Podvody s klíčem Steam API a falešné nabídky výměny: obrana hráče Rustu

Podvod s klíčem Steam API je záměrně tichý. Tvoje skiny zůstávají v inventáři, heslo pořád funguje a nic nevypadá špatně až do chvíle, kdy uděláš skutečnou výměnu. Pak tvoje nabídka zmizí, dorazí skoro stejná od účtu převlečeného za tvého obchodního partnera a ty ji v telefonu potvrdíš bez druhého pohledu. Skiny jdou cizímu člověku.

Hráči Rustu jsou přirozený cíl, protože tolik z nás každý týden obchoduje s boty, kvůli vkladům na gamblingových webech, prodejům na tržištích a výběrům. Tento návod pokrývá, jak podvod funguje, jak se účty vůbec kompromitují, kontroly, které ho zachytí, a co dělat, pokud se ti už stal.

Jak podvod s API klíčem funguje

Klíč Steam Web API je vývojářský přístupový údaj. Legitimní vývojáři ho používají k tvorbě nástrojů, které čtou data ze Steamu. Ve špatných rukou klíč registrovaný na tvém účtu dovolí někomu sledovat tvé nabídky výměny, jak vznikají, a automaticky na ně reagovat. Útok obvykle probíhá takto:

1. Přihlásíš se do Steamu přes falešnou stránku, nebo škodlivý program či rozšíření prohlížeče zkopíruje tvou přihlášenou relaci. Někdo teď může na webu Steamu jednat jako ty.
2. Zaregistruje na tvém účtu klíč Web API, nebo najde takový, který jsi vytvořil a zapomněl.
3. Čekají. Nic se nebere, takže rychlý pohled do inventáře ti řekne, že je všechno v pořádku.
4. Zahájíš skutečnou výměnu, například vklad na Rust gamblingovém webu.
5. Skript uvidí novou nabídku, zruší ji a pošle ti náhradní od účtu připraveného tak, aby vypadal jako skutečný partner: stejné jméno, stejný avatar, stejné uvedené položky.
6. Potvrdíš náhradní nabídku v aplikaci Steam. Skiny jdou podvodníkovi a vklad na webu prostě vyprší.

Důležitý je poslední krok. Klíč dovolí podvodníkovi sledovat a reagovat, ale schválení výměny pořád vyžaduje tvůj telefon. Každá verze tohoto podvodu stále potřebuje, abys potvrdil výměnu, kterou jsi řádně nezkontroloval, a právě tam ji můžeš zastavit.

Valve v průběhu let přidal k registraci klíčů překážky a podvodníci se přizpůsobili tím, že hráče nalákají, aby kroky schválili sami. Každý web, který tě žádá o vytvoření, vložení nebo potvrzení API klíče, ber jako nepřátelský. Rust gamblingový web ho nepotřebuje.

Jak se účty vůbec kompromitují

Falešné přihlašovací stránky Steamu

Klasická cesta je stránka, která vypadá jako přihlášení do Steamu a posílá tvé údaje někomu jinému. Objevují se za soutěžemi o skiny zdarma, falešnými gamblingovými weby s bednami zdarma, odkazy žádajícími o hlas pro něčí tým na turnaji a klonovanými verzemi skutečných Rust webů.

Přesvědčivější varianta kreslí falešné přihlašovací okno přímo uvnitř stránky, včetně falešného adresního řádku ukazujícího steamcommunity.com. Většinu zachytí dva rychlé testy. Zkus okno přetáhnout mimo okno prohlížeče: skutečné okno může odejít, falešné nakreslené stránkou ne. A sleduj svého správce hesel: nenabídne ti vyplnit přihlášení na špatné doméně, ať stránka vypadá jakkoli skutečně.

Přihlášení přes QR kód

Steam dovoluje přihlášení naskenováním QR kódu v mobilní aplikaci. Podvodníci to zneužívají tak, že ti kód ukážou na stránce třetí strany nebo pošlou v DM a požádají tě, abys ho naskenoval pro přihlášení nebo vyzvednutí něčeho. Naskenováním schválíš jejich přihlášení na svém účtu. Skenuj jen kód na přihlašovací obrazovce Steamu, kterou jsi otevřel sám, v klientu Steam nebo na steamcommunity.com.

