De ani de zile, sfatul standard pentru securitatea Steam a fost simplu: "Nu da niciodată parola și nu da niciodată codul Autentificatorului Mobil." Deși încă este adevărat, scamatorii au găsit o modalitate teribil de simplă de a ocoli ambele aceste etape simultan, folosind o funcție concepută pentru confort: scannerul de cod QR din aplicația mobilă Steam.
Această metodă, adesea numită "Streamjacking" sau "Phishing prin QR," a devenit incredibil de răspândită în comunitatea CS2. Iată exact cum funcționează și de ce nu trebuie să scanezi niciodată un cod QR aleatoriu cu aplicația ta Steam.
Defectul din Conveniență
Când te autentifici pe Steam pe un PC nou, ai opțiunea de a scana un cod QR afișat pe monitor folosind aplicația mobilă Steam. Aceasta este o funcție de confort genială. Transferă în siguranță sesiunea ta autentificată de pe telefon pe PC fără să fie nevoie să introduci o parolă sau un cod 2FA.
Cu toate acestea, această funcție presupune că ecranul care afișează codul QR este al tău. Scamatorii exploatează această presupunere.
Dacă scanezi un cod QR generat de computerul unui scamator, îi acorzi instantaneu computerului lor acces complet și autentificat la contul tău Steam.
Cum Se Desfășoară Escrocheria
Escrocheria se bazează puternic pe urgență, lăcomie și iluzia legitimității, desfășurându-se de obicei pe platforme de streaming precum Twitch sau YouTube.
1. Stream-ul Fals (Momeala)
Scamerii vor crea un stream live pe Twitch sau YouTube. Pentru a părea legitim, ei vor:
- Folosi numele și brand-ul unui jucător profesionist celebru (de ex., s1mple, m0NESY) sau al unui organizator major de turnee (de ex., ESL, PGL).
- Retransmite un VOD (Video on Demand) vechi, cu multe vizualizări, al acelui jucător sau turneu, pentru a face stream-ul să pară activ și popular.
- Folosi bot-uri de vizualizări pentru a umfla artificial numărul de spectatori la mii, împingând stream-ul fals în topul directorului CS2.
2. Momeala (Cârligul)
Suprapus peste acest film furat va fi un grafic masiv care promite un giveaway. Va spune ceva de genul:
- "!DROP - SCANEZĂ PENTRU A PRIMI UN CUȚIT GRATUIT"
- "RECOMPENSE PENTRU SPECTATORI ESL MAJOR - SCANEZĂ CODUL QR PENTRU A CONTA LEGATĂ"
- "GIVEAWAY DE ADIO S1MPLE - SCANEZĂ PENTRU A PARTICIPA"
Lângă text va fi un cod QR mare și clar.
3. Execuția (Capcana)
Scamul se bazează pe faptul că acționezi rapid înainte să gândești.
- Crezând că urmărești un stream oficial și vrând skin-uri gratuite, deschizi aplicația mobilă Steam.
- Deschizi scanerul de cod QR din aplicație și îl îndrepți către monitor.
- Aplicația Steam te va întreba să confirmi o autentificare. Pentru că crezi că "legi" contul tău de stream pentru un drop, apeși pe "Confirmă."
Realitatea: Codul QR de pe stream a fost generat dinamic de scriptul automatizat de autentificare al scammerului de pe serverul lor. Când ai apăsat confirmă, nu ai legat contul tău la un giveaway; ai autorizat serverul scammerului să se autentifice în contul tău Steam.
4. Urmările
Deoarece au folosit metoda de autentificare cu cod QR, scammerul a ocolit parola și codul standard de autentificare în doi pași (2FA). Acum au o sesiune activă și autentificată. În câteva secunde, scripturile automate vor goli contul tău de toate obiectele care pot fi tranzacționate, rutându-le printr-o rețea de conturi intermediare.
Cum să te Protejezi
Apărarea împotriva acestei înșelăciuni necesită o schimbare strictă a obiceiurilor referitoare la aplicația mobilă Steam.
- Regula de Aur a Codurilor QR: Scannerul de coduri QR din aplicația ta mobilă Steam are UN SINGUR SCOP: conectarea la software-ul oficial Steam Client sau la site-ul oficial
steamcommunity.compe un ecran fizic pe care îl controlezi tu. - Nu scana niciodată un cod QR dintr-un videoclip, un stream, un mesaj pe Discord sau un site web extern.
- Drops-urile oficiale nu funcționează așa. Drops-urile legitime de la turnee sau integrările cu platforme (precum conectarea Steam la Twitch) se gestionează prin intermediul unei legături API OAuth securizate (apăsând un buton care te redirecționează către o pagină securizată de conectare Steam), NICIODATĂ prin scanarea unui cod QR dintr-un flux video.
- Verifică Stream-urile: Dacă un stream pretinde că este un jucător celebru care face giveaway-uri, verifică cu atenție numele canalului. Canalele false au adesea mici greșeli de ortografie sau nu au bifa oficială "Verificat" găsită pe platformele legitime.
Conveniența conectării cu cod QR este excelentă pentru propriile dispozitive, dar este o armă încărcată dacă este îndreptată către ecranul greșit. Tratează scannerul de coduri QR din Steam cu aceeași prudență extremă cu care ai trata predarea telefonului tău fizic în mâinile unui străin.
