钓鱼站和假登录
怎么发生： 页面是照着做的。你打进去的账号密码直接到对方那里。没有手机令牌的话，他们往往马上登进去。有令牌也一样，登录信息已经在他们手里，后面更绕的手法从这里开始。
先看这些：
- 域名不对。 可能是
steamcommunty.com（少一个 n）、steampowered.com.ru，或者steam-login.com。地址栏要看。 - 链接来自非官方的地方。 正经服务不会要你点他们发来的链接去登 Steam。
- 网页上向你要 Steam 令牌码。 真正的 Steam 登录不会在网页里要手机令牌的验证码，那只出现在 App 里。
怎么少踩：
- 把真正的 Steam 页面存进书签。 只从书签或官方客户端登录。
- 用密码管理器。 域名对不上，它不会自动填充。
- 能开的两步验证都开上。 Steam 和邮箱都算。
交易报价里的调包
怎么发生： 对方先发一份对的，再取消，换一份图标颜色、轮廓接近、档次差很多的。嘴里催：「快点，还有别人在等。」你一赶，就不会逐行再看。
先看这些：
- 催你马上换。 正经交易会留时间让你看。
- 同一个人连着发好几份很像的报价。 取消再重发，本身就是信号。
- 窗口自己跳、自己刷新。 有人会刷聊天或反复勾选，把你的眼睛带走。
怎么少踩：
- 每一件都看。 名字、磨损、float，和说好的对一遍。
- 催就让他走。 真想成交的报价，五分钟后还在。
- 用交易窗口里的「与我的物品比较」。 它把对方给的和你库存里的那件并排放。
假中间人和现金拒付
假中间人： 通常是一组人。甲和你谈妥，再推荐中间人。乙去模仿一个有名的中间人，Steam 资料和 Discord 名字只差一点。皮给了假中间人，两个人一起消失。
拒付： 买家用的是被盗的 PayPal 或信用卡。你先看到钱。真正的持有人发现之后去争议，PayPal 通常把钱退给持卡人。皮没了，账户还可能是负的。
先看这些：
- 中间人先来找你。 真在忙的中间人不会主动揽活。
- 要你把饰品交给一个对不上本人主号的资料。 Twitch、Twitter、常出没的论坛，整条公开痕迹都对一遍。
- 亲友转账又要买家保护。 亲友转账是送礼，不是买卖，两件事对不上。
- 账号很新，或者付款方式很怪。
怎么少踩：
- 中间人由你去联系。 去他官方 Discord 或 Twitch，在那里说话。别人发来的链接不要信。
- 数字商品的托管如果要用，选做这个的服务。 会收费。
- 现金交易先把拒付算进去。 有卖家保护的市场，或者只和能核对多年现金交易记录的人换。PayPal 的商品和服务付款，默认还能被撤。
- 加密货币转出去就收不回。 拒付没了，风险换到付款那一侧。
API 密钥把报价换走
这是这几类里最绕的。你在上面那种钓鱼站登了号，两步验证开着。对方拿到登录，拿不到手机令牌，也不需要。他们要的是 Steam API 密钥。
怎么发生： 密钥挂上之后，你打算发给朋友的报价会被截住。你看到一份「新的」、看起来一样的报价，发送人已经不是朋友。你当是朋友接受了，饰品就走了。
先看这些：
- 报价来自你没想到的人，哪怕你刚刚才发给朋友。
- 你明明刚发过，打开却不是那一份。
- 以前登过一个来路不对的网站。
发现之后：
- 把别人在你号上的登录清掉。 这篇给的路径是：Steam → 设置 → 账户 → 管理 Steam 令牌账户安全 → 取消所有其他设备的授权。 英文客户端是 Settings → Account → Manage Steam Guard Account Security → Deauthorize all other devices。文章写的是：这一下会让偷走的 API 密钥失效。
- 域名不能一字不差对上，就不要登。
Discord 和 Telegram 上的冒充
怎么发生： 公开资料会被照着做。他们专门加本人好友列表里的人。请求看起来来自熟人，后面要的还是饰品，或者账号的访问权。
先看这些：
- 人设很老，账号很新。
- 冷不丁来一条，和这个人平时会说的事对不上。
- 不肯上语音对一下是谁。
怎么少踩：
- 换一条你本来就有的渠道问本人。 主号，或者他公开的社交账号。问一句：你刚刚用小号加我了吗。
- 看资料年限。 冒充的号通常没有多年的游戏、截图和好友。
- 没找过你的人先开口，先当有问题。 不管看起来像谁。
没参加过的赠品
怎么发生： 奖品和网站都是假的。要的是登录信息，或者一笔你拿不回来的钱。
先看这些：
- 你没参加过这个抽奖。 没报名的奖，不会落到你头上。
- 要手续费、保证金，或者「验证付款」。 正经赠品不这么做。
- 域名怪，页面也粗糙。
怎么少踩：
- 好到不像交易的奖品，先当没有。 不会有人把 ★ 爪子刀 | 表面淬火 的蓝宝石图案随机送给陌生人。
- 只参加你认得的人、在他自己的频道里办的赠品。
- 领奖不要先付钱。
二维码
有人发来一个二维码，说是交易报价、个人资料，或者一个很好看的检视：「用 Steam 手机 App 扫一下。」
怎么发生： 码里是给手机做的钓鱼页。手机上的 Steam 往往已经登着，扫下去可能直接接走会话或登录信息。你不用自己打那串网址。
先看这些：
- 没找你的人发来二维码。 交易里几乎没有必须这么做的场合。
- 催你马上扫。
怎么少踩：
- 来路不对的二维码不要扫。
- 要看资料或报价，自己打网址，或者从书签进。
每个月对一遍
可疑的事发生之后也对一遍。
- 手机令牌：开着。 没有它，交易会多出 7 天暂挂；有人进了号，库存会整份走。这篇把这两件事放在一起比。
- 交易确认：开着。 每一笔都要在手机上点。别人只有登录、没有你的确认，大多数报价发不走。
- 清掉其他设备上的授权：养成每月一次。 路径同上：Steam → 设置 → 账户 → 管理 Steam 令牌 → 取消所有其他设备的授权。读完就可以做这一下。
- 库存隐私：仅自己或仅好友。 不必让所有人看见你持有 AK-47 | 血腥运动。公开库存就是把自己标成目标。
- 密码单独用。 Steam 的密码不要和邮箱或其他网站共用。
- 邮箱也开两步验证。 邮箱被拿走，对方往往能从这里开始走 Steam 的账号找回。
这篇认为能挡住这些局的，是三件具体的事：慢下来，每一项再对一遍，把 API 密钥那一侧清掉。 市场可以很快，核对不用跟着快。没找过你的消息，先当有问题。读完去把那一项授权清掉。
