Neredeyse her başarılı Steam envanter hırsızlığının temel taşı, kimlik avıdır. Bir dolandırıcı, API anahtarınızı ele geçirmeden veya hesabınızı boşaltmadan önce, kimlik bilgilerinize ihtiyaç duyar. Bunları elde etmek için, sizi oturum açmaya ikna edecek kadar inandırıcı sahte web siteleri oluşturmaya güvenirler.
2026'da, Steam giriş sayfasının veya popüler bir üçüncü taraf pazar yerinin piksel mükemmelliğinde bir kopyasını oluşturmak, dolandırıcılar için sadece dakikalar alıyor. Bir web sitesinin görsel tasarımı artık onun gerçekliğinin güvenilir bir göstergesi değil. Daha derine bakmalısınız.
İşte sahte Steam web sitelerini ve kimlik avı bağlantılarını çok geç olmadan tam olarak nasıl tanımlayacağınız.
Bir Kimlik Avı Sitesinin Anatomisi
Kimlik avı siteleri tek bir nedenle var: size sahte bir "Steam ile Giriş Yap" butonu sunmak.
Gerçek bir üçüncü taraf sitede meşru bir Steam giriş butonuna tıkladığınızda, güvenli bir şekilde kimlik doğrulaması yapmak için steamcommunity.com adresine yönlendirilirsiniz. Üçüncü taraf site asla şifrenizi görmez.
Bir kimlik avı sitesinde, "Giriş Yap" butonu, Steam giriş sayfasına benziyor gibi görünen bir açılır pencere açar. Ancak bu, kullanıcı adınızı, şifrenizi ve içine yazdığınız Mobil Doğrulayıcı kodunu doğrudan dolandırıcıya göndermek için tasarlanmış tamamen sahte bir arayüzdür.
1. URL Her Şeydir (Yazım Hilesi / Typo-squatting)
En yaygın taktik, "typo-squatting"dir—gerçek alan adlarına neredeyse tıpatıp benzeyen alan adlarını kaydetmek. İnsan beyni genellikle kelimeleri hızlıca tarar, tek tek harflerden ziyade genel şekli okur, bu da bu taktikleri oldukça etkili kılar.
Sahte URL Örnekleri:
steamcommmunity.com(Üç 'm')stearncommunity.com('r' ve 'n' bir 'm' gibi görünür)steam-community.com(Tire eklendi)skinport-market.com(Gerçek bir markaya kelime eklendi)csfloat.io(Yanlış üst düzey alan; gerçek site .com'dur)
Nasıl Korunulur:
- Asla yabancıların gönderdiği bağlantılara tıklamayın. İster Steam sohbetinde, ister Discord'da veya blog yorumlarında olsun, istenmeyen bağlantıları düşmanca kabul edin.
- URL'yi karakter karakter okuyun. Herhangi bir yere kimlik bilgilerinizi girmeden önce durun ve adres çubuğunu dikkatlice okuyun.
- Yer İmlerini Kullanın. Sık kullandığınız pazar yerlerine veya bahis sitelerine gitmenin en güvenli yolu, onları kendiniz yer imlerine eklemektir.
2. "Sahte Açılır Pencere" Testi (Sürükleme Testi)
Bu, sahte bir Steam giriş penceresini ortaya çıkarmanın en güvenilir yoludur.
Geçerli bir sitede "Steam ile Giriş Yap"a tıkladığınızda, gerçek bir ikincil tarayıcı penceresi açılır. Bu, işletim sisteminiz tarafından oluşturulan gerçek bir pencere olduğu için belirli özelliklere sahiptir.
Ancak dolandırıcılar, URL çubuğu kendilerini ele vermeden, sahte sitelerine yönelik gerçek bir pencere açmak için tarayıcınızı zorlayamaz. Bunun yerine, şu anda görüntülediğiniz web sayfasının içinde sahte bir "pencere" çizmek için HTML ve CSS kullanırlar. Bir açılır pencere gibi görünür, ancak aslında sayfa üzerindeki sadece bir grafikten ibarettir.
