Steam API-nøkkelsvindel og falske handelstilbud: forsvaret til en Rust-spiller

Steam API-nøkkelsvindelen er stille av design. Skinsene dine blir i inventaret, passordet ditt virker fortsatt, og ingenting ser galt ut før øyeblikket du gjør en ekte handel. Da forsvinner tilbudet ditt, et nesten identisk et kommer fra en konto utkledd som handelspartneren din, og du bekrefter det på telefonen uten å se to ganger. Skinsene går til en fremmed.

Rust-spillere er et naturlig mål fordi så mange av oss handler med boter hver uke, til gamblinginnskudd, markedssalg og uttak. Denne guiden tar for seg hvordan svindelen fungerer, hvordan kontoer kompromitteres i utgangspunktet, kontrollene som fanger den og hva du gjør hvis det allerede har skjedd med deg.

Slik fungerer API-nøkkelsvindelen

En Steam Web API-nøkkel er en utviklerlegitimasjon. Legitime utviklere bruker en til å bygge verktøy som leser Steam-data. I gale hender lar en nøkkel registrert på kontoen din noen følge med på handelstilbudene dine idet de opprettes og handle på dem automatisk. Angrepet går vanligvis slik:

1. Du logger inn på Steam via en falsk side, eller et skadelig program eller en nettleserutvidelse kopierer den innloggede økten din. Noen kan nå opptre som deg på Steams nettsted.
2. De registrerer en Web API-nøkkel på kontoen din, eller finner en du lagde og glemte.
3. De venter. Ingenting tas, så et raskt blikk på inventaret ditt forteller deg at alt er i orden.
4. Du starter en ekte handel, for eksempel et innskudd på en Rust gambling-side.
5. Et skript ser det nye tilbudet, kansellerer det og sender deg en erstatning fra en konto som er satt opp til å ligne den ekte partneren: samme navn, samme avatar, de samme gjenstandene oppført.
6. Du bekrefter erstatningen i Steam-appen. Skinsene går til svindleren, og sidens innskudd går bare ut på tid.

Den viktige detaljen er siste trinn. Nøkkelen lar svindleren følge med og reagere, men å godkjenne en handel krever fortsatt telefonen din. Hver versjon av denne svindelen trenger fortsatt at du bekrefter en handel du ikke har sjekket ordentlig, og det er nettopp der du kan stoppe den.

Valve har lagt til friksjon i nøkkelregistreringen gjennom årene, og svindlere har tilpasset seg ved å lure spillere til å godkjenne trinn selv. Behandle alle nettsteder som ber deg opprette, lime inn eller bekrefte en API-nøkkel som fiendtlige. En Rust gambling-side har ikke bruk for en.

Hvordan kontoer kompromitteres i utgangspunktet

Falske Steam-innloggingssider

Den klassiske veien er en side som ser ut som en Steam-innlogging og sender opplysningene dine til noen andre. De dukker opp bak gratis skin-giveaways, falske gamblingsider med gratis cases, lenker som ber deg stemme på noens lag i en turnering, og klonede versjoner av ekte Rust-sider.

En mer overbevisende variant tegner en falsk innloggingspopup inne på selve siden, komplett med et falskt adressefelt som viser steamcommunity.com. To raske tester fanger de fleste. Prøv å dra popupen utenfor nettleservinduet: et ekte vindu kan forlate det, et falskt tegnet av siden kan ikke. Og følg med på passordbehandleren din: den vil ikke tilby å fylle ut en innlogging på feil domene, uansett hvor ekte siden ser ut.

QR-kodeinnlogginger

Steam lar deg logge inn ved å skanne en QR-kode med mobilappen. Svindlere misbruker dette ved å vise deg en kode på en tredjepartsside, eller sende en i en DM, og be deg skanne den for å logge inn eller kreve noe. Å skanne den godkjenner innloggingen deres på kontoen din. Skann bare en kode på en Steam-innloggingsskjerm du selv har åpnet, i Steam-klienten eller på steamcommunity.com.

