API-скам — это распространенная и хитрая схема мошенничества в Steam, созданная для кражи ваших ценных игровых предметов. Несмотря на использование технических терминов, этот обман строится на невнимательности самого пользователя.
Запомните главное правило: сам по себе API-ключ не может завершить обмен. Каждая сделка в любом случае требует вашего финального подтверждения через мобильное приложение Steam Guard.
Шаг 1: Как подготавливается обман
Схема начинается с того, что пользователя заманивают на фишинговый (поддельный) сайт — например, «рулетку», сайт с «бесплатными скинами» или фейковую торговую площадку. Чтобы войти на сайт, вас просят авторизоваться: «Войти через Steam». Страница входа выглядит точь-в-точь как официальная, но она фальшивая. Когда вы вводите там свой логин, пароль и код Steam Guard, мошенники мгновенно перехватывают эти данные.
С помощью специального скрипта злоумышленники сразу же заходят в ваш реальный аккаунт и создают уникальный ключ Steam Web API. Этот ключ позволяет им в режиме реального времени отслеживать все ваши входящие и исходящие предложения обмена.
(Изображение 1: Страница «Регистрация ключа доступа к Steam Web API». Мошенники используют эту страницу для создания ключа, с помощью которого они будут следить за вашими обменами.)
Шаг 2: Ловушка захлопывается (Перехват обмена)
Получив API-ключ, мошенники просто ждут. Как только вы инициируете обмен с реальным партнером (например, отправляете скины другу или легитимному торговому боту), скрипт мошенников моментально это фиксирует. За доли секунды он производит подмену:
Он отменяет ваш исходный, честный обмен.
Он создает копию этого обмена, которая выглядит идентично. Этот фейковый обмен отправляется с аккаунта-пустышки, который мгновенно копирует аватар и никнейм вашего оригинального партнера по сделке.
Вы открываете телефон, чтобы подтвердить обмен, видите знакомый аватар и имя, после чего нажимаете «Подтвердить». В этот момент вещи уходят мошеннику.
(Изображение 2: История обменов после скама. Настоящее предложение отменено (красный крестик), а фейковое — принято (зеленая галочка). Оба действия происходят практически одновременно.)
Шаг 3: Как распознать фейк и защитить себя
Критический момент всей схемы — это финальная проверка обмена на вашем телефоне. Не торопитесь. Фейковый аккаунт мошенников не способен скопировать абсолютно все данные.
Перед тем как нажать кнопку подтверждения, проверьте следующие детали аккаунта, которому вы отправляете вещи:
Уровень Steam: У реальных партнеров (друзей, крупных торговых площадок) уровень обычно высокий (например, 50+). Боты мошенников почти всегда имеют 0-й или 1-й уровень.
Дата создания аккаунта: Ее невозможно подделать. Если вы меняетесь со «старым другом», а его аккаунт в подтверждении создан вчера — вас пытаются обмануть.
История никнеймов: Нажмите на имя пользователя. У мошенников там часто отображается множество быстрых смен имен за короткий срок либо история пуста.
(Изображение 3: Экран подтверждения в мобильном приложении. Проверяйте уровень пользователя, дату создания аккаунта и историю имен — это три критически важные точки проверки.)
Шаг 4: План экстренных действий (Если аккаунт скомпрометирован)
Если вы подозреваете, что мошенники создали API-ключ в вашем аккаунте, строго в указанном порядке выполните следующие действия, чтобы вернуть контроль:
Отозовите API-ключ: Перейдите на страницу Steam API Key и нажмите «Отозвать мой ключ доступа к Steam Web API» (Revoke my Steam Web API key). Поле для ключа должно остаться пустым.
Выйдите со всех устройств: Зайдите в настройки Steam Guard и нажмите «Выйти на всех других устройствах» (Deauthorize all other devices). Это мгновенно прервет сессию мошенников, если они сидят в вашем аккаунте.
Смените пароли: Измените пароль от своего аккаунта Steam, а также пароль от привязанной к нему электронной почты.
(Изображение 4: Шаг 1: Отзыв API-ключа. Нажатие кнопки «Да, отозвать ключ» (Yes, Revoke Key) необходимо для того, чтобы отключить инструмент слежки мошенников.)
(Изображение 5: Управление Steam Guard. Используйте кнопку «Выйти на всех других устройствах» (Deauthorize all other devices), чтобы принудительно разлогинить ваш аккаунт на всех компьютерах и телефонах, перекрыв доступ мошенникам.)