Bedrägerier med Steam API-nycklar och falska trade offers: en Rust-spelares försvar

Bedrägeriet med Steam API-nycklar är tyst till sin natur. Dina skins ligger kvar i ditt inventory, ditt lösenord fungerar fortfarande och ingenting ser fel ut förrän i det ögonblick du gör en riktig trade. Då försvinner ditt erbjudande, ett nästan identiskt kommer från ett konto som utger sig för att vara din bytespartner, och du bekräftar det i mobilen utan att titta en gång till. Skinsen går till en främling.

Rust-spelare är ett naturligt mål eftersom så många av oss handlar med botar varje vecka, för spelinsättningar, marknadsförsäljningar och uttag. Den här guiden tar upp hur bedrägeriet fungerar, hur konton äventyras från första början, kontrollerna som fångar det och vad du ska göra om det redan har hänt dig.

Så fungerar API-nyckelbedrägeriet

En Steam Web API-nyckel är en utvecklarlegitimation. Legitima utvecklare använder en för att bygga verktyg som läser Steam-data. I fel händer låter en nyckel som registrerats på ditt konto någon bevaka dina trade offers när de skapas och agera på dem automatiskt. Attacken går oftast till så här:

1. Du loggar in på Steam via en falsk sida, eller ett skadligt program eller webbläsartillägg kopierar din inloggade session. Någon kan nu agera som dig på Steams webbplats.
2. De registrerar en Web API-nyckel på ditt konto, eller hittar en du skapade och glömde bort.
3. De väntar. Ingenting tas, så en snabb titt på ditt inventory säger att allt är som det ska.
4. Du startar en riktig trade, till exempel en insättning på en Rust gambling-sajt.
5. Ett skript ser det nya erbjudandet, avbryter det och skickar en ersättare från ett konto som är uppsatt för att likna den riktiga partnern: samma namn, samma avatar, samma föremål listade.
6. Du bekräftar ersättaren i Steam-appen. Skinsen går till bedragaren, och sajtens insättning går helt enkelt ut på tid.

Den viktiga detaljen är sista steget. Nyckeln låter bedragaren bevaka och reagera, men att godkänna en trade kräver fortfarande din mobil. Varje version av bedrägeriet behöver fortfarande att du bekräftar en trade du inte har kontrollerat ordentligt, och det är precis där du kan stoppa det.

Valve har lagt till friktion vid registrering av nycklar genom åren, och bedragare har anpassat sig genom att lura spelare att godkänna stegen själva. Behandla varje webbplats som ber dig skapa, klistra in eller bekräfta en API-nyckel som fientlig. En Rust gambling-sajt har inget behov av en.

Hur konton äventyras från första början

Falska Steam-inloggningssidor

Den klassiska vägen är en sida som ser ut som en Steam-inloggning och skickar dina uppgifter till någon annan. De dyker upp bakom gratis skin-giveaways, falska spelsajter med gratis cases, länkar som ber dig rösta på någons lag i en turnering och klonade versioner av riktiga Rust-sajter.

En mer övertygande variant ritar en falsk inloggningsruta inne i själva sidan, komplett med ett falskt adressfält som visar steamcommunity.com. Två snabba tester fångar de flesta. Försök dra rutan utanför webbläsarfönstret: ett riktigt fönster kan lämna det, ett falskt som ritats av sidan kan inte. Och håll koll på din lösenordshanterare: den erbjuder sig inte att fylla i en inloggning på fel domän, hur verklig sidan än ser ut.

Inloggning med QR-kod

Steam låter dig logga in genom att skanna en QR-kod med mobilappen. Bedragare missbrukar det genom att visa dig en kod på en tredjepartssida, eller skicka en i ett DM, och be dig skanna den för att logga in eller få något. Att skanna den godkänner deras inloggning på ditt konto. Skanna bara en kod på en Steam-inloggningssida som du själv har öppnat, i Steam-klienten eller på steamcommunity.com.

Skadliga tillägg och nedladdningar

Webbläsartillägg som lovar priskontroller av skins, trade-hjälpare, gratisverktyg för skins, spelfusk och filer som en vän skickar och ber dig prova deras spel är alla vanliga bärare. Vissa av dem stjäl din webbläsares sessionsdata, vilket låter någon använda din inloggade Steam-session utan att känna till ditt lösenord eller se en Steam Guard-kod. Installera programvara bara från källor du själv har slagit upp, ta bort tillägg du inte använder och var mycket misstänksam mot varje fil som skickas i ett meddelande, även från en vän vars konto redan kan vara äventyrat.

Att lämna över nyckeln själv

Vissa sajter och så kallade trade-botar ber dig klistra in din API-nyckel för att verifiera trades eller snabba på saker. Gör det inte. Även när sajten inte menar något ont är en aktiv nyckel på ditt konto en databasläcka från någon annans skript.

En kontogranskning på fem minuter

Gör det här nu, och igen varje gång du misstänker att du loggat in någonstans du inte borde. Gör det i ett svep, eftersom ordningen spelar roll: du vill stänga av åtkomsten innan du städar.

1. Byt ditt Steam-lösenord från Steam-klienten eller en Steam-sida du själv skrivit in. Gör det unikt för Steam.
2. Öppna Manage Steam Guard i dina kontoinställningar och använd Deauthorize all other devices. Det avslutar varje annan inloggad session, inklusive en som en bedragare kan använda.
3. Skriv steamcommunity.com/dev/apikey i adressfältet. Du ska se ett formulär för att registrera en nyckel, inte en befintlig nyckel. Om en nyckel listas, klicka på Revoke.
4. Kontrollera att e-postadressen och telefonnumret på kontot är dina, och att e-postkontot inte har några vidarebefordringsregler du inte skapat.
5. Gå igenom dina webbläsartillägg och ta bort allt du inte känner igen eller inte längre använder. Kör en malwareskanning på datorn.
6. Om din trade URL har publicerats offentligt, skapa en ny i dina inställningar för trade offers och uppdatera den på sajterna du använder.

