API-скам в Steam: как работает подмена обмена

Что происходит на самом деле

Сначала злоумышленник получает доступ к аккаунту. Через фишинговую страницу входа, вредонос на компьютере или украденную сессию — способ не важен, важен сам факт.

Дальше он регистрирует на твоём аккаунте Web API key и настраивает автоматику, которая следит за твоими предложениями обмена.

Ты начинаешь обычную сделку. Автоматика мгновенно отменяет твой настоящий оффер и создаёт визуально идентичный — с теми же предметами, тем же ником и аватаром, но от подставного аккаунта.

Ты видишь знакомое предложение, думаешь «отвалилось, пришло заново», и подтверждаешь его в мобильном приложении. Предметы уезжают не туда.

Ключевая деталь: Steam ничего не взломан. Всё подтверждение сделал ты сам, своим аутентификатором. Именно поэтому вернуть предметы почти невозможно.

Почему название вводит в заблуждение

Из-за слова «API» многие считают, что проблема в ключе и что достаточно его удалить. Это не так, и это опасное заблуждение.

Ключ — просто удобный инструмент автоматизации. Тот, у кого есть полный доступ к аккаунту, сделает то же самое и без него, руками. А новый ключ он создаст через минуту после того, как ты удалишь старый.

Настоящая проблема — компрометация аккаунта или устройства. Пока она не устранена, любые действия с ключом бессмысленны.

Признаки, что ты уже под контролем

На странице steamcommunity.com/dev/apikey есть ключ, который ты не создавал.

Предложение обмена отменяется и тут же приходит похожее — особенно если это повторяется.

В настройках безопасности видны активные сессии с незнакомых устройств или из других городов.

На почте письма о входе, которые ты не совершал, или письма о смене настроек.

В истории обменов есть операции, которых ты не помнишь.

Порядок спасения

Последовательность здесь важнее скорости — если сделать не по порядку, всё придётся повторять.

Первое: останови все текущие операции и уйди с заражённого устройства. Дальше работай с телефона или чужого чистого компьютера.

Второе: проверь свой компьютер антивирусом. Если там вредонос, менять пароли с него бесполезно — новый пароль утечёт так же, как старый.

Третье: смени пароль почты, к которой привязан Steam. Через неё восстанавливают доступ, поэтому она первая.

Четвёртое: смени пароль Steam и заверши все активные сессии в настройках безопасности.

Пятое: отзови Web API key. Только теперь, когда доступ уже закрыт.

Шестое: проверь историю обменов, активные предложения и настройки — не появилось ли новых привязок.

Как не попасть в это вообще

Единственная надёжная защита — не отдавать доступ. Заходи на площадки по своим закладкам, а не по ссылкам из сообщений. Не вводи данные Steam на страницах, которые открылись сами. Не запускай программы, присланные в личку, даже от знакомых.

И привычка, которая ловит схему на последнем шаге: в мобильном подтверждении всегда смотри на постоянный SteamID партнёра, а не на ник и аватар. Если оффер отменился и пришёл новый — останавливайся и проверяй с нуля. Именно на этом моменте схема и работает.