Como não cair em golpe de skins na Steam: seis esquemas reais
Quase nenhum desses golpes quebra a Steam tecnicamente. Todos quebram a pessoa: apressam, mostram uma tela conhecida e contam com você confirmando a troca sem olhar. Vamos aos seis que mais aparecem.
API scam, troca substituída, bot falso de plataforma, login falso da Steam. Como cada golpe funciona por dentro, o que conferir antes de confirmar e o que fazer se já enviou.
1. Janela de login falsa da Steam
Você chega num site — plataforma, sorteio, campeonato, tanto faz. Clica em «Entrar com Steam» e abre a janela conhecida, com a barra de endereço escrita steamcommunity.com e o cadeado verde. Você digita login, senha e o código do aplicativo. A conta deixou de ser sua.
O truque é que a janela está desenhada dentro da página. A barra de endereço dela é uma imagem. O golpe se chama browser-in-the-browser e é visualmente perfeito.
A checagem leva um segundo: tente arrastar essa janela com o mouse para fora da aba do navegador. A janela de verdade sai da borda; a desenhada trava no limite da página. Outra forma: entrar nas plataformas só pelos seus próprios favoritos.
2. Troca substituída
Vocês combinaram, a oferta chegou. Você abriu, algo deu errado — «cancelou, vou mandar de novo». Chega uma nova, você confirma. Só que agora é outra conta, com exatamente o mesmo apelido, a mesma foto e o mesmo nível.
Apelido e foto se trocam em cinco segundos na Steam, copiar um perfil não custa nada. A única coisa impossível de falsificar é a SteamID permanente.
Por isso, na confirmação do celular, olhe o perfil do parceiro, não a imagem. Se a oferta sumiu e apareceu outra parecida, pare e confira tudo do zero — esse é o momento exato da substituição.
3. Bot falso de plataforma
Você decidiu vender uma skin num serviço conhecido. Chega uma oferta de troca do «bot» dessa plataforma — antes de você ter feito qualquer coisa no site. Ou logo depois, mas vindo de outro perfil.
O bot de verdade só manda oferta em resposta a uma operação que você iniciou no painel dele. Se a oferta chegou primeiro, ou você não pediu por ela, é cópia.
Como conferir: as plataformas publicam no site a SteamID dos bots delas. Compare com a do perfil que te mandou a oferta. Nível da conta, data de criação e comentários «+rep» não provam nada — tudo isso se fabrica.
4. API scam
O golpe mais desagradável, porque quando você percebe, alguém já tem acesso à sua conta. Funciona assim: com o acesso em mãos, o golpista cancela a sua troca verdadeira e cria na hora uma idêntica vinda de uma conta laranja. Você confirma no aplicativo e manda os itens para o lugar errado.
O nome pegou por causa da Steam Web API key, usada para automatizar isso, mas o problema não é a chave. O problema é que a conta ou o computador já estão comprometidos, e a chave é só uma ferramenta conveniente.
Por isso apagar a chave não basta. Se você suspeita desse golpe, precisa fazer o roteiro completo: de um aparelho limpo, trocar a senha do e-mail, depois a da Steam, encerrar todas as sessões ativas, passar antivírus no computador e só então revogar a chave em steamcommunity.com/dev/apikey.
5. «Troca de verificação» e intermediário
Te pedem para mandar a skin «para verificar a autenticidade», «para confirmar que o item não está travado» ou «para o intermediário da negociação». Nenhum desses procedimentos existe na Steam. Autenticidade se confere abrindo o item no inventário; trava aparece na descrição dele.
Uma variação à parte: «o administrador pede o item para análise». O suporte da Steam nunca fala primeiro, nunca pede que você entregue coisas a um funcionário e não te procura pelo chat da Steam nem pelo Discord.
6. Login por QR code
A Steam permite entrar por QR code: você escaneia com o aplicativo e loga no computador. Os golpistas invertem isso: mostram o QR code deles com qualquer desculpa («confirma sua participação», «verificação anticheat»), você escaneia e loga a conta deles no seu aparelho — ou melhor, loga eles na sua.
Regra: escaneie QR code só quando foi você quem abriu a tela de login no seu computador e o código está ali. QR code dos outros não se escaneia nunca, sob desculpa nenhuma.
O que conferir antes de cada confirmação
Cinco segundos nesses itens saem mais barato que recuperar uma conta. Olhe a SteamID permanente do parceiro, não o apelido e a foto. Confira o conteúdo da troca nos dois sentidos — o que sai e o que entra. Confirme que foi você quem iniciou a operação. Pare se a oferta foi cancelada e chegou outra parecida. E não confirme nada enquanto estiverem te apressando.
- Nunca diga a ninguém o código de recuperação do Steam Guard.
- Entre nas plataformas de skins só pelos seus favoritos.
- Uma negociação de verdade sobrevive a dez minutos de pausa. Um golpe, não.
Se você já enviou ou já digitou os dados
Aja em ordem e de um aparelho limpo. Primeiro o e-mail: troque a senha dele, porque é por ali que se recupera a Steam. Depois a senha da Steam e o encerramento de todas as sessões ativas nas configurações de segurança.
Em seguida: antivírus no computador, revogação da Steam Web API key e leitura do histórico de trocas, onde aparece para onde foram os itens e de qual conta veio a oferta.
Guarde os links dos perfis, os prints da conversa e o número da troca — é com isso que faz sentido procurar o suporte oficial em help.steampowered.com. A Valve devolve item roubado muito raramente, então a prioridade é parar as perdas.
Perguntas frequentes
Um administrador da Steam pode pedir minha skin para verificar?
Não. O suporte da Steam não fala primeiro, não usa o chat e nunca pede que você entregue itens a um funcionário. Qualquer mensagem assim é golpe.
É perigoso abrir um link de inspeção?
O link em si é seguro, ele abre o item no jogo. Perigoso é digitar dados da Steam num site externo que possa abrir a partir dele.
Basta apagar a chave de API depois do golpe?
Não. Se a conta está comprometida, a chave é só uma das ferramentas. É preciso o roteiro completo: senha do e-mail, senha da Steam, encerrar sessões, checar o aparelho e só então revogar a chave.
Como saber se o bot da plataforma é verdadeiro?
Comparando a SteamID da oferta com a lista de bots publicada no site da plataforma. E confirmando que foi você quem iniciou a operação no painel.
A Steam devolve as skins roubadas?
Na esmagadora maioria dos casos, não. A Valve deixa claro que a recuperação de itens não é garantida, por isso toda a defesa está na prevenção.
Como remover a chave API da Steam e quando isso é urgente
Onde fica a Web API key, como revogar em um clique e por que só apagar a chave não resolve quando a conta já foi comprometida.
Ler guia
Como ativar o autenticador Steam Guard no celular: passo a passo
Instalar o app, vincular o número, guardar o código de recuperação e entender por que a troca ainda fica retida nos primeiros sete dias mesmo depois de ativar.
Ler guia