Lähes jokaisen onnistuneen Steam-inventaarion varastamisen kulmakivi on tietojenkalastelu (phishing). Ennen kuin huijari voi kaapata API-avaimesi tai tyhjentää tilisi, hän tarvitsee kirjautumistietosi. Saadakseen ne, he luottavat uskomattoman vakuuttavien väärennetyjen verkkosivustojen luomiseen, jotka huijaavat sinut kirjautumaan sisään.
Vuonna 2026 huijareilta kestää vain minuutteja luoda pikselitarkka kopio Steam-kirjautumissivusta tai suositusta kolmannen osapuolen markkinapaikasta. Verkkosivuston visuaalinen suunnittelu ei ole enää luotettava todellisuuden osoitin. Sinun on katsottava syvemmälle.
Tässä on tarkalleen kuinka tunnistaa väärennetyt Steam-sivustot ja tietojenkalastelulinkit ennen kuin on liian myöhäistä.
Tietojenkalastelusivuston anatomia
Tietojenkalastelusivustoja on olemassa yhdestä syystä: esittää sinulle väärennetty "Kirjaudu Steam-tilin kautta" -painike.
Kun klikkaat aitoa Steam-kirjautumispainiketta aidolla kolmannen osapuolen sivustolla, sinut ohjataan steamcommunity.com-sivustolle turvalliseen tunnistautumiseen. Kolmannen osapuolen sivusto ei koskaan näe salasanaasi.
Tietojenkalastelusivustolla "Kirjaudu sisään" -painike avaa ponnahdusikkunan, joka näyttää Steam-kirjautumissivulta. Se on kuitenkin täysin väärennetty käyttöliittymä, joka on suunniteltu sieppaamaan käyttäjänimesi, salasanasi ja Mobile Authenticator -koodisi, jotka kirjoitat siihen, ja lähettämään ne suoraan huijarille.
1. URL-osoite on kaikki kaikessa (Typo-squatting)
Yleisin taktiikka on "typo-squatting" – huijausverkkotunnusten rekisteröinti, jotka näyttävät lähes identtisiltä oikeiden kanssa. Ihmisaivot usein silmäilevät sanoja, lukien niiden yleisen muodon yksittäisten kirjainten sijaan, mikä tekee näistä huijauksista erittäin tehokkaita.
Esimerkkejä vääristä URL-osoitteista:
steamcommmunity.com(Kolme 'm'-kirjainta)stearncommunity.com('r' ja 'n' näyttävät 'm':ltä)steam-community.com(Yhdysmerkki lisätty)skinport-market.com(Sanoja lisätty oikean brändin nimeen)csfloat.io(Väärä verkkotunnuspääte; oikea sivusto on .com)
Kuinka puolustautua:
- Älä koskaan napsauta vieraan lähettämiä linkkejä. Olipa se Steam-chatissa, Discordissa tai blogikommenteissa, käsittele pyytämättömät linkit vihamielisinä.
- Lue URL-osoite kirjain kerrallaan. Ennen kuin syötät tunnistetietojasi minnekään, pysähdy ja lue osoiterivi huolellisesti.
- Käytä kirjanmerkkejä. Turvallisin tapa siirtyä markkinapaikoille tai uhkapelisivuille, joita käytät usein, on itse lisätä ne kirjanmerkkeihin.
2. "Väärennetyt ponnahdusikkunat" -testi (Vetotesti)
Tämä on luotettavin tapa paljastaa väärennetty Steam-kirjautumisikkuna.
Kun klikkaat "Kirjaudu Steam-tilillä" aitovarmistetulla sivustolla, se avaa todellisen toissijaisen selainikkunan. Koska se on käyttöjärjestelmäsi luoma todellinen ikkuna, sillä on tietyt ominaisuudet.
Huijarit eivät kuitenkaan voi pakottaa selaimesi avaamaan todellista ikkunaa väärennetylle sivustolleen ilman, että osoiterivi paljastaisi heidät. Sen sijaan he käyttävät HTML:ää ja CSS:ää piirtääkseen väärennetyt "ikkunat" saman verkkosivun sisälle, jota tällä hetkellä katsot. Se näyttää ponnahdusikkunalta, mutta on vain graafinen elementti sivulla.
