тема проверки цен на скины заслуживает внимательного взгляда, если вы регулярно оцениваете инвентарь. Как оценивать предметы одной лишь страницей Торговой площадки Steam, без расширений, показывает наш разбор того, как формируются цены на скины Rust.

Если это уже случилось с вами

Скорость здесь важнее всего, потому что взломанный аккаунт можно опустошить повторно, пока вы разбираетесь, что произошло.

1. Сразу проведите аудит аккаунта выше: пароль, «Отменить авторизацию на других устройствах», затем отзыв любого API-ключа.
2. Пожалуйтесь на аккаунт, получивший ваши предметы, через «Пожаловаться на игрока» в его профиле Steam.
3. Откройте обращение в поддержку Steam на help.steampowered.com и опишите случившееся с датами и сведениями об обмене.
4. Расскажите поддержке сайта гемблинга через его собственный живой чат, какой бот был подделан и когда. Сайты обычно не могут отменить обмен в Steam, но хотят знать, что их ботов копируют.
5. Смените пароль на любых других аккаунтах, где был тот же, начиная с почты.

Будьте реалистами насчёт возврата. По политике Steam предметы, потерянные в обменах, как правило, не возвращаются. Любой, кто пишет вам и предлагает вернуть украденные скины за плату, ведёт следующую схему из этого списка.

Привычки, которые уводят вас из списка целей

Для всего этого не нужны технические навыки. Всё сводится к нескольким привычкам, которые повторяешь, пока они не станут автоматическими: заходите на сайты через закладки, которые сделали сами, держите мобильный аутентификатор Steam Guard включённым, никогда не вставляйте API-ключ куда-либо, никогда не сканируйте QR-код, который не запрашивали, и читайте каждое предложение обмена целиком, прежде чем подтверждать. Любое непрошеное личное сообщение считайте враждебным.

Безопасность аккаунта входит и в то, как мы оцениваем сайты. В нашей методике оценки доверие и безопасность получают наибольший вес из шести критериев, а в каждом обзоре нашего раздела обзоров указан домен, который мы тестировали, чтобы вы могли убедиться, что находитесь на настоящем.

Потеря скинов из-за мошенника может ощущаться очень похоже на потерю в неудачной серии, и желание вернуть их так же сильно. Если вы замечаете, что вносите больше, чтобы восполнить кражу, сделайте перерыв и прочитайте нашу страницу об ответственной игре, где перечислены бесплатные службы поддержки.