最近高考完一大批人涌入steam,也有不少盒友一直对steam防骗不上心,导致被骗,本人疲于科普,所以想在小黑盒写篇文章,遇到有困惑的盒友也方便引用贴出,翻了翻小黑盒的帖子不够细致(哈哈当然我也会偷很多懒)本贴将基于贴吧老哥fps168于2019年底在CSGO吧发布的置顶防骗指南加以补充和完善。
目前还没有经过老哥的转载或引用授权,这个16级的橙牌老东西现在还没回复我,上次活跃是在今年五月问要不要更新防骗贴,但是实在忍不住了先写为快,如果后续老哥回复说不准我再删了找时间重新来过(懒 如果没啥问题后续也欢迎盒友补充,会一直更新版本 由于骗局大部分跟CSGO这款游戏有关也许我会在后面补充专题(找时间更),不玩这款游戏的朋友呢可以不用看,目前图片能搬我就搬了,新版steam的地方大差不差,有需要我会自己再截
为什么要来骗我?
首先是上文提到的你是否有玩CSGO这款游戏,大部分呢是玩了并且公开了自己的库存(机器人扫描),这里面又有些人库存价值还行,因此会选择来投放诈骗信息,有些人库存就几十块或者根本就不玩CSGO这款游戏,其实也是有骗的价值的。无论是你所拥有的游戏,steam账号等级,用户年限,余额,卡牌等等或者只是单纯啥也没有的也值得一骗,毕竟电商平台卖号还有几毛钱呢,总之不要掉以轻心,你有没有上述行为只是用于给账号价值定位而已,而骗子广撒网,却不需要太多额外成本。“为啥啊,你被骗过吗?”
专有名词
1、API key
这是Steam免费提供的一种接口,对于饰品相关来说,通过API可以查询你的交易报价内容(交易物品、留言等)以及【取消】和【拒绝】交易报价(记住通过API无法主动【发起】报价),API劫持诈骗核心之一
如何查看API Key
手机查看key的方式类似,通过钱包等地方调到steam客服界面即可,毕竟steam本质上也就是个浏览器
2、手机令牌
Steam手机令牌是Steam手机应用(App Store及各大应用市场可下载)最重要的一项功能,它是保护账号安全的最终防护手段,没有令牌你买卖饰品将会受到很大限制,比如交易暂挂。注意令牌不是绑定手机,下载手机应用就开启了的,要自己在手机应用里手动开启令牌功能
3、交易URL
有人会问,既然通过API不能主动发起报价,非好友之间也无法直接发起报价,那骗子小号是如何向自己发送报价的呢?这就要提到交易URL了。Steam的机制规定非好友之间无法直接发起报价,但是通过特定的交易URL,他人就可以在尚未添加好友的情况下向你发送报价,API劫持诈骗核心之一
4、确认
保护库存安全的最终防护手段。你在Steam市场出售、发起的交易报价,都需要在Steam手机应用侧边栏的“确认”一项里进行最终确认,防止库存被恶意盗取。确认功能只能在绑定了令牌的手机上使用,即使骗子盗了你的号,确认仍要号主本人进行,换句话说,自己是否被骗取决于你自己
新版手机steam更新后可以极大程度防止这类诈骗,后面会讲
常见骗术介绍
1、【API劫持】
这是目前最为常见的骗术之一。顾名思义,API Key被骗子恶意劫持,通常是由于玩家使用Steam账号登录了钓鱼网站造成的。此时你的账号、API以及交易URL全在骗子手上,等的就是你用手机进行确认的那一步。若API Key被劫持,骗子就可获取你的交易信息,别人向你发起报价,骗子通过被劫持的API在一瞬间拒绝掉真正的报价,并通过小号换上对方的昵称、头像,向你发送伪造的假报价,在确认阶段稍微不注意核实就接受了假报价,导致被骗
原作者P.S. 理论上来讲,点击钓鱼网站链接但不登录是不会有事的,除非你手贱去登录。但保不齐哪天骗术又升级了,所以只是点击链接也请视为API已被劫持
笔者补充:很多浏览器都会保存steam的登录信息,自动登录,“因此点进去的那一刻就有可能被劫持了,所以务必不要抱着侥幸心理
行骗过程
1、骗子添加好友,声称想要购买你的某一件饰品(理由很多,包括但不限于:你中奖了,快去XX领奖、跟你组队打游戏、新网站送你XX余额等等)
2、骗子声称可以走第三方交易平台,但要求你先去“检查物品参数是否为他想要”,向你发送不明链接
3、点击钓鱼网站并登录后Steam账号被盗取,API和交易URL因此泄露,此后通过报价进行交易就会被骗
4、【①交易对象向你发送正常报价,②此时你的账号除了令牌、确认都在骗子手上,骗子拒绝掉,③同时用小号伪装成交易对象(如头像、昵称)向你发送一个一模一样的假报价】
5、【或①你向交易对象发送正常报价,②此时你的账号除了令牌、确认都在骗子手上,不等你确认,骗子立马取消掉你发送的原报价,并用你的账号向骗子的高仿号发起假报价】
5、确认时不认真核对对方信息,接受了假报价,饰品被骗
以上新版本手机steam会通过提醒你“最近有取消的报价”来防骗,但是这仍然是最常见的有效骗术之一
或:
在个人主页留言板下留下信息,声称想要购买你的某一件饰品(理由很多,包括但不限于:你中奖了,快去XX领奖、跟你组队打游戏、新网站送你XX余额等等),附带不明链接
如何预防
1、拒绝添加来路不明的Steam好友。若有必要,隐藏库存,关闭留言板有需求再打开,此方法能最大限度防止陌生人向你发送好友申请
2、陌生人发来的任何东西都不要去点击,不管它是链接还是图片
3、不轻易用Steam账号登录第三方网站
4、定期检查自己的API Key,发现任何不是由本人注册的key立马注销,并更改Steam密码
5、定期更换交易URL,更新后老URL将会失效
6、认真核对交易对象信息,比如:账号注册时间、Steam等级,若有不符立即中止交易
7、Steam社区域名由英文单词steam和community组成,牢记其拼写谨防高仿Steam官网,如m写成nn,字母o写成数字0
8、在最后确认报价前,再一次检查报价中的交易对象
补救措施
如果你发现被API劫持,甚至已经被骗走库存
1、立即【更改密码】、【取消设备授权】、【注销API】、【更新交易URL】防止二次受骗,以上四条请务必完成,不要存在侥幸心理
更改密码
取消授权
2、向Steam客服投诉,封掉伪造账号的交易权限
找就不要想着找回来了,因为API劫持而造成的损失找回几率几乎为0。在以前向Steam客服投诉还可以为你复制一份一模一样的库存补偿,但由于此种方法被滥用于恶意复制高端饰品(那些磨损一模一样的咆哮龙狙就这么来的),现在客服不再恢复库存。
以上操作均可在手机上操作
API劫持变种
部分玩家会遇到以下情况:自己的头像变为VAC、好友被清空,“Steam客服”声称立即将被VAC封禁,但给你时间“转移有价值的库存”,急忙转移库存却发现饰品不翼而飞。此种骗术主动引诱你进行交易,而这时你的账号几乎就是被骗子控制,并在交易时下手
更改账号密码、取消设备授权、注销API、更新交易URL,在完成上述要求前不要进行任何交易行为
如何判断自己已经被API劫持
1、向他人发送报价怎么都发不出去,均显示已取消
2、上面说过,通过API可以拒绝掉真正的交易报价,那么就在交易时查看报价历史里是否有被非本人取消/拒绝掉的报价,若有,那么你的账号就遭到了API劫持。你可以找一位好友试着向你发起报价(发起前请确保好友自己没被API劫持),如果你在报价历史发现了不是被自己拒绝的原报价,那么你已经遭到了API劫持(警告:部分API劫持会忽略掉价值低的报价,可能测试不出来,真正交易时则凶相毕露)
3、骗子可以模仿真正交易对象的昵称、头像甚至Steam等级,但有一点是几乎不可能模仿的:Steam注册时间(除非骗子为了钓你这条大鱼特意找了个注册时间相同的账号)。在第三方平台交易时平台会提醒你真正交易对象的注册时间,发起/接受报价时也能看到对方的注册时间,若两者不一致,这说明很有可能已经遭受API劫持,请立即中止交易。
最后
关于steam骗局也是老生常谈了,无论怎么被骗,只要有操作权,注销API,改交易URL,改密码,取消授权都是必要操作!原文较老,有缺失遗漏,需要更改的地方请大胆提出!我写这个文章也是为了以后遇到人被骗了方便直接丢给他看,没别的其他特殊需求
最近骗术比较降智,直接发救援码给骗子,目前我已遇到2个盒友中招,还有一定要留意自己的邮箱是否短时间内有大量市场交易通知,通常这是被洗余额的表现,以上操作通用