Truffe con la chiave API di Steam e offerte di scambio false: come difendersi su Rust

La truffa della chiave API di Steam è silenziosa per natura. Le tue skin restano nell'inventario, la password funziona ancora e niente sembra fuori posto finché non fai uno scambio vero. A quel punto la tua offerta sparisce, ne arriva una quasi identica da un account travestito da tuo partner di scambio, e la confermi dal telefono senza guardarla due volte. Le skin vanno a un estraneo.

I giocatori di Rust sono un bersaglio naturale perché molti di noi scambiano con i bot ogni settimana: depositi sui siti di gambling, vendite sui marketplace e prelievi. Questa guida spiega come funziona la truffa, come vengono compromessi gli account all'origine, i controlli che la fermano e cosa fare se è già successo a te.

Come funziona la truffa della chiave API

Una chiave Steam Web API è una credenziale per sviluppatori. Gli sviluppatori legittimi la usano per creare strumenti che leggono i dati di Steam. In mani sbagliate, una chiave registrata sul tuo account permette a qualcuno di vedere le tue offerte di scambio nel momento in cui vengono create e di agire su di esse in automatico. L'attacco di solito segue questi passaggi:

1. Accedi a Steam tramite una pagina falsa, oppure un programma o un'estensione del browser malevoli copiano la tua sessione già aperta. Ora qualcuno può agire come te sul sito di Steam.
2. Registrano una chiave Web API sul tuo account, oppure ne trovano una che avevi creato e dimenticato.
3. Aspettano. Non viene rubato nulla, quindi un'occhiata all'inventario ti dice che va tutto bene.
4. Avvii uno scambio vero, per esempio un deposito su un sito di gambling per Rust.
5. Uno script vede la nuova offerta, la annulla e te ne manda una sostitutiva da un account costruito per sembrare il vero partner: stesso nome, stesso avatar, stessi oggetti elencati.
6. Confermi l'offerta sostitutiva nell'app di Steam. Le skin vanno al truffatore e il deposito sul sito semplicemente va in timeout.

Il dettaglio importante è l'ultimo passaggio. La chiave permette al truffatore di osservare e reagire, ma approvare uno scambio richiede comunque il tuo telefono. Ogni versione di questa truffa ha ancora bisogno che tu confermi uno scambio che non hai controllato bene, ed è proprio lì che puoi fermarla.

Negli anni Valve ha messo degli ostacoli alla registrazione delle chiavi, e i truffatori si sono adattati convincendo i giocatori ad approvare loro stessi i passaggi. Considera ostile qualsiasi sito che ti chiede di creare, incollare o confermare una chiave API. Un sito di gambling per Rust non ne ha bisogno.

Come vengono compromessi gli account all'origine

Pagine di login Steam false

La via classica è una pagina che sembra un accesso a Steam e manda i tuoi dati a qualcun altro. Compaiono dietro giveaway di skin gratuite, finti siti di gambling con casse gratis, link che ti chiedono di votare la squadra di qualcuno in un torneo e cloni di siti Rust veri.

Una variante più convincente disegna un finto popup di login dentro la pagina stessa, completo di una falsa barra degli indirizzi che mostra steamcommunity.com. Due test rapidi ne smascherano la maggior parte. Prova a trascinare il popup fuori dalla finestra del browser: una finestra vera può uscire, una finta disegnata dalla pagina no. E tieni d'occhio il password manager: non ti proporrà di compilare un login sul dominio sbagliato, per quanto reale sembri la pagina.

Login con codice QR

Steam ti permette di accedere scansionando un codice QR con l'app mobile. I truffatori ne abusano mostrandoti un codice su una pagina di terzi, o mandandotelo in DM, e chiedendoti di scansionarlo per accedere o riscattare qualcosa. Scansionarlo approva il loro accesso al tuo account. Scansiona un codice solo su una schermata di login di Steam che hai aperto tu, nel client Steam o su steamcommunity.com.