Skadelige utvidelser og nedlastinger

Nettleserutvidelser som lover skin-prissjekk, handelshjelpere, gratis skin-verktøy, spillsnyd og filer sendt av en venn som ber deg prøve spillet deres er alle vanlige bærere. Noen av dem stjeler nettleserens øktdata, som lar noen bruke den innloggede Steam-økten din uten å kjenne passordet ditt eller se en Steam Guard-kode. Installer bare programvare fra kilder du selv har slått opp, fjern utvidelser du ikke bruker, og vær svært mistenksom til enhver fil sendt i en melding, selv fra en venn hvis konto kanskje allerede er kompromittert.

Å overlevere nøkkelen selv

Noen sider og såkalte handelsboter ber deg lime inn API-nøkkelen din for å verifisere handler eller gjøre ting raskere. Ikke gjør det. Selv når siden ikke mener noe vondt, er en aktiv nøkkel på kontoen din ett databaselekkasje unna andres skript.

En kontosjekk på fem minutter

Gjør dette nå, og igjen hver gang du mistenker at du logget inn et sted du ikke burde. Gjør det i én omgang, for rekkefølgen betyr noe: du vil kutte tilgangen før du rydder opp.

1. Bytt Steam-passordet fra Steam-klienten eller en Steam-side du selv har skrevet inn. Gjør det unikt for Steam.
2. Åpne Administrer Steam Guard i kontoinnstillingene og bruk Fjern autorisering for alle andre enheter. Det avslutter alle andre innloggede økter, også en svindleren kan bruke.
3. Skriv inn steamcommunity.com/dev/apikey i adressefeltet. Du skal se et skjema for å registrere en nøkkel, ikke en eksisterende nøkkel. Hvis en nøkkel er oppført, klikk Tilbakekall.
4. Sjekk at e-postadressen og telefonnummeret på kontoen er dine, og at e-postkontoen ikke har videresendingsregler du ikke har laget.
5. Gå gjennom nettleserutvidelsene dine og fjern alt du ikke kjenner igjen eller ikke lenger bruker. Kjør en skadevareskanning på PC-en.
6. Hvis trade-URL-en din har vært postet offentlig, lag en ny i innstillingene for handelstilbud og oppdater den på sidene du bruker.

Sjekk API-nøkkelsiden igjen en dag senere. En nøkkel som kommer tilbake etter at du tilbakekalte den betyr at noen fortsatt har tilgang, så gjenta trinnene og kontakt Steam Support.

Å lese et handelstilbud som kan være falskt

Etterligningsboter kopierer det som er lett å kopiere. Et visningsnavn og en avatar kan endres på sekunder. En Steam-ID, en profillenke, et Steam-nivå og alderen på en konto kan ikke forfalskes like lett, og det er det du sjekker.

• Åpne tilbudet i sin helhet. Bruk Steam-klienten eller steamcommunity.com, ikke bare varselet på telefonen.
• Klikk deg videre til partnerens profil fra tilbudet. Sammenlign nivået, kontoalderen og profillenken med det siden viser for boten sin. Etterlignere er vanligvis nye eller nylig kjøpte kontoer.
• Match sikkerhetskoden hvis siden skriver en i tilbudsmeldingen og på skjermen.
• Sjekk gjenstandene linje for linje. Ved et innskudd forlater bare det du valgte inventaret. Ved et uttak forlater ingenting det.
• Vær mistenksom til et andre tilbud. Hvis et tilbud forsvant og et nytt dukket opp sekunder senere, behandle det nye som fiendtlig til du har sjekket det fra bunnen av.
• Les bekreftelsen på mobilen. Trykk deg inn i den og sjekk partneren og gjenstandene før du godkjenner.

