Мошенники в Steam: как крадут скины и как защититься
Мошенники в Стиме (Steam) крадут скины четырьмя основными способами: поддельная страница входа, ключ Steam Web API для подмены обменов, «сотрудник поддержки» или «посредник» в личных сообщениях и обещание заплатить вне Steam. Общее у всех одно: вас торопят и уводят с настоящего сайта. Пароль и коды Steam Guard не нужны никому, включая поддержку Steam.
| Схема | Как выглядит | Как распознать |
|---|---|---|
| Поддельный вход | Ссылка на «турнир», «голосование за команду», «бесплатный скин» открывает окно входа Steam | В адресной строке не steamcommunity.com |
| Подмена обмена | Вы ждёте обмен от магазина или друга, а приходит такой же от аккаунта с тем же именем и аватаром | У отправителя другой уровень и дата регистрации, в приложении другой получатель |
| «Сотрудник Steam» | Пишут, что на вас подана жалоба, и просят передать предметы «на проверку» | Поддержка Steam не пишет в чат и ничего не забирает |
| Посредник | Вам предлагают сделку через «проверенного гаранта» | Гаранта привёл сам покупатель |
| Оплата вне Steam | Просят отправить скин первым, присылают снимок экрана с переводом | Денег на счёте нет, есть только картинка |
| Вход по QR-коду | Просят отсканировать код приложением Steam, «чтобы подтвердить участие» | Сканирование кода это вход в ваш аккаунт с чужого устройства |
Поддельная страница входа
Самая частая схема. Вам присылают ссылку: проголосовать за команду друга, забрать приз, посмотреть инвентарь. Сайт предлагает войти через Steam и показывает окно, неотличимое от настоящего. Вы вводите логин, пароль и код Steam Guard, и все три сразу уходят вору.
Как проверить окно входа:
- Адрес должен быть steamcommunity.com или store.steampowered.com, без лишних букв и дефисов.
- Настоящее окно это отдельное окно браузера: его можно вытащить за край страницы. Поддельное нарисовано внутри сайта и за его пределы не выходит.
- Если вы уже вошли в Steam в этом браузере, настоящая страница не спросит пароль заново, а покажет кнопку входа под вашим именем.
Ключ Steam Web API и подмена обмена
Эта схема опасна тем, что срабатывает через дни после взлома, когда вы уже сменили пароль и успокоились.
- Вор получает доступ к аккаунту через поддельный вход.
- Он создаёт на вашем аккаунте ключ Steam Web API. Ключ позволяет программе видеть ваши предложения обмена и отменять их.
- Вы отправляете обычный обмен: магазину, другу, покупателю.
- Программа вора отменяет его и тут же присылает точно такой же от поддельного аккаунта с тем же именем и аватаром.
- Вы подтверждаете обмен в приложении, не заметив подмены.
Проверить просто: откройте адрес steamcommunity.com/dev/apikey. Если вы ничего не создавали, а ключ там есть, отзовите его и смените пароль. Обычному игроку этот ключ не нужен вообще.
«Сотрудник Steam» и ложная жалоба
Вам пишет незнакомец: он «случайно пожаловался на ваш аккаунт», и теперь его заблокируют. Чтобы спастись, надо срочно написать «администратору» и передать ему предметы на хранение. Всё это спектакль из двух аккаунтов.
Поддержка Steam работает только через страницу поддержки на сайте Steam. Она не пишет в чат, не просит предметы и не проверяет их «на подлинность».
Что делать, если аккаунт взломали
Время важно: у отмены обменов есть срок.
- Смените пароль на настоящем сайте Steam.
- Завершите все сеансы на других устройствах в настройках Steam Guard.
- Отзовите ключ Steam Web API на странице
steamcommunity.com/dev/apikey. - Создайте новую трейд-ссылку. Старая перестанет работать. Как это сделать, описано в статье «Где найти трейд-ссылку в Steam».
- Обратитесь в поддержку Steam и отмените обмены. Для предметов CS2 это возможно в течение 7 дней после обмена. Как это устроено, рассказано в статье «Защита обмена Steam».
- Проверьте почту. Смените пароль от почты, к которой привязан Steam, и включите на ней защиту вторым шагом.
После отмены обменов и смены пароля Steam на время запрещает обмены. Сроки собраны в статье «Трейд-бан в Steam».
Пять привычек, которые закрывают почти всё
- Включите мобильный аутентификатор Steam Guard.
- Не входите в Steam по ссылкам из сообщений. Нужен сайт: наберите его адрес сами.
- Перед подтверждением обмена в приложении читайте, кому и что уходит.
- Никому не сообщайте пароль и коды: ни Steam Guard, ни из почты, ни из Telegram.
- Не отправляйте предмет первым человеку, которого не знаете.
Как это относится к нам
Мы не спрашиваем пароль и коды Steam Guard: для покупки нужна только трейд-ссылка, для продажи вход на странице самого Steam. Обмен открывайте кнопкой на странице заказа или по ссылке из нашего бота. Что проверяем мы и что стоит проверить вам, расписано в статье «Безопасность сделки». Свою трейд-ссылку можно проверить в инструменте «Проверка трейд-ссылки».
Вопросы и ответы
Что делать, если мошенники украли скины в Стиме?
Сразу смените пароль, завершите все чужие сеансы, отзовите ключ Steam Web API и создайте новую трейд-ссылку. Затем обратитесь в поддержку Steam: предметы CS2, ушедшие обменом за последние 7 дней, можно вернуть через отмену обменов.
Может ли сотрудник Steam написать мне в личные сообщения?
Нет. Поддержка Steam не пишет в чат, в Discord и в Telegram и не просит передать предметы «на проверку». Любой такой собеседник это мошенник, как бы убедительно ни выглядел его профиль.
Как понять, что сайт входа в Steam поддельный?
Смотрите на адресную строку: настоящий вход идёт только на steamcommunity.com и store.steampowered.com. Окно входа, которое нельзя вытащить за пределы страницы, нарисовано самим сайтом и является подделкой.
Опасно ли давать трейд-ссылку?
Нет. По трейд-ссылке можно только прислать вам предложение обмена, а принять его можете только вы. Опасно другое: пароль, коды Steam Guard и вход по ссылкам из сообщений.
Вернёт ли Steam украденные скины?
Для предметов CS2 действует защита обмена: в течение 7 дней после обмена владелец может отменить свои недавние обмены через поддержку. После этого срока обмен окончательный, и вернуть предметы не получится.