Škodlivá rozšíření a stahování

Rozšíření prohlížeče, která slibují kontrolu cen skinů, pomocníky pro výměny, nástroje na skiny zdarma, cheaty do her a soubory poslané kamarádem, který tě žádá, ať vyzkoušíš jeho hru, jsou běžní přenašeči. Některé kradou data relace prohlížeče, což někomu dovolí používat tvou přihlášenou relaci na Steamu, aniž by znal heslo nebo viděl kód Steam Guard. Instaluj software jen ze zdrojů, které sis vyhledal sám, odstraň rozšíření, která nepoužíváš, a buď velmi podezřívavý ke každému souboru poslanému ve zprávě, i od kamaráda, jehož účet už může být kompromitovaný.

Předání klíče vlastníma rukama

Některé weby a takzvaní obchodní boti tě žádají, abys vložil svůj API klíč kvůli ověření výměn nebo urychlení. Nedělej to. I když web nemyslí nic zlého, živý klíč na tvém účtu je jeden únik databáze od cizího skriptu.

Pětiminutový audit účtu

Udělej to hned a znovu kdykoli máš podezření, že ses přihlásil někam, kam jsi neměl. Udělej to na jedno posezení, protože záleží na pořadí: chceš přerušit přístup dřív, než začneš uklízet.

1. Změň heslo ke Steamu z klienta Steam nebo ze stránky Steamu, kterou jsi napsal sám. Udělej ho jedinečné jen pro Steam.
2. Otevři Spravovat Steam Guard v nastavení účtu a použij Deauthorize all other devices (Odhlásit všechna ostatní zařízení). Tím skončí všechny ostatní přihlášené relace, včetně té, kterou může podvodník používat.
3. Napiš do adresního řádku steamcommunity.com/dev/apikey. Měl bys vidět formulář pro registraci klíče, ne existující klíč. Pokud je klíč uvedený, klikni na Revoke.
4. Zkontroluj, že e-mailová adresa a telefonní číslo na účtu jsou tvoje a že e-mailový účet nemá pravidla pro přeposílání, která jsi nevytvořil.
5. Projdi rozšíření prohlížeče a odstraň všechno, co nepoznáváš nebo už nepoužíváš. Spusť na počítači kontrolu malwaru.
6. Pokud bylo tvé trade URL zveřejněno, vytvoř si nové v nastavení nabídek výměny a aktualizuj ho na webech, které používáš.

Stránku s API klíčem zkontroluj znovu o den později. Klíč, který se po zrušení vrátí, znamená, že někdo má stále přístup, takže kroky zopakuj a kontaktuj Steam Support.

Jak číst nabídku výměny, která může být falešná

Imitující boti kopírují to, co se snadno kopíruje. Zobrazované jméno a avatar se dají změnit za vteřiny. Steam ID, odkaz na profil, úroveň na Steamu a stáří účtu se zfalšovat tak snadno nedají, a to je to, co kontroluješ.

• Otevři nabídku celou. Použij klient Steam nebo steamcommunity.com, ne jen upozornění v telefonu.
• Prokliknutím z nabídky se dostaň na profil partnera. Porovnej úroveň, stáří účtu a odkaz na profil s tím, co web ukazuje u svého bota. Imitátoři bývají nové nebo nedávno koupené účty.
• Shoduj bezpečnostní kód, pokud ho web tiskne ve zprávě nabídky a na obrazovce.
• Zkontroluj položky řádek po řádku. U vkladu odchází jen to, co jsi vybral. U výběru neodchází vůbec nic.
• Buď podezřívavý k druhé nabídce. Pokud nabídka zmizela a o vteřiny později se objevila nová, ber tu novou jako nepřátelskou, dokud ji nezkontroluješ od nuly.
• Přečti si potvrzení v mobilu. Otevři ho a než schválíš, zkontroluj partnera a položky.

