Ten artykuł otwiera serię poświęconą bezpieczeństwu graczy. Nie będzie to jednak kolejny poradnik ograniczający się do listy prostych wskazówek. Chciałabym pokazać, jak wyglądają współczesne oszustwa z perspektywy analityka CTI, dlaczego są skuteczne i na jakie sygnały warto zwracać uwagę, zanim będzie za późno. Bo choć techniki się zmieniają, jedno pozostaje niezmienne – cyberprzestępcy nie próbują włamać się do Steama. Znacznie łatwiej jest przekonać użytkownika, aby sam oddał im dostęp do swojego konta.
Hej, przypadkowo zgłosiłem Twoje konto. Steam prowadzi właśnie jego weryfikację. Musisz jak najszybciej napisać do administratora, zanim dostaniesz bana.
Brzmi znajomo?
Jeżeli korzystasz ze Steama, istnieje spora szansa, że podobna wiadomość trafiła kiedyś również do Ciebie. Być może wysłała ją osoba z listy znajomych. Być może ktoś zupełnie obcy. Czasami rozmowa zaczyna się od pytania o ulubioną klasę w Team Fortress 2. Innym razem od propozycji udziału w turnieju Counter-Strike’a lub atrakcyjnej wymiany skinów. Schematów jest wiele, ale cel pozostaje niezmienny – przejąć Twoje konto lub ukraść wartościowe przedmioty.
Konto Steam jest warte więcej, niż myślisz
Jeszcze kilka lat temu przejęcie konta do gry oznaczało głównie utratę postępów. Dzisiaj sytuacja wygląda zupełnie inaczej. W wielu popularnych tytułach przedmioty posiadają realną wartość rynkową. Szczególnie dobrze widać to w przypadku Counter-Strike’a (CS), gdzie niektóre skiny osiągają ceny porównywalne z wartością samochodu. To właśnie dlatego gracze CS-a należą do najczęściej atakowanych grup użytkowników.
Podobnie wygląda sytuacja w Team Fortress 2 (TF2), gdzie od wielu lat funkcjonuje rozbudowany rynek wymiany przedmiotów. Tam również wartościowe przedmioty stały się celem licznych kampanii phishingowych i oszustw.
Dla cyberprzestępcy przejęte konto może oznaczać kilka różnych możliwości zarobku:
- sprzedaż całego konta,
- sprzedaż skinów i przedmiotów,
- wykorzystanie konta do dalszych oszustw,
- rozsyłanie wiadomości do znajomych ofiary,
- prowadzenie kolejnych kampanii phishingowych.
I właśnie ten ostatni element jest szczególnie interesujący. Wyobraźmy sobie, że otrzymujesz wiadomość od osoby, z którą grasz od kilku lat. Widzisz znajomy avatar, nazwę użytkownika i historię wcześniejszych rozmów. Naturalnie zakładasz, że rozmawiasz z tą samą osobą.
Tymczasem konto mogło zostać przejęte kilka godzin wcześniej.
„Przypadkowo zgłosiłem Twoje konto” – klasyk wśród oszustw
To prawdopodobnie najpopularniejszy scenariusz wykorzystywany przeciwko użytkownikom Steama. Mimo że jest znany od lat, nadal pojawia się w nowych odsłonach i wciąż znajduje kolejne ofiary.
Schemat zazwyczaj wygląda bardzo podobnie. Użytkownik otrzymuje zaproszenie do znajomych lub wiadomość od osoby, która twierdzi, że przez pomyłkę zgłosiła jego konto do Steam Support. Nadawca przeprasza za swoją pomyłkę i zapewnia, że sytuację można szybko wyjaśnić. W tym celu prosi o kontakt z rzekomym administratorem Steama, przesyłając jego profil lub kontakt na Discordzie.
Po nawiązaniu kontaktu z rzekomym administratorem rozmowa przybiera bardziej formalny charakter. Oszust może poprosić o nazwę użytkownika, adres e-mail przypisany do konta, kod przesłany przez Steam Guard lub hasło.
Istnieje także odmiana skierowana do osób handlujących przedmiotami. W tej wersji użytkownik dowiaduje się, że jego konto zostało zgłoszone z powodu posiadania rzekomo zduplikowanych przedmiotów. Aby uniknąć blokady, ma przekazać swoje skiny specjalnemu botowi, który przeprowadzi ich „weryfikację”. Oczywiście po zaakceptowaniu wymiany przedmioty trafiają do cyberprzestępcy i już nie wracają.
Okiem analityka CTI
Ten scenariusz jest niezwykle skuteczny, ponieważ wykorzystuje dwa silne mechanizmy psychologiczne. Pierwszym jest autorytet a drugim strach przed utratą konta, zwłaszcza jeśli użytkownik posiada na nim gry lub przedmioty kolekcjonerskie.