Estensioni e download malevoli

Le estensioni del browser che promettono controlli sui prezzi delle skin, aiuti per gli scambi, skin gratis o cheat, e i file mandati da un amico che ti chiede di provare il suo gioco, sono veicoli comuni. Alcuni rubano i dati di sessione del browser, il che permette a qualcuno di usare la tua sessione Steam già aperta senza conoscere la password né vedere un codice Steam Guard. Installa software solo da fonti che hai cercato tu, rimuovi le estensioni che non usi e diffida molto di qualsiasi file ricevuto in un messaggio, anche da un amico il cui account potrebbe essere già compromesso.

Consegnare la chiave con le tue mani

Alcuni siti e cosiddetti trade bot ti chiedono di incollare la tua chiave API per verificare gli scambi o velocizzare le cose. Non farlo. Anche quando il sito non ha cattive intenzioni, una chiave attiva sul tuo account è a una fuga di database di distanza dallo script di qualcun altro.

Un controllo dell'account in cinque minuti

Fallo ora, e di nuovo ogni volta che sospetti di aver fatto login dove non dovevi. Fallo tutto in una volta, perché l'ordine conta: devi tagliare l'accesso prima di fare pulizia.

1. Cambia la password di Steam dal client Steam o da una pagina Steam digitata da te. Rendila unica per Steam.
2. Apri Gestisci Steam Guard nelle impostazioni dell'account e usa «Annulla l'autorizzazione di tutti gli altri dispositivi». Questo chiude ogni altra sessione attiva, compresa quella che un truffatore potrebbe star usando.
3. Scrivi steamcommunity.com/dev/apikey nella barra degli indirizzi. Dovresti vedere un modulo per registrare una chiave, non una chiave esistente. Se è elencata una chiave, clicca su Revoca.
4. Controlla che l'indirizzo email e il numero di telefono dell'account siano i tuoi e che l'account email non abbia regole di inoltro che non hai creato.
5. Scorri le estensioni del browser e rimuovi tutto ciò che non riconosci o non usi più. Fai una scansione antimalware del PC.
6. Se il tuo trade URL è stato pubblicato in pubblico, creane uno nuovo nelle impostazioni delle offerte di scambio e aggiornalo sui siti che usi.

Ricontrolla la pagina della chiave API dopo un giorno. Una chiave che ricompare dopo averla revocata significa che qualcuno ha ancora accesso: ripeti i passaggi e contatta il Supporto Steam.

Come leggere un'offerta di scambio che potrebbe essere falsa

I bot impostori copiano ciò che è facile copiare. Un nome visualizzato e un avatar si cambiano in pochi secondi. Uno Steam ID, un link al profilo, il livello Steam e l'età dell'account non si falsificano con la stessa facilità, ed è questo che devi controllare.

• Apri l'offerta per intero. Usa il client Steam o steamcommunity.com, non solo la notifica sul telefono.
• Clicca sul profilo del partner dall'interno dell'offerta. Confronta livello, età dell'account e link al profilo con quello che il sito mostra per il suo bot. Gli impostori di solito sono account nuovi o comprati da poco.
• Verifica il codice di sicurezza se il sito ne stampa uno nel messaggio dell'offerta e a schermo.
• Controlla gli oggetti uno per uno. In un deposito esce solo ciò che hai selezionato. In un prelievo non esce niente.
• Diffida di una seconda offerta. Se un'offerta è sparita e una nuova è comparsa pochi secondi dopo, trattala come ostile finché non l'hai ricontrollata da zero.
• Leggi la conferma sul telefono. Aprila e controlla partner e oggetti prima di approvare.

Un sintomo merita una riga a parte. Se le tue offerte di scambio vengono annullate senza che tu le tocchi, considera l'account compromesso ed esegui il controllo qui sopra prima di fare altri scambi. La nostra guida su come depositare e prelevare skin in sicurezza ha una checklist completa per le offerte di deposito e prelievo.

