Steam API Scam es un tipo de fraude en el que los atacantes obtienen acceso no solo a una clave API, sino también a su sesión o cuenta de Steam, después de lo cual pueden crear o usar una clave Steam Web API para interceptar y redirigir ofertas trade. Una clave API es una credencial para acceder a la API web de Steam. Por sí sola, no es una contraseña para su cuenta, pero combinada con una sesión de Steam robada puede usarse para monitorear ofertas trade e intercambiarlas durante el intercambio. Los estafadores aprovechan esto para redirigir a trades, lo que significa que tus artículos pueden ser robados en medio de una trade legítima con un amigo o incluso en un mercado de skins de confianza.
¿Cómo roban los estafadores sus datos a través de la estafa de la API de Steam?
El método más común son los sitios de phishing que capturan sus credenciales cuando inicia sesión con Steam. Pueden ser copias similares de plataformas o mercados legítimos, u otros sitios que se hacen pasar por herramientas útiles o servicios de análisis de jugadores.
Las tácticas han evolucionado significativamente: los atacantes ahora van más allá de los formularios de inicio de sesión falsos y utilizan mensajes de inicio de sesión QR falsos, extensiones de navegador maliciosas, ventanas de Steam falsificadas y cuentas comprometidas que pertenecen a amigos que envían enlaces con un nombre familiar. La amenaza no siempre parece un sitio web obviamente incompleto —; a menudo comienza con un mensaje completamente normal en Steam, Discord u otro chat.
Es posible que te topes con estos sitios a través de un motor de búsqueda (que es exactamente la razón por la que recomendamos encarecidamente no hacer clic en los resultados de anuncios pagados en la parte superior de la página y recomendamos marcar nuestro sitio directamente como favorito para evitar llegar a uno falso). Pero estos esquemas a menudo involucran a usuarios reales de Steam que se acercan y te piden que sigas su enlace y hagas algo en el sitio:
regístrate para participar en un torneo de tu juego favorito;
vota por "su" artículo en el Taller, y así sucesivamente.
Los señuelos comunes también incluyen enlaces a "skin inspection," "verificación de cuenta," "apelaciones de informes falsos," "votación en equipo," o "seguro trades." Incluso si ese mensaje proviene de alguien que conoces, siempre verifica que su cuenta no haya sido comprometida antes de hacer clic en cualquier cosa.
Cómo protegerse de la estafa de la API de Steam
Para mantenerse a salvo del fraude de la API de Steam es necesario mantenerse alerta. Cuando llegas a un sitio fraudulento, normalmente no tienes idea de que algo anda mal: puede parecer idéntico al sitio real (si es un clon) o simplemente parecer digno de confianza (en otros esquemas).
Así que navegarás sin sospechas y, en algún momento, el sitio te pedirá que inicies sesión a través de Steam para utilizar una función en particular. Aquí es donde queda clara la diferencia entre un sitio legítimo y uno fraudulento.
Si ya has iniciado sesión en Steam en tu navegador:
Un sitio legítimo: te redirige al dominio oficial de Steam para iniciar sesión a través de Steam OpenID. Si ya has iniciado sesión en Steam en ese navegador, normalmente solo tendrás que confirmar con el botón "Iniciar sesión" —, no es necesario volver a ingresar tus credenciales ni escanear un código QR.
Un sitio fraudulento: muestra una ventana de inicio de sesión falsa y le solicita que ingrese sus credenciales directamente en la página, o le solicita que escanee un código QR que en realidad autentica la sesión del atacante, no la suya. El inicio de sesión QR de Steam solo es seguro en el dominio oficial de Steam — en un sitio de phishing; se convierte en una herramienta para robar su sesión.
Si ingresa sus credenciales o confirma un inicio de sesión QR en una página de phishing, los atacantes pueden obtener acceso completo a su sesión de Steam.
¿Qué es una clave API, un token API y una URL Trade?
Las discusiones sobre la estafa de API de Steam con frecuencia involucran los términos "API key," "API token," "token," o simplemente "key" — y vale la pena comprender el distinciones. Una clave Steam Web API es una credencial creada en la página oficial de Steam Web API Key. Los tokens de sesión y las cookies son los datos de autenticación que su navegador almacena una vez que ha iniciado sesión. Si los estafadores roban su sesión mediante phishing, un código QR falso o una extensión de navegador maliciosa, pueden actuar en nombre de su cuenta incluso sin conocer su nueva contraseña — hasta que finalice la sesión.
