Co to jest API scam w Steam: jak działa podmiana wymiany

Co się naprawdę dzieje

Najpierw ktoś zdobywa dostęp do twojego konta. Przez fałszywą stronę logowania, złośliwe oprogramowanie na komputerze albo skradzioną sesję — sposób nie ma znaczenia, liczy się sam fakt.

Dalej rejestruje na twoim koncie klucz Steam Web API i uruchamia automat, który pilnuje twoich ofert wymiany.

Zaczynasz zwykłą transakcję. Automat błyskawicznie anuluje twoją prawdziwą ofertę i tworzy wizualnie identyczną — z tymi samymi przedmiotami, tym samym nickiem i awatarem, ale z podstawionego konta.

Widzisz znajomą ofertę, myślisz „odpadła, przyszła jeszcze raz”, potwierdzasz w mobilnej aplikacji. Przedmioty jadą w złe miejsce.

Kluczowy szczegół: Steam nie został złamany. Całe potwierdzenie zrobiłeś sam, swoim autentykatorem. Dlatego odzyskanie przedmiotów jest niemal niemożliwe.

Dlaczego nazwa wprowadza w błąd

Przez słowo „API” wiele osób myśli, że problem tkwi w kluczu i że wystarczy go usunąć. To nieprawda i to niebezpieczne przekonanie.

Klucz to tylko wygodne narzędzie do automatyzacji. Ktoś z pełnym dostępem do konta zrobi to samo bez niego, ręcznie. A nowy klucz stworzy minutę po tym, jak usuniesz stary.

Prawdziwy problem to przejęcie konta albo urządzenia. Dopóki to nie jest usunięte, jakiekolwiek działania wokół klucza nic nie dają.

Oznaki, że jesteś już pod kontrolą

Na stronie steamcommunity.com/dev/apikey widnieje klucz, którego nie tworzyłeś.

Oferta wymiany anuluje się i od razu przychodzi podobna — zwłaszcza jeśli powtarza się to kilkukrotnie.

W ustawieniach bezpieczeństwa widać aktywne sesje z nieznanych urządzeń albo z innych miast.

Na poczcie są maile o logowaniu, którego nie wykonałeś, albo o zmianie ustawień.

W historii wymian są operacje, których nie pamiętasz.

Kolejność ratowania konta

Tu kolejność liczy się bardziej niż szybkość — zrobione nie po kolei trzeba będzie powtarzać.

Pierwsze: zatrzymaj wszystkie bieżące operacje i odejdź od zainfekowanego urządzenia. Dalej pracuj z telefonu albo z cudzego czystego komputera.

Drugie: sprawdź swój komputer antywirusem. Jeśli siedzi tam wirus, zmiana haseł z niego nic nie da — nowe hasło wycieknie tak samo jak stare.

Trzecie: zmień hasło do poczty powiązanej ze Steam. To przez nią odzyskuje się dostęp, dlatego jest pierwsza w kolejce.

Czwarte: zmień hasło do Steam i zakończ wszystkie aktywne sesje w ustawieniach bezpieczeństwa.

Piąte: odwołaj klucz Web API. Dopiero teraz, gdy dostęp jest już zamknięty.

Szóste: sprawdź historię wymian, aktywne oferty i ustawienia — czy nie pojawiły się nowe powiązania.

Jak w ogóle w to nie wpaść

Jedyna pewna ochrona to nie oddawać dostępu. Wchodź na platformy przez własne zakładki, nie przez linki z wiadomości. Nie wpisuj danych Steam na stronach, które otworzyły się same. Nie uruchamiaj programów przysłanych na priv, nawet od znajomych — takie zaczepki najczęściej lądują na Discordzie.

I nawyk, który łapie schemat na ostatnim kroku: w mobilnym potwierdzeniu zawsze patrz na stały SteamID partnera, nie na nick i awatar. Jeśli oferta zniknęła i przyszła nowa — zatrzymaj się i sprawdź wszystko od zera. Właśnie w tym momencie schemat działa.