Jak sprawdzić czy link Steam jest bezpieczny: phishing krok po kroku

Domenę czytaj od końca

To główny trik, który ratuje konta. Prawdziwa domena to dwie ostatnie części adresu przed pierwszym ukośnikiem, i czytać je trzeba od końca, nie od początku.

Przykład: steamcommunity.com.login-verify.ru/market wygląda wiarygodnie, bo zaczyna się od steamcommunity.com. Ale czytając od końca widzisz, że domeną jest login-verify.ru, a steamcommunity.com to tylko subdomena, którą może nazwać dowolnie każdy, kto kupił tę domenę.

Inny trik to podmiana znaków: litera z innego alfabetu wyglądająca identycznie, dodatkowy myślnik, „i" zamiast „l", cyfra zamiast litery. Na pierwszy rzut oka niczego nie zauważysz.

Prawdziwe domeny Steam to: steamcommunity.com, store.steampowered.com, help.steampowered.com, steampowered.com. Wszystko inne to nie Steam, choćby wyglądało identycznie.

Podrobione okno logowania

Najgroźniejszy wariant: okno logowania Steam narysowane jest wewnątrz samej strony. Ma tytuł, przyciski, nawet pasek adresu z zieloną kłódką — i to wszystko to tylko obrazek.

Test zajmuje sekundę: spróbuj przeciągnąć to „okno" myszką poza kartę przeglądarki. Prawdziwe osobne okno wyjedzie poza ekran, narysowane zatrzyma się na krawędzi strony.

Druga próba: rozwiń okno na cały ekran. Prawdziwe zachowa się jak okno systemu operacyjnego, podrobione zostanie kawałkiem strony internetowej.

Dlaczego kłódka w przeglądarce nic nie znaczy

Ikonka kłódki mówi tylko jedno: połączenie jest szyfrowane. Nie mówi, że strona jest prawdziwa.

Certyfikat pod szyfrowanie dziś dostaje się za darmo w kilka minut na dowolną domenę, łącznie z tą przygotowaną pod oszustwo. Kłódkę ma każdy, również phishing.

Podobnie z wyglądem: design kopiuje się w całości, razem z animacjami. Jedyną naprawdę pewną kontrolą pozostaje sam adres.

Skąd biorą się takie linki

Fałszywe adresy prawie nigdy nie przychodzą z wyszukiwarki — trafiają na Discorda i do komunikatorów, pod postem o sprzedaży, na prywatnej wiadomości albo w serwerze udającym oficjalną społeczność platformy.

Schemat jest zawsze podobny: pilna okazja, obiecana wygrana albo prośba o „potwierdzenie transakcji" z linkiem, który trzeba kliknąć od razu. Im większy pośpiech w wiadomości, tym większe prawdopodobieństwo, że to podpucha.

Osobno o kodach QR

Steam umożliwia logowanie kodem QR: skanujesz aplikacją mobilną i logujesz się na komputerze. Oszuści odwracają tę mechanikę.

Pokazują ci cudzy kod QR pod dowolnym pretekstem: potwierdzenie udziału, weryfikacja, odebranie nagrody. Zeskanujesz — i logujesz obcą osobę na swoje konto.

Zasada jest prosta: skanuj QR tylko wtedy, gdy sam otworzyłeś ekran logowania na swoim komputerze i widzisz kod właśnie tam. Cudzego kodu QR nie skanuje się nigdy.

Jeśli dane już zostały wpisane

Działaj natychmiast i z czystego urządzenia. Zmień hasło do poczty powiązanej ze Steam, potem hasło samego Steam, zakończ wszystkie aktywne sesje w ustawieniach bezpieczeństwa.

Sprawdź klucz Steam Web API na steamcommunity.com/dev/apikey i odwołaj go, jeśli coś tam jest. Przejrzyj historię wymian i aktywne oferty.

Przeskanuj komputer antywirusem — strona phishingowa często idzie w komplecie z propozycją pobrania czegoś dodatkowego.