Как могут украсть аккаунт Steam с привязанным аутентификатором

С каждым годом аудитория Steam увеличивается на десятки тысяч пользователей. Среди них большая часть обычных игроков, которые имеют на аккаунте десяток-другой игр, при этом играют преимущественно в CS:GO или Dota 2. Другие представители этой категории могут иметь намного больше игр, но в целом их аккаунты не предоставляют особой ценности.

Однако в Стим есть и такие пользователи, инвентари которых оцениваются приличными суммами. В основном это касается игроков тех же игр – Дота 2 и КС ГО. В инвентарях таких пользователей может лежать несколько ножей, дорогих скинов к оружию и крутых вещей к доте.

К, примеру, в Steam есть с полсотни пользователей, чей инвентарь стоит от 3 до 15 миллионов рублей.

Да это большие суммы и таким пользователей не очень-то и много, но ведь помимо их, например, есть тысячи инвентарей с полумиллионным инвентарём, сотни тысяч с балансами до 100 000 р. и т.д.

Короче, потенциальной роботы для мошенников просто завались.

Как взломать Steam? Как украсть аккаунт Стим?

И далее я опишу несколько схем, по которым могут действовать интернет-воры.

Стоит заметить, что целью настоящих мошенников являются аккаунты с дорогими инвентарями. Но также есть другие «школьники-подражатели», которые ради сотни рублей готовы потратить свое время на подобные манипуляции. Поэтому, если даже вы не обладатель дорогих вещей, стоит бережно относится к безопасности в Steam. Ведь кроме сворованного инвентаря эти школьники могут специально загнать ваш аккаунт и под VAC бан.

Фейковые страницы

Взломщики создают копию страниц Steam, пишут специальные скрипты размещают у себя на сервере. То есть они подделывают сайт Стима, однако одну вещь подделать нереально – адрес сайта.

Поэтому, когда вам пишут сообщения с подобным текстом:

Сами ссылки будут иметь следующий вид:

• http://store.steampowera
  d.com/app/730/CounterStrike
• http://steamcon
  munity.com/id/merfo/
• http://store.steampov
  ered.com/app/730/CounterStrike
• http://steamcommuny
  ti
  .com/id/merfo/

Красным цветом я выделил те символы, которые в нашем случае были заменены. То есть вы поняли, точный адрес стима зарегистрировать нереально, поэтому мошенники используют очень-очень похожие.

Я часто встречал, что при таких манипуляциях могут применять адреса даже никак не похожие на оффициальные. Поэтому будьте очень внимательными, когда переходите по ссылкам.

И так, когда вы перейдете по такой ссылке то увидите точную копию сайта Steam и чтобы добавить игру в библиотеку или добавить в друзья пользователя (как у нас было в примере) нужно авторизоваться, то есть ввести логин и пароль.

Когда вы введете эти данные и нажмете на кнопку «Вход» то скрипт поддельного сайта перенаправит вас на официальный сайт Steam но при этом сохранит введенные вами данные.

Все, мошенник знает ваш логин и пароль.

Когда появились мобильные аутентификаторы, то после Входа выскакивает такое же поддельное окно, которое просит ввести код авторизации Steam Guard. Если жертва введет его, то помимо логина и пароль взломщик получит и рабочий код, благодаря которому он сможет зайти в аккаунт.

Восстановление доступа к вашему аккаунту

Мошенник находит подходящую жертву и смотрит ее список желаемого (список игр, которые хочет заполучить пользователь). Или же, чтобы был беспроигрышный вариант, сам спрашивает в пользователя название желаемой игры.

Далее взломщик обязательно добавляет жертву в друзья, и, когда заявка будет одобрена, начинают диалог. Более опытные мошенники разговор могут начать и через несколько недель «дружбы».

Ключевое сообщение выглядит примерно так:

При этом указывается название именно той игры, которую хочет получить жертва. Если в ответ дают согласие, то взломщику нужно будет реально найти (купить) рабочий ключ к данной игре.

Дале жертве предлагают совершить обмен с примерно такими условиями: я даю тебе ключ первым, но перед этим сделай скриншот своей библиотеки, чтобы я мог понять активировал ли ты игру или нет.

Пример звучит тупо, но мошенники могут использовать любые уловки, главное для их получить скриншот окна из клиента Steam.

Дело в том, что так они узнают реальный логин жертвы. Также будет видно и баланс аккаунта.

Далее взломщик отдает ключ жертве – если она активирует ключ и «кинет» взломщика, то последнему абсолютно будет пофиг, главное чтобы ключ был активирован. Если же жертва согласится завершить «честный» обмен, то это будет залогом беспроигрышной попытки развода (мошенник точно не понесет убытки). Стоит заметить, что стоимость игры и самого инвентаря может быть даже 10-20 рублей, это не играет роли.