Una URL Trade es un asunto aparte. Por sí solo, no les da a los estafadores acceso a su cuenta ni les permite robar elementos sin confirmación, pero si su cuenta ya ha sido comprometida, debe regenerar su URL trade al mismo tiempo que cambia su contraseña y revoca su clave API.
¿Cómo funciona la estafa de la API de Steam?
Después de que su cuenta o sesión se haya visto comprometida, se puede crear una clave API de Steam sin su conocimiento en la página oficial de clave API web de Steam (https://steamcommunity.com/dev/apikey) — y no sabrá que sucedió, porque Steam no envía ninguna notificación cuando esto ocurre.
Y luego — nada. Al menos por un tiempo, en el típico escenario de estafa de API de Steam. Continúas con normalidad, juegas y sigues con tu día. Sólo cuando usted decide trade sus artículos —, lo que podría ser días o incluso meses después —, que los estafadores hacen su movimiento e interceptan el intercambio.
Cuando envía artículos a un amigo, un mercado u otra de sus propias cuentas, los estafadores pueden detectar el trade saliente, cancelar la oferta original y crear una nueva dirigida a su robot imitador. Si revisa su historial trade en ese momento, verá dos ofertas con artículos idénticos — uno para el destinatario previsto y otro para el robot fraudulento. Los atacantes más sofisticados también disfrazarán su bot para que se parezca al destinatario previsto, copiando el avatar y los detalles de la cuenta. Tan pronto como confirmes el trade, tus skins irán a parar a los estafadores en lugar de donde pretendías.
Steam describe este tipo de ataque como trade sustitución o redirección: el usuario cree que está confirmando un trade con una cuenta confiable, pero en realidad está enviando elementos a un imitador.
¿Qué cambió después de que se introdujo la protección Trade?
Para los artículos CS2, Steam introdujo un mecanismo Trade Protection. Después de trade, los artículos CS2 están protegidos durante 7 días: se pueden usar en el juego, pero no se traded, modificar ni consumir más. Si su cuenta se vio comprometida y los artículos se enviaron a través de un trade fraudulento, es posible que pueda cancelar transacciones que involucren artículos protegidos dentro de esa ventana a través de su historial trade.
Importante: Trade La protección es un último recurso, no un sustituto del cuidado. Cuando cancelas trades protegidos, Steam devuelve los artículos a las partes involucradas, pero tu cuenta recibe una restricción de 30 días de trading y del uso del Community Market. Es mucho mejor detectar el problema antes de confirmarlo en el autenticador móvil que confiar en revertirlo después del hecho.
Cómo verificar su cuenta y protegerla contra la manipulación de la clave API Trade
Lo primero que debe hacer es verificar si se ha generado una clave API en su cuenta. Como se mencionó, puede hacer esto en la página oficial de clave API web de Steam: https://steamcommunity.com/dev/apikey. De forma predeterminada, las cuentas no tienen una clave API —; no la necesita para enviar trade u otra actividad estándar de la cuenta.
Si existe una clave y usted no la creó, revoquela inmediatamente y cambie su contraseña para evitar la manipulación de trade.
Sin embargo, revocar la clave API por sí sola ya no es suficiente. Si ingresó sus credenciales en un sitio sospechoso o confirmó un inicio de sesión QR, debe asumir que es posible que le hayan robado toda su sesión de Steam. En ese caso: revoque la clave API, cambie su contraseña de Steam, cambie su contraseña de correo electrónico, cierre sesión en todos los dispositivos, revise la configuración de Steam Guard — y solo entonces regenere su URL trade.
Para recuperar completamente el control de su cuenta de Steam, también recomendamos regenerar su URL trade. Puedes hacer eso here.
Cuando vende artículos a nuestro bot, también le avisaremos si se cancela nuestra oferta trade. No podemos garantizar que los estafadores no hayan accedido previamente a su clave API, su sesión o algún otro medio para interceptar sus trades —, pero hacemos todo lo posible para ayudarlo a detectar una oferta trade falsa.
Si Steam cancela tu trade, verás un banner de advertencia en nuestro sitio (consulta la captura de pantalla a continuación) y escucharás una alerta de audio.