Falso supporto e falsi admin su Discord

La seconda grande famiglia di truffe salta la tecnologia e lavora direttamente su di te. La più comune nei circoli di Rust e CS2 inizia con un messaggio che dice che qualcuno ha segnalato il tuo account per errore e che devi parlare con un admin di Steam per sistemare tutto. L'admin è un truffatore con un nome convincente e un logo Valve, e la conversazione finisce con la richiesta dei tuoi dati di accesso, di un codice Steam Guard, di una condivisione dello schermo o di uno scambio per verificare i tuoi oggetti.

Il Supporto Steam lavora tramite help.steampowered.com. Lo staff di Valve non contatta i giocatori su Discord per risolvere ban o segnalazioni, e nessuno di genuino ha bisogno della tua password o dei tuoi codici.

Il supporto dei siti di gambling viene impersonato allo stesso modo. Se ti lamenti nella chat pubblica o nel Discord di un sito per un prelievo bloccato, nel giro di pochi minuti potresti ricevere un DM da un finto agente del supporto che si offre di aiutarti. I truffatori sorvegliano i canali pubblici proprio per questo. Il supporto vero di un sito risponde dalla live chat sul sito o dal sistema di ticket, e non ti chiede di mandare skin o crypto per sistemare qualcosa.

Le truffe in cui i giocatori di Rust incappano più spesso

Il controllo dei prezzi delle skin merita un approfondimento se valuti spesso un inventario. La nostra guida su come funzionano i prezzi delle skin di Rust mostra come valutare gli oggetti usando solo la pagina del Mercato Steam, senza nessuna estensione.

Se ti è già successo

La velocità conta più di ogni altra cosa, perché un account compromesso può essere svuotato di nuovo mentre tu cerchi di capire cos'è successo.

1. Esegui subito il controllo dell'account qui sopra: password, «Annulla l'autorizzazione di tutti gli altri dispositivi», poi revoca qualsiasi chiave API.
2. Segnala l'account che ha ricevuto le tue skin con Segnala giocatore sul suo profilo Steam.
3. Apri un ticket al Supporto Steam tramite help.steampowered.com e spiega cos'è successo, con date e dettagli dello scambio.
4. Dì al supporto del sito di gambling, dalla sua live chat, quale bot è stato impersonato e quando. Di norma i siti non possono annullare uno scambio Steam, ma vogliono sapere che i loro bot vengono copiati.
5. Cambia la password di qualsiasi altro account che usava la stessa, partendo dalla tua email.

Sii realista sul recupero. La politica di Steam è che gli oggetti persi negli scambi in genere non vengono ripristinati. Chiunque ti contatti offrendo di recuperare a pagamento le skin rubate sta facendo partire la truffa successiva dell'elenco.

Abitudini che ti tengono fuori dalla lista

Niente di tutto questo richiede competenze tecniche. Si riduce a una manciata di abitudini che ripeti finché diventano automatiche: raggiungi i siti dai preferiti che hai creato tu, tieni attivo lo Steam Guard Mobile Authenticator, non incollare mai una chiave API da nessuna parte, non scansionare mai un codice QR che non hai chiesto tu e leggi ogni offerta di scambio per intero prima di confermarla. Tratta ogni DM non richiesto come ostile.

La sicurezza dell'account fa parte anche di come valutiamo i siti. Il nostro metodo di valutazione dà a fiducia e sicurezza il peso maggiore tra i sei criteri, e ogni recensione nella nostra sezione recensioni elenca il dominio che abbiamo testato, così puoi verificare di essere su quello vero.

Perdere skin per colpa di un truffatore può somigliare molto a perderle in una brutta serata di gioco, e la voglia di riprendersele è altrettanto forte. Se ti accorgi di depositare di più per rifarti di un furto, fai una pausa e leggi la nostra pagina sul gioco responsabile, che elenca servizi di supporto gratuiti.