Test: Steam giriş açılır penceresi göründüğünde, pencerenin üst başlık çubuğunu tıklayıp ana tarayıcı pencerenizin sınırlarının dışına (örneğin masaüstü arka planınıza) sürüklemeyi deneyin.
- Eğer GERÇEKSE: Pencere, ana tarayıcı çerçevesinin dışına serbestçe hareket edecektir, çünkü işletim sisteminiz tarafından yönetilen ayrı, bağımsız bir penceredir.
- Eğer SAHTEYSE: Pencere, ana tarayıcı penceresinin kenarında "takılacak" ve çok uzağa sürüklerseniz kaybolacaktır. Çizildiği web sayfasını terk edemez.
Not: Bazı modern ve sofistike kimlik avcıları gerçekten yeni pencereler açmaya çalışabilir, ancak URL çubuğunu gizlerler veya son derece karmaşık URL sahteciliği kullanırlar. Sürükleme testini her zaman URL doğrulaması ile birlikte kullanın.
3. Kilit Simgesine (SSL Sertifikaları) Güvenmeyin
Yıllar önce kullanıcılara, bir sitenin güvenli olduğundan emin olmak için tarayıcı adres çubuğundaki "kilit simgesini aramaları" öğretilirdi. Bu tavsiye tehlikeli bir şekilde güncelliğini yitirmiştir.
Kilit simgesi yalnızca sizinle web sitesi arasındaki bağlantının şifrelendiği (HTTPS) anlamına gelir. Verilerin aktarım sırasında ele geçirilemeyeceği anlamına gelir. Bu, web sitesinin kendisinin meşru veya güvenli olduğu anlamına GELMEZ.
Dolandırıcılar, sahte yazım hatalı alan adları için kolayca ve ücretsiz olarak SSL sertifikası alabilirler. Bir kimlik avı sitesinin neredeyse her zaman bir kilit simgesi olacaktır.
Nasıl savunulur: HTTPS'nin (kilit simgesi) bir sitenin güvenli olması için gerekli olduğunu, ancak sitenin dürüst olduğunun kanıtı olmadığını anlayın. Bu, yalnızca şifrenizi doğrudan dolandırıcıya güvenli bir şekilde gönderdiğiniz anlamına gelir.
4. "Zaten Giriş Yapılmış" Kontrolü
Birincil web tarayıcınızda (örneğin Chrome veya Firefox) zaten Steam'e giriş yapmışsanız, üçüncü taraf sitelerdeki resmi Steam giriş istemleri bunu tanımalıdır.
Meşru bir sitede "Steam ile Giriş Yap"a tıkladığınızda, otomatik olarak profil resminizi göstermeli ve şifrenizi veya 2FA kodunuzu yeniden girmenizi gerektirmeden, tek tıklamayla "Giriş Yap"manızı istemelidir.
Test:
Tarayıcınızda steamcommunity.com adresine giriş yaptığınızı biliyorsanız, ancak bir üçüncü taraf sitenin Steam giriş açılır penceresi sizden kullanıcı adınızı, şifrenizi ve Steam Guard kodunuzu tekrar manuel olarak yazmanızı istiyorsa, bu neredeyse kesinlikle bir kimlik avı sitesidir. Hemen kapatın.
Güvenli Girişler İçin Özet Kontrol Listesi
- Bu siteye güvenilir bir yer imi veya Google araması ile mi ulaştım, yoksa bana gönderilen bir bağlantıya mı tıkladım? (Bir bağlantı gönderildiyse, son derece şüpheli olun).
- URL'yi mükemmel şekilde yazıldığından emin olmak için dikkatlice okudum mu?
- Giriş açılır penceresini ana tarayıcı penceresinin dışına sürükleyebiliyor muyum?
- Zaten bu tarayıcıda Steam'e giriş yapmışsam, şifremi tekrar yazmaya zorluyor mu?
Dikkatli olun. Kimlik bilgilerinizi yanlış kutuya yazdığınız an, dolandırıcılar kazanır.
