Steam API Dolandırıcılığı, saldırganların yalnızca bir API anahtarına değil aynı zamanda Steam oturumunuza veya hesabınıza erişim elde ettiği ve ardından trade tekliflerini engellemek ve yönlendirmek için bir Steam Web API anahtarı oluşturup kullanabildiği bir dolandırıcılık türüdür. API anahtarı, Steam Web API'sine erişim için kullanılan bir kimlik bilgisidir. Tek başına hesabınızın şifresi değildir ancak çalınan bir Steam oturumuyla birleştirildiğinde trade tekliflerini izlemek ve takasın ortasında bunları değiştirmek için kullanılabilir. Dolandırıcılar trade ları yönlendirmek için bunu kullanır; bu da öğelerinizin bir arkadaşınızla veya hatta güvenilir bir cilt pazarında meşru bir trade ortasında çalınabileceği anlamına gelir.
Dolandırıcılar Steam API Dolandırıcılığı Yoluyla Verilerinizi Nasıl Çalıyor?
En yaygın yöntem, Steam i kullanarak giriş yaptığınızda kimlik bilgilerinizi ele geçiren kimlik avı siteleridir. Bunlar, meşru platformların veya pazar yerlerinin benzer kopyaları veya yararlı araçlar veya oyuncu analiz hizmetleri gibi görünen diğer siteler olabilir.
Taktikler önemli ölçüde gelişti: Saldırganlar artık sahte giriş formlarının ötesine geçiyor ve sahte QR giriş istemleri, kötü amaçlı tarayıcı uzantıları, sahte Steam pencereleri ve tanıdık bir ad altında bağlantılar gönderen arkadaşlara ait güvenliği ihlal edilmiş hesaplar kullanıyor. Tehdit her zaman açıkça kabataslak bir web sitesi gibi görünmüyor; genellikle Steam, Discord veya başka bir sohbetteki tamamen sıradan bir mesajla başlıyor.
Bir arama motoru aracılığıyla bu sitelere rastlayabilirsiniz (tam olarak bu nedenle, sayfanın üst kısmındaki ücretli reklam sonuçlarına tıklamamanızı ve sahte sitelere girmemek için sitemizi doğrudan favorilerinize eklemenizi tavsiye ediyoruz). Ancak bu planlar genellikle size ulaşıp kendi bağlantılarını takip etmenizi ve sitede bir şeyler yapmanızı isteyen gerçek Steam kullanıcılarını içerir:
favori oyununuzun turnuvasına katılmak için kaydolun;
Atölye deki "onların" öğesine oy verin vb.
Yaygın yemler aynı zamanda "skin inspection," "hesap doğrulama," "yanlış rapor itirazları," "ekip oylaması," veya "güvenlik bağlantılarını da içerir trades." Böyle bir mesaj tanıdığınız birinden gelse bile, herhangi bir şeye tıklamadan önce her zaman bu kişinin hesabının ele geçirilmediğini doğrulayın.
Kendinizi Steam API Dolandırıcılığından Nasıl Korursunuz?
Steam API dolandırıcılığına karşı korunmak için tetikte olmanız gerekir. Bir dolandırıcılık sitesine girdiğinizde genellikle herhangi bir şeyin yanlış olduğu hakkında hiçbir fikriniz olmaz: Gerçeğiyle aynı görünebilir (eğer bir klonsa) veya yalnızca güvenilir görünebilir (başka planlarda).
Böylece şüphe duymadan dolaşacaksınız ve bir noktada site belirli bir özelliği kullanmak için Steam üzerinden oturum açmanızı isteyecek. Meşru bir site ile sahte bir site arasındaki farkın ortaya çıktığı yer burasıdır.
Tarayıcınızda zaten Steam de oturum açtıysanız:
Meşru bir site: Steam OpenID aracılığıyla oturum açmanız için sizi Steam in resmi etki alanına yönlendirir. Bu tarayıcıda Steam de zaten oturum açtıysanız, genellikle yalnızca "Oturum Aç" düğmesiyle onaylamanız gerekir; kimlik bilgilerinizi yeniden girmenize veya bir QR kodu taramanıza gerek yoktur.
Sahte bir site: Sahte bir oturum açma penceresi görüntüler ve kimlik bilgilerinizi doğrudan sayfaya girmenizi ister veya sizin oturumunuzun değil, aslında saldırganın oturumunun kimliğini doğrulayan bir QR kodunu taramanızı ister. Steam in QR girişi yalnızca Steam in resmi etki alanında güvenlidir; bir kimlik avı sitesinde oturumunuzu çalmak için bir araç haline gelir.
Kimlik avı sayfasında kimlik bilgilerinizi girerseniz veya QR girişini onaylarsanız saldırganlar Steam oturumunuza tam erişim elde edebilir.
API Anahtarı, API Jetonu ve Trade URL'si Nedir?
Steam API Dolandırıcılığı hakkındaki tartışmalar sıklıkla "API anahtarı," "API token," "token," veya sadece "key" terimlerini içerir ve bu ayrımları anlamaya değer. Steam Web API anahtarı, resmi Steam Web API Anahtarı sayfasında oluşturulan bir kimlik bilgisidir. Oturum belirteçleri ve çerezler, oturum açtığınızda tarayıcınızın sakladığı kimlik doğrulama verileridir. Dolandırıcılar oturumunuzu kimlik avı, sahte QR kodu veya kötü amaçlı bir tarayıcı uzantısı yoluyla çalarsa, siz oturumu sonlandırana kadar yeni şifrenizi bilmeden bile hesabınız adına hareket edebilirler.
Trade URL'si ayrı bir konudur. Tek başına dolandırıcıların hesabınıza erişmesine veya onay almadan öğeleri çalmasına izin vermez, ancak hesabınız zaten ele geçirilmişse, şifrenizi değiştirip API anahtarınızı iptal ederken aynı zamanda trade URL'nizi de yeniden oluşturmalısınız.
Steam API Dolandırıcılığı Nasıl Çalışır?
Hesabınızın veya oturumunuzun güvenliği ihlal edildikten sonra, resmi Steam Web API Anahtarı sayfasında (https://steamcommunity.com/dev/apikey) bilginiz olmadan bir Steam API anahtarı oluşturulabilir - ve bunun gerçekleştiğini bilemezsiniz çünkü bu durumda Steam herhangi bir bildirim göndermez.
Ve sonra - hiçbir şey. Tipik Steam API Dolandırıcılığı senaryosunda en azından bir süreliğine. Normal bir şekilde devam edersiniz, oyunlarınızı oynarsınız, gününüzü geçirirsiniz. Yalnızca öğelerinizi trade almaya karar verdiğinizde (ki bu günler, hatta aylar sonra olabilir) dolandırıcılar harekete geçer ve alışverişi engeller.
Öğeleri bir arkadaşınıza, bir pazar yerine veya kendi hesaplarınızdan birine gönderdiğinizde, dolandırıcılar giden trade teklifini tespit edebilir, orijinal teklifi iptal edebilir ve bunun yerine taklitçi botlara yönelik yeni bir teklif oluşturabilir. Bu noktada trade geçmişinizi kontrol ederseniz, aynı öğelere sahip iki teklif görürsünüz; biri amaçlanan alıcı için, diğeri sahtekar bot için. Daha gelişmiş saldırganlar, avatarı ve hesap ayrıntılarını kopyalayarak botlarını hedeflenen alıcıya benzeyecek şekilde süsleyecekler. trade onayladığınız anda görünümleriniz istediğiniz yer yerine dolandırıcıların eline geçer.
Steam bu tür saldırıları trade değiştirme veya yeniden yönlendirme olarak tanımlar: Kullanıcı, güvenilir bir hesapla trade onayladığını düşünür ancak aslında öğeleri taklitçiye göndermektedir.
Trade Koruması Tanıtıldıktan Sonra Neler Değişti?
CS2 öğeler için Steam Trade Protection mekanizmasını tanıttı. trade sonrasında CS2 öğeler 7 gün boyunca korunur: oyun içinde kullanılabilirler ancak traded daha fazla kullanılamaz, değiştirilemez veya tüketilemez. Hesabınızın güvenliği ihlal edildiyse ve öğeler sahte bir trade yoluyla gönderildiyse, trade geçmişiniz aracılığıyla o penceredeki korunan öğelerle ilgili işlemleri iptal edebilirsiniz.
Önemli: Trade Koruma son çaredir, dikkatli olmanın yerini tutmaz. Korumalı trade leri iptal ettiğinizde Steam, öğeleri ilgili taraflara iade eder, ancak hesabınıza trading ve Topluluk Pazarını kullanma konusunda 30 günlük bir kısıtlama uygulanır. Mobil kimlik doğrulayıcıda onaylamadan önce sorunu yakalamak, olaydan sonra geri çevirmeye güvenmekten çok daha iyidir.
Hesabınızı Kontrol Etme ve API Anahtarı Trade Manipülasyonuna Karşı Nasıl Korunabilirsiniz?
Yapılacak ilk şey, hesabınızda bir API anahtarının oluşturulup oluşturulmadığını kontrol etmektir. Belirtildiği gibi, bunu resmi Steam Web API Anahtarı sayfasında yapabilirsiniz: https://steamcommunity.com/dev/apikey. Varsayılan olarak hesapların bir API anahtarı yoktur; trade ları veya diğer standart hesap etkinliklerini göndermek için bir API anahtarına ihtiyacınız yoktur.
Bir anahtar varsa ve onu siz oluşturmadıysanız, derhal iptal edin ve trade manipülasyonunu önlemek için şifrenizi değiştirin.
Ancak API anahtarını iptal etmek artık tek başına yeterli değil. Kimlik bilgilerinizi şüpheli bir siteye girdiyseniz veya QR girişini onayladıysanız Steam oturumunuzun tamamının çalınmış olabileceğini varsaymalısınız. Bu durumda: API anahtarını iptal edin, Steam şifrenizi değiştirin, e-posta şifrenizi değiştirin, tüm cihazlardan çıkış yapın, Steam Guard ayarlarınızı gözden geçirin — ve ancak bundan sonra trade URL'nizi yeniden oluşturun.
Steam hesabınızın kontrolünü tamamen yeniden kazanmak için trade URL'nizi de yeniden oluşturmanızı öneririz. Bunu yapabilirsiniz here.
Botumuza ürün sattığınızda, trade teklifimizin iptal edilmesi durumunda da sizi uyaracağız. Dolandırıcıların daha önce API anahtarınıza, oturumunuza veya trade lerinizi ele geçirmek için başka yöntemlere erişmediklerini garanti edemeyiz — ancak sahte bir trade teklifini tespit etmenize yardımcı olmak için elimizden gelen her şeyi yaparız.
trade ürününüz Steam tarafından iptal edilirse sitemizde bir uyarı başlığı göreceksiniz (aşağıdaki ekran görüntüsüne bakın) ve sesli bir uyarı duyacaksınız.
Mobil kimlik doğrulayıcınızda trade kodunu onaylamak için asla acele etmeyin; her zaman önce öğeleri gönderdiğiniz botun ayrıntılarını (ad, seviye, avatar, hesap oluşturma tarihi) kontrol edin. Dolandırıcılar trade kodunu değiştirmeye çalışıyorsa bu ayrıntılar eşleşmeyebilir.
https://steamcommunity.com/id/(yourlogin)/tradeoffers/ adresinden yakın zamandaki trade geçmişinizi kontrol edin. Listenin başında biri iptal edilmiş iki aynı teklif görürseniz, bu trade nin kaçırıldığına işarettir. Kalan teklifi onaylamanız eşyalarınızı bize değil dolandırıcılara gönderecektir.
Ayrıca işlemleri, sitenin ve mobil kimlik doğrulayıcınızın yan yana açılabileceği, onaylamadan önce trade doğrulamasını çok daha kolay hale getirebileceğiniz bir masaüstü tarayıcıda tamamlamanızı da öneririz.
CS2 öğelerini içeren şüpheli bir trade yi zaten onayladıysanız, trade geçmişinizi ve Trade Koruma durumunuzu hemen kontrol edin. trade hala 7 günlük koruma penceresi içindeyse Steam in trade araçlarını kullanarak bunu iptal edebilirsiniz. Ancak hesabınızın güvenliğini sağlamak önce gelir: şifrenizi değiştirin, API anahtarını iptal edin, etkin oturumları sonlandırın ve bilgisayarınızı kötü amaçlı yazılımlara karşı tarayın.
API Anahtarı Dolandırıcılıklarından Nasıl Korunulur?
İşte Steam hesabınızı güvende tutmanıza ve trading görünümünü daha güvenli hale getirmenize yardımcı olacak bazı ek adımlar.
Steam üzerinden giriş yapmanızı isteyen siteleri her zaman doğrulayın. Kimlik avı alan adları genellikle URL'deki yalnızca bir veya iki karakterle gerçek alandan farklılık gösterir.
Steam aracılığıyla oturum açmadan önce, yalnızca sayfanın nasıl göründüğünü değil, adres çubuğundaki alan adını da kontrol edin. Meşru bir Steam girişi, üçüncü taraf bir sitedeki yerleşik bir pencere aracılığıyla değil, Steam in resmi etki alanı üzerinden yapılmalıdır.
Kişisel olarak tanımadığınız kişilere karşı dikkatli olun. Gönderdikleri bağlantılara şüpheyle yaklaşın ve tıklamadan veya herhangi bir işlem yapmadan önce siteyi araştırın.
Steam, doğrudan sohbetlerdeki şüpheli mesajlar için uyarılar ekledi ve bunları doğrudan konuşma penceresinden bildirmenize olanak tanıyor. Ancak bir uyarının olmaması bağlantının güvenli olduğu anlamına gelmez; hiçbir filtre her kimlik avı düzenini yakalayamaz.
Turnuva davetleri veya tanımadığınız kişilerden gelen trade teklifleri gibi şüpheli tekliflere karşı tetikte olun.
Birisi size Steam Desteği olduğunuzu iddia eden bir mesaj gönderirse ve öğelerinizi bir arkadaşınıza veya farklı bir hesaba göndermenizi isterse son derece şüpheci olun. Yaygın bir bahane, profilinizin çalıntı mallar içerdiği iddia edildiği için "doğrulama" hesabı sırasında öğelerinizin güvenliğini sağlamak için bunun "gerekli" yapılması gerektiğidir. Gerçek Steam Destek personeli sizi asla arkadaş olarak eklemez veya sohbette size mesaj göndermez. Profilinizde incelenmekte olduğunu belirten bir bildirim görürseniz ve ardından "Destek ten bir mesaj alırsanız," hesabınızın güvenliği zaten ihlal edilmiştir.
Steam Desteği sizden asla öğeleri "güvenli bir hesaba aktarmanızı istemeyecektir," hiçbir zaman özel mesajlar aracılığıyla doğrulama yapmayacaktır ve hiçbir zaman bir arkadaşınıza, bot a veya alternatif profile skin göndermenizi istemeyecektir. Böyle bir talep bir dolandırıcılıktır.
trade yönetimi, "otomatik onay," fiyat kontrolü veya pazar yeri özellikleri için yarım yamalak tarayıcı uzantıları yüklemeyin. Kötü amaçlı uzantılar sayfaları değiştirebilir, tarayıcı verilerini okuyabilir ve saldırganların etkin oturumunuza erişmesine yardımcı olabilir.
Hesabınızda bir API anahtarının bulunup bulunmadığını düzenli olarak kontrol edin ve şüpheli etkinliklere karşı dikkatli olun.
Şüpheli bir giriş yaptıktan sonra API anahtarını kontrol etmekle yetinmeyin. E-postanızı, Steam Guard ayarlarınızı, aktif cihazlarınızı, trade geçmişinizi ve trade URL'nizi inceleyin. Herhangi bir sorun varsa şifrenizi değiştirin ve tüm cihazlardan çıkış yapın.
Birine öğe gönderdiğinizde trade kodunu gerçekte kime gönderdiğinizi bir kez daha kontrol edin.
Dış skin veya trading skin satmak için yalnızca güvenilir, yerleşik üçüncü taraf siteleri kullanın.
Ve en önemlisi — Trade Korumasını birincil savunma hattınız olarak görmeyin. CS2 öğeleri içeren sahte bir trade sonrasında yardımcı olabilir, ancak daha güvenli yaklaşım, mobil kimlik doğrulayıcınızda trade öğesini onaylamadan önce değişikliği yakalamaktır.
