Основою майже кожної успішної крадіжки інвентаря Steam є фішинг. Перш ніж зловмисник зможе захопити ваш API-ключ або спустошити ваш обліковий запис, йому потрібні ваші облікові дані. Щоб їх отримати, вони покладаються на створення неймовірно переконливих підроблених веб-сайтів, які змушують вас увійти в систему.
У 2026 році створення піксель-ідеальної копії сторінки входу Steam або популярного стороннього маркетплейсу займає у шахраїв лише кілька хвилин. Візуальний дизайн веб-сайту більше не є надійним показником його справжності. Ви повинні дивитися глибше.
Ось точно, як визначити підроблені сайти Steam та фішингові посилання, перш ніж буде занадто пізно.
Анатомія фішингового сайту
Фішингові сайти існують з однієї причини: показати вам підроблену кнопку "Увійти через Steam".
Коли ви натискаєте справжню кнопку входу Steam на реальному сторонньому сайті, вас перенаправляють на steamcommunity.com для безпечної автентифікації. Сторонній сайт ніколи не бачить ваш пароль.
На фішинговому сайті кнопка "Увійти" відкриває спливаюче вікно, яке виглядає як сторінка входу Steam. Однак це повністю підроблений інтерфейс, призначений для захоплення вашого імені користувача, пароля та коду Мобільного автентифікатора, який ви вводите в нього, відправляючи їх безпосередньо шахраю.
1. URL — це все (Типозв'язування)
Найпоширеніша тактика — це "типозв'язування" (typo-squatting) — реєстрація доменних імен, які виглядають майже ідентично справжнім. Людський мозок часто переглядає слова, читаючи загальну форму, а не окремі літери, що робить ці підробки дуже ефективними.
Приклади підроблених URL:
steamcommmunity.com(Три літери 'm')stearncommunity.com(Літери 'r' та 'n' виглядають як 'm')steam-community.com(Додано дефіс)skinport-market.com(Додано слова до справжнього бренду)csfloat.io(Неправильний домен верхнього рівня; справжній сайт — .com)
Як захиститися:
- Ніколи не натискайте на посилання, надіслані незнайомцями. Чи то в чаті Steam, Discord чи коментарях блогу, ставтеся до небажаних посилань як до ворожих.
- Читайте URL посимвольно. Перш ніж вводити облікові дані будь-де, зупиніться та уважно прочитайте адресний рядок.
- Використовуйте закладки. Найбезпечніший спосіб перейти на маркетплейси або сайти для азартних ігор, якими ви часто користуєтеся, — це створити для них власні закладки.
2. Тест "Фейкового спливаючого вікна" (Тест на перетягування)
Це найнадійніший спосіб викрити підробне вікно входу в Steam.
Коли ви натискаєте "Увійти через Steam" на легальному сайті, відкривається справжнє вторинне вікно браузера. Оскільки це справжнє вікно, створене вашою операційною системою, воно має певні властивості.
Шахраї, однак, не можуть змусити ваш браузер відкрити справжнє вікно на їхній фейковий сайт, не видавши себе адресним рядком. Натомість вони використовують HTML і CSS, щоб намалювати фейкове "вікно" всередині вебсторінки, яку ви зараз переглядаєте. Воно виглядає як спливаюче вікно, але насправді це лише графіка на сторінці.
Тест: Коли з'являється спливаюче вікно входу в Steam, спробуйте натиснути та перетягнути верхню панель заголовка цього вікна за межі вашого основного вікна браузера (наприклад, перетягніть його на фон робочого столу).
- Якщо воно СПРАВЖНЄ: Вікно вільно переміщатиметься за межі основного фрейму браузера, оскільки це окреме, незалежне вікно, кероване вашою ОС.
- Якщо воно ФЕЙКОВЕ: Вікно "застрягне" на краю основного вікна браузера та зникне, якщо ви перетягнете його занадто далеко. Воно не може покинути вебсторінку, на якій було намальоване.
Примітка: Деякі сучасні складні фішери намагаються відкривати справжні нові вікна, але вони приховують адресний рядок або використовують надзвичайно складне підроблення URL. Завжди поєднуйте тест на перетягування з перевіркою URL.
3. Не довіряйте замочку (SSL-сертифікати)
Років тому користувачів вчили «шукати замочок» у рядку адреси браузера, щоб переконатися, що сайт безпечний. Ця порада небезпечно застаріла.
Замочок означає лише те, що з’єднання між вами та веб-сайтом зашифроване (HTTPS). Це означає, що ніхто не може перехопити дані під час передачі. Це НЕ означає, що сам веб-сайт є легітимним або безпечним.
Шахраї можуть легко та безкоштовно отримати SSL-сертифікати для своїх підроблених доменів з помилками в назві (typo-squatted). Фішинговий сайт майже завжди матиме замочок.
Як захиститися: Розумійте, що HTTPS (замочок) є необхідною умовою безпеки сайту, але це не є доказом чесності сайту. Це лише означає, що ви безпечно надсилаєте свій пароль прямо шахраю.
4. Перевірка «Вже ввійшли»
Якщо ви вже ввійшли в Steam у своєму основному веб-браузері (наприклад, Chrome або Firefox), офіційні запити на вхід в Steam на сторонніх сайтах мають це розпізнавати.
Коли ви натискаєте «Увійти через Steam» на легітимному сайті, він має автоматично показати ваше фото профілю та просто запропонувати «Увійти» одним кліком, без необхідності знову вводити пароль або код 2FA.
Тест:
Якщо ви знаєте, що ввійшли на steamcommunity.com у своєму браузері, але спливаюче вікно входу в Steam на сторонньому сайті просить вас знову вручну ввести ім’я користувача, пароль та код Steam Guard, це майже напевно фішинговий сайт. Закрийте його негайно.
Контрольний список для безпечного входу
- Чи перейшов я на цей сайт через довірений закладку або пошук Google, чи натиснув на посилання, надіслане мені? (Якщо посилання було надіслано, будьте вкрай обережні).
- Чи уважно я перевірив URL-адресу, щоб переконатися, що вона написана без помилок?
- Чи можу я витягнути спливаюче вікно входу за межі основного вікна браузера?
- Якщо я вже ввійшов у Steam у цьому браузері, чи змушує він мене знову вводити пароль?
Будьте пильними. У той момент, коли ви введете свої облікові дані у неправильне поле, шахраї перемагають.