Nunca se apresure a confirmar un trade en su autenticador móvil — siempre verifique primero los detalles del bot al que está enviando elementos (nombre, nivel, avatar, fecha de creación de la cuenta). Si los estafadores intentan cambiar el trade, es posible que estos detalles no coincidan.
Consulta tu historial reciente de trade en https://steamcommunity.com/id/(yourlogin)/tradeoffers/. Si ve dos ofertas idénticas en la parte superior de la lista —, una de las cuales fue cancelada —, eso es una señal de que trade fue secuestrado. Al confirmar la oferta restante, se enviarán sus artículos a los estafadores, no a nosotros.
También recomendamos completar las transacciones en un navegador de escritorio, donde puede tener el sitio y su autenticador móvil abiertos uno al lado del otro, lo que hace que sea mucho más fácil verificar el trade antes de confirmar.
Si ya ha confirmado un trade sospechoso que involucra elementos CS2, verifique su historial de trade y el estado de protección de Trade inmediatamente. Si trade todavía se encuentra dentro de la ventana de protección de 7 días, es posible que puedas cancelarlo a través de las herramientas trade de Steam. Pero proteger su cuenta es lo primero: cambie su contraseña, revoque la clave API, finalice las sesiones activas y analice su computadora en busca de malware.
Cómo mantenerse a salvo de estafas de claves API
Aquí hay algunos pasos adicionales que ayudarán a mantener segura su cuenta de Steam y hacer que la skin trading sea más segura.
Verifique siempre cualquier sitio que le solicite iniciar sesión a través de Steam. Los dominios de phishing a menudo se diferencian de los reales por solo uno o dos caracteres en la URL.
Antes de iniciar sesión a través de Steam, verifique el dominio en la barra de direcciones —, no solo el aspecto de la página. Un inicio de sesión legítimo en Steam debe realizarse a través del dominio oficial de Steam, no a través de una ventana integrada en un sitio de terceros.
Tenga cuidado con las personas que no conoce personalmente. Trate cualquier enlace que envíen con escepticismo e investigue el sitio antes de hacer clic o realizar alguna acción en él.
Steam ha agregado advertencias sobre mensajes sospechosos en chats directos y te permite reportarlos directamente desde la ventana de conversación. Pero la ausencia de una advertencia no significa que un enlace sea seguro — ningún filtro detecta todos los esquemas de phishing.
Manténgase alerta a ofertas sospechosas — como invitaciones a torneos o trades de personas que no conoce.
Sea muy escéptico si alguien le envía un mensaje diciendo que es soporte de Steam y le pide que envíe sus artículos a un amigo o a una cuenta diferente. Un pretexto común es que esto es "requerido" para proteger sus artículos durante una "verificación" porque su perfil supuestamente contiene bienes robados. El personal de soporte real de Steam nunca te agregará como amigo ni te enviará mensajes en el chat. Si ve una notificación en su perfil que dice que está bajo revisión y luego recibe un mensaje de "Soporte," su cuenta ya ha sido comprometida.
El soporte de Steam nunca te pedirá que transfieras elementos a una "cuenta segura," nunca realizará una verificación a través de mensajes privados y nunca te pedirá que envíes skins a un amigo, bot o perfil alternativo. Cualquier solicitud de este tipo es una estafa.
No instale extensiones de navegador incompletas para trade administración, "confirmación automática," verificación de precios o funciones del mercado. Las extensiones maliciosas pueden modificar páginas, leer datos del navegador y ayudar a los atacantes a acceder a su sesión activa.
Verifique periódicamente si existe una clave API en su cuenta y esté atento a cualquier actividad sospechosa.
Después de cualquier inicio de sesión sospechoso, no se limite a verificar la clave API. Revise su correo electrónico, la configuración de Steam Guard, los dispositivos activos, el historial de trade y la URL de trade. Si algo parece estar mal — cambie su contraseña y cierre sesión en todos los dispositivos.
Siempre que envíe artículos a alguien, verifique a quién le está enviando realmente el trade.
Utilice únicamente sitios de terceros establecidos y confiables para vender skins trading.
Y lo más importante — no trate a Trade La protección como su principal línea de defensa. Puede ayudar después de un trade fraudulento que involucra artículos CS2, pero el enfoque más seguro es detectar la sustitución antes de confirmar el trade en su autenticador móvil.
