На протяжении многих лет стандартный совет по безопасности Steam был прост: «Никогда не сообщайте свой пароль и никогда не сообщайте код мобильного аутентификатора». Хотя это по-прежнему верно, мошенники нашли ужасающе простой способ обойти оба этих шага одновременно, используя функцию, созданную для удобства: сканер QR-кода в мобильном приложении Steam.
Этот метод, часто называемый «Streamjacking» или «QR-фишинг», стал невероятно распространённым в сообществе CS2. Вот как именно он работает и почему вы никогда не должны сканировать случайный QR-код с помощью приложения Steam.
Уязвимость в удобстве
Когда вы входите в Steam на новом ПК, у вас есть возможность отсканировать QR-код, отображаемый на мониторе, с помощью мобильного приложения Steam. Это блестящая функция для удобства. Она безопасно передаёт вашу аутентифицированную сессию с телефона на ПК, без необходимости вводить пароль или код двухфакторной аутентификации.
Однако эта функция предполагает, что экран, отображающий QR-код, — это ваш экран. Мошенники используют это предположение.
Если вы отсканируете QR-код, сгенерированный компьютером мошенника, вы мгновенно предоставляете его компьютеру полный, аутентифицированный доступ к вашему аккаунту Steam.
Как разворачивается мошенничество
Мошенничество в значительной степени опирается на срочность, жадность и иллюзию легитимности, обычно разыгрываясь на стриминговых платформах, таких как Twitch или YouTube.
1. Фальшивый стрим (Приманка)
Мошенники запускают прямой эфир на Twitch или YouTube. Чтобы он выглядел правдоподобно, они:
- Используют имя и брендинг известного профессионального игрока (например, s1mple, m0NESY) или крупного организатора турниров (например, ESL, PGL).
- Транслируют старый, популярный VOD (видео по запросу) этого игрока или турнира, чтобы стрим выглядел активным и популярным.
- Используют ботов для накрутки просмотров, искусственно завышая количество зрителей до тысяч, что поднимает фальшивый стрим в топе раздела CS2.
2. Приманка (Крючок)
Поверх этого украденного игрового видео будет наложена крупная графика, обещающая раздачу. На ней будет написано что-то вроде:
- "!DROP - ОТСКАНИРУЙТЕ, ЧТОБЫ ПОЛУЧИТЬ БЕСПЛАТНЫЙ НОЖ"
- "НАГРАДЫ ЗА ПРОСМОТР ESL MAJOR - ОТСКАНИРУЙТЕ QR-КОД, ЧТОБЫ ПРИВЯЗАТЬ АККАУНТ"
- "ПРОЩАЛЬНЫЙ РОЗЫГРЫШ ОТ S1MPLE - ОТСКАНИРУЙТЕ, ЧТОБЫ УЧАСТВОВАТЬ"
Рядом с текстом будет размещён крупный, чёткий QR-код.
3. Исполнение (Ловушка)
Мошенничество строится на том, что вы действуете быстро, не подумав.
- Полагая, что смотрите официальный стрим и желая получить бесплатные скины, вы открываете мобильное приложение Steam.
- Вы открываете сканер QR-кодов в приложении и наводите его на экран монитора.
- Приложение Steam попросит вас подтвердить вход. Поскольку вы думаете, что «привязываете» свой аккаунт к стриму для получения дропа, вы нажимаете «Подтвердить».
Реальность: QR-код на стриме был динамически сгенерирован автоматизированным скриптом входа мошенников на их сервере. Когда вы нажали «Подтвердить», вы не привязали аккаунт к розыгрышу — вы авторизовали сервер мошенников для входа в ваш аккаунт Steam.
4. Последствия
Поскольку мошенник использовал метод входа по QR-коду, он обошел ваш пароль и стандартный код двухфакторной аутентификации. Теперь у него есть активная, аутентифицированная сессия. В течение нескольких секунд автоматизированные скрипты очистят ваш аккаунт от всех предметов, доступных для обмена, направляя их через сеть подставных аккаунтов.
Как защитить себя
Защита от этого мошенничества требует строгого изменения привычек в использовании мобильного приложения Steam.
- Золотое правило QR-кодов: Сканер QR-кодов в вашем мобильном приложении Steam имеет ТОЛЬКО ОДНУ ЦЕЛЬ: вход в официальное ПО Steam Client или на официальный сайт
steamcommunity.comна физическом экране, которым вы управляете. - Никогда не сканируйте QR-код из видео, стрима, сообщения в Discord или с внешнего веб-сайта.
- Официальные дропы так не работают. Легитимные дропы с турниров или интеграции с платформами (например, привязка Steam к Twitch) осуществляются через безопасное OAuth-подключение по API (нажатие кнопки, которая перенаправляет вас на защищенную страницу входа Steam), НИКОГДА через сканирование QR-кода в видео-трансляции.
- Проверяйте стримы: Если стрим утверждает, что известный игрок раздает предметы, внимательно проверьте название канала. Фейковые каналы часто содержат небольшие опечатки или не имеют официальных "галочек" подтверждения, которые есть на легитимных платформах.
Удобство входа по QR-коду отлично подходит для ваших собственных устройств, но это заряженное оружие, если направить его на чужой экран. Относитесь к сканеру QR-кодов в Steam с такой же крайней осторожностью, как если бы вы отдавали свой физический телефон незнакомцу.