Ett symptom fortjener sin egen linje. Hvis handelstilbudene dine blir kansellert uten at du rører dem, anta at kontoen din er kompromittert og kjør kontrollen over før du handler noe mer. Guiden vår om trygge innskudd og uttak av skins har en full sjekkliste for innskudds- og uttakstilbud.

Falsk support og falske admins på Discord

Den andre store familien av svindel hopper over teknologien og jobber direkte på deg. Den vanligste i Rust- og CS2-miljøet starter med en melding om at noen rapporterte kontoen din ved en feil, og at du må snakke med en Steam-admin for å rydde opp. Adminen er en svindler med et overbevisende navn og en Valve-logo, og samtalen ender med en forespørsel om innloggingsopplysningene dine, en Steam Guard-kode, en skjermdeling eller en handel for å verifisere gjenstandene dine.

Steam Support jobber via help.steampowered.com. Valve-ansatte kontakter ikke spillere på Discord for å løse utestengelser eller rapporter, og ingen ekte trenger passordet eller kodene dine.

Supporten til gamblingsider blir etterlignet på samme måte. Klag i en sides offentlige chat eller Discord over et uttak som har satt seg fast, og du kan få en DM i løpet av minutter fra en supportmedarbeider som tilbyr å hjelpe. Svindlere følger med på offentlige kanaler for nettopp det. Ekte sidesupport svarer gjennom live chat eller saksystemet på siden, og ber deg ikke sende skins eller krypto for å fikse noe.

Svindelene Rust-spillere møter oftest

Vinkelen med skin-prissjekk er verdt et nærmere blikk hvis du jevnlig verdsetter et inventar. Forklaringen vår av hvordan Rust-skinpriser fungerer viser hvordan du verdsetter gjenstander med Steam Market-siden alene, uten noen utvidelse involvert.

Hvis det allerede har skjedd med deg

Hastighet betyr mer enn noe annet her, fordi en kompromittert konto kan tømmes igjen mens du finner ut hva som skjedde.

1. Kjør kontosjekken over med en gang: passord, Fjern autorisering for alle andre enheter, og tilbakekall deretter enhver API-nøkkel.
2. Meld fra om kontoen som mottok gjenstandene dine med Rapporter spiller på Steam-profilen dens.
3. Åpne en sak hos Steam Support via help.steampowered.com og forklar hva som skjedde, med datoer og handelsdetaljer.
4. Si fra til sidens support, gjennom dens egen live chat, hvilken bot som ble etterlignet og når. Sider kan normalt ikke reversere en Steam-handel, men de vil vite at botene deres blir kopiert.
5. Bytt passordet på alle andre kontoer som delte det samme, og begynn med e-posten din.

Vær realistisk om gjenoppretting. Steams policy er at gjenstander som er tapt gjennom handler som regel ikke gjenopprettes. Alle som kontakter deg og tilbyr å hente tilbake stjålne skins mot et gebyr, kjører den neste svindelen på listen.

Vaner som holder deg utenfor listen

Ingenting av dette krever teknisk kunnskap. Det koker ned til en håndfull vaner du gjentar til de er automatiske: gå til sider via bokmerker du selv har laget, hold Steam Guard Mobile Authenticator på, lim aldri inn en API-nøkkel noe sted, skann aldri en QR-kode du ikke ba om, og les hvert handelstilbud i sin helhet før du bekrefter det. Behandle hver uanmodede DM som fiendtlig.

Kontosikkerhet er også en del av hvordan vi scorer sider. Vurderingsmetoden vår gir tillit og sikkerhet den største vekten av de seks kriteriene, og hver anmeldelse i anmeldelsesdelen vår lister domenet vi testet, så du kan sjekke at du er på det ekte.

Å miste skins til en svindler kan føles mye som å miste dem på en dårlig rekke, og trangen til å vinne dem tilbake er like sterk. Hvis du fanger deg selv i å sette inn mer for å veie opp for et tyveri, ta en pause og les siden vår om ansvarlig spilling, som lister gratis støttetjenester.