لسنوات، كانت النصيحة القياسية لأمان ستيم بسيطة: "لا تعطِ كلمة مرورك أبدًا، ولا تعطِ رمز المصادقة الثنائية من تطبيقك المحمول." بينما لا تزال هذه النصيحة صحيحة، وجد المحتالون طريقة مرعبة في البساطة لتجاوز هاتين الخطوتين في وقت واحد باستخدام ميزة صُممت للراحة: ماسح رمز الاستجابة السريعة (QR) في تطبيق ستيم المحمول.
هذه الطريقة، التي يُشار إليها غالبًا باسم "الاستيلاء على البث" أو "التصيد عبر رمز الاستجابة السريعة"، أصبحت منتشرة بشكل لا يصدق في مجتمع CS2. إليك بالضبط كيف تعمل ولماذا يجب أن لا تمسح رمز استجابة سريعة عشوائيًا باستخدام تطبيق ستيم الخاص بك.
الخلل في ميزة الراحة
عند تسجيل الدخول إلى ستيم على جهاز كمبيوتر جديد، لديك خيار مسح رمز الاستجابة السريعة المعروض على الشاشة باستخدام تطبيق ستيم المحمول. هذه ميزة رائعة للراحة. تنقل جلسة تسجيل دخولك المصادق عليها من هاتفك إلى الكمبيوتر بأمان دون الحاجة إلى كتابة كلمة مرور أو رمز المصادقة الثنائية.
ومع ذلك، تفترض هذه الميزة أن الشاشة التي تعرض رمز الاستجابة السريعة هي شاشتك أنت. يستغل المحتالون هذا الافتراض.
إذا قمت بمسح رمز استجابة سريعة تم إنشاؤه بواسطة كمبيوتر محتال، فأنت تمنح على الفور جهاز الكمبيوتر الخاص به وصولًا كاملاً ومصدقًا إلى حساب ستيم الخاص بك.
كيف تتكشف عملية الاحتيال
يعتمد هذا الاحتيال بشدة على الإلحاح والجشع ووهم الشرعية، وعادة ما يحدث على منصات البث مثل تويش أو يوتيوب.
1. البث المزيف (الطُعم)
سيقوم المحتالون بإعداد بث مباشر على Twitch أو YouTube. لجعله يبدو شرعيًا، سيقومون بما يلي:
- استخدام اسم وشعار لاعب محترف مشهور (مثل s1mple أو m0NESY) أو منظم بطولة رئيسي (مثل ESL أو PGL).
- إعادة بث تسجيل قديم (VOD) لهذا اللاعب أو البطولة حظي بمشاهدات عالية، لجعل البث يبدو نشطًا وشعبيًا.
- استخدام برامج رفع المشاهدات (view-bots) لزيادة عدد المشاهدين بشكل مصطنع إلى الآلاف، مما يدفع البث المزيف إلى صدارة قائمة CS2.
2. الإغراء (الخطاف)
سيتم وضع رسومات كبيرة فوق لقطات اللعب المسروقة هذه، تَعِدُ بتوزيع هدايا. ستقول شيئًا مثل:
- "!DROP - امسح لتحصل على سكين مجاني"
- "مكافآت مشاهدات بطولة ESL الكبرى - امسح رمز QR لربط حسابك"
- "توزيع هدايا وداع s1mple - امسح للمشاركة"
بجانب النص سيكون هناك رمز QR كبير وواضح.
3. التنفيذ (الفخ)
يعتمد الاحتيال على تصرفك بسرعة قبل التفكير.
- معتقدًا أنك تشاهد بثًا رسميًا وراغبًا في الحصول على سكنات مجانية، تفتح تطبيق Steam على هاتفك المحمول.
- تفتح ماسح رمز QR داخل التطبيق وتوجهه نحو شاشتك.
- سيطلب منك تطبيق Steam تأكيد تسجيل الدخول. لأنك تعتقد أنك "تربط" حسابك بالبث للحصول على مكافأة، تضغط على "تأكيد".
الحقيقة: تم إنشاء رمز QR على البث ديناميكيًا بواسطة سكريبت تسجيل دخول آلي للمحتال على خادمه. عندما ضغطت على تأكيد، لم تربط حسابك بتوزيع هدايا؛ بل سمحت لخادم المحتال بتسجيل الدخول إلى حسابك على Steam.
4. العواقب
نظرًا لأن المحتال استخدم طريقة تسجيل الدخول عبر رمز الاستجابة السريعة، فقد تجاوز كلمة مرورك ورمز المصادقة الثنائية القياسي الخاص بك. أصبح لديه الآن جلسة نشطة ومُعتمدة. في غضون ثوانٍ، ستقوم البرامج النصية الآلية بتجريد حسابك من أي عناصر قابلة للتداول، وتوجيهها عبر شبكة من الحسابات الوسيطة.
كيفية حماية نفسك
الدفاع ضد هذا الاحتيال يتطلب تغييرًا صارمًا في العادات المتعلقة بتطبيق Steam للهاتف المحمول.
- القاعدة الذهبية لرموز الاستجابة السريعة: ماسح رمز الاستجابة السريعة في تطبيق Steam للهاتف المحمول له غرض واحد فقط: تسجيل الدخول إلى برنامج Steam الرسمي أو الموقع الرسمي
steamcommunity.comعلى شاشة مادية تتحكم فيها أنت. - لا تمسح رمز استجابة سريعة من فيديو، أو بث مباشر، أو رسالة على Discord، أو موقع ويب خارجي أبدًا.
- المكافآت الرسمية لا تعمل بهذه الطريقة. المكافآت المشروعة من البطولات أو عمليات التكامل مع المنصات (مثل ربط Steam بـ Twitch) تتم من خلال ربط OAuth الآمن عبر واجهة برمجة التطبيقات (النقر على زر يعيد توجيهك إلى صفحة تسجيل دخول آمنة لـ Steam)، وأبدًا عبر مسح رمز استجابة سريعة في بث فيديو.
- تحقق من البثوث المباشرة: إذا ادعى بث مباشر أنه يقدم عناصر من لاعب مشهور، تحقق من اسم القناة بعناية. غالبًا ما تحتوي القنوات المزيفة على أخطاء إملائية طفيفة أو تفتقر إلى علامة "التحقق" الرسمية الموجودة على المنصات المشروعة.
إن راحة تسجيل الدخول عبر رمز الاستجابة السريعة رائعة لأجهزتك الخاصة، لكنها سلاح مُحَمَّل إذا تم توجيهه نحو الشاشة الخطأ. عامل ماسح رمز الاستجابة السريعة لـ Steam بنفس الحذر الشديد الذي تتعامل به عند تسليم هاتفك المادي إلى شخص غريب.
