# El dossier «Steam»: normas, itinerarios y rendición de cuentas

Canonical: https://phishdestroy.io/steam_dossier/es/index
Language: es
Author: PhishDestroy Team
Publisher: PhishDestroy

> Valve establece las restricciones. Steam proporciona la infraestructura.

PhishDestroy II · Sección 1 — Resumen del caso Steam / Case File 001

# Sus reglas. *Su sistema.*

Valve establece las restricciones. Steam proporciona la infraestructura.

Seis conclusiones, cada una de ellas vinculada a un documento público con fecha. Las secciones detalladas siguen el mismo orden: expediente técnico (Parte A), normativa y expediente de cumplimiento (Parte B), marcos jurídicos (Parte C) y, a continuación, los anexos con las pruebas documentales principales.

[Leer el resumen →](https://phishdestroy.io/steam_dossier/es/index#briefing-section)[Pruebas · EN ↗](https://phishdestroy.io/steam_dossier/steam_evidence_archive)

Investigación / Pruebas 03 · Pruebas

[01 La cuestión central / aplicación selectiva de la ley ## Unas mismas normas. Una aplicación desigual. El registro muestra que los servicios comerciales utilizan identidades Steam, inventarios, bots y transferencias como infraestructura operativa. La SSA prohíbe la explotación comercial y la automatización sin autorización. Read the rule & 2016 record ↗](https://phishdestroy.io/steam_dossier/es/index#enforcement-standard) [02 Parte A — Ficha técnica · Sección 3 ## El sitio está bloqueado. La ruta de inicio de sesión no lo está. 26 dominios principales bloqueados. El proxy de autenticación que hay detrás de cada uno de ellos y el tiempo que lleva activo. Hosts de autenticación con dominios independientes: las pruebas de Link Filter ↗](https://phishdestroy.io/steam_dossier/es/index#proxy-bypass-explainer) [03 Sección 2 — Carta abierta ## Carta abierta a la Comisión de Juegos de Azar del Estado de Washington Diez días se convirtieron en diez años. La Comisión no ha recibido una respuesta con un registro operador por operador a la pregunta que formuló en 2016 a Valve; en esta carta se le solicita que reabra el expediente. Carta abierta a la Comisión de Juegos de Azar del Estado de Washington ↗](https://phishdestroy.io/steam_dossier/es/index#wsgc-public-address)

[01 / INVESTIGACIÓN **Índice →**](https://phishdestroy.io/steam_dossier/es/index#briefing-section)[02 / PRUEBAS **Pruebas · EN ↗**](https://phishdestroy.io/steam_dossier/steam_evidence_archive)[03 / EXPLORAR **Explorar · EN ↗**](https://phishdestroy.io/steam_dossier/output_steam_network/index.html)

EL DOSSIER DE STEAM / II

## Autenticación por terceros, Aplicación y *Acceso a los datos*

El estudio forense definitivo sobre las deficiencias estructurales, los mecanismos de elusión de los proxies, la aplicación selectiva de la normativa y los retos regulatorios que rodean al ecosistema de la API web Steam.

[Open account access subsection](https://phishdestroy.io/steam_dossier/es/investigation_part2)

Sección 1 — Resumen del caso 

## La norma. El récord. Las preguntas sin respuesta.

Contexto y límites de la fuente

Seis conclusiones, cada una de ellas vinculada a un documento público con fecha. Las secciones detalladas siguen el mismo orden: expediente técnico (Parte A), normativa y expediente de cumplimiento (Parte B), marcos jurídicos (Parte C) y, a continuación, los anexos con las pruebas documentales principales.

Seis conclusiones. Cada una de ellas relaciona una norma escrita con un registro fechado y una hipótesis que puede contrastarse con las pruebas.

1. Hosts de autenticación de dominios independientes: 44 rutas · 26 pares divididos 

Los registros de personas en situación de desempleo **44 plataformas que se autentifican a través de un dominio independiente registrable**. Hay otras cinco rutas pendientes de verificación que esperan una fecha de RDAP; si se incluyeran, el total ascendería a 47. Quedan excluidas de la cifra de 44 y de la tabla de antigüedad. — **27 con un archivo de pruebas publicado por ruta** y 17 añadidos a partir de una recopilación manual, que se enumeran por separado. En **26 pares de filtros divididos** El dominio principal es **BLOQUEADO** en el filtro de enlaces Steam, mientras que el proxy que utiliza sus datos de inicio de sesión no lo está. No se trata de dominios temporales: csgogem.com está bloqueado, mientras que `api.csgem.com`, el servidor con el nombre de usuario Steam, está registrado desde marzo de 2014 — **12 años y 6 meses**. Valve recibe ese nombre de host en cada solicitud de OpenID y se lo muestra al usuario en su propia página de inicio de sesión. En la sección 3 se incluyen la tabla completa, las edades por ruta y el origen.

[Sigue la ruta →](https://phishdestroy.io/steam_dossier/es/index#proxy-bypass-explainer)

2. 2016: se dio nombre al mecanismo y se fijó el plazo 

El 13 de julio de 2016, Valve describió públicamente cómo los sitios de apuestas utilizaban Steam OpenID y cuentas de trading automatizadas, y las notificaciones de su abogado, de fecha 20 de julio de 2016, fijaron un plazo de diez días. Desde entonces no se ha publicado ningún registro de medidas coercitivas por operador. Diez años después de que se fijara dicho plazo, el mismo mecanismo mencionado se sigue utilizando en servidores de autenticación de dominios independientes que no devolvieron ningún bloqueo de Link Filter en 2026-09-21.

[Lee la carta abierta dirigida al WSGC →](https://phishdestroy.io/steam_dossier/es/index#wsgc-public-address)

3. Correlación de dispositivos, en papel con membrete del bufete 

En la correspondencia que aquí se reproduce, el abogado de Valve describió una correlación a nivel de dispositivo que vincula un dispositivo con varias cuentas, una función que el servicio de asistencia de Steam había indicado previamente a los usuarios que no era técnicamente posible. La cuestión que queda pendiente es qué registros a nivel de dispositivo conserva Valve y en qué se basa para denegar el acceso a los titulares de las cuentas.

[Lee el memorándum →](https://phishdestroy.io/steam_dossier/es/index#official-memorandum)

4. Dos respuestas respecto al acceso. Una denegó el acceso a los datos y la otra los filtró. 

**Octubre de 2025:** El abogado de Valve respondió a una solicitud en virtud del artículo 15 con un anexo de 830 páginas en el que las partes censuradas se han tachado sobre el texto en lugar de eliminarlas — **902,270 caracteres** volver a mostrar los datos con una herramienta de extracción estándar, incluidos los identificadores de terceros que esas barras tenían por objeto ocultar. El apartado 4 del artículo 15 es la razón por la que existen esas barras. **Septiembre de 2026:** El ticket HT-2YBP-F7JP-D4VB se cerró al cabo de tres días con un enlace a la página de autoservicio «Datos de la cuenta»: sin datos y sin indicar el fundamento jurídico. El plazo de un mes previsto en el artículo 12, apartado 3, aún no había vencido en el momento de la publicación; la objeción se refiere al fondo del asunto.

[Lee la revisión del texto →](https://phishdestroy.io/steam_dossier/es/index#academic-response)[Leer el registro del ticket →](https://phishdestroy.io/steam_dossier/es/index#gdpr-live-case)

5. El mercado por encima del techo de Steam 

Steam limita la cotización en bolsa a unos **$1,800**. En cinco mercados, según una instantánea de fecha pasada (23 de septiembre de 2026), **248 categorías de artículos CS2** dos o más de ellos, de forma independiente, fijen un precio superior a ese límite máximo, y **los 248 están ausentes de Steam**; un «Dragon Lore» nuevo de fábrica cuesta a partir de **$10,941** en 389 copias que figuran en las cinco listas (la cifra correspondiente únicamente a CSFloat de la sección 13, procedente de la instantánea del 20 de septiembre, es de $10,623.95 en 62 ofertas). Vender a esos precios requiere una plataforma externa, mientras que la transferencia de artículos sigue realizándose a Steam.

[Sigue el precio y realiza la transferencia →](https://phishdestroy.io/steam_dossier/es/index#market-gap-section)

6. La norma es explícita; el registro de auditoría no lo es. 

El Acuerdo de suscripción reserva Steam para uso personal y no comercial, prohíbe la explotación comercial salvo en los casos expresamente permitidos, prohíbe el uso de scripts y bots, y permite la cancelación de la cuenta. Valve aplicó esa cláusula a los operadores de juegos de azar en 2016. Por otra parte, según la cuenta de ingeniería de CSFloat, Valve cerró `IEconItems_730/GetPlayerItems` En 2017, se eliminó el acceso público a los identificadores originales de los elementos (no se ha encontrado ningún registro de cambios Valve).

[Coloca la regla junto a la red →](https://phishdestroy.io/steam_dossier/es/index#enforcement-standard)

[2016 / Reclamación por escrito **10 días** Plazo establecido en las notificaciones enviadas por el abogado en julio de 2016 a los sitios web de apuestas. Carta abierta a la WSGC: Sección 2.](https://phishdestroy.io/steam_dossier/es/index#wsgc-public-address) [2017 / Registro público de auditoría **Acceso con identificación cerrado** CSFloat registra la pérdida de los ID originales de los elementos.](https://phishdestroy.io/steam_dossier/es/index#evidence-blackout) [Correspondencia con los abogados **Correlación de dispositivos** Un dispositivo vinculado a decenas de cuentas robadas.](https://phishdestroy.io/steam_dossier/es/index#official-memorandum) [Registro de rutas **Bloqueado, pero sigo iniciando sesión** **La norma:** La declaración de Valve de 2016 prohíbe gestionar un negocio de apuestas en Steam OpenID. **El historial:** El filtro de enlaces contiene 26 dominios principales, mientras que el servidor que aloja el inicio de sesión Steam de cada uno de ellos lleva funcionando… el de csgogem.com lleva 12 años y 6 meses en funcionamiento.](https://phishdestroy.io/steam_dossier/es/index#proxy-bypass-explainer)

Sección 2 — Carta abierta 

## Carta abierta a la Comisión de Juegos de Azar del Estado de Washington

Diez días se convirtieron en diez años. La Comisión no ha recibido una respuesta con un registro operador por operador a la pregunta que formuló en 2016 a Valve; en esta carta se le solicita que reabra el expediente.

COMUNICADO PÚBLICO · COMISIÓN DE JUEGOS DE AZAR DEL ESTADO DE WASHINGTON

### Diez días se convirtieron en diez años. *Vuelve a abrir el expediente.*

A la Comisión de Juegos de Azar del Estado de Washington:

En 2016, el director David Trujillo pidió a Valve que explicara qué medidas había tomado para impedir el uso de skins Steam con fines de juego. El entonces presidente, Chris Stearns, y la Comisión se enfrentaron a un sector basado en artículos emitidos por Valve y transferencias de Steam. Desde entonces, ambos han dejado sus cargos en la Comisión. La pregunta que plantearon a Valve sigue sin respuesta.

El consejero general de Valve, Karl Quackenbush, concedió a los operadores de juegos de azar un plazo de diez días para poner fin al uso comercial de las cuentas de Steam. En su respuesta de octubre a su Comisión, Valve negó haber facilitado el juego, afirmó que había enviado cartas de cese y desistimiento a más de cuarenta sitios web y señaló que había desactivado las cuentas asociadas. Asimismo, defendió el mantenimiento de Steam Trading y OpenID, ya que dichos servicios beneficiaban a los clientes y a los desarrolladores de juegos. **Eso fue una demostración de control. Merece ser puesta a prueba, no ser aceptada sin más.**

En nuestra evaluación, la respuesta de Valve no demostró que las medidas coercitivas elegidas se ajustaran a la magnitud de la red que describía. Una carta amenazante dirigida a un operador no es lo mismo que un bloqueo permanente de las cuentas Steam, la infraestructura comercial y las rutas de autenticación que hacen funcionar el negocio. Según las estimaciones publicadas, [Solo CS:GO Lounge superó los $1 mil millones en volumen de apuestas durante 2016](https://dotesports.com/counter-strike/news/csgo-lounge-billion-bets-3896); se trata de una estimación externa de las apuestas, no de los ingresos Valve, y la actividad original de apuestas con «skin» del sitio web se cerró posteriormente. La magnitud del fenómeno hizo imprescindible una aplicación de la ley verificable.

Hoy, el propio Valve [Contrato de suscripción](https://store.steampowered.com/agreement/?l=english) [archivado 2026-09-21 ↗](https://web.archive.org/web/20260921022032/https://store.steampowered.com/agreement/?l=english) restringe la explotación comercial, salvo en los casos en que se permita expresamente, y prohíbe por separado determinadas formas de automatización. Nuestra [registro de rutas con fecha](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit.json) registros que indican los hosts de respuesta de OpenID para servicios externos; `openid.realm` y `openid.return_to` son campos que se envían a Steam, no secretos que se le ocultan. Nuestros [Comprobaciones del filtro de enlaces](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-all-results.json) muestra casos en los que se emitió una advertencia sobre una dirección principal, pero no sobre un servidor de inicio de sesión asociado. Un resultado del filtro por sí solo no puede demostrar que Valve permitiera un inicio de sesión o que un bot concreto eludiera el bloqueo de una cuenta. **Esto demuestra que una advertencia en la página de inicio no puede considerarse una respuesta exhaustiva en materia de acceso.**

Tampoco la existencia de funciones útiles y lícitas de comercio Steam y de OpenID permite determinar si los operadores prohibidos quedaron realmente excluidos. Las propias normas de Valve admiten excepciones expresas. Si Valve se basa en esa distinción, la Comisión debería pedirle que identifique la autorización, los controles de cuentas y los criterios de aplicación aplicables a las empresas comerciales de «skins», así como los usos específicos no relacionados con el juego a los que invocó en 2016. La mera posibilidad de un uso lícito no es respuesta a un uso prohibido documentado.

Solicitamos a la Comisión que revise su expediente de 2016 y pida un informe por operador: qué cuentas Steam y bots de negociación se desactivaron tras los avisos de diez días; si se supervisaron las cuentas relacionadas o los servidores de retorno; qué operadores recuperaron posteriormente el acceso; qué exenciones se concedieron; y qué registros respaldan la declaración de Valve ante la Comisión. Publique todo lo que la ley permita al público examinar. Compare esos registros con las rutas actuales y con las intervenciones posteriores de Valve, incluidas [OPSkins en 2018](https://blog.counter-strike.net/expresstrade/) [archivado 2026-03-07 ↗](https://web.archive.org/web/20260307161538/https://blog.counter-strike.net/expresstrade/).

**La notificación fijaba un plazo de diez días en julio de 2016; diez años son tiempo suficiente para determinar si se llevó a cabo.** La Comisión debería contrastar el informe de 2016 de Valve con las infraestructuras que aún se pueden observar en la actualidad.

La investigación del Dossier Steam · Comunicado público, 20 de septiembre de 2026

[Comunicación de la Comisión de 2016 ↗](https://wsgc.wa.gov/news/2016/washington-state-gambling-commission-orders-valve-stop-skins-gambling) [archivado 2026-05-20 ↗](https://web.archive.org/web/20260520012601/https://wsgc.wa.gov/news/2016/washington-state-gambling-commission-orders-valve-stop-skins-gambling) · [Respuesta de Valve de 2016 (copia del documento) ↗](https://fr.scribd.com/document/328063293/Valve-s-Oct-18th-response-to-Washington-State-Gambling-Commission-s-cease-and-desist) · [Declaración de OpenID de Valve de 2016 ↗](https://store.steampowered.com/oldnews/22883) [archivado 2026-09-21 ↗](https://web.archive.org/web/20260921021947/https://store.steampowered.com/oldnews/22883) · [Acuerdo actual Steam ↗](https://store.steampowered.com/agreement/?l=english) [archivado 2026-09-21 ↗](https://web.archive.org/web/20260921022032/https://store.steampowered.com/agreement/?l=english) · Cronología del intercambio de 2016: [Sección 11 →](https://phishdestroy.io/steam_dossier/es/index#case-study-section)

Parte A — Ficha técnica · Sección 3 

## El sitio está bloqueado. La ruta de inicio de sesión no lo está.

**26 dominios principales bloqueados. El proxy de autenticación que hay detrás de cada uno de ellos y el tiempo que lleva activo.** Estos servidores de autenticación independientes no son direcciones secundarias accidentales: cada uno de ellos es un **proxy de autenticación para Steam**, situándose entre la plataforma y el punto final OpenID de Valve y gestionando el inicio de sesión que el dominio bloqueado ya no puede realizar de forma abierta. Valve colocó la «puerta principal» en el Link Filter. El inicio de sesión siguió realizándose a través del proxy: csgogem.com está bloqueado, y `api.csgem.com` está registrado desde marzo de 2014 — **doce años y medio**. Cada uno de esos días, ese servidor enviaba su propio nombre de host al punto final de OpenID de Valve, y Steam se lo mostraba directamente al usuario en la página de inicio de sesión. **Valve es el tronco por el que discurren todas estas rutas; no tiene que buscarlas.** Eso es lo que mide esta sección: no si existe una advertencia, sino cuántos años permanece abierta la ruta situada tras la advertencia. En el registro figuran 44 rutas de dominio independiente, 27 de ellas con un archivo de pruebas publicado para cada ruta —véase la tabla siguiente—. Analiza un ejemplo y, a continuación, evalúalas todas.

### Figura 3.1 — Las dos rutas, representadas gráficamente.

Una plataforma, un usuario, dos solicitudes que salen del mismo navegador. El filtro de enlaces de Valve se aplica a ambas. Bloquea la que contiene un enlace y deja pasar la que contiene los datos de inicio de sesión. Todo lo que se mide en esta sección es el tiempo que permanece abierta la ruta inferior.

Desliza el diagrama hacia un lado →

Enlace publicado el Steam — suspendido Solicitud de inicio de sesión — pases Cheques guardados de los días 19 y 21 de septiembre de 2026

**Ambas solicitudes son visibles para Valve, y solo se procesa una de ellas.** El filtro de enlaces es una lista Valve, que comprueba un servicio Valve. La solicitud OpenID envía el nombre del propio servidor de autenticación al punto final de Valve, que lo muestra directamente en la página de inicio de sesión. El nombre de host aparece en la solicitud en cualquier caso; lo que varía es si se realiza alguna acción con él.

**Una plataforma. Dos rutas diferentes.** ROLLBIT / OBSERVACIONES GUARDADAS

**01** COMPROBACIÓN DEL FILTRO DE ENLACES

DESTINO**rollbit.com** El dominio principal de la plataforma

FILTRO DE CONEXIÓN DE VAPOR**Comprueba el enlace** Un sistema independiente de aviso de destino

RESULTADO GUARDADO**Enlace bloqueado** 19 y 21 de septiembre de 2026

**02** LA RUTA DE INICIO DE SESIÓN OBSERVADA

EN EL ANDÉN**Iniciar sesión con Steam** La plataforma inicia una solicitud de OpenID

HOST DE AUTENTIFICACIÓN INDEPENDIENTE**rbsnin.com** No hay ningún bloque «Filtro de enlaces» en la comprobación guardada

STEAM**Se ha mostrado el formulario de inicio de sesión** El servidor solicitado aparece en el aviso de Steam

**Empieza por el destino.** rollbit.com es el dominio principal de la plataforma. Esta primera pestaña muestra la comprobación guardada del filtro de enlaces, no un recorrido completo del usuario.

**Un bloque visible.** El filtro de enlaces de Steam ha devuelto el mensaje «¡Enlace bloqueado!» para el dominio principal. Se ha guardado la respuesta sin procesar.

**La autenticación utiliza otra ruta.** La acción «Iniciar sesión con Steam» de la plataforma inicia una solicitud OpenID utilizando un servidor de autenticación independiente.

**Un nombre de host diferente.** rbsnin.com no devolvió ningún bloqueo del filtro de enlaces el 21 de septiembre de 2026 —el mismo día, en la misma comprobación sin autenticar, en la que rollbit.com sí devolvió uno—. Se registró tres días antes, el 18 de septiembre de 2026.

**La solicitud llega a Steam.** La ruta observada llegó al formulario de inicio de sesión de Steam. Los autores no completaron el inicio de sesión. El bloqueo del enlace del dominio principal no impidió esta ruta observada hacia el formulario.

Comprueba las notas originales de la captura, la fecha de registro y los datos del protocolo.

Cómo se aplica la norma Valve

Dominio principal: bloqueado

Usuario

→ 

rollbit.com
(dominio principal)

↓

FILTRO DE STEAM LINK — BLOQUEADO 

«¡Enlace bloqueado!» — marcado como potencialmente malicioso

rollbit.com devolvió un bloqueo del filtro de enlaces en 2026-09-19 y 2026-09-21 (comprobación sin autenticación; se guardaron el HTML sin procesar y el SHA-256). Un registro visible y auditable.

Qué ocurre realmente: la autenticación

Servidor de autenticación: no bloqueado

Usuario

→ 

rollbit.com
«Iniciar sesión con Steam»

↓

Redirigir a través de un servidor de autenticación independiente: 
`rbsnin.com` Filtro de enlaces: LIMPIO 

registrado 2026-09-18T09:34:52Z (Verisign RDAP)

↓

Steam Aviso en la página de inicio de sesión (2026-09-20): 
`"Note that rbsnin.com is not affiliated with Steam or Valve"`

Steam muestra este aviso procedente del openid.realm de la solicitud que ha recibido.

↓

Steam Formulario de inicio de sesión servido desde un servidor independiente 
Los autores no completaron el proceso de inicio de sesión; se observó el proceso hasta el formulario «Steam».

Valve recibe el nombre de host «return_to / realm» en cada una de esas solicitudes. rbsnin.com no devolvió ningún bloqueo del filtro de enlaces en 2026-09-21.

A petición

Como proveedor de OpenID, Steam recibe el nombre de host de autenticación con cada solicitud de autenticación: este llega a los propios servidores de Valve en el `openid.return_to` y `openid.realm` parámetros.

Enviado por la página web

El servidor de autenticación no se detecta mediante el escaneo; la plataforma lo envía a Steam en cada solicitud. Según OpenID 2.0, apartado 9.1 `return_to` Es opcional desde el punto de vista técnico, pero sin él Steam no puede proporcionar el resultado del inicio de sesión, por lo que, para que el inicio de sesión con Steam funcione, es prácticamente obligatorio. Steam incluso muestra el nombre de host al usuario («*<host> no está vinculado a Steam ni a Valve*").

14 años

es la antigüedad del servidor de autenticación más antiguo que aún mantiene Steam inicios de sesión en la comprobación 2026-09-21 (dota2.net, registrado hace 2011-10-29); el más reciente tiene tres días de antigüedad (rbsnin.com). **No interpretes la cifra «0 hosts de autenticación bloqueados» como el resultado.** Un host de autenticación bloqueado inutilizaría por completo la función «Iniciar sesión con Steam» de la plataforma, por lo que un registro creado a partir de inicios de sesión válidos solo puede contener hosts que nunca hayan sido bloqueados. La cifra que tiene importancia no es el recuento de bloqueos, sino el número de años que el dominio principal permaneció en el filtro de enlaces mientras que el inicio de sesión asociado a él siguió funcionando.

Servidores de autenticación de dominios independientes: fecha de registro frente al dominio principal (30 rutas: las 25 resueltas en la auditoría del navegador 2026-09-21, más 5 añadidas en 2026-09-22)

| Plataforma | Filtro de enlaces: principal | Servidor de autenticación | Filtro de enlaces: host de autenticación | Se ha registrado el servidor de autenticación | Fuente de la observación | Expediente de pruebas |
| --- | --- | --- | --- | --- | --- | --- |
| Rollbit rollbit.com · reg. 2014-11-08 | BLOQUEADO 2026-09-19, 2026-09-21 · [Wayback 2026-09-21](https://web.archive.org/web/20260921022628/https://steamcommunity.com/linkfilter/?url=https:%2F%2Frollbit.com) | `rbsnin.com` | LIMPIO 2026-09-21 · [HTML sin formato](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/rbsnin.com.20260921T021120Z.html) (no hay copia de Wayback) | 2026-09-18 09:34:52Z, Verisign RDAP | Steam Aviso en la página de inicio de sesión, 2026-09-20 | [rollbit.com.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/rollbit.com.json) |
| Skin.Club skin.club · reg. 2017-09-04 | BLOQUEADO 2026-09-19, 2026-09-21 · [Wayback 2026-09-21](https://web.archive.org/web/20260921022740/https://steamcommunity.com/linkfilter/?url=https:%2F%2Fskin.club) | `sc-auth.net` | LIMPIO 2026-09-21 · [Wayback 2026-09-21](https://web.archive.org/web/20260921022842/https://steamcommunity.com/linkfilter/?url=https:%2F%2Fsc-auth.net) | 2019-04-02 RDAP | Steam Aviso de la página de inicio de sesión | [skin.club.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/skin.club.json) |
| Howl.GG howl.gg · reg. 2017-03-16 | BLOQUEADO 2026-09-18, 19 de septiembre, 21 de septiembre · [Wayback 2026-09-21](https://web.archive.org/web/20260921022603/https://steamcommunity.com/linkfilter/?url=https:%2F%2Fhowl.gg) | `howl.uno` | LIMPIAR 2026-09-21 · [Wayback 2026-09-21](https://web.archive.org/web/20260921022636/https://steamcommunity.com/linkfilter/?url=https:%2F%2Fhowl.uno) | 2026-08-11 RDAP | Captura en directo del navegador + URL de OpenID facilitada | [howl.gg.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/howl.gg.json) |
| Duelbits duelbits.com · reg. 2020-02-03 | BLOQUEADO 2026-09-21 · [Wayback 2026-09-21](https://web.archive.org/web/20260921022840/https://steamcommunity.com/linkfilter/?url=https:%2F%2Fduelbits.com) | `switchflips.com` | LIMPIO 2026-09-21 · [Wayback 2026-09-21](https://web.archive.org/web/20260921022901/https://steamcommunity.com/linkfilter/?url=https:%2F%2Fswitchflips.com) | 2020-04-21 RDAP | URL de OpenID facilitada | [duelbits.com.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/duelbits.com.json) |
| CSGOFast csgofast.com · reg. 2015-03-27 | BLOQUEADO 2026-09-19, 2026-09-21 · [Wayback 2026-09-21](https://web.archive.org/web/20260921022758/https://steamcommunity.com/linkfilter/?url=https:%2F%2Fcsgofast.com) | `steam-login.authtofast.com` | LIMPIO authtofast.com, 2026-09-21 · [Wayback 2026-09-21](https://web.archive.org/web/20260921022847/https://steamcommunity.com/linkfilter/?url=https:%2F%2Fauthtofast.com) | 2026-06-30 authtofast.com, RDAP | Captura en directo del navegador + URL de OpenID facilitada | [csgofast.com.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/csgofast.com.json) |
| Farmskins farmskins.com · reg. 2016-03-23 | BLOQUEADO 2026-09-19, 2026-09-21 · [HTML sin formato](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/farmskins.com.20260921T025840Z.html) | `steam.kobal.cc` | LIMPIO 2026-09-19, 2026-09-21 · [HTML sin formato](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/steam.kobal.cc.20260921T025844Z.html) | 2017-01-07 kobal.cc, RDAP | Captura en directo del navegador + URL de OpenID facilitada | [farmskins.com.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/farmskins.com.json) |
| CobaltLab cobaltlab.tech | BLOQUEADO 2026-09-21 · [HTML sin formato](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/cobaltlab.tech.20260921T041604Z.html) | `cobaltauth.com` | LIMPIO 2026-09-21 · [HTML sin formato](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/cobaltauth.com.20260921T041608Z.html) | 2025-01-07 RDAP | URL de OpenID facilitada | [cobaltlab.tech.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/cobaltlab.tech.json) |
| CSGO.NET csgo.net · reg. 2012-07-22 | BLOQUEADO 2026-09-21 · [HTML sin formato](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/csgo.net.20260921T041619Z.html) | `cn2.easylot.net` | LIMPIO 2026-09-21 · [HTML sin formato](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/cn2.easylot.net.20260921T041623Z.html) | 2016-09-03 easylot.net, RDAP | Captura en directo del navegador | [csgo.net.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/csgo.net.json) |
| GGDrop ggdrop.com | BLOQUEADO 2026-09-21 · [HTML sin formato](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/ggdrop.com.20260921T041637Z.html) | `ggauth.com` | LIMPIO 2026-09-21 · [HTML sin formato](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/ggauth.com.20260921T041641Z.html) | 2023-05-03 RDAP | URL de OpenID facilitada | [ggdrop.com.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/ggdrop.com.json) |
| RustChance rustchance.com | BLOQUEADO 2026-09-21 · [HTML sin formato](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/rustchance.com.20260921T041703Z.html) | `hgfuihd.com` | LIMPIO 2026-09-21 · [HTML sin formato](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/hgfuihd.com.20260921T041706Z.html) | 2019-01-27 RDAP | URL de OpenID facilitada | [rustchance.com.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/rustchance.com.json) |
| Skin.Fans skin.fans | BLOQUEADO 2026-09-21 · [HTML sin formato](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/skin.fans.20260921T041710Z.html) | `auth.skinfans.com` | LIMPIO 2026-09-21 · [HTML sin formato](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/auth.skinfans.com.20260921T041713Z.html) | 2018-07-16 skinfans.com, RDAP | URL de OpenID facilitada | [skin.fans.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/skin.fans.json) |
| Skinport skinport.com · reg. 2018-09-05 | BLOQUEADO 2026-09-21 · [HTML sin formato](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/skinport.com.20260921T041724Z.html) | `skinport.app` | LIMPIO 2026-09-21 · [HTML sin formato](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/skinport.app.20260921T041728Z.html) | 2020-06-20 RDAP | Captura en directo del navegador + URL de OpenID facilitada | [skinport.com.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/skinport.com.json) |
| Skins.Cash skins.cash | BLOQUEADO 2026-09-21 · [HTML sin formato](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/skins.cash.20260921T041731Z.html) | `skinscash.live` | LIMPIO 2026-09-21 · [HTML sin formato](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/skinscash.live.20260921T041735Z.html) | 2019-12-05 RDAP | URL de OpenID facilitada | [skins.cash.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/skins.cash.json) |
| TF2Hunt tf2hunt.com · reg. 2018-01-13 | BLOQUEADO 2026-09-21 · [HTML sin formato](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/tf2hunt.com.20260921T041739Z.html) | `rstspcl.com` | LIMPIO 2026-09-21 · [HTML sin formato](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/rstspcl.com.20260921T041742Z.html) | 2020-08-08 RDAP | Captura en directo del navegador + URL de OpenID facilitada | [tf2hunt.com.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/tf2hunt.com.json) |
| CSGOGem csgogem.com · reg. 2016-10-16 | BLOQUEADO 2026-09-22 · [HTML sin formato](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/csgogem.com.20260922T192355Z.html) | `api.csgem.com` csgem.com — dominio independiente que se puede registrar | LIMPIO 2026-09-22 · [HTML sin formato](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/api.csgem.com.20260922T192358Z.html) | 2014-03-08 csgem.com, RDAP — el más antiguo del registro | Recopilación manual + Captura mediante el filtro de enlaces | [linkfilter-2026-09-22.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-2026-09-22.json) |
| Gamdom gamdom.com · reg. 2016-07-29 | BLOQUEADO 2026-09-22 · [HTML sin formato](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/gamdom.com.20260922T192326Z.html) | `login.gambldom.com` gambldom.com — solo una letra diferente de la marca | LIMPIO 2026-09-22 · [HTML sin formato](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/login.gambldom.com.20260922T192330Z.html) | 2017-09-24 gambldom.com, RDAP | Recopilación manual + Captura mediante el filtro de enlaces | [linkfilter-2026-09-22.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-2026-09-22.json) |
| 12CS 12cs.fail · reg. 2026-03-24 | BLOQUEADO 2026-09-22 · [HTML sin formato](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/12cs.fail.20260922T192347Z.html) | `fail.games` | LIMPIO 2026-09-22 · [HTML sin formato](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/fail.games.20260922T192351Z.html) | 2021-08-24 fail.games, RDAP | Recopilación manual + Captura mediante el filtro de enlaces | [linkfilter-2026-09-22.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-2026-09-22.json) |
| CSGOEmpire csgoempire.com · reg. 2015-06-10 | LIMPIO 2026-09-19, 2026-09-21 · [Wayback 2026-09-21](https://web.archive.org/web/20260921022953/https://steamcommunity.com/linkfilter/?url=https:%2F%2Fcsgoempire.com) | `csgoempirelogin4.com` uno de los diez dominios numerados login1–10 | LIMPIO 2026-09-21 · [Wayback 2026-09-21](https://web.archive.org/web/20260921022947/https://steamcommunity.com/linkfilter/?url=https:%2F%2Fcsgoempirelogin4.com) | 2020-07-20 05:49:17Z, Verisign RDAP | Captura en directo del navegador | [csgoempire.com.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/csgoempire.com.json) |
| CS.MONEY cs.money | LIMPIO 2026-09-21 · [HTML sin formato](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/cs.money.20260921T021131Z.html) | `auth.dota.trade` | LIMPIO 2026-09-21 · [HTML sin formato](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/auth.dota.trade.20260921T021134Z.html) | 2016-07-15 dota.trade, RDAP | Steam Aviso en la página de inicio de sesión | [cs.money.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/cs.money.json) |
| CSFloat csfloat.com · reg. 2021-07-11 | LIMPIO 2026-09-21 · [HTML sin formato](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/csfloat.com.20260921T041612Z.html) | `csgofloat.com` antiguo dominio de marca del operador; dominio registrable independiente, no constituye un indicador de evasión | LIMPIO 2026-09-21 · [HTML sin formato](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/csgofloat.com.20260921T041615Z.html) | 2015-09-29 RDAP | Captura en directo del navegador | [csfloat.com.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/csfloat.com.json) |
| G4Skins g4skins.com | LIMPIO 2026-09-21 · [HTML sin formato](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/g4skins.com.20260921T041630Z.html) | `auth.g4s.to` | LIMPIO 2026-09-21 · [HTML sin formato](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/auth.g4s.to.20260921T041634Z.html) | 2021-05-30 g4s.to, RDAP | URL de OpenID facilitada | [g4skins.com.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/g4skins.com.json) |
| Juice.GG juice.gg | LIMPIO 2026-09-21 · [HTML sin formato](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/juice.gg.20260921T041644Z.html) | `letmeinjuice.com` | LIMPIO 2026-09-21 · [HTML sin formato](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/letmeinjuice.com.20260921T041648Z.html) | 2024-04-15 RDAP | URL de OpenID facilitada | [juice.gg.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/juice.gg.json) |
| Market.CSGO market.csgo.com | LIMPIO 2026-09-21 · [HTML sin formato](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/market.csgo.com.20260921T041652Z.html) | `dota2.net` | LIMPIO 2026-09-21 · [HTML sin formato](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/dota2.net.20260921T041655Z.html) | 2011-10-29 RDAP | Captura en directo del navegador + URL de OpenID facilitada | [market.csgo.com.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/market.csgo.com.json) |
| Rust.TM rust.tm | LIMPIO 2026-09-21 · [HTML sin formato](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/rust.tm.20260921T041659Z.html) | `dota2.net` | LIMPIO 2026-09-21 · [HTML sin formato](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/dota2.net.20260921T041655Z.html) | 2011-10-29 RDAP | URL de OpenID facilitada | [rust.tm.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/rust.tm.json) |
| CSGOLounge csgolounge.com · reg. 2013-08-14 | LIMPIO 2026-09-22 · [HTML sin formato](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/csgolounge.com.20260922T192333Z.html) | `dota2.net` tercer front-end en este servidor de autenticación | LIMPIO 2026-09-22 · [HTML sin formato](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/dota2.net.20260922T192340Z.html) | 2011-10-29 dota2.net, RDAP | Recopilación manual + Captura mediante el filtro de enlaces | [linkfilter-2026-09-22.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-2026-09-22.json) |
| Dota2Lounge dota2lounge.com · reg. 2012-08-10 | LIMPIO 2026-09-22 · [HTML sin formato](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/dota2lounge.com.20260922T192337Z.html) | `dota2.net` cuarto front-end en este servidor de autenticación | LIMPIO 2026-09-22 · [HTML sin formato](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/dota2.net.20260922T192340Z.html) | 2011-10-29 dota2.net, RDAP | Recopilación manual + Captura mediante el filtro de enlaces | [linkfilter-2026-09-22.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-2026-09-22.json) |
| SkinBaron skinbaron.de | LIMPIO 2026-09-21 · [HTML sin formato](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/skinbaron.de.20260921T041717Z.html) | `skinbaron.com` misma marca, dominio de nivel superior diferente | LIMPIO 2026-09-21 · [HTML sin formato](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/skinbaron.com.20260921T041721Z.html) | 2015-12-22 RDAP | URL de OpenID facilitada | [skinbaron.de.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/skinbaron.de.json) |
| TF2Royal tf2royal.com · reg. 2022-08-17 | LIMPIO 2026-09-21 · [HTML sin formato](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/tf2royal.com.20260921T041746Z.html) | `tf2auth.com` | LIMPIO 2026-09-21 · [HTML sin formato](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/tf2auth.com.20260921T041750Z.html) | 2021-07-27 RDAP | Captura en directo del navegador + URL de OpenID facilitada | [tf2royal.com.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/tf2royal.com.json) |
| Tradeit tradeit.gg | LIMPIO 2026-09-21 · [HTML sin formato](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/tradeit.gg.20260921T041753Z.html) | `connect-tradeit.com` | LIMPIO 2026-09-21 · [HTML sin formato](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/connect-tradeit.com.20260921T041757Z.html) | 2022-02-23 RDAP | URL de OpenID facilitada | [tradeit.gg.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/tradeit.gg.json) |
| Actualizador upgrader.pro | LIMPIO 2026-09-21 · [HTML sin formato](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/upgrader.pro.20260921T041801Z.html) | `upgauth.space` | LIMPIO 2026-09-21 · [HTML sin formato](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/upgauth.space.20260921T041804Z.html) | 2026-08-14 RDAP | URL de OpenID facilitada | [upgrader.pro.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/upgrader.pro.json) |

Fuente: steamcommunity.com/linkfilter, GET sin autenticación, 2026-09-21, 53 hosts, intervalo de 3 s; [steam_tos_assets/linkfilter-recheck-2026-09-21.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-recheck-2026-09-21.json); código HTML sin formato en `steam_tos_assets/linkfilter-raw/`. Fechas de inscripción: RDAP, [steam_tos_assets/domain-registration.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/domain-registration.json). · Comprobación previa de 2026-09-19 en [linkfilter-all-results.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-all-results.json) · registros de rutas en [auth-route-audit.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit.json) · Instantáneas de Wayback Machine de las páginas de Link Filter, 2026-09-21, que figuran en [wayback-snapshots.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/wayback-snapshots.json) (No existe ninguna instantánea de rbsnin.com; el archivo sin procesar local es el único registro).

Fechas de inscripción: RDAP (`steam_tos_assets/domain-registry/`). La «URL de OpenID facilitada» establece los parámetros de la solicitud, no un inicio de sesión completado. Los autores no completaron ningún inicio de sesión en ninguna plataforma. Un dominio independiente no es, por sí solo, prueba de evasión. Tampoco es «0 hosts de autenticación bloqueados» un hallazgo independiente: bloquear uno interrumpiría el inicio de sesión Steam de esa plataforma, por lo que un registro elaborado a partir de inicios de sesión válidos no puede contener un host de autenticación bloqueado. La observación que tiene peso es la asociación y su duración: un dominio principal en el filtro de enlaces junto a un dominio de inicio de sesión que lleva años en funcionamiento. Esta tabla contiene 30 filas: 25 de las 27 rutas con un archivo de pruebas por ruta, más cinco añadidas en 2026-09-22 cuya división en el filtro de enlaces se recoge en [linkfilter-2026-09-22.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-2026-09-22.json) aunque el dominio en sí se recopiló manualmente — así lo indican sus filas en la columna «fuente». Las dos rutas de los archivos de evidencia que no se muestran son skinsnipe.com (host de autenticación `pricing.tradeupspy.com`, registrado 2020-03-11) y csgobig.com (host de autenticación `letmeinbig.com`, registrado 2023-01-20); ambos devolvieron «BLOQUEADO» (main) / «LÍPIDO» (auth host) en la comprobación de 2026-09-22, registrado con SHA-256 en [linkfilter-2026-09-22c.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-2026-09-22c.json), pero el código HTML sin formato de ese lote no se incluye en el conjunto publicado, por lo que aquí se mencionan por su nombre en lugar de asignárseles una fila, como se puede comprobar en todas las demás líneas de esta tabla. Las 12 rutas restantes del registro, recopiladas manualmente, se identifican como tales en [master_registry.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/master_registry.json) debajo de `realm_src: user`.

Auditoría empírica primaria · Intervalo de fechas plurianual 

### La trampa del panorama general: el filtro de enlaces es una farsa de cumplimiento normativo, no un escudo

En los navegadores de ordenador, los usuarios están protegidos por defensas externas: Google Safe Browsing y Microsoft SmartScreen interceptan los intentos de phishing conocidos y muestran avisos rojos a pantalla completa. **En el modo «Big Picture» de Steam, en la superposición del juego (Shift+Tab) y en el Deck Steam (SteamOS), esas defensas no existen.** El navegador integrado no admite ninguna extensión, desactiva los motores externos de «Navegación segura» y deja al usuario con una única barrera de protección: la de Valve. `linkfilter` intersticial.

Desliza para comparar los cuatro resultados →

92.5%

2025-2026: phishing de última generación **aprobado sin problemas** (37/40)

77.5%

Phishing de la era CS2 (2023-2024) **aprobado sin objeciones** (31/40)

70.0%

Caso de phishing heredado de 2021-2022 **aprobado sin problemas** (28/40)

7 / 7

líneas principales de juego bloqueadas (control positivo)

Auditoría longitudinal plurianual: 120 dominios de phishing «puros» Steam sometidos a pruebas en tiempo real (24 de septiembre de 2026)

Para comprobar si el filtro de Valve simplemente tarda en detectar nuevas amenazas o si, por el contrario, es incapaz de detectarlas, hemos realizado una auditoría de **120 dominios de phishing confirmados específicos de Steam** en tres cohortes históricas, en comparación con `steamcommunity.com/linkfilter`:

- **Promoción 1: 2021-2022 (Oferta de intercambio clásica y objetos que se obtienen al completar misiones) — 70.0% Superado sin fallos (28/40).** Incluso entre cuatro y cinco años después de haber sido catalogados por los organismos de control comunitarios, siete de cada diez servidores de phishing heredados siguen activos sin ningún tipo de bloqueo.

- **Promoción 2: 2023-2024 (CS2 Beta: expectación y apelaciones de soporte falsas) — 77.5% Aprobado sin fallos (31/40).** Campañas que se hacen pasar por lanzamientos de Counter-Strike 2 y peticiones falsas de la comunidad (p. ej., `cs2-steam.com`, `appealsteamcommunity.help`) pasan directamente.

- **Cohorte 3: 2025-2026 (Implementaciones en el borde sin servidor y clones de favicons) — 92.5% Aprobado sin fallos (37/40).** Kits modernos de phishing que se implementan en EdgeOne, Vercel y Cloudflare Pages (p. ej., `steamgifter.online`, `steam-dp4lt5b8fnez.edgeone.dev`) pasan prácticamente sin obstáculos.

**Telemetría y exención de responsabilidad, no protección.** ¿Por qué existe el filtro de enlaces si deja pasar 70% a 92.5% de un caso claro de phishing Steam? Sirve como exención de responsabilidad para la empresa y como sensor de telemetría de clics salientes. Al presentar un mensaje cortés *«Estás saliendo de Steam»* Aviso con un botón verde «Continuar» en el que se puede hacer clic; Valve atribuye la responsabilidad legal a la víctima en virtud del Steam Acuerdo de suscripción (*«el usuario ha navegado voluntariamente fuera de Steam»*). Valve recopila los datos de telemetría del clic, pero no impide el robo.

**La prueba del hash del favicon: cero captación de fuentes de amenazas.** Las plataformas independientes de inteligencia sobre amenazas (urlscan.io, Shodan, Censys) identifican kits de phishing activos Steam mediante una simple búsqueda del hash del favicon oficial de Steam (`page.favicon.hash:9f890a9debcdfccc339149a7943be9aff9e4c9203c2fa37d5671a5b2c88503ad NOT domain:*.steampowered.com`). Esta comprobación automática básica detecta grupos activos de phishing en cuestión de segundos. Valve no se sincroniza con fuentes externas, no realiza búsquedas de amenazas basadas en hash y solo interviene manualmente cuando así lo exigen las autoridades reguladoras (la orden sobre juegos de azar de la WSGC de 2016) o para proteger sus cadenas de dominio registradas como marcas comerciales.

**Elementos de prueba de auditoría primarios:** Auditoría longitudinal de 120 dominios a lo largo de varios años: [auditoría-longitudinal-de-phishing-por-vapor.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/longitudinal-steam-phishing-audit.json) · 100 muestras específicas de phishing Steam: [linkfilter-steam-phishing-100.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-steam-phishing-100.json) · Auditoría general de la alimentación (n = 250): [linkfilter-coverage-2026-09-22.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-coverage-2026-09-22.json).

CSGOEmpire — registro por lotes de diez dominios de autenticación numerados 

El **2020-07-20** diez dominios numerados, `csgoempirelogin1.com` a través de `csgoempirelogin10.com`, quedaron registrados. Se conservan las marcas de tiempo RDAP de Verisign para los diez: login1 05:49:06Z, login5 05:49:08Z, login2 05:49:11Z, login3 05:49:14Z, login4 05:49:17Z, login6 05:49:20Z, login7 05:49:23Z, login8 05:49:26Z, login9 05:49:28Z — **nueve dominios en 22 segundos** — y login10 a las 05:56:03Z, siete minutos después. El intervalo entre ambos registros concuerda con una única operación masiva realizada por un registrador.

El patrón concuerda con los hosts de reserva preconfigurados; solo `login4` Se ha observado en una solicitud de OpenID en tiempo real. Tanto csgoempire.com como csgoempirelogin4.com devolvieron el resultado «CLEAN» en el filtro de enlaces en 2026-09-21; CSGOEmpire no figuraba entre los sitios mencionados en las noticias de prensa sobre los avisos de julio de 2016.

# DNS: los 10 están activos (septiembre de 2026)

Vale csgoempirelogin1.com 172.67.129.43

Vale csgoempirelogin2.com 172.67.175.168

Vale csgoempirelogin3.com 188.114.96.3

Vale csgoempirelogin4.com 188.114.96.11 ← en el tráfico de OpenID

Vale csgoempirelogin5.com 172.67.160.194

Vale csgoempirelogin6–10.com Direcciones IP de Cloudflare

NXDOMAIN: csgoempirelogin11.com

Los 10 están registrados 2020-07-20; los 10 tienen marca de tiempo RDAP (steam_tos_assets/domain-registry/csgoempireloginN.com.rdap.json)

Conclusión para las autoridades reguladoras 

### Si se bloquea el dominio principal y no se bloquea el host de autenticación, la ruta de inicio de sesión queda abierta, y así permanece durante años.

El bloque «Link Filter» del dominio principal es un registro público y verificable. El servidor de autenticación transporta el tráfico de «Iniciar sesión con Steam» y aparece en los propios parámetros de solicitud OpenID de Valve. En las comprobaciones realizadas en 2026-09-21 y 2026-09-22, en 26 pares divididos por el filtro, el dominio principal devolvió un bloqueo del filtro de enlaces, mientras que el proxy que transportaba su inicio de sesión no devolvió ninguno. El registro anterior mide la otra mitad de eso: estos hosts no son dominios desechables de corta duración. Varios llevaban registrados más de una década en la fecha de la comprobación, y cada uno de esos días es un día en el que Valve recibió el nombre de host en sus propios parámetros de solicitud. Valve no ha publicado ningún registro de medidas coercitivas por operador, por lo que no se puede determinar a partir de los datos públicos si se aplicó alguna otra medida a estos hosts.

12 años y 6 meses

csgogem.com está bloqueado en el filtro de enlaces.
Su servidor de inicio de sesión `api.csgem.com` ha sido
está registrado desde 2014-03-08 y no lo está.

Resumen en lenguaje sencillo — Para organismos reguladores y tribunales (ampliar)

Resumen en lenguaje sencillo — para las autoridades reguladoras

### Antecedentes: qué es Steam y por qué es importante en este contexto

Steam es una plataforma de software gestionada por Valve Corporation (Bellevue, Washington, EE. UU.). Steam actúa como proveedor de identidad digital: los sitios web de apuestas y juegos de azar en Internet utilizan un sistema denominado «Iniciar sesión con Steam», un botón que permite a un sitio web verificar que un visitante dispone de una cuenta Steam real. Esto es similar a «Iniciar sesión con Google» o a la comprobación de un documento de identidad oficial: el sitio web redirige al usuario a los servidores de Steam, Steam confirma su identidad y Steam lo devuelve al sitio web. **Valve gestiona el sistema de autenticación. Cada inicio de sesión a través de «Iniciar sesión con Steam» pasa por los propios servidores de Valve.**

### Lo que hizo Valve: el bloqueo de dominios

En julio de 2016, tras la presión mediática y jurídica en torno a las apuestas con «skins», el abogado de Valve envió notificaciones a aproximadamente 23 sitios web de apuestas identificados (según informes de prensa del 21 de julio de 2016); en octubre de 2016, Valve comunicó a la Comisión de Juego del Estado de Washington que se había puesto en contacto con más de cuarenta sitios web. Algunos dominios de juego aparecen en el **Steam Filtro de enlaces** — una lista que hace que cualquier enlace a ellos publicado dentro de Steam (en el chat, en una página de perfil, en la tienda) muestre una página de advertencia: *«¡Enlace bloqueado!»* El filtro de enlaces es la única medida de control cuyo efecto puede observarse desde fuera de Valve.

**Ejemplo:** Un enlace a `rollbit.com` Al pulsar Steam se muestra la página de advertencia de Link Filter (se han marcado 2026-09-19 y 2026-09-21). En teoría, el sitio web de apuestas está bloqueado.

### Qué es un dominio proxy

A **El servidor de autenticación de dominio independiente es un proxy de autenticación**: una segunda dirección web, en un dominio registrable diferente, que el mismo operador interpone entre sus usuarios y Steam con el único fin de llevar a cabo el paso «Iniciar sesión con Steam». Actúa como proxy para el inicio de sesión. El usuario cree que está iniciando sesión en la plataforma; la solicitud que llega a Valve lleva el nombre de host del servidor proxy, no el de la plataforma. Por lo general, no tiene ninguna conexión visible públicamente con el sitio de apuestas, y es la dirección a la que vuelven los usuarios después de que Steam confirme su identidad.

**Ejemplo:** Rollbit opera bajo `rollbit.com`, que el filtro de enlaces bloquea. En el caso de la autenticación Steam, el flujo observado en 2026-09-20 utilizaba una dirección diferente: `rbsnin.com`, registrado como 2026-09-18. Esta dirección devolvió **No hay ningún bloque de filtro de enlaces** en 2026-09-21. La página web de apuestas siguió funcionando, y su proceso de inicio de sesión Steam se realizó a través del servidor desbloqueado.

### El punto crítico: el servidor de autenticación se envía a Steam en cada solicitud

Valve no necesita realizar un escaneo ni un rastreo para saber qué servidores de autenticación están en uso. Steam es el **Proveedor de identidad OpenID** para estos sitios web, y cada vez que se hace clic en «Iniciar sesión con Steam», se envía una solicitud GET a los propios servidores de Valve que contiene el nombre de host de autenticación en texto sin cifrar. Según el apartado 9.1 de OpenID 2.0, el `return_to` El campo es técnicamente opcional, pero sin él Steam no puede proporcionar el resultado del inicio de sesión, por lo que, para que el inicio de sesión Steam funcione, es, en la práctica, obligatorio. El propio Steam muestra el nombre de host en la página de inicio de sesión («*<host> no está afiliado a Steam ni a Valve*").

— Formato de la solicitud Steam recibida (host tal y como se observa para Rollbit en 2026-09-20): —

OBTENER steamcommunity.com/openid/login

&openid.mode= checkid_setup

&openid.return_to= https://rbsnin.com/… ← se requiere efectivamente; aparece en el registro de Valve

&openid.realm= https://rbsnin.com ← información facilitada por la propia web; mostrada en la página de inicio de sesión de Steam

Si el sitio web utiliza la verificación de servidor a servidor (check_authentication), el registro de Valve también recoge la dirección IP del servidor de la plataforma y la red de alojamiento.

Extraer el nombre de host de esta solicitud es una operación habitual. El registro de aplicación —qué servidores se han visto afectados, cuáles no y con qué criterios— solo existe en la infraestructura de Valve y no se ha publicado.

### Lo que esto demuestra

**1. El bloque «Link Filter» actúa sobre los enlaces, no sobre los inicios de sesión.** Bloquear el dominio principal (por ejemplo, `rollbit.com`) muestra un aviso a los usuarios que hacen clic en los enlaces que conducen a ella dentro de Steam. Esto no impide que el sitio web siga funcionando, ni que utilice el propio servicio OpenID de Valve a través de una dirección diferente.

**2. Los servidores de autenticación sometidos a prueba no estaban bloqueados.** La tabla anterior muestra los hosts de autenticación de dominio independiente registrados entre 2011 y septiembre de 2026, varios de ellos años después de los avisos de julio de 2016. En 26 pares, el dominio principal devolvió un bloqueo de Link Filter y el proxy que gestionaba su inicio de sesión no lo hizo (comprobaciones sin autenticar, 2026-09-21 y 2026-09-22; respuestas sin procesar y SHA-256 guardadas). Ese proxy dejaría de funcionar el día en que Valve lo rechazara, por lo que la medida que se tiene en cuenta aquí es el tiempo que ha estado en funcionamiento, y no si figura en la lista. Valve recibe estos nombres de host en sus propias solicitudes de OpenID. A partir de los datos públicos no se puede determinar si se aplicó alguna medida distinta del filtro de enlaces, ya que Valve no ha publicado ningún registro de aplicación por operador.

**3. Los sitios web siguieron realizando el proceso de autenticación a través de la infraestructura de Valve.** «Iniciar sesión con Steam» es un servicio de Valve; cada autenticación que se realiza a través de él es una solicitud que Valve recibe y procesa. Valve también obtiene ingresos de las claves de caso, y el Mercado Comunitario Steam cobra una comisión combinada de aproximadamente 15% por las transacciones realizadas dentro del Mercado (no por las operaciones externas). La acción «Filtro de enlaces» creó un registro público; no interrumpió la relación de autenticación.

¿Habría funcionado el bloqueo?

Por analogía: cuando el registrador de dominios gratuito Freenom cerró en 2023, las campañas de phishing que dependían de sus dominios se vieron interrumpidas. La continuidad operativa depende de la estabilidad de la infraestructura.

Aquí se aplica la misma lógica. Si se rechazara un servidor de autenticación durante el procesamiento de OpenID de Steam, la función «Iniciar sesión con Steam» de la plataforma dejaría de funcionar hasta que se registrara un nuevo servidor, se emitieran los certificados y se propagara el DNS. Durante ese periodo: tiempo de inactividad.

**La rotación no hace que el bloqueo resulte inútil.** Esto convierte el bloqueo en un coste operativo. Dado que los nuevos servidores aparecen en los propios registros de solicitudes de Valve la primera vez que se utilizan, una respuesta podría tardar lo mismo que ese primer uso.

**El registro por lotes es, en sí mismo, una señal:** Las consultas «login1» a «login10» de CSGOEmpire se registraron el 2020-07-20, nueve de ellas en un plazo de 22 segundos (Verisign RDAP). No es necesario que una respuesta se refiera a cada dominio por separado; una serie secuencial procedente de una misma sesión del registrador puede identificarse como una serie.

Los registros públicos no indican que se haya producido ningún intento de bloquear hosts de autenticación que haya sido frustrado por la rotación.
Muestra los dominios principales bloqueados mientras el proxy que gestionaba cada inicio de sesión seguía en funcionamiento —26 pares a fecha de 2026-09-22, siendo el servidor de autenticación más antiguo el que llevaba registrado 12 años y 6 meses— y no hay ningún registro publicado de medidas coercitivas por parte de ningún operador.
Por lo tanto, la pregunta que se plantea el regulador es: ¿qué medidas coercitivas, si las hay, ha aplicado Valve a los servidores de autenticación que recibe en sus propias solicitudes de OpenID?

¿Qué hizo Valve y por qué no interrumpió la ruta de autenticación?

La tabla siguiente relaciona cada acción Valve documentada públicamente con el hecho de si afectó o no al punto de entrada de autenticación de OpenID. La conclusión no es que «Valve no hiciera nada», sino que ninguna de las acciones documentadas públicamente afectó al punto por el que pasan los inicios de sesión en las plataformas de juego a través de los servidores de Valve.

| Fecha | Valve Acción | Afectados `openid.return_to` ¿ruta? |
| --- | --- | --- |
| Julio de 2016 | Declaración pública del 13 de julio de 2016; notificaciones de los abogados a unas 23 entidades concretas (prensa, 21 de julio de 2016); se contactó con más de 40 entidades según la carta de Valve de octubre de 2016 dirigida a WSGC | No. Las notificaciones y el filtro de enlaces actúan sobre los operadores y los enlaces; la ruta de solicitud de OpenID no se ha modificado. |
| 2017 | Cierre de `IEconItems_730/GetPlayerItems` (según la cuenta de ingeniería de CSFloat; no se ha encontrado ningún registro de cambios Valve) | No. Se ha visto afectada la visibilidad del historial de los elementos públicos. La autenticación OpenID no se ha modificado. |
| 2018-03-29 | Se anuncia un bloqueo de intercambios de 7 días en CS:GO (blog.counter-strike.net) | No. Se ha ralentizado el movimiento de elementos; la ruta de solicitud de OpenID no se ha modificado. |
| 2022-05-10 | Se han eliminado los puntos finales de cancelación de intercambios de la API web pública (detectado por un usuario; sin registro de cambios Valve — node-steam-tradeoffer-manager #325) | No. Se ha desactivado la herramienta de intercambio de ofertas; la autenticación OpenID no se ha modificado. |
| 2023-12-04 | La creación de claves API ahora requiere una confirmación a través del móvil (steamcommunity.com/dev/apikey; sin registro de cambios) | No. Se protegió el punto final clave; los servidores de autenticación que se mencionan aquí no se vieron afectados. |
| 2026-09-19 / 21-09 | Steam Estado del filtro de enlaces según la observación de los autores | Los 14 dominios principales devolvieron un bloqueo en la nueva comprobación guardada 2026-09-21 —26 pares divididos en el registro por 2026-09-22—, mientras que el proxy que gestionaba cada inicio de sesión siguió funcionando. |

Fuentes: Valve comunicado del 13 de julio de 2016 ([store.steampowered.com/oldnews/22883](https://store.steampowered.com/oldnews/22883), [archivado 2026-09-21](https://web.archive.org/web/20260921021947/https://store.steampowered.com/oldnews/22883)) · Informe técnico de CSFloat sobre el cierre de 2017 ([blog.csfloat.com](https://blog.csfloat.com/how-floatdb-tracks-items/), [archivado 2026-09-21](https://web.archive.org/web/20260921022415/https://blog.csfloat.com/how-floatdb-tracks-items/)) · Estado del filtro de enlaces: [linkfilter-recheck-2026-09-21.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-recheck-2026-09-21.json).

Esta conclusión puede refutarse con un solo caso publicado en el que Valve haya rechazado una solicitud de OpenID porque `openid.return_to` apuntaba a un servidor de autorización de juegos de azar. No se ha encontrado ninguna instancia de este tipo en los registros públicos.

Los dos registros de «auth-host» más recientes

**howl.uno** Se registró 2026-08-11 (RDAP), 41 días antes de 2026-09-21; howl.gg devolvió un bloqueo del filtro de enlaces en 2026-09-18, 2026-09-19 y 2026-09-21. No se ha determinado si el bloqueo fue anterior al registro.

**rbsnin.com** se registró como 2026-09-18T09:34:52Z (Verisign RDAP) y se observó en el flujo de inicio de sesión de Rollbit Steam en 2026-09-20 a través del aviso de la propia página de inicio de sesión de Steam; rollbit.com devolvió un bloqueo del filtro de enlaces en 2026-09-19 y 2026-09-21, mientras que rbsnin.com no lo hizo.

Cada host de la tabla anterior se envía a los servidores de autenticación de Valve como `openid.realm` en cada intento de inicio de sesión.

Datos completos por ruta y resultados del filtro de enlaces: la tabla de la sección 3 anterior; resultados sin procesar en [linkfilter-recheck-2026-09-21.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-recheck-2026-09-21.json) y [linkfilter-all-results.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-all-results.json).

Metodología: cómo se establecieron los recuentos de rutas y filtros de enlace

1. Resolución de dominios

La auditoría 2026-09-21 resolvió 78 de las 189 plataformas solicitadas: **33 se autentican con su propio nombre de host y 20 con su propio subdominio —autenticación directa—, y ninguna de ellas se contabiliza como ruta de dominio independiente.** El resto **25. Autenticarse a través de un dominio independiente que se pueda registrar**, repartidos entre 24 nombres de host distintos (dota2.net es compartido por market.csgo.com y rust.tm): 10 identificados mediante captura en tiempo real del navegador, 3 a través del aviso de la propia página de inicio de sesión de Steam y 12 mediante una URL de OpenID facilitada. El registro en tiempo real ([master_registry.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/master_registry.json), 2026-09-22) amplía eso a **44 rutas de dominios independientes**: 26 pares con división de filtro (dominio principal BLOQUEADO, host de autenticación LIMPIO), más otras 18 rutas sin división del dominio principal. De las 44, **27. Llevar un expediente de pruebas por cada ruta**; los otros 17 se recogieron a mano y están marcados `realm_src: user` en el registro. Cinco de esos diecisiete —csgogem.com, gamdom.com, 12cs.fail, csgolounge.com y dota2lounge.com— se añadieron el 2026-09-22 con una captura de Link Filter de ambos hosts (HTML sin procesar + SHA-256 en [linkfilter-2026-09-22.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-2026-09-22.json)), por lo que la división en sí misma queda constatada aunque el dominio se haya recopilado manualmente; aparecen en la tabla anterior junto a las rutas del archivo de pruebas. `tfauth.com` (tf2easy.com) fue eliminado del registro a las 2026-09-22: al igual que arena.fragnet.net, no hay ningún enlace verificable que lo relacione con su sitio de origen. El recuento se puede volver a calcular a partir de los datos publicados [auth-route-audit.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit.json) (serie de 2026-09-21) según una única regla: una plataforma solo cuenta cuando su host OpenID Steam observado se encuentra en un dominio registrable distinto al de la propia plataforma.

2. Steam Estado del filtro de enlaces

Probado mediante `steamcommunity.com/linkfilter/?url=https://[domain]`, sin autenticar, en 2026-09-19 y 2026-09-21; HTML sin procesar guardado con SHA-256. El estado se registra por separado para el dominio principal y el host de autenticación. Un clasificador distingue el aviso genérico «Estás saliendo de Steam» (CLEAN) de la página «¡Enlace bloqueado! ... marcado como potencialmente malicioso» (BLOCKED); un control de google.com confirma que ambos no se confunden. Se descartó una variante anterior autenticada de esta prueba después de que devolviera «bloqueado» para todos los dominios, incluido ese control; se determinó que se debía a una cookie de sesión no válida en el script de prueba, y no a un resultado real.

3. Observación del host de autenticación

Captura en directo: un navegador Playwright accedió al proceso de inicio de sesión de cada plataforma y el `openid.return_to` El nombre de host se ha obtenido de la solicitud interceptada. Aviso de la página de inicio de sesión: el nombre de host se ha obtenido de la propia «» de Steam'*<host> no está vinculado a Steam ni a Valve*" texto, que Steam se representa a partir de `openid.realm` (rbsnin.com, sc-auth.net, auth.dota.trade). URL facilitada: una URL de inicio de sesión «a Steam» facilitada a los autores; esta establece los parámetros de la solicitud, no un inicio de sesión completado. No se completó ningún inicio de sesión en ninguna plataforma.

4. Cobertura: lo que no se ha resuelto y por qué es importante

De las 189 plataformas, **El 110 no estableció ninguna ruta** y uno no era aplicable (189 − 78 − 1). Este expediente no tiene en cuenta ninguno de ellos. El desglose de los 110, según el archivo de auditoría: 22 retos de bot, 14 tiempos de espera agotados, 12 errores HTTP y 10 errores de navegación —el observador no pudo acceder al flujo de inicio de sesión, aunque la mayoría de estos sitios se abren con normalidad en un navegador habitual—; 20 no mostraban ningún control de inicio de sesión Steam en la página de destino; 16 llegaban a un flujo de inicio de sesión que no se podía resolver en un servidor; 11 dominios no se resolvían en el DNS; 5 se detenían en una pantalla de consentimiento. El registro que figura a continuación desglosa esos mismos 110 de forma diferente: los 11 que no se resolvieron en el DNS se enumeran por separado como *Eliminado · NXDOMAIN*, y la única entrada no aplicable se suma al resto. Se han auditado 189 plataformas y se han eliminado 11 tras recibir un NXDOMAIN definitivo de ambos resolutores, **178 conservados** ([platform-audit.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/platform-audit.json), [platforms-removed.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/platforms-removed.json)). **Se eliminaron de los datos de 2026-09-19 137 dominios de autenticación que el libro mayor había adivinado a partir del patrón de nomenclatura —nunca se observaron, por lo que nunca constituyeron una prueba—.** Tres de las suposiciones se contradecían con las URL de OpenID facilitadas: buff.163.com, gamerpay.gg y csgoluck.com realizan la autenticación directamente, frente a las suposiciones de buffauthproxy.163.com, gamerpayredirect.io y lucklogin.app. Las eliminaciones figuran en el archivo de auditoría publicado.

El 25 es un mínimo, no un máximo. De las 78 plataformas que se resolvieron, 25 utilizaban un dominio independiente y 53 no. De esa proporción no se deduce nada sobre las 110 no resueltas, y en ningún lugar de este informe aparece ninguna proyección basada en ella. Cada una de ellas puede resolverse si una persona abre la página y pulsa «Iniciar sesión con Steam»: el nombre de host de autenticación aparece en la URL de la página Steam que se carga.

**El objetivo de esta sección:** Un observador independiente necesita un navegador y mucha paciencia para identificar 189 plataformas, y ha conseguido identificar 78. Valve requiere una consulta a la base de datos. Todas las plataformas que utilizan «Iniciar sesión con Steam» —tanto las identificadas como las no identificadas— envían `openid.realm` al punto final de autenticación de Valve en cada inicio de sesión. La laguna que aparece en esta tabla se debe a que los autores se encuentran fuera del sistema. No existe en el caso de Valve.

Los nombres de host proxy observados se encuentran en [auth-route-audit.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit.json). Fechas de registro del dominio según RDAP (Verisign) / IP2WHOIS. Resultados del filtro de enlaces en [linkfilter-all-results.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-all-results.json).

Una analogía para que quede más claro

Imagina que las autoridades reguladoras comunican a una empresa de taxis con licencia que ya no puede operar desde su dirección registrada en Main Street. La empresa retira el letrero de Main Street. Se documenta la retirada de dicho letrero. Sin embargo, la misma empresa abre una sede en Side Street —registrada bajo un nombre diferente— y continúa operando desde allí. Las autoridades reguladoras gestionan el sistema central de despacho que utilizan todos los taxis de ambas direcciones. Cada solicitud de viaje indica «recogida en Side Street». Las autoridades reguladoras nunca revocan la licencia de Side Street. **La retirada del letrero de «Main Street» fue la única medida coercitiva que se llevó a cabo. La empresa de taxis nunca dejó de prestar servicio.**

Parte A — Ficha técnica · Apartado 3.1 

### Dentro de Steam, la lista de Valve es la única lista.

Si se hace clic en un enlace en el cliente Steam, la superposición del juego o el modo Big Picture no se abren en el navegador del usuario. Se muestran en el propio navegador integrado de Steam, donde no están presentes las capas de advertencia que aplicaría un navegador. **El filtro de enlaces no es una medida de seguridad más entre otras muchas. Es la única medida de seguridad.**

**En un navegador normal** Tres capas independientes

- **Navegación segura de Google** Un intersticial a página completa para los servidores incluidos en las listas de phishing y malware de Google, que se actualiza continuamente y es independiente del sitio web que se esté visitando.

- **La extensión antivirus para el navegador** La mayoría de los productos para dispositivos finales de consumo incluyen un complemento para el navegador que comprueba si el destino figura en la lista de reputación del propio proveedor.

- **Inspección HTTPS en los terminales** Cuando el producto realiza una inspección TLS, el contenido de la página se analiza antes de que llegue al usuario.

**En el cliente Steam, superposición y «Big Picture»** Una capa

- **Navegación segura de Google** No está presente. La comprobación requiere claves API de Google que no se proporcionan en las compilaciones de Chromium integradas; cuando no están presentes, la propia documentación de diseño de Chromium indica que el controlador de Navegación segura simplemente nunca se añade a la cadena de solicitudes.

- **La extensión antivirus para el navegador** No está presente. El motor de renderizado de Steam no es el navegador del usuario y no carga ninguna extensión del perfil del navegador del usuario, por lo que no se ejecuta ningún complemento en la página.

- **Inspección HTTPS en los terminales** Depende del producto. El tráfico termina dentro de un proceso Valve firmado con código, en lugar de en un navegador reconocido, y varios productos de punto final excluyen las aplicaciones firmadas de la inspección TLS.

- **El filtro de enlaces Steam** La lista de bloqueados propia de Valve, a la que se recurre cuando un enlace sale del ecosistema Steam. Esta es la única comprobación que se lleva a cabo, y la tabla anterior recoge los resultados que devuelve para los hosts de autenticación descritos en esta sección.

Una prueba que cualquier lector puede realizar, y si falla, la conclusión deja de ser válida.

Abre una de las URL de prueba de «Navegación segura» publicadas por Google (`testsafebrowsing.appspot.com`) en Chrome: aparece una página intersticial roja a pantalla completa. Abre la misma URL desde un mensaje de chat Steam, de modo que se muestre en el cliente Steam o en la superposición: no aparece ninguna página intersticial. La única advertencia que Steam puede generar es su propia página de filtro de enlaces, y solo para los hosts que figuran en la lista de Valve.

El historial de recompensas por errores de Valve **Esa sola capa ya se había utilizado antes, en el propio disco de Valve**

Si el filtro de enlaces es la única comprobación que se ejecuta en el cliente, sus propios modos de fallo no son una cuestión secundaria. Dos informes en el programa HackerOne de Valve, ambos aceptados, ambos resueltos y ambos divulgados íntegramente desde entonces:

- [#291750](https://hackerone.com/reports/291750) [archivado 2025-11-16 ↗](https://web.archive.org/web/20251116185046/https://hackerone.com/reports/291750) Open Redirect · Medium

### Desactivación de la protección del filtro de enlaces

Notificado el 19 de noviembre de 2017, resuelto y divulgado el 9 de mayo de 2018. Prueba de concepto del propio informe: sustitución del punto ideográfico `。` (`%E3%80%82`) para el punto en un nombre de host — Es posible eludir el bloqueo. El contenido intersticial al que se refiere esta sección no ha aparecido.

- [#1079561](https://hackerone.com/reports/1079561) [archivado 2026-09-24 ↗](https://web.archive.org/web/20260924181830/https://hackerone.com/reports/1079561) Divulgación de información · alta

### El navegador web Big Picture filtra cookies de inicio de sesión y revela información confidencial (lo que podría dar lugar a la apropiación de cuentas)

Notificada el 15 de enero de 2021, resuelta y divulgada el 21 de septiembre de 2021. La propia clasificación de gravedad de Valve es alta, y el título indica la consecuencia. El registro publicado incluye el título, la clasificación y las fechas; la descripción técnica no figura en el contenido publicado, por lo que no se cita nada más de ella aquí.

**Es una interpretación de los autores, no una conclusión de ninguno de los dos informes:** Ambos se sitúan a ambos lados de la misma puerta. Uno es la advertencia que no aparece antes de que se abra el destino; el otro es la sesión que abandona el cliente una vez que se abre una página en su interior. La secuencia que sigue a una sesión robada —clave registrada sin solicitud previa, operación real cancelada, duplicado enviado a un clon— es el patrón establecido en [Sección 5](https://phishdestroy.io/steam_dossier/es/index#vulnerability-profile) a [Sección 8](https://phishdestroy.io/steam_dossier/es/index#consent-analysis). Ambos informes están cerrados; ninguno de ellos se presenta como una vulnerabilidad activa. Lo que demuestran es más limitado, pero suficiente: la única capa que queda tiene un historial documentado de haber sido eludida, según los propios registros de Valve.

Fuente: el registro de divulgación de HackerOne correspondiente a cada informe, consultado el 2026-09-22 — número, título, equipo, vulnerabilidad, gravedad, fechas de informe y divulgación, y estado tal y como lo publica HackerOne. Registro de consulta: [hackerone-reports.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/hackerone-reports.json). Aquí no se indica ninguna cuantía de la recompensa; tampoco aparece ninguna en el expediente consultado.

Observación de campo · PhishDestroy **Las detecciones que normalmente ponen fin a una campaña no lograron detener estas**

Observamos cómo los servidores de phishing seguían captando tráfico mientras transportaban **20 o más detecciones de proveedores**. Si se envía a través de la web o por correo electrónico, una campaña en ese estado se frustra en cuestión de días: tanto el navegador como el antivirus actúan en función de esos veredictos. En Steam, sin embargo, no ocurre así. Los veredictos existían desde el principio. El cliente nunca solicitó nada.

### Qué significa esto para un menor que tiene instalado un antivirus

No ignora ninguna advertencia ni desactiva nada. Llega un mensaje en Steam —un cuchillo gratis, un voto para el equipo de un amigo— y la página se abre en Steam. Nunca abre un navegador, por lo que el navegador nunca le protege. Su antivirus está en funcionamiento y puede que ya haya clasificado ese dominio como malicioso; pero nunca se le consulta. **Ya existen todas las advertencias que podrían haberlo detenido. Ninguna de ellas le llega.** Él cree que nunca se marchó de Steam, y así fue.

La oferta gratuita no es una invención del estafador: los artículos «gratis Valve» son la forma en que se anuncian las páginas web de skins y de apuestas, y precisamente por eso el mensaje parece tan normal. Quejas: [el archivo de ejecución](https://phishdestroy.io/steam_dossier/es/steam_enforcement_evidence#support-records). Datos sobre la edad y los hijos: [Artículo 17](https://phishdestroy.io/steam_dossier/es/index#minors-protection).

Fuentes: Steam muestra el contenido web a través del Chromium Embedded Framework en el `steamwebhelper` proceso — véase [Análisis técnico de DARKNAVY del 27 de junio de 2024 ↗](https://www.darknavy.org/blog/exploiting_steam_usual_and_unusual_ways_in_the_cef_framework/) y el propio de Valve [Steam Foro de la versión beta para clientes ↗](https://steamcommunity.com/groups/SteamClientBeta/discussions/0/3365901765276206401/) [archivado 2025-08-04 ↗](https://web.archive.org/web/20250804051514/https://steamcommunity.com/groups/SteamClientBeta/discussions/0/3365901765276206401/). No se utiliza ninguna versión de CEF: el Chromium integrado no es Chrome y no incluye ninguno de los servicios de Google de Chrome. Navegación segura sin claves API: [Documento de diseño de Chromium ↗](https://www.chromium.org/developers/design-documents/safebrowsing/) [archivado 2026-08-21 ↗](https://web.archive.org/web/20260821101616/https://www.chromium.org/developers/design-documents/safebrowsing/), [Claves de la API de Chromium ↗](https://www.chromium.org/developers/how-tos/api-keys/) [archivado 2026-08-30 ↗](https://web.archive.org/web/20260830122831/https://www.chromium.org/developers/how-tos/api-keys/) («Muchas de las API de Google que utiliza Chrome son específicas de Google y no están pensadas para su uso en productos derivados»), y el mismo efecto en otras versiones sin clave — [Barril de cerveza artesanal n.º 193814 ↗](https://github.com/Homebrew/homebrew-cask/issues/193814). URL de prueba: [testsafebrowsing.appspot.com ↗](https://testsafebrowsing.appspot.com/).

Parte A — Ficha técnica · Sección 4 

## Se ha cerrado un punto final. El seguimiento público ha perdido una clave.

Contexto y límites de la fuente

Steam introdujo cambios que eliminaron la visibilidad pública de los ID de activos de los artículos y restringieron el acceso al inventario a través de la API. El resultado: se hizo imposible rastrear un artículo concreto mediante su ID de activo original a partir de datos públicos. A continuación se detalla lo que era posible antes, lo que dejó de serlo después y lo que eso supone para una víctima que intenta demostrar adónde ha ido a parar su propiedad. La fecha es 2017, según la cuenta de ingeniería de CSFloat; no se ha localizado ningún registro de cambios de Valve. La secuencia —aproximadamente un año después de la declaración sobre el juego de julio de 2016— es la pregunta de la investigación, no una conclusión. Los registros de los artículos en sí permanecen dentro de los sistemas de Valve; los investigadores externos perdieron el acceso a la cadena de identificadores originales, mientras que los identificadores «float», «seed» y «paint» solo permiten una coincidencia parcial.

**Se aplica la regla Valve:** Steam El servicio de atención al cliente no recupera los artículos que hayan salido de tu cuenta, y la responsabilidad de demostrar lo que ha ocurrido recae en ti. **El historial:** En 2017, Valve cerró el punto final que contenía los ID originales de los artículos. Antes de eso, cualquiera podía rastrear un skin robado desde la cuenta de la víctima hasta un bot de un mercado. Desde entonces, nadie ajeno a Valve puede hacerlo. **El documento de identidad que se le pide a la víctima es el que fue sustraído.** — y sigue existiendo, dentro de Valve.

### La era anterior al apagón

Históricamente, cada objeto virtual generado en Steam poseía un identificador único a nivel global e inmutable ID del activo . Las bases de datos OSINT de terceros podrían indexar estos identificadores. Si a un usuario le robaran un artículo, los investigadores podrían rastrear el recorrido de ese activo concreto a medida que pasara de la cuenta intermedia del ladrón a las cuentas de almacenamiento de un mercado o un sitio web de apuestas.

ANTES: cualquiera podía rastrear un artículo desde la cuenta de la víctima, pasando por cuentas intermedias, hasta llegar a un bot de almacenamiento de un mercado o un casino, utilizando datos públicos.

### Tras el cambio

Según la cuenta de ingeniería de CSFloat, Valve cerró el punto final en 2017 y los ID originales de los artículos dejaron de estar disponibles para terceros. No se ha encontrado ninguna declaración Valve que explique el motivo del cambio. Tampoco se ha encontrado, en ese mismo periodo, ninguna medida publicada contra las cuentas de bots comerciales que movían artículos a gran escala.

Sea cual sea el motivo, el cambio rompió la cadena de custodia pública. Una víctima ya no puede reconstruir la cadena de identificación original a partir de datos públicos para demostrar que un artículo robado concreto se vendió a través de un mercado o casino específico. Los registros de los artículos siguen existiendo en los sistemas de Valve; el público, los investigadores y las fuerzas del orden que trabajan con datos públicos no pueden acceder a ellos.

A PARTIR DE AHORA: ya no es posible rastrear un artículo concreto mediante su ID de activo original a partir de datos públicos. La cadena de custodia del ID original de un artículo trasladado después de 2017 solo existe dentro de la infraestructura de Valve; no se ha hecho público ningún registro de este tipo. Los identificadores «float», «seed» y «paint» solo permiten una correspondencia parcial y probabilística.

IEconItems_730

OBTENER `/IEconItems_730/GetPlayerItems/v1/`

Carga útil rastreable (antes del parche)

`"id": "14892281934" ,`

`"original_id": "11829910211" ,`

Estado: La víctima puede rastrear el historial del objeto a través de las cuentas de los bots.

Carga útil ofuscada (tras la aplicación del parche)

Actual

`"id": "HIDDEN_BY_PRIVACY_SETTINGS" ,`

`"original_id": "NULL" ,`

Estado: las partes externas ya no pueden rastrear el historial de un artículo a partir de su ID de activo original utilizando datos públicos.

**Repercusión en las pruebas:** Tras el cambio, ya no se disponía de los datos públicos necesarios para rastrear un artículo concreto mediante su ID de activo original desde la cuenta de una víctima hasta un bot de un mercado o un casino. Los registros internos siguen existiendo en Valve; una víctima, un investigador o un analista que trabaje a partir de datos públicos no puede reproducir la cadena del ID original (los identificadores «float», «seed» y «paint» solo permiten una coincidencia parcial).

Fuente: Informe técnico de CSFloat sobre el cierre en 2017 de `IEconItems_730/GetPlayerItems` — [blog.csfloat.com/how-floatdb-tracks-items](https://blog.csfloat.com/how-floatdb-tracks-items/) ([archivado 2026-09-21](https://web.archive.org/web/20260921022415/https://blog.csfloat.com/how-floatdb-tracks-items/)) · Las cargas útiles que se muestran son una ilustración de la forma del campo, no respuestas capturadas · No se ha encontrado ningún registro de cambios Valve para el cierre.

Parte A — Ficha técnica · Sección 5 

## Una sesión. Más acceso del que el usuario percibe.

Límites del contexto y de la fuente

La arquitectura de claves API de Valve, tal y como era antes de los cambios de 2023, se apartaba de los estándares básicos del sector (OWASP ASVS, NIST SP 800-63B) y es el mecanismo descrito en las denuncias automatizadas por robo de inventario conservadas en el archivo de pruebas (secciones 6-8).

**Se aplicó la regla Valve:** El titular de la cuenta creó la clave, aceptó las condiciones y asume la pérdida: esa es la respuesta que figura en los rechazos archivados. **El historial:** Hasta diciembre de 2023, bastaba con una cookie de sesión robada para registrar esa clave. Sin contraseña. Sin Steam Guard. Sin notificación alguna a la persona a la que pertenecía la cuenta. **El usuario no creó la clave, no podía verla y, sin embargo, le dijeron que sí lo había hecho.** La confirmación móvil se añadió el 2023-12-04, unos siete años después de la declaración de 2016 y aproximadamente seis años después de los paneles sobre estafas que conserva el archivo. Esos años no los pagó Valve. Los pagaron las cuentas que se habían vaciado entretanto, algunas de ellas de menores.

OWASP ASVS 2.8 / NIST SP 800-63B GRAVEDAD: CRÍTICA

### 1. Autenticación de nivel superior insuficiente

Steam permitía la generación de claves API con privilegios elevados y de larga duración utilizando únicamente una cookie de sesión. No se exigía la autenticación de dos factores (Steam Guard) ni ningún desafío de autenticación reforzada al configurar o modificar una clave API de desarrollador, por lo que la confirmación móvil Steam Guard —el único segundo factor que ofrece Steam— no protegía este paso. (En 2016 se solicitó un segundo factor de hardware en el propio sistema de seguimiento de 2 y el problema sigue abierto: Apéndice D, GH-01.)

Estado: sin parchear antes de 2023. Permitía que un script que contuviera una cookie robada registrara una clave sin ninguna interacción por parte del usuario.

OWASP A01:2021 / Principio del privilegio mínimo GRