Steam

[Сильвер_79 9 958]

Мне тут странная СМСка пришла от Steam.

Цитата

Steam: Use code (набор букв и цифр) to change credentials for your account.

Типа, используйте код для изменения данных аккаунта. Я ничего не менял, на новых устройствах в Стим не заходил. Код восстановления в мобильном приложении остался тот же самый. Кому-нибудь что-то подобное приходило? Может это как-то связано с утечкой данный о номерах телефонов? Я х.з.

[Freeman665 7 858]

В 20.06.2025 в 22:35, PermResident сказал:

а мне вот интересно, у них РЕАЛЬНО на всё это есть права, а не окажется в один прекрасный день “ой, извините, данные продукты недоступны по требованию реальных правообладателей”.

думается, реальные правообладатели, вроде Руссобит-М, давно не при делах.

[0wn3df1x 4 772]

55 минут назад, Сильвер_79 сказал:

Мне тут странная СМСка пришла от Steam.

Типа, используйте код для изменения данных аккаунта. Я ничего не менял, на новых устройствах в Стим не заходил. Код восстановления в мобильном приложении остался тот же самый. Кому-нибудь что-то подобное приходило? Может это как-то связано с утечкой данный о номерах телефонов? Я х.з.

SMS - это доказательство того, что одна из линий обороны аккаунта в виде привязки к телефону отработала штатно.

Злоумышленник, зная логин или привязанный телефон, зашел на страницу восстановления Steam и нажал “Я не помню пароль”. Система Steam, как и положено, отправила код подтверждения на единственный известный ей и доверенный канал связи - телефон. На этом для атакующего все и закончилось, потому что кода у него нет.

Наиболее вероятный сценарий - это автоматизированная атака, известная как credential stuffing (атака с подстановкой учетных данных). Т.е. у злоумышленников есть логин или телефон. Смысл этой автоматизированной атаки в том, чтобы провести массовую разведку боем и найти слабые звенья в огромном списке.

Цели на этом этапе очень просты:

1. Бот выясняет: а существует ли вообще такой аккаунт в Steam? Если система инициирует отправку SMS, значит, логин или телефон верный и аккаунт активен. Аккаунт теперь в их базе помечен как живой и ценный для будущих атак.
2. Бот не пытается обойти SMS-защиту. Он ищет тех, у кого ее нет. Из миллиона проверенных аккаунтов найдутся тысячи, где:
   • Телефон не привязан, а привязана только старая, давно взломанная почта.
   • Пароль от почты совпадает с утекшим паролем от какого-нибудь форума.
   • Вообще не включена двухфакторная аутентификация.
3. Создание фундамента для фишинга. Иногда эта атака - первый шаг. Человек получает SMS, начинает волноваться. А через час ему на почту приходит поддельное письмо “от поддержки Steam” с темой “Замечена подозрительная активность, срочно защитите аккаунт!”. В панике человек может щелкнуть на фишинговую ссылку и сам отдаст все данные.

Проще говоря, злоумышленники действуют как рыболов с огромной сетью. Они не охотятся за конкретной рыбой, а просто закидывают сеть и смотрят, кто в нее попадется. 

---

Но вообще, инструкции  по гигиене известны:

• Сложный пароль. На разных аккаунтах — разный.
• Сложнее всего должна быть защита на электронной почте.
• Должен быть включен Steam Guard. 
   

Могу добавить ещё:

• Всегда стоит проверить Api-ключ Steam. Это важный и неочевидный шаг, о котором многие не знают. Продвинутые мошенники, получив кратковременный доступ к аккаунту, могут сгенерировать специальный ключ разработчика (Web API Key). Этот ключ позволяет им манипулировать обменами, даже не заходя в аккаунт. Они могут отменять реальные трейды и мгновенно подсовывать поддельные с аккаунта-клона.
  
  Проверяется тут: https://steamcommunity.com/dev/apikey
  
  Если человек не разработчик и не пользуется сервисами, которые требуют API ключ, то поле ключа должно быть у него пустым. Если там что-то есть - нужно немедленно нажать кнопку “Отозвать мой ключ Steam Web API”.  Ибо эта скрытая угроза не исчезает после смены пароля.

Изменено 22 июня, 2025 пользователем 0wn3df1x

[Сильвер_79 9 958]

@0wn3df1x спасибо! Примерно что-то подобное и предполагал, но все же в таких вопросах лучше перебдеть. 

8 часов назад, 0wn3df1x сказал:

Проверяется тут: https://steamcommunity.com/dev/apikey

По ссылке предлагают только “Зарегистрировать новый ключ веб-API Steam”. Есть кнопка “Зарегистрировать”. Никаких данных о ключе нет.

[0wn3df1x 4 772]

12 минут назад, Сильвер_79 сказал:

@0wn3df1x спасибо! Примерно что-то подобное и предполагал, но все же в таких вопросах лучше перебдеть. 

По ссылке предлагают только “Зарегистрировать новый ключ веб-API Steam”. Есть кнопка “Зарегистрировать”. Никаких данных о ключе нет.

Значит хитроумные хакеры никогда к аккаунту не пробивались. Метод с API один из самых тонких.
Именно из-за его реализации (в прошлом) в Steam была добавлена необходимость подтверждать создание ключа через Guard.

[Star_Wiking 983]

12 часов назад, 0wn3df1x сказал:

Проверяется тут: https://steamcommunity.com/dev/apikey

А через сам клиент как это посмотреть? не хочу заходить на аккаунт через интернет браузер (что во много уменьшает безопасность аккаунта, имхо).

[0wn3df1x 4 772]

48 минут назад, Star_Wiking сказал:

А через сам клиент как это посмотреть? не хочу заходить на аккаунт через интернет браузер (что во много уменьшает безопасность аккаунта, имхо).

Без понятия, т.к. это связано не с клиентом, а с разработкой.

[lordik555 3 486]

1 час назад, Star_Wiking сказал:

не хочу заходить на аккаунт через интернет браузер (что во много уменьшает безопасность аккаунта, имхо).

В Steam вообще заходить вредно. Сразу появляется желание набрать всего в корзину по скидкам, да побольше Ну и по классике потом не запускать это.

 

[edifiei 6 283]

17 часов назад, Сильвер_79 сказал:

Мне тут странная СМСка пришла от Steam.

Типа, используйте код для изменения данных аккаунта. Я ничего не менял, на новых устройствах в Стим не заходил. Код восстановления в мобильном приложении остался тот же самый. Кому-нибудь что-то подобное приходило? Может это как-то связано с утечкой данный о номерах телефонов? Я х.з.

Это довольно массовая проблема если судить по форуму стима,скорей всего придёт ещё не раз.

например вот 

https://steamcommunity.com/discussions/forum/26/4843148768110689919/

и вот

https://steamcommunity.com/discussions/forum/26/4690027546079235973/

 

 

Изменено 23 июня, 2025 пользователем edifiei

[edifiei 6 283]

3 часа назад, Star_Wiking сказал:

А через сам клиент как это посмотреть? не хочу заходить на аккаунт через интернет браузер (что во много уменьшает безопасность аккаунта, имхо).

https://steamcommunity.com/discussions/forum/26/3758853316854800468/

Тут в 1 посте темы ссылка она в клиенте открывается. 

 

В 20.06.2025 в 22:35, PermResident сказал:

а мне вот интересно, у них РЕАЛЬНО на всё это есть права, а не окажется в один прекрасный день “ой, извините, данные продукты недоступны по требованию реальных правообладателей”.

Многое они на западе издавали,так что имхо права у них вполне могут быть) 

Изменено 23 июня, 2025 пользователем edifiei

[0wn3df1x 4 772]

3 часа назад, lordik555 сказал:

В Steam вообще заходить вредно. Сразу появляется желание набрать всего в корзину по скидкам, да побольше Ну и по классике потом не запускать это.

В четверг начнётся очередная летняя распродажа. Я в очередной раз буду напоминать про моё второе расширение.
Правда оно сейчас стало ещё лучше для распродаж, особенно если пользователь из российского региона.

[SerGEAnt 23 583]

4 часа назад, Star_Wiking сказал:

не хочу заходить на аккаунт через интернет браузер (что во много уменьшает безопасность аккаунта, имхо).

На Зог тоже советую заходить через клиент стима для безопасности.

[Star_Wiking 983]

2 часа назад, SerGEAnt сказал:

На Зог тоже советую заходить через клиент стима для безопасности.

Есть одно но, на Зог у меня нет “кошелька” с деньгами.

[edifiei 6 283]

https://store.steampowered.com/app/252410/SteamWorld_Dig/

Раздают.

[PermResident 2 710]

21 час назад, Сильвер_79 сказал:

Мне тут странная СМСка пришла от Steam.

Типа, используйте код для изменения данных аккаунта. Я ничего не менял, на новых устройствах в Стим не заходил. Код восстановления в мобильном приложении остался тот же самый. Кому-нибудь что-то подобное приходило?

мне пришло 21.06. Прочитал и забил. Все защиты включены, поэтому я не парюсь.
Логин нигде открыто не палил, нигде не захожу через Стим, за исключением… пополнения кошелька. Грешу на них, возможно они сливают базы пополняющих. Ничего нового, так и живем.