Warto pamiętać, że Steam nie posiada administratorów kontaktujących się z użytkownikami przez czat, Discord czy Telegram. Oficjalne wsparcie techniczne prowadzone jest wyłącznie przez system Steam Support. Pracownicy Steam nigdy nie poproszą również o hasło ani kody uwierzytelniające.
„Too good to be true”
Niektóre kampanie rozpoczynają się jeszcze prościej.
Do użytkownika wysyłane jest zaproszenie od atrakcyjnie wyglądającego profilu. Rozmowa początkowo nie wzbudza żadnych podejrzeń. Dopiero po kilku wiadomościach pojawia się propozycja przejścia na inną platformę komunikacyjną – najczęściej Telegram lub Discord.
Dlaczego?
Po pierwsze, cyberprzestępcy zyskują większą swobodę działania. W takiej sytuacji łatwiej też jest przesyłać linki prowadzące do fałszywych stron logowania. Po trzecie zaś – ofiara zaczyna odnosić wrażenie, że prowadzi prywatną rozmowę poza oficjalną platformą.
Sam fakt otrzymania zaproszenia do rozmowy poza Steamem nie oznacza jeszcze próby oszustwa. Warto jednak zachować szczególną ostrożność, jeśli rozmówca bardzo szybko zaczyna namawiać do kliknięcia przesłanego linku, logowania się do zewnętrznego serwisu lub pobrania pliku.
Brakuje nam jednego gracza
Gracze CS-a i TF2 od lat należą do najczęściej atakowanych społeczności na Steamie. W obu przypadkach nie bez znaczenia pozostaje aktywny rynek przedmiotów oraz duża liczba osób angażujących się w rozgrywki rankingowe i turniejowe.
Jednym z najpopularniejszych scenariuszy jest tzw. scam turniejowy. Rozmowa często rozpoczyna się od pytania:
„Jaką klasą grasz w Team Fortress 2?”
albo
„Grasz jeszcze w CS-a?”
Po krótkiej wymianie wiadomości rozmówca informuje, że jego drużynie brakuje jednego zawodnika do turnieju z atrakcyjną pulą nagród. W innych wariantach prosi jedynie o oddanie głosu na swoją drużynę lub wsparcie znajomych w trwających rozgrywkach. Historia może być uwiarygadniana dodatkowymi szczegółami np. tłumaczenie, że jeden z zawodników zachorował i drużyna pilnie szuka zastępstwa. Im bardziej wiarygodna historia, tym większa szansa, że ofiara kliknie przesłany link.
Po wejściu na stronę użytkownik trafia na profesjonalnie wyglądający serwis turniejowy. Znajduje tam przycisk logowania przez Steam, który w rzeczywistości prowadzi do fałszywej strony przechwytującej dane uwierzytelniające. Czasami w teorii jest opcja założenia nowego konta. Po rozpoczęciu procesu rejestracji użytkownik może zostać poinformowany, że konieczne jest potwierdzenie numeru telefonu za pomocą wiadomości SMS. Taki dodatkowy krok ma uwiarygodnić cały proces i sprawić wrażenie, że serwis stosuje standardowe mechanizmy bezpieczeństwa wykorzystywane podczas organizacji turniejów.
W rzeczywistości zamiast oczekiwanego etapu weryfikacji SMS wyświetlane jest okno logowania do Steam. Może ono wyglądać bardzo wiarygodnie, dlatego użytkownik odnosi wrażenie, że loguje się do oficjalnej usługi.
Okiem analityka CTI
To dobry przykład kampanii, która nie wymaga zaawansowanych technik. Strona internetowa może wyglądać bardzo profesjonalnie, ale jej jedynym zadaniem jest wyłudzenie danych logowania. W praktyce cyberprzestępcy inwestują znacznie więcej czasu w rozmowy niż na przygotowanie strony phishingowej.
Zaufanie do znanych platform
FACEIT – serwis, który umożliwia udział w rozgrywkach rankingowych, turniejach oraz meczach organizowanych poza oficjalnym matchmakingiem gry i od lat cieszy się dużą popularnością wśród bardziej zaawansowanych graczy CS-a.
Jednym z obserwowanych obecnie scenariuszy jest tworzenie stron internetowych podszywających się pod proces weryfikacji konta lub rejestracji do turnieju. Ich adresy często zawierają słowo faceit, uzupełnione o dodatkowe wyrazy lub losowe ciągi znaków. Na pierwszy rzut oka mogą wyglądać wiarygodnie, zwłaszcza jeśli użytkownik nie zwróci uwagi na pełną nazwę domeny.
Po wejściu na stronę użytkownik jest proszony o weryfikację tożsamości przez zalogowanie się do Steam. Cały proces wygląda profesjonalnie i sprawia wrażenie elementu standardowej procedury bezpieczeństwa. W rzeczywistości celem jest przechwycenie danych logowania do konta Steam.
Okiem analityka CTI
Obecnie interfejs bywa niemal identyczny z oryginałem. Znacznie ważniejsze staje się sprawdzenie pełnego adresu strony oraz zastanowienie się, czy logowanie do Steam rzeczywiście jest potrzebne do wykonania danej czynności.
Darmowa karta podarunkowa?
Użytkownik otrzymuje informację o możliwości odebrania darmowej karty podarunkowej lub wyjątkowej promocji. Zachętą może być atrakcyjna grafika, ograniczony czas trwania oferty lub informacja o specjalnej akcji przygotowanej z okazji wydarzenia w świecie gier.
Coraz częściej wykorzystywane są również kody QR, które mają ułatwić przejście do strony z ofertą. To rozwiązanie jest wygodne, ale jednocześnie utrudnia ocenę, dokąd rzeczywiście prowadzi odnośnik.
Po zeskanowaniu kodu użytkownik trafia na stronę, która tylko z pozoru przypomina serwis społeczności Steam. Dopiero dokładniejsze sprawdzenie adresu pokazuje, że nie znajduje się ona w domenie Steam Community.
W zależności od scenariusza użytkownik może zostać poproszony o zalogowanie się do Steam, podanie kodu aktywacyjnego lub pobranie dodatkowego pliku niezbędnego do odebrania nagrody.
Pobierany plik jednak nie zawiera żadnej karty podarunkowej. Zamiast tego instalowane jest złośliwe oprogramowanie, którego zadaniem jest kradzież danych zapisanych na komputerze użytkownika.
Okiem analityka CTI
Choć przynęta może być różna – darmowa karta podarunkowa, weryfikacja FACEIT czy udział w turnieju – bardzo często końcowy etap wygląda podobnie. Użytkownik jest nakłaniany do pobrania pliku lub zalogowania się na fałszywej stronie. Pozornie różne kampanie często prowadzą do tego samego celu – przejęcia konta, przedmiotów lub zainstalowania złośliwego oprogramowania.
Nie każde zagrożenie zaczyna się od wiadomości
Większość opisanych wcześniej scenariuszy opiera się na socjotechnice. Cyberprzestępca nawiązuje kontakt z ofiarą, buduje wiarygodną historię i próbuje skłonić ją do zalogowania się na fałszywej stronie.
Nie oznacza to jednak, że jest to jedyny sposób ataku.
Zdarzają się sytuacje, w których użytkownik sam pobiera plik lub uruchamia aplikację, nie mając świadomości, że zawiera ona złośliwy kod. Dobrym przykładem jest opisywana w Krajobrazie Zagrożeń kampania wykorzystująca Wallpaper Engine.
Wallpaper Engine to popularna aplikacja dostępna na Steamie, pozwalająca użytkownikom tworzyć i pobierać animowane tapety pulpitu. Jej ogromną zaletą jest aktywna społeczność oraz możliwość udostępniania własnych projektów poprzez Steam Workshop. To właśnie ten mechanizm został wykorzystany przez cyberprzestępców.
W analizowanej kampanii złośliwy kod został ukryty w pliku projektu udostępnionym jako tapeta. Użytkownik, który pobrał i uruchomił przygotowaną przez napastników zawartość, mógł nieświadomie uruchomić również złośliwe oprogramowanie.
Choć tego typu przypadki należą do rzadkości, pokazują one ważną rzecz – zagrożenie nie zawsze musi pochodzić z wiadomości prywatnej lub fałszywej strony internetowej.
Innym przykładem była kampania wykorzystująca grę BlockBlasters, która przez pewien czas była dostępna na Steamie. Gra posiadała kartę produktu, materiały promocyjne i była dostępna do pobrania jak każda inna pozycja na platformie.
Problem pojawiał się dopiero po jej uruchomieniu. Końcowym etapem ataku było zainstalowanie na komputerze użytkownika infostealera – rodzaju złośliwego oprogramowania wyspecjalizowanego w kradzieży danych.
Dla ofiary oznacza to, że skutki infekcji mogą wykraczać daleko poza utratę samego konta Steam. Przejęte mogą zostać również konta pocztowe, media społecznościowe czy inne usługi, do których użytkownik logował się z tego samego komputera.
Okiem analityka CTI
Wallpaper Engine to dobry przykład tzw. łańcucha zaufania.
Użytkownik ufa platformie Steam -> Platforma udostępnia popularną aplikację -> Aplikacja umożliwia publikowanie treści tworzonych przez społeczność. -> Cyberprzestępca próbuje wykorzystać zaufanie wstawiając szkodliwe treści.
Nie oznacza to, że sama aplikacja jest złośliwa. Wręcz przeciwnie – problemem staje się możliwość dostarczenia szkodliwej zawartości przez osoby trzecie.
Praktyczne rekomendacje ochrony konta Steam
To pierwszy artykuł z serii poświęconej bezpieczeństwu graczy. W kolejnych częściach przyjrzymy się innym platformom, usługom i metodom wykorzystywanym przez cyberprzestępców, pokazując, jak rozpoznawać zagrożenia i skutecznie się przed nimi chronić.
