Jak nie dać się oszukać na skinach Steam: sześć realnych schematów

1. Fałszywe okno logowania Steam

Trafiasz na stronę — platforma, rozdanie, turniej, cokolwiek. Klikasz „Zaloguj przez Steam”, otwiera się znajome okno z paskiem adresu steamcommunity.com i zieloną kłódką. Wpisujesz login, hasło, kod z aplikacji. Konto przestaje być twoje.

Sztuczka polega na tym, że okno jest narysowane wewnątrz samej strony. Pasek adresu w nim to zwykły obrazek. Schemat nazywa się browser-in-the-browser i wygląda absolutnie wiarygodnie.

Sprawdzenie zajmuje sekundę: spróbuj przeciągnąć to okno myszką poza kartę przeglądarki. Prawdziwe osobne okno wyjedzie poza granicę, narysowane utknie na krawędzi strony. Drugi sposób — otwieraj platformy wyłącznie ze swoich zakładek.

2. Podmiana oferty wymiany

Umówiliście się, przyszła oferta. Otworzyłeś ją, coś poszło nie tak — „anulowało się, wysyłam jeszcze raz”. Przychodzi nowa, potwierdzasz. Tylko że teraz to inne konto, z dokładnie takim samym nickiem, awatarem i poziomem.

Nick i awatar w Steam zmienia się w pięć sekund, skopiowanie cudzego profilu nic nie kosztuje. Jedyne, czego nie da się podrobić, to stały SteamID.

Dlatego w mobilnym potwierdzeniu patrz na profil partnera, nie na obrazek. Jeśli oferta zniknęła i pojawiła się nowa, zatrzymaj się i sprawdź wszystko od nowa — to najczęstszy moment podmiany.

3. Fałszywy bot platformy

Zbierasz się sprzedać skina na znanym serwisie. Przychodzi ci oferta wymiany od „bota” tej platformy — wcześniej, zanim zdążyłeś cokolwiek zrobić w panelu, albo zaraz po, tylko od innego profilu.

Prawdziwy bot wysyła ofertę wyłącznie w odpowiedzi na operację, którą sam zacząłeś na stronie. Jeśli oferta przyszła pierwsza albo ty jej nie zainicjowałeś, to kopia.

Sprawdzenie: na stronie platformy zawsze są opublikowane SteamID jej botów. Porównaj identyfikator z przysłanej oferty z tą listą. Poziom konta, data rejestracji i komentarze z pochwałami niczego nie dowodzą — da się je łatwo nakręcić.

4. API scam

Najprzykrzejszy schemat, bo w chwili, gdy go zauważasz, dostęp do twojego konta już mają obcy ludzie. Działa tak: osoba, która zdobyła dostęp, anuluje twoją prawdziwą wymianę i błyskawicznie tworzy wizualnie identyczną z podstawionego konta. Potwierdzasz w aplikacji i wysyłasz przedmioty w złe miejsce.

Nazwa przyjęła się od Steam Web API key, przez który to automatyzują, ale sedno nie leży w samym kluczu. Sedno w tym, że konto albo urządzenie jest już przejęte, a klucz to tylko wygodne narzędzie.

Dlatego samo usunięcie klucza API nie wystarczy. Jeśli podejrzewasz ten schemat, trzeba przejść cały scenariusz odzyskiwania: z czystego urządzenia zmienić hasło do poczty, potem hasło do Steam, zakończyć wszystkie aktywne sesje, sprawdzić komputer antywirusem i dopiero potem odwołać klucz na steamcommunity.com/dev/apikey.

5. „Wymiana weryfikacyjna” i pośrednik

Proponują ci wysłać skina „do sprawdzenia autentyczności”, „na potwierdzenie, że przedmiot nie jest zablokowany” albo „do gwaranta transakcji”. Żadna z tych procedur w Steam nie istnieje. Autentyczność przedmiotu sprawdza się, patrząc na niego w ekwipunku, a blokadę widać wprost w jego opisie.

Osobna odmiana to „administrator prosi o przekazanie przedmiotu do wyjaśnienia sprawy”. Pomoc techniczna Steam nigdy nie pisze pierwsza, nie prosi o przekazanie rzeczy pracownikowi i nie kontaktuje się przez czat Steam ani przez Discord.

6. Logowanie przez kod QR

Steam umie logować przez kod QR: skanujesz go aplikacją mobilną i logujesz się na komputerze. Oszuści odwracają ten mechanizm: pokazują ci swój kod QR pod dowolnym pretekstem („potwierdź udział”, „sprawdzenie antycheatu”), a ty go skanujesz i logujesz ich na swoje konto.

Zasada: skanuj kod QR tylko wtedy, gdy sam otworzyłeś ekran logowania na swoim komputerze i widzisz kod tam. Cudzego kodu QR nie skanuje się nigdy i pod żadnym pretekstem.

Co sprawdzić przed każdym potwierdzeniem

Pięć sekund na te punkty jest tańsze niż odzyskiwanie konta. Patrz na stały SteamID partnera, nie na nick i awatar. Sprawdzaj skład wymiany w obie strony — co wychodzi i co przychodzi. Upewnij się, że to ty sam zacząłeś tę operację. Zatrzymaj się, jeśli oferta zniknęła i przyszła podobna nowa. I nie potwierdzaj niczego, kiedy ktoś cię popędza.

Jeśli już wysłałeś przedmioty albo podałeś dane

Działaj po kolei i z czystego urządzenia. Najpierw poczta: zmień na niej hasło, bo przez nią odzyskuje się dostęp do Steam. Potem hasło do Steam i zakończenie wszystkich aktywnych sesji w ustawieniach bezpieczeństwa.

Dalej — sprawdzenie komputera antywirusem, odwołanie klucza Steam Web API i przejrzenie historii wymian: widać w niej, dokąd trafiły przedmioty i z jakiego konta przyszła oferta.

Zachowaj linki do profili, zrzuty ekranu rozmowy i numer wymiany — z tym warto iść do oficjalnej pomocy na help.steampowered.com. Valve bardzo rzadko zwraca skradzione przedmioty, dlatego głównym celem jest zatrzymanie dalszych strat, nie odzyskanie tych już utraconych.