Kontrollera API-nyckelsidan igen en dag senare. En nyckel som kommer tillbaka efter att du återkallat den betyder att någon fortfarande har åtkomst, så upprepa stegen och kontakta Steam Support.

Att läsa en trade offer som kan vara falsk

Imitatörbotar kopierar det som är lätt att kopiera. Ett visningsnamn och en avatar kan ändras på några sekunder. Ett Steam ID, en profillänk, en Steam-nivå och ett kontos ålder går inte att förfalska lika lätt, och det är det du kontrollerar.

• Öppna erbjudandet i sin helhet. Använd Steam-klienten eller steamcommunity.com, inte bara notisen i mobilen.
• Klicka dig vidare till partnerns profil inifrån erbjudandet. Jämför nivå, kontoålder och profillänk med vad sajten visar för sin bot. Imitatörer är oftast nya eller nyligen köpta konton.
• Matcha säkerhetskoden om sajten skriver ut en i erbjudandets meddelande och på skärmen.
• Kontrollera föremålen rad för rad. Vid en insättning lämnar bara det du valde. Vid ett uttag lämnar ingenting alls.
• Var misstänksam mot ett andra erbjudande. Om ett erbjudande försvann och ett nytt dök upp sekunder senare, behandla det nya som fientligt tills du har kontrollerat det från grunden.
• Läs bekräftelsen i mobilen. Öppna den och kontrollera partnern och föremålen innan du godkänner.

Ett symptom förtjänar en egen rad. Om dina trade offers avbryts utan att du rört dem, utgå från att ditt konto är äventyrat och kör granskningen ovan innan du handlar något mer. Vår guide om att sätta in och ta ut skins säkert har en fullständig checklista för erbjudanden vid insättning och uttag.

Falsk support och falska admins på Discord

Den andra stora familjen av bedrägerier hoppar över tekniken och jobbar direkt på dig. Den vanligaste i Rust- och CS2-kretsar börjar med ett meddelande om att någon anmälde ditt konto av misstag och att du behöver prata med en Steam-admin för att reda ut det. Admin är en bedragare med ett övertygande namn och en Valve-logga, och samtalet slutar med en begäran om dina inloggningsuppgifter, en Steam Guard-kod, en skärmdelning eller en trade för att verifiera dina föremål.

Steam Support arbetar via help.steampowered.com. Valves personal kontaktar inte spelare på Discord för att lösa avstängningar eller anmälningar, och ingen äkta behöver ditt lösenord eller dina koder.

Man utger sig för att vara spelsajters support på samma sätt. Klaga i en sajts publika chatt eller Discord över ett fastnat uttag och du kan få ett DM inom några minuter från en supportagent som erbjuder hjälp. Bedragare bevakar publika kanaler just för det. Riktig sajtsupport svarar via livechatten eller ärendesystemet på sajten, och den ber dig inte skicka skins eller krypto för att lösa något.

Bedrägerierna Rust-spelare oftast stöter på

Vinkeln med skinpriskontroller förtjänar en närmare titt om du värderar ett inventory regelbundet. Vår förklaring av hur priserna på Rust-skins fungerar visar hur du värderar föremål med bara Steam Market-sidan, utan något tillägg inblandat.

Om det redan har hänt dig

Snabbhet spelar större roll än något annat här, eftersom ett äventyrat konto kan tömmas igen medan du reder ut vad som hände.

1. Kör kontogranskningen ovan direkt: lösenord, Deauthorize all other devices och sedan återkalla alla API-nycklar.
2. Rapportera kontot som tog emot dina föremål med Report Player på dess Steam-profil.
3. Öppna ett ärende hos Steam Support via help.steampowered.com och förklara vad som hände, med datum och bytesuppgifter.
4. Berätta för spelsajtens support, via dess egen livechatt, vilken bot som imiterades och när. Sajter kan normalt inte ångra en Steam-trade, men de vill veta att deras botar kopieras.
5. Byt lösenordet på alla andra konton som delade samma, med början i din e-post.

Var realistisk om återhämtning. Steams policy är att föremål som förlorats genom trades i allmänhet inte återställs. Den som kontaktar dig och erbjuder sig att få tillbaka stulna skins mot en avgift kör nästa bedrägeri på listan.

Vanor som håller dig utanför listan

Inget av det här kräver teknisk skicklighet. Det handlar om en handfull vanor du upprepar tills de sitter: nå sajter via bokmärken du själv gjort, ha Steam Guard Mobile Authenticator på, klistra aldrig in en API-nyckel någonstans, skanna aldrig en QR-kod du inte bett om och läs varje trade offer i sin helhet innan du bekräftar. Behandla varje oombett DM som fientligt.

Kontosäkerhet är också en del av hur vi betygsätter sajter. Vår betygsmetod ger förtroende och säkerhet den största vikten av de sex kriterierna, och varje recension i vår recensionsdel listar domänen vi testade så att du kan kontrollera att du är på den riktiga.

Att förlora skins till en bedragare kan kännas mycket som att förlora dem på en dålig svit, och suget efter att vinna tillbaka dem är lika starkt. Om du fångar dig själv i att sätta in mer för att kompensera en stöld, ta en paus och läs vår sida om ansvarsfullt spelande, som listar gratis stödtjänster.