Testi: Kun Steam-kirjautumisikkuna ilmestyy, yritä klikata ja vetää ponnahdusikkunan yläpalkkia pääselainikkunasi rajojen ulkopuolelle (esim. vedä se työpöydän taustalle).
- Jos se on AITO: Ikkuna liikkuu vapaasti pääselainikkunan kehyksen ulkopuolella, koska se on erillinen, itsenäinen käyttöjärjestelmäsi hallitsema ikkuna.
- Jos se on VÄÄRENNETTY: Ikkuna "juuttuu" pääselainikkunan reunaan ja katoaa, jos vedät sitä liian pitkälle. Se ei voi poistua verkkosivulta, jolle se on piirretty.
Huomio: Jotkut modernit ja kehittyneet tietojenkalastelijat yrittävät avata todellisia uusia ikkunoita, mutta he piilottavat osoiterivin tai käyttävät erittäin monimutkaista URL-osoitteen väärentämistä. Yhdistä aina vetotesti osoitteen tarkistamiseen.
3. Älä luota lukkoon (SSL-varmenteet)
Vuosia sitten käyttäjiä opetettiin "etsimään lukkoa" selaimen osoitepalkista varmistaakseen, että sivusto on turvallinen. Tämä ohje on vaarallisen vanhentunut.
Lukko tarkoittaa vain, että yhteys sinun ja verkkosivuston välillä on salattu (HTTPS). Se tarkoittaa, ettei kukaan voi siepata tietoja siirrossa. Se EI tarkoita, että itse verkkosivusto on aito tai turvallinen.
Huijarit voivat helposti ja ilmaiseksi hankkia SSL-varmenteita väärennetyille kirjoitusvirheverkkotunnuksilleen. Tietojenkalastelusivustolla on lähes aina lukko.
Kuinka suojautua: Ymmärrä, että HTTPS (lukko) on välttämätön sivuston turvallisuudelle, mutta se ei ole todiste siitä, että sivusto on rehellinen. Se tarkoittaa vain, että lähetät salasanasi suojatusti suoraan huijarille.
4. "Olet jo kirjautunut sisään" -tarkistus
Jos olet jo kirjautunut Steam-tilillesi ensisijaisessa selaimessasi (esim. Chrome tai Firefox), virallisten Steam-kirjautumiskehotusten kolmannen osapuolen sivustoilla pitäisi tunnistaa tämä.
Kun napsautat "Kirjaudu Steam-tilin kautta" aitolla sivustolla, sen pitäisi automaattisesti näyttää profiilikuvasi ja yksinkertaisesti pyytää sinua "Kirjautumaan sisään" yhdellä napsautuksella, vaatimatta sinua syöttämään salasanaasi tai 2FA-koodia uudelleen.
Testi:
Jos tiedät olevasi kirjautuneena steamcommunity.com -sivustolle selaimessasi, mutta kolmannen osapuolen sivuston Steam-kirjautumisikkuna pyytää sinua kirjoittamaan käyttäjänimesi, salasanasi ja Steam Guard -koodisi uudelleen manuaalisesti, se on lähes varmasti tietojenkalastelusivusto. Sulje se välittömästi.
Tarkistuslista turvallisia kirjautumisia varten
- Päädyinkö tälle sivustolle luotetun kirjanmerkin kautta tai Google-haun kautta, vai napsautinko minulle lähetettyä linkkiä? (Jos linkki on lähetetty sinulle, ole erittäin varovainen).
- Olenko lukenut URL-osoitteen huolellisesti varmistaakseni, että se on kirjoitettu täydellisesti oikein?
- Voinko vetää kirjautumisikkunan pääselainikkunan ulkopuolelle?
- Jos olen jo kirjautunut Steam-tiliini tässä selaimessa, pakottaako se minut kirjoittamaan salasanani uudelleen?
Pysy valppaana. Heti kun kirjoitat tunnuksesi väärään kohtaan, huijarit voittavat.
