Как не попасть на скам в Steam: разбор шести реальных схем

1. Поддельное окно входа Steam

Ты попадаешь на сайт — площадка, розыгрыш, турнир, что угодно. Нажимаешь «Войти через Steam», открывается знакомое окно с адресной строкой steamcommunity.com и зелёным замком. Вводишь логин, пароль, код из приложения. Аккаунт больше не твой.

Фокус в том, что окно нарисовано прямо внутри страницы. Адресная строка в нём — картинка. Схема называется browser-in-the-browser и выглядит абсолютно достоверно.

Проверка занимает секунду: попробуй перетащить это окно мышкой за пределы вкладки браузера. Настоящее отдельное окно выйдет за границу, нарисованное упрётся в край страницы. Второй способ — открывать площадки только из своих закладок.

2. Подмена предложения обмена

Вы договорились, тебе пришёл оффер. Ты его открыл, что-то пошло не так — «отменилось, отправляю заново». Приходит новый, ты подтверждаешь. Только теперь это другой аккаунт с точно таким же ником, аватаром и уровнем.

Ник и аватар в Steam меняются за пять секунд, скопировать чужой профиль ничего не стоит. Единственное, что подделать нельзя, — постоянный SteamID.

Поэтому в мобильном подтверждении смотри на профиль партнёра, а не на картинку. Если предложение исчезло и появилось новое — останавливайся и перепроверяй всё с нуля, это самый частый момент подмены.

3. Фейковый бот площадки

Ты собрался продать скин на известном сервисе. Тебе прилетает предложение обмена от «бота» этой площадки — раньше, чем ты успел что-то сделать в личном кабинете. Или сразу после, но от другого профиля.

Настоящий бот присылает оффер только в ответ на операцию, которую ты начал сам на сайте. Если предложение пришло первым или ты его не инициировал — это копия.

Проверка: на сайте площадки всегда опубликованы SteamID их ботов. Сверь идентификатор из пришедшего предложения с этим списком. Уровень аккаунта, дата регистрации и комментарии +rep ничего не доказывают — их накручивают.

4. API-скам

Самая неприятная схема, потому что к моменту, когда ты её замечаешь, доступ к твоему аккаунту уже у чужих людей. Работает так: злоумышленник, получив доступ, отменяет твой настоящий обмен и мгновенно создаёт визуально идентичный от подставного аккаунта. Ты подтверждаешь в приложении и отправляешь предметы не туда.

Название прижилось из-за Steam Web API key, через который это автоматизируют, но суть не в ключе. Суть в том, что аккаунт или устройство уже скомпрометированы, а ключ — просто удобный инструмент.

Поэтому удалить API-ключ недостаточно. Если ты подозреваешь эту схему, нужно проходить весь сценарий восстановления: с чистого устройства сменить пароль почты, потом пароль Steam, завершить все активные сессии, проверить компьютер антивирусом и только потом отозвать ключ на steamcommunity.com/dev/apikey.

5. «Проверочный обмен» и посредник

Тебе предлагают отправить скин «на проверку подлинности», «для подтверждения, что предмет не заблокирован» или «гаранту сделки». Никакой из этих процедур в Steam не существует. Подлинность предмета проверяется просмотром в инвентаре, блокировка видна в его описании.

Отдельный подвид — «администратор просит передать предмет для разбирательства». Поддержка Steam никогда не пишет первой, не просит передать вещи сотруднику и не связывается через чат Steam или Discord.

6. Вход по QR-коду

Steam умеет логинить по QR-коду: сканируешь мобильным приложением — входишь на компьютере. Мошенники разворачивают этот механизм обратно: показывают тебе свой QR-код под любым предлогом («подтверди участие», «проверка античита»), ты его сканируешь и логинишь их на своём аккаунте.

Правило: сканируй QR-код только тогда, когда ты сам открыл экран входа на своём компьютере и видишь код там. Чужой QR-код не сканируется никогда и ни под каким предлогом.

Что проверять перед каждым подтверждением

Пять секунд на эти пункты дешевле, чем восстановление аккаунта. Смотри постоянный SteamID партнёра, а не ник и аватар. Проверяй состав обмена в обе стороны — что уходит и что приходит. Убеждайся, что ты сам начал эту операцию. Останавливайся, если предложение отменилось и пришло похожее новое. И не подтверждай ничего, пока тебя торопят.

Если уже отправил или ввёл данные

Действуй по порядку и с чистого устройства. Сначала почта: смени пароль на ней, потому что через неё восстанавливают Steam. Потом пароль Steam и завершение всех активных сессий в настройках безопасности.

Дальше — проверка компьютера антивирусом, отзыв Steam Web API key и просмотр истории обменов: там видно, куда ушли предметы и с какого аккаунта пришло предложение.

Сохрани ссылки на профили, скриншоты переписки и номер обмена — это то, с чем имеет смысл идти в официальную поддержку на help.steampowered.com. Возврат украденных предметов Valve делает крайне редко, поэтому главная задача — остановить дальнейшие потери.