Steam API key scam: kaip veikia ir ką daryti, jei paspaudei

Steam API key scam veikia taip: phishing puslapis pavagia tavo prisijungimą ir tyliai susikuria Steam Web API raktą tavo paskyroje. Su juo botas mato tavo trade offerius, tikrą atšaukia ir iškart atsiunčia beveik identišką iš netikros paskyros, o tu patvirtini telefone nepažiūrėjęs, kam siunti. Patikrinti ir atšaukti raktą gali adresu steamcommunity.com/dev/apikey. Jei ten yra raktas, kurio pats nekūrei, spausk „Revoke My Steam Web API Key".

Bendros prekybos saugumo taisyklės yra atskirame gide. Čia tik apie tai, kaip konkrečiai tave apgauna per nuorodą ir ką daryti po to.

Netikras Steam prisijungimo langas

Beveik visos šitos schemos prasideda vienodai. Atsidarai svetainę, spaudi „Prisijungti per Steam" ir iššoka langas su Steam logotipu, adreso juosta ir žaliu spynos ženkliuku. Tik tas langas nėra naršyklės langas. Tai paveiksliukas, nupieštas pačiame puslapyje. Vadinama browser-in-browser.

Kaip atskirti per kelias sekundes:

• Pabandyk langą nutempti už naršyklės ribų. Tikras langas išeina, netikras lieka įkalintas puslapio viduje.
• Pažiūrėk į adresą pagrindinėje naršyklės juostoje, ne į tą, kuri nupiešta lange.
• Domenas turi baigtis steamcommunity.com arba steampowered.com. Adresas steamcommunity.com.kazkas.ru yra ne Steam, nes tikrasis domenas yra paskutinė dalis prieš kelią.
• Ieškok vienos raidės skirtumo: „rn" vietoj „m", didžioji „I" vietoj „l", papildomas brūkšnelis, kita galūnė.
• Jei jau esi prisijungęs prie Steam toje naršyklėje, tikras OpenID langas paprastai neprašo slaptažodžio iš naujo. Prašo, vadinasi, tikrink dvigubai.

Patikimo „phishing link checker" nėra. Joks įrankis nepakeis to, kad pats perskaitai domeną iki galo.

Kaip veikia API rakto vagystė

Steam Web API raktas skirtas programuotojams. Paprastam žaidėjui, kuris tik prekiauja skinais, jo nereikia niekada.

Kai sukčius turi tavo prisijungimą, jis susikuria raktą tavo vardu. Toliau viskas automatiška:

1. Tu parduodi skiną ir sukuri trade offer tikram pirkėjui.
2. Botas per API pamato tą pasiūlymą ir jį atšaukia.
3. Per kelias sekundes tau ateina naujas trade offer iš paskyros su tuo pačiu vardu, avataru ir net Steam lygiu.
4. Tu manai, kad tai tas pats pirkėjas, ir patvirtini telefone.
5. Skinas iškeliauja sukčiui, o tikras pirkėjas nieko negauna.

Kodėl tai veikia net su Steam Guard? Nes mainus patvirtini pats. Steam Guard saugo nuo to, kad kažkas kitas patvirtintų, bet ne nuo to, kad tu patvirtinsi ne tą. Prieš patvirtindamas visada atsidaryk gavėjo profilį ir sulygink jo nuorodą su ta, kurią gavai iš pirkėjo. Kaip atrodo ir kur rasti tikrą nuorodą, rasi trade nuorodos gide.

Pavojaus ženklai: tavo išsiųstas trade offer dingo ir atsirado „pakartotas", partnerio paskyra kelių dienų senumo, arba dev/apikey puslapyje matai raktą su domenu, kurio nepažįsti.

Kiti būdai, kuriais tave nuveda į tą patį puslapį

„Patikrink savo inventorių." Svetainė žada įvertinti inventorių, patikrinti, ar skinai „ne vogti", arba leisti dalyvauti giveaway. Visada reikia prisijungti per Steam. Ir visada per tą nupieštą langą.

„Balsuok už mano komandą." Žinutė Discorde ar Steam chate nuo draugo: jų komanda turnyre, trūksta balsų, paspausk. Draugo paskyra dažniausiai jau pavogta, todėl ir pasitiki. Kartais vietoj prisijungimo lango rodomas QR kodas. Nuskenavęs jį Steam programėle, patvirtini prisijungimą sukčiaus įrenginyje.

Apsimetęs draugas. Profilis su draugo vardu ir nuotrauka prašo „paskolinti" skiną ar nusiųsti nuorodą. Parašyk tam draugui kitu kanalu, pavyzdžiui SMS, ir paklausk.

Netikras tarpininkas. Middlemanas, kurį pasiūlė pats pirkėjas, dažnai yra antra to paties žmogaus paskyra. Kartais jis paprašo „patvirtinti" paskyrą per nuorodą, ir vėl atsiduri phishing puslapyje.

„Valve support" ar prekyvietės darbuotojas. Parašo pirmas, sako, kad skinai pažymėti, ir prašo juos pervesti „saugiai paskyrai" arba prisijungti patikrinimui. Valve darbuotojai skinų nusiųsti neprašo.

Jei jau paspaudei: ką daryti dabar

Daryk šia tvarka ir negaišk. Botai veikia greičiau už tave.

1. Atšauk API raktą. Eik į steamcommunity.com/dev/apikey. Jei yra raktas, spausk „Revoke My Steam Web API Key". Tikrink dar kartą po kelių dienų.
2. Atjunk visus įrenginius. Steam programėlėje: Steam Guard valdymas, „Deauthorize all other devices". Kitaip slaptažodžio keitimas gali nepadėti, nes sukčiaus sesija liks gyva.
3. Pakeisk slaptažodį. Iš kompiuterio, kuriuo pasitiki, ir tokį, kurio niekur kitur nenaudoji. Patikrink, ar paskyros el. paštas ir telefono numeris vis dar tavo.
4. Peržiūrėk trade offerius. Atšauk viską, ko nekūrei: steamcommunity.com/my/tradeoffers/sent. Pažiūrėk ir Trade History.
5. Jei skinai jau išėjo. Nuo 2025 m. vasaros CS2 mainai turi Trade Protection: per pastarąsias 7 dienas įvykusius mainus galima grąžinti per Trade History. Grąžinami visi tos savaitės apsaugoti mainai, ne vienas, o tavo paskyrai 30 dienų užsidaro prekyba ir Market. Daugiau apie šį laikotarpį rasi 7 dienų holdo gide.
6. Steam Support. Jei negali prisijungti, rinkis paskyros atkūrimą help.steampowered.com. Iš savo inventoriaus išėjusių daiktų Support negrąžina, bet paskyrą atgauti padės. Sukčiaus profilį pranešk per jo Steam puslapį.

Ir nesikreipk į „grąžinimo servisus", kurie patys tau parašo po įvykio.

Kaip tai susiję su STEAMLTU

STEAMLTU prisijungimas vyksta per Steam OpenID. Slaptažodį suvedi Steam pusėje, mes jo nematome. API rakto parduodant neprašome: skinas lieka tavo inventoriuje, kol parduodamas, ir tu jį siunti tiesiai pirkėjui per Steam. Jei kas nors su STEAMLTU vardu prašo API rakto, slaptažodžio ar Steam Guard kodo, tai ne mes.

Po paskyros atgavimo verta iš naujo nustatyti Steam Guard mobilų autentifikatorių. Kokie mainų apribojimai tada galioja, aprašyta Steam trade ban gide.