Základem téměř každého úspěšného odcizení inventáře na Steamu je phishing. Než může podvodník zneužít váš API klíč nebo vyprázdnit váš účet, potřebuje vaše přihlašovací údaje. Aby je získal, spoléhá na vytváření neuvěřitelně přesvědčivých falešných webových stránek, které vás přimějí se přihlásit.
V roce 2026 trvá podvodníkům pouhé minuty vytvořit pixelově dokonalou kopii přihlašovací stránky Steamu nebo oblíbeného tržiště třetích stran. Vizuální design webové stránky již není spolehlivým ukazatelem její pravosti. Musíte se dívat hlouběji.
Zde je přesný návod, jak identifikovat falešné webové stránky Steamu a phishingové odkazy, než bude pozdě.
Anatomie phishingové stránky
Phishingové stránky existují z jediného důvodu: představit vám falešné tlačítko "Přihlásit se přes Steam".
Když kliknete na legitimní tlačítko pro přihlášení na Steamu na skutečné stránce třetí strany, budete bezpečně přesměrováni na steamcommunity.com k ověření. Stránka třetí strany nikdy nevidí vaše heslo.
Na phishingové stránce tlačítko "Přihlásit se" otevře vyskakovací okno, které vypadá jako přihlašovací stránka Steamu. Ve skutečnosti se však jedná o zcela falešné rozhraní navržené tak, aby zachytilo vaše uživatelské jméno, heslo a kód mobilního autentizátoru, který do něj zadáte, a odeslalo je přímo podvodníkovi.
1. URL je všechno (Typo-squatting)
Nejběžnější taktikou je "typo-squatting" – registrace doménových jmen, která vypadají téměř identicky jako ta skutečná. Lidský mozek často slova jen prolétne, čte celkový tvar spíše než jednotlivá písmena, což tyto podvody dělá velmi účinnými.
Příklady falešných URL:
steamcommmunity.com(Tři 'm')stearncommunity.com('r' a 'n' vypadají jako 'm')steam-community.com(Přidaná pomlčka)skinport-market.com(Přidaná slova ke skutečné značce)csfloat.io(Špatná doména nejvyššího řádu; skutečný web je .com)
Jak se bránit:
- Nikdy neklikejte na odkazy od cizích lidí. Ať už jde o chat ve Steamu, Discord nebo komentáře na blogu, považujte nevyžádané odkazy za nepřátelské.
- Čtěte URL znak po znaku. Před zadáním přihlašovacích údajů kamkoli se zastavte a pečlivě si přečtěte adresní řádek.
- Používejte záložky. Nejbezpečnější způsob, jak přejít na tržiště nebo hazardní weby, které často používáte, je vytvořit si k nim vlastní záložky.
2. Test "Falešného Vyskakovacího Okna" (Drag Test)
Toto je nejspolehlivější způsob, jak odhalit falešné přihlašovací okno Steam.
Když kliknete na "Přihlásit se přes Steam" na legitimní stránce, otevře se skutečné sekundární okno prohlížeče. Protože se jedná o skutečné okno vytvořené vaším operačním systémem, má určité vlastnosti.
Podvodníci však nemohou přinutit váš prohlížeč, aby otevřel skutečné okno na jejich falešnou stránku, aniž by je prozradil adresní řádek. Místo toho používají HTML a CSS k nakreslení falešného "okna" uvnitř webové stránky, kterou právě prohlížíte. Vypadá to jako vyskakovací okno, ale je to jen grafika na stránce.
Test: Když se objeví vyskakovací okno pro přihlášení do Steam, zkuste kliknout a táhnout horní titulní lištu tohoto okna mimo hranice hlavního okna vašeho prohlížeče (např. přetáhněte ji na plochu).
- Pokud je OKNO SKUTEČNÉ: Okno se bude volně pohybovat mimo rámec hlavního prohlížeče, protože se jedná o samostatné, nezávislé okno řízené vaším operačním systémem.
- Pokud je OKNO FALEŠNÉ: Okno se "zasekne" na okraji hlavního okna prohlížeče a pokud ho přetáhnete příliš daleko, zmizí. Nemůže opustit webovou stránku, na které bylo nakresleno.
Poznámka: Někteří moderní sofistikovaní phisheři se snaží otevírat skutečná nová okna, ale skryjí adresní řádek nebo použijí extrémně složité falšování URL. Vždy kombinujte drag test s ověřením URL.
3. Nedůvěřujte zámečku (SSL certifikáty)
Před lety se uživatelé učili "hledat zámeček" v adresním řádku prohlížeče, aby se ujistili, že je stránka bezpečná. Tato rada je nebezpečně zastaralá.
Zámeček znamená pouze to, že spojení mezi vámi a webovou stránkou je šifrované (HTTPS). Znamená to, že nikdo nemůže zachytit přenášená data. Neznamená to, že je samotná webová stránka legitimní nebo bezpečná.
Podvodníci mohou snadno a zdarma získat SSL certifikáty pro své falešné domény využívající překlepy. Phishingová stránka bude téměř vždy mít zámeček.
Jak se bránit: Pochopte, že HTTPS (zámeček) je nutný pro bezpečnost stránky, ale není důkazem, že je stránka poctivá. Znamená to pouze, že své heslo bezpečně posíláte přímo podvodníkovi.
4. Kontrola "Již přihlášen"
Pokud jste již přihlášeni do Steam ve svém hlavním webovém prohlížeči (např. Chrome nebo Firefox), oficiální Steam přihlašovací okna na stránkách třetích stran by to měla rozpoznat.
Když kliknete na "Přihlásit se přes Steam" na legitimní stránce, mělo by se automaticky zobrazit vaše profilové foto a jednoduše vás požádat o "Přihlášení" jedním kliknutím, aniž byste museli znovu zadávat heslo nebo 2FA kód.
Test:
Pokud víte, že jste přihlášeni na steamcommunity.com ve svém prohlížeči, ale přihlašovací okno Steam na stránce třetí strany vás žádá o ruční zadání uživatelského jména, hesla a kódu Steam Guard znovu, je to téměř jistě phishingová stránka. Okamžitě ji zavřete.
Kontrolní seznam pro bezpečné přihlašování
- Dostal jsem se na tuto stránku přes důvěryhodnou záložku nebo vyhledávání na Googlu, nebo jsem kliknul na odkaz, který mi někdo poslal? (Pokud jste kliknuli na zaslaný odkaz, buďte maximálně ostražití).
- Pečlivě jsem si přečetl URL adresu, abych se ujistil, že je napsána bezchybně?
- Mohu přihlašovací okno přetáhnout mimo hlavní okno prohlížeče?
- Pokud jsem již v tomto prohlížeči přihlášený k účtu Steam, nutí mě stránka znovu zadat heslo?
Zůstaňte ostražití. Ve chvíli, kdy zadáte své přihlašovací údaje do nesprávného pole, podvodníci vyhráli.