Jeden příznak si zaslouží vlastní řádek. Pokud se tvoje nabídky výměny ruší, aniž by ses jich dotkl, předpokládej, že je tvůj účet kompromitovaný, a než budeš obchodovat cokoli dalšího, proveď výše uvedený audit. Náš návod o bezpečném vkládání a výběru skinů má kompletní kontrolní seznam pro nabídky vkladu a výběru.

Falešná podpora a falešní admini na Discordu

Druhá velká rodina podvodů vynechává technologii a pracuje přímo na tobě. Nejběžnější v kruzích kolem Rustu a CS2 začíná zprávou, že někdo omylem nahlásil tvůj účet a že musíš mluvit se Steam adminem, aby se to vyjasnilo. Ten admin je podvodník s přesvědčivým jménem a logem Valve a rozhovor končí žádostí o tvé přihlašovací údaje, kód Steam Guard, sdílení obrazovky nebo výměnu k ověření tvých položek.

Steam Support funguje přes help.steampowered.com. Pracovníci Valve hráče na Discordu nekontaktují, aby řešili bany nebo hlášení, a nikdo skutečný nepotřebuje tvé heslo ani kódy.

Podporu gamblingových webů napodobují stejně. Postěžuj si ve veřejném chatu nebo na Discordu webu na zaseknutý výběr a během minut ti může přijít DM od agenta podpory, který nabízí pomoc. Podvodníci sledují veřejné kanály přesně kvůli tomu. Skutečná podpora webu odpovídá přes live chat na webu nebo systém tiketů a nežádá, abys poslal skiny nebo krypto, aby se něco vyřešilo.

Podvody, na které hráči Rustu narážejí nejčastěji

Téma kontroly cen skinů si zaslouží bližší pohled, pokud inventář oceňuješ pravidelně. Náš výklad jak fungují ceny Rust skinů ukazuje, jak položky ocenit jen pomocí stránky Steam Marketu, bez jakéhokoli rozšíření.

Pokud se ti to už stalo

Rychlost záleží nejvíc, protože kompromitovaný účet se dá vyprázdnit znovu, zatímco přicházíš na to, co se stalo.

1. Okamžitě proveď výše uvedený audit účtu: heslo, Deauthorize all other devices, pak zruš jakýkoli API klíč.
2. Nahlas účet, který dostal tvé položky, pomocí Report Player na jeho profilu na Steamu.
3. Otevři tiket u Steam Support na help.steampowered.com a vysvětli, co se stalo, s daty a údaji o výměně.
4. Řekni podpoře gamblingového webu přes jeho vlastní live chat, který bot byl napodobený a kdy. Weby obvykle nemohou výměnu na Steamu zvrátit, ale chtějí vědět, že se jejich boti kopírují.
5. Změň heslo u každého dalšího účtu, který sdílel stejné, počínaje e-mailem.

Buď realistický ohledně obnovy. Pravidlo Steamu je, že se položky ztracené při výměnách obecně neobnovují. Každý, kdo tě kontaktuje a nabízí obnovu ukradených skinů za poplatek, provozuje další podvod ze seznamu.

Návyky, které tě udrží mimo seznam

Nic z toho nevyžaduje technickou dovednost. Jde o hrstku návyků, které opakuješ, dokud nejsou automatické: k webům se dostávej přes záložky, které sis vytvořil, drž zapnutý mobilní autentikátor Steam Guard, nikdy nikam nevkládej API klíč, nikdy neskenuj QR kód, o který jsi nežádal, a každou nabídku výměny před potvrzením přečti celou. Každé nevyžádané DM ber jako nepřátelské.

Bezpečnost účtu je součástí i toho, jak hodnotíme weby. Naše metodika hodnocení dává důvěryhodnosti a bezpečnosti největší váhu ze šesti kritérií a každá recenze v sekci recenze uvádí doménu, kterou jsme testovali, takže si můžeš ověřit, že jsi na té skutečné.

Přijít o skiny kvůli podvodníkovi se může cítit hodně jako přijít o ně v prohrávající sérii a nutkání vyhrát je zpět je stejně silné. Pokud se přistihneš, že vkládáš víc, aby ses vyrovnal s krádeží, dej si pauzu a přečti si naši stránku o zodpovědném hraní, která uvádí bezplatné služby podpory.