Podstawą niemal każdego udanego kradzieży inwentarza Steam jest phishing. Zanim oszust może przejąć Twój klucz API lub opróżnić Twoje konto, potrzebuje Twoich danych logowania. Aby je zdobyć, polegają na tworzeniu niezwykle przekonujących fałszywych stron internetowych, które nakłaniają Cię do zalogowania się.
W 2026 roku stworzenie idealnie odwzorowanej strony logowania Steam lub popularnej strony zewnętrznego rynku zajmuje oszustom zaledwie kilka minut. Projekt wizualny strony internetowej nie jest już wiarygodnym wskaźnikiem jej autentyczności. Musisz spojrzeć głębiej.
Oto dokładnie jak zidentyfikować fałszywe strony Steam i linki phishingowe, zanim będzie za późno.
Anatomia strony phishingowej
Strony phishingowe istnieją z jednego powodu: aby przedstawić Ci fałszywy przycisk "Zaloguj się przez Steam".
Kiedy klikniesz prawdziwy przycisk logowania Steam na prawdziwej stronie zewnętrznej, zostaniesz przekierowany na steamcommunity.com w celu bezpiecznego uwierzytelnienia. Strona zewnętrzna nigdy nie widzi Twojego hasła.
Na stronie phishingowej przycisk "Zaloguj się" otwiera okno podręczne, które wygląda jak strona logowania Steam. Jest to jednak całkowicie fałszywy interfejs zaprojektowany do przechwycenia Twojej nazwy użytkownika, hasła oraz kodu z Mobilnego Autoryzatora, który w niego wpiszesz, i wysłania ich bezpośrednio do oszusta.
1. Adres URL to wszystko (Typo-squatting)
Najczęstszą taktyką jest "typo-squatting" – rejestrowanie nazw domen, które wyglądają niemal identycznie jak prawdziwe. Ludzki mózg często skanuje słowa, czytając ogólny kształt, a nie poszczególne litery, co sprawia, że takie adresy są bardzo skuteczne.
Przykłady fałszywych adresów URL:
steamcommmunity.com(trzy 'm')stearncommunity.com('r' i 'n' wyglądają jak 'm')steam-community.com(dodany myślnik)skinport-market.com(dodane słowa do prawdziwej marki)csfloat.io(nieprawidłowa domena najwyższego poziomu; prawdziwa strona to .com)
Jak się bronić:
- Nigdy nie klikaj linków wysyłanych przez obcych. Niezależnie od tego, czy są w czacie Steam, Discordzie czy komentarzach na blogu, traktuj nieproszone linki jako wrogie.
- Czytaj adres URL znak po znaku. Zanim wprowadzisz dane logowania gdziekolwiek, zatrzymaj się i uważnie przeczytaj pasek adresu.
- Używaj zakładek. Najbezpieczniejszym sposobem przechodzenia do giełd lub stron z hazardem, z których często korzystasz, jest samodzielne dodanie ich do zakładek.
2. Test "Fałszywego Okienka" (Test Przeciągania)
To najbardziej niezawodny sposób na zdemaskowanie fałszywego okna logowania Steam.
Kiedy klikniesz "Zaloguj się przez Steam" na prawdziwej stronie, otwiera się prawdziwe dodatkowe okno przeglądarki. Ponieważ jest to prawdziwe okno utworzone przez system operacyjny, ma określone właściwości.
Oszuści jednak nie mogą zmusić twojej przeglądarki do otwarcia prawdziwego okna z ich fałszywą stroną bez ujawnienia się w pasku adresu. Zamiast tego używają HTML i CSS, aby narysować fałszywe "okno" wewnątrz strony internetowej, którą aktualnie przeglądasz. Wygląda jak wyskakujące okienko, ale to tylko grafika na stronie.
Test: Kiedy pojawi się wyskakujące okno logowania Steam, spróbuj kliknąć i przeciągnąć górny pasek tytułowy tego okna poza granice głównego okna przeglądarki (np. przeciągnij je na pulpit).
- Jeśli jest PRAWDZIWE: Okno będzie swobodnie poruszać się poza ramą głównej przeglądarki, ponieważ jest to oddzielne, niezależne okno zarządzane przez system operacyjny.
- Jeśli jest FAŁSZYWE: Okno "utknie" na krawędzi głównego okna przeglądarki i zniknie, jeśli przeciągniesz je zbyt daleko. Nie może opuścić strony internetowej, na której zostało narysowane.
Uwaga: Niektórzy nowocześni, wyrafinowani phisherzy próbują otwierać faktycznie nowe okna, ale ukrywają pasek adresu lub używają niezwykle złożonego fałszowania adresu URL. Zawsze łącz test przeciągania z weryfikacją adresu URL.
3. Nie ufaj kłódce (Certyfikaty SSL)
Dawniej użytkowników uczono, aby "szukać kłódki" w pasku adresu przeglądarki, aby upewnić się, że strona jest bezpieczna. Ta rada jest niebezpiecznie przestarzała.
Kłódka oznacza tylko, że połączenie między tobą a stroną internetową jest zaszyfrowane (HTTPS). Oznacza to, że nikt nie może przechwycić danych w trakcie przesyłania. NIE oznacza to, że sama strona internetowa jest legalna lub bezpieczna.
Oszuści mogą łatwo i za darmo uzyskać certyfikaty SSL dla swoich fałszywych domen wykorzystujących literówki. Strona phishingowa prawie zawsze będzie miała kłódkę.
Jak się bronić: Zrozum, że HTTPS (kłódka) jest konieczny, aby strona była bezpieczna, ale nie jest dowodem na to, że strona jest uczciwa. Oznacza to tylko, że bezpiecznie wysyłasz swoje hasło bezpośrednio do oszusta.
4. Sprawdzenie "Już zalogowany"
Jeśli jesteś już zalogowany do Steam w swojej głównej przeglądarce internetowej (np. Chrome lub Firefox), oficjalne monity logowania Steam na stronach osób trzecich powinny to rozpoznać.
Kiedy klikniesz "Zaloguj się przez Steam" na legalnej stronie, powinna ona automatycznie pokazać zdjęcie twojego profilu i po prostu poprosić o "Zalogowanie się" jednym kliknięciem, bez konieczności ponownego wpisywania hasła lub kodu 2FA.
Test:
Jeśli wiesz, że jesteś zalogowany na steamcommunity.com w swojej przeglądarce, ale wyskakujące okno logowania Steam na stronie osoby trzeciej prosi cię o ręczne wpisanie nazwy użytkownika, hasła i kodu Steam Guard ponownie, jest to prawie na pewno strona phishingowa. Zamknij ją natychmiast.
Lista kontrolna bezpiecznego logowania
- Czy dostałem się na tę stronę przez zaufaną zakładkę lub wyszukiwanie Google, czy kliknąłem w przesłany mi link? (Jeśli link został przesłany, zachowaj szczególną ostrożność).
- Czy dokładnie przeczytałem adres URL, aby upewnić się, że jest poprawnie napisany?
- Czy mogę przeciągnąć wyskakujące okienko logowania poza główne okno przeglądarki?
- Jeśli jestem już zalogowany do Steam w tej przeglądarce, czy strona zmusza mnie do ponownego wpisania hasła?
Zachowaj czujność. W momencie, gdy wpiszesz swoje dane logowania w nieprawidłowym polu, oszuści wygrywają.
