CS2のスキンを盗む詐欺師の手口の中で、Steam APIキーのハイジャック（通称「API詐欺」や「トレードリダイレクト詐欺」）は、おそらく最も陰湿な方法です。この手口は、被害者に直接アイテムを送らせるよう説得するのではなく、合法的な取引の裏で不可視に操作し、信頼できる友人や評判の良いボットアカウントとの取引を乗っ取ります。
頻繁に取引を行うなら、この詐欺の仕組みを理解することは任意ではなく、あなたのインベントリを守るために必須です。
Steam Web APIキーとは？
詐欺を理解する前に、悪用されるツールについて知る必要があります。Steam Web APIキーは、Valveが開発者向けに提供する一意の文字列です。これは、サードパーティ製アプリケーション（インベントリ追跡サイトやマーケットプレイスボットなど）が、あなたのSteamアカウントから現在のインベントリ、取引履歴、保留中のトレードオファーなどのデータを読み取ることを可能にします。
重要な点は、APIキーは保留中のトレードオファーをキャンセルすることを許可するということです。取引を受け入れたり、モバイル認証器を迂回してアイテムを送信することはできませんが、取引をキャンセルする能力こそが詐欺師に必要な全てなのです。
API詐欺の構造：ステップバイステップ
以下が、この詐欺がどのように展開されるかの正確な手順です：
フェーズ1: ハイジャック (APIキーの入手)
この詐欺は常にフィッシングから始まります。まず、誤って詐欺師にあなたのアカウントへのアクセス権を与えてしまう必要があります。
- 悪意のあるリンクをクリックします。偽のトーナメント投票サイト、偽のスキンガチャサイト、URLを偽装したトレードサイトなどです。
- 「Steamでサインイン」するよう求められ、ユーザー名、パスワード、Steam Guardコードを入力します。
- 偽サイトはあなたの認証情報を即座に使用し、バックグラウンドであなたのアカウントにログインします。
- 重要なステップ: 詐欺師のスクリプトは、まだあなたのアイテムをトレードしようとはしません。代わりに、Steam API登録ページに静かに移動し、あなたのアカウント用のAPIキーを生成します。スクリプトはこのキーを記録し、その後ログアウトします。
この時点では、何かがおかしいことに気づかないかもしれません。アイテムはまだ手元にあり、スマートフォンも持っています。
フェーズ2: 待ち伏せ (トレードを待つ)
詐欺師の自動化システムは、盗んだAPIキーを使用してあなたのアカウントを常時監視し、あなたが何か行動を起こすのを待ちます。例えば、ナイフを売却するために信頼できるマーケットプレイスサイトにトレードしようと決めたとしましょう。
- あなたは正規のマーケットプレイスで預け入れをリクエストします。
- 正規のマーケットプレイスのボットが、あなたのナイフに対するトレードオファーを送信します。
- あなたはデスクトップでそのオファーを確認し、すべてが正しく見えます。
第3段階: リダイレクト（切り替え）
これは、スマートフォンで取引を受け入れようとするほんの一瞬の間に起こります。
- 詐欺師のスクリプトが、本物のボットからの取引オファーを検知します。
- 盗まれたあなたのAPIキーを使用して、スクリプトは正当な取引オファーを即座にキャンセルします。
- 同時に、スクリプトは詐欺師が管理するボットから、新しい、見た目が全く同じ取引オファーを作成します。
- この偽ボットは本物のボットを完璧に模倣するように設定されています：プロフィール画像、正確な表示名をコピーし、全く同じナイフを要求します。
第4段階: 実行（罠）
- あなたは取引を確認するためにSteamモバイルアプリを開きます。
- 偽ボットが本物のボットの名前とアバターを完璧にコピーしているため、取引はあなたが期待していたものと見た目が同じです。
- 細かい部分を注意深く見なければ、あなたは「承諾する」をクリックします。
- あなたのナイフは詐欺師のクローンボットに送られます。本物のマーケットプレイスはあなたのアイテムを受け取りません。
API詐欺を検出・防止する方法
この詐欺は、あなたが行う意図のある取引を傍受するため、通常の警戒心をすり抜けます。しかし、これを確実に防ぐ方法があります。
1. モバイル認証機はあなたの盾
詐欺師は、最終ステップであなたが急ぐことに完全に依存しています。Steamアプリを開いて取引を確認するときは、一旦止まって内容を読みましょう。
- レベルを確認する: 正当なマーケットプレイスボットは、しばしば高レベルです。詐欺師のクローンアカウントは通常レベル0または1です。
- 参加日を確認する: アカウントが最近作成された、または名前を変更したばかりの場合、あなたのスマートフォンは警告を表示します。クローンアカウントは通常真新しいものです。
- 「アカウント作成」警告: Steamアプリが、そのアカウントが新規または不審であると警告した場合、直ちに取引をキャンセルしてください。
2. APIキーページを定期的に確認する
これは、アカウントが侵害されているかどうかを知る最も直接的な方法です。
- 公式のAPIページにアクセスします:
https://steamcommunity.com/dev/apikey - ページがドメイン名の登録を求めてきた場合、あなたは安全です。 アクティブなAPIキーは存在しません。
- （多くの場合ランダムな文字列の）ドメイン名と、長い文字列（APIキー）が表示されている場合、あなたは侵害されています。
3. 侵害されたアカウントを復旧する方法
不正なAPIキーを発見した場合、または取引がリダイレクトされたことに気づいた場合:
- キーを取り消す:
steamcommunity.com/dev/apikeyページで、「Steam Web APIキーを取り消す」をクリックします。 - デバイスの認証を解除する: Steamの設定 -> セキュリティ -> 「他のすべてのデバイスの認証を解除する」に移動します。これにより、詐欺師のスクリプトがあなたのアカウントから追い出されます。
- パスワードを変更する: 認証解除後、直ちに実行してください。
- 新しい取引URLを作成する: あなたのインベントリ -> 取引オファー -> 「誰が私に取引オファーを送信できますか？」 -> 「新しいURLを作成する」に移動します。
詐欺師が取引開始後に取引ウィンドウを操作できる可能性があることを理解することで、モバイル確認画面の見方が変わります。それは単なる形式的な手続きではなく、あなたのインベントリと高度に巧妙化された窃盗との間にある唯一の防壁なのです。