Теперь, когда жертва активировала ключ мошенник смело идет открывать тикет в службе поддержки Steam на восстановление чужого аккаунта. Опять таки, взломщик может сделать небольшую выдержку, то есть начнет действовать через несколько дней после активацию ключа, чтобы быть менее подозрительным.

В заявке на восстановление аккаунта он указывает такие данные:

• Логин жертвы (узнает со скриншота).
• Свой почтовый ящик.
• По желанию может указать сумму, которая была на аккаунте (тоже видно на скрине).
• Квитанцию о покупке игры или фото диска. И да, мошенник может купить ключ игры в любом цифровом интернет-магазине и показать квитанцию об оплате. Но особенно эффективно работают фотографии, на котором изображены: сами диск с игрой и текстовый ключ напечатанный на вкладыше к компакт-диску – создается эффект, что он купил игру в магазине и диск с игрой находится у его.

После рассмотрения такой заявки примерно через 5-10 дней мошеннику пришлют новые данные от аккаунта Steam жертвы.

Вирусные программы

Я думаю каждый из пользователей стим наблюдал такую картину: в друзья добавляется неизвестный человек и после одобрения заявки он предлагает вам «золотые горы» за переход по ссылке.

Подобное могут предложить и ваши друзья в Steam – это значит, скорее всего, их уже взломали.

Сообщения могут выглядеть по-разному, ну например:

По ссылке вы попадаете на вирус/вредоносную программу, которая может передать данные взломщику или просто передаст все вещи жертвы на аккаунт мошенника.

Брут

Довольно старинный способ взлома чего-либо. Он, наверное, появился почти тогда же, когда в интернете начали использовать личные данные – логины и пароли.

Суть его работы в том, что зная логин конкретной жертвы можно подобрать пароль.

Список паролей также генерирует специальная програма, и такой список может вмещать тысячи вариантов. Кроме того, когда в мошенника нет четкой жертвы, то список логинов также может быть сгенерирован.

Как правило пароли в таких списках являются не сложными, так как для обхвата даже небольшой части реально сложных паролей нужны очень-очень крутые дорогостоящие вычислительные компьютеры.

Поэтому если жертвы будет использовать простенькие пароли, ее будет легко взломать. Примером простых паролей можно назвать:

• qwerty
  
  – последовательность символов на клавиатуре.
• 1q2w3e4r5t
  
  – тоже самое, только с двух рядков клавиш.
• 1234567
  
  – последовательный набор чисел.
• roma1998
  
  – имя и год рождения
• 044126
  
  – короткий пароль исключительно с числами
• liliya
  
  – названия предметов, растений, имена и т.д.
• и в том же духе.

Сложным паролем можно назвать любой пароль, который имеет числа, маленькие буквы, больший буквы, и, если можно их использовать, то даже символы – >, &, ), *.

Вот примеры:

• 33Pc8Z3nMP
  
• ufkVKM25
  
• и т.д.

С приходом мобильных аутентификаторов способ стал полурабочий, однако выманить у вас временный код доступа также могут.

Мобильный аутентификатор

Да, с появление мобильных аутентификатором процесс махинаций стал намного сложнее, а некоторые манипуляция даже стали невозможными.

Однако взломщики могут заняться сменой повязанного номера мобильного телефона от Steam Guard.

Сделать это можно по-разному, я не мошенник и в этих делах не силен, однако могу привести несколько примеров:

• Психологически воздействовать на жертву (особенно если так подросток) и попросить перевязать аккаунт на ваш номер. Можно придумать какую-то хитрую историю, почему он это должен сделать и т.д.
• Можно обманом попросить оператора сотовой связи сделать дубликат сим-карты жертвы. Уверить их, что это вы владелец номера и потеряли свою симку.
• Можно попросить жертву за оплату протестировать ваше приложение, которое есть в Google Play и дать ссылку на ту программу, которая даст вам удаленный доступ к мобильному телефону жертвы.
• И я уже не говорю про тот случай, когда грабители вломились в квартиру к геймеру и требовали передать все ценные вещи из инвентаря на другой аккаунт.

Как видите, процесс потери аккаунта полностью зависит от вас, и только вы можете сами себя обезопасить. Да, некоторые способы уже полноценно не работают и не дают мошенникам полного доступа к управлению аккаунтом, например, передавать вещи, однако запустить с вашего аккаунта игру и включить чит они также могут, и это буде неприятно, для вас.