Od lat standardowa rada dotycząca bezpieczeństwa na Steamie była prosta: "Nigdy nie podawaj swojego hasła i nigdy nie podawaj kodu z Autoryzatora Mobilnego." Choć nadal jest to prawda, oszuści znaleźli przerażająco prosty sposób na obejście obu tych kroków jednocześnie, wykorzystując funkcję zaprojektowaną dla wygody: skaner kodów QR w aplikacji mobilnej Steam.
Ta metoda, często określana jako "Streamjacking" lub "Phishing QR", stała się niezwykle powszechna w społeczności CS2. Oto dokładnie, jak to działa i dlaczego nigdy nie powinieneś skanować losowego kodu QR za pomocą aplikacji Steam.
Wada w wygodzie
Kiedy logujesz się do Steam na nowym komputerze, masz możliwość zeskanowania kodu QR wyświetlanego na monitorze za pomocą aplikacji mobilnej Steam. To genialna funkcja ułatwiająca życie. Bezpiecznie przenosi ona Twoją uwierzytelnioną sesję z telefonu na komputer, bez konieczności wpisywania hasła lub kodu 2FA.
Jednak ta funkcja zakłada, że ekran wyświetlający kod QR jest Twoim ekranem. Oszuści wykorzystują to założenie.
Jeśli zeskanujesz kod QR wygenerowany przez komputer oszusta, natychmiast przyznajesz temu komputerowi pełny, uwierzytelniony dostęp do Twojego konta Steam.
Jak rozwija się oszustwo
Oszustwo opiera się w dużej mierze na poczuciu pilności, chciwości i złudzeniu legalności, rozgrywając się zazwyczaj na platformach streamingowych, takich jak Twitch czy YouTube.
1. Fałszywa transmisja (Przynęta)
Oszuści uruchamiają transmisję na żywo na Twitch lub YouTube. Aby wyglądała ona wiarygodnie, będą:
- Używać nazwy i identyfikacji wizualnej słynnego gracza profesjonalnego (np. s1mple, m0NESY) lub organizatora dużego turnieju (np. ESL, PGL).
- Ponownie transmitować stare, wysoko oglądane nagranie VOD (Video on Demand) tego gracza lub turnieju, aby transmisja wyglądała na aktywną i popularną.
- Używać botów do sztucznego zawyżania liczby widzów do tysięcy, wypychając fałszywą transmisję na szczyt katalogu CS2.
2. Wabik (Hak)
Na wierzchu tego skradzionego materiału z rozgrywki pojawi się duży graficzny baner obiecujący rozdanie nagród. Będzie na nim napisane coś w stylu:
- "!DROP - ZESKANUJ, ABY ODEBRAĆ DARMOWY NÓŻ"
- "NAGRODY ZA OGLĄDALNOŚĆ MAJORA ESL - ZESKANUJ QR, ABY POWIĄZAĆ KONTO"
- "POŻEGNALNE ROZDANIE S1MPLE - ZESKANUJ, ABY WZIĄĆ UDZIAŁ"
Obok tekstu będzie duży, wyraźny kod QR.
3. Egzekucja (Pułapka)
Oszustwo polega na tym, że działasz szybko, zanim pomyślisz.
- Wierząc, że oglądasz oficjalną transmisję i chcąc darmowych skinów, otwierasz aplikację Steam Mobile.
- Otwierasz skaner kodów QR w aplikacji i kierujesz go na swój monitor.
- Aplikacja Steam poprosi Cię o potwierdzenie logowania. Ponieważ myślisz, że "powiązujesz" swoje konto z transmisją, aby otrzymać drop, klikasz "Potwierdź".
Rzeczywistość: Kod QR na transmisji został dynamicznie wygenerowany przez zautomatyzowany skrypt logowania oszusta na jego serwerze. Kiedy kliknąłeś "Potwierdź", nie powiązałeś konta z rozdaniem nagród; autoryzowałeś serwer oszusta do zalogowania się na Twoje konto Steam.
4. Następstwa
Ponieważ oszust użył metody logowania za pomocą kodu QR, ominął Twoje hasło i standardowy kod 2FA. Ma teraz aktywną, uwierzytelnioną sesję. W ciągu kilku sekund zautomatyzowane skrypty opróżnią Twoje konto z przedmiotów nadających się do wymiany, przekierowując je przez sieć kont pośredniczących.
Jak się chronić
Obrona przed tym oszustwem wymaga ścisłej zmiany nawyków dotyczących aplikacji mobilnej Steam.
- Złota zasada kodów QR: Skaner kodów QR w Twojej aplikacji mobilnej Steam ma JEDNO I TYLKO JEDNO ZASTOSOWANIE: logowanie do oficjalnego oprogramowania klienta Steam lub oficjalnej strony
steamcommunity.comna fizycznym ekranie, którym Ty kontrolujesz. - Nigdy nie skanuj kodu QR z filmu, transmisji na żywo, wiadomości na Discordzie ani zewnętrznej strony internetowej.
- Oficjalne dropy nie działają w ten sposób. Prawdziwe dropy turniejowe lub integracje z platformami (jak łączenie konta Steam z Twitch) są obsługiwane przez bezpieczne łączenie API OAuth (kliknięcie przycisku, który przekierowuje na bezpieczną stronę logowania Steam), NIGDY poprzez skanowanie kodu QR z transmisji wideo.
- Weryfikuj transmisje: Jeśli transmisja twierdzi, że znany gracz rozdaje przedmioty, dokładnie sprawdź nazwę kanału. Fałszywe kanały często mają drobne literówki lub brakuje im oficjalnych "Zweryfikowanych" znaczników, które są na prawdziwych platformach.
Wygoda logowania kodem QR jest świetna dla Twoich własnych urządzeń, ale jest to nabita broń, jeśli skierujesz ją na niewłaściwy ekran. Traktuj skaner kodów QR w Steam z taką samą ogromną ostrożnością, z jaką traktowałbyś oddanie fizycznego telefonu obcej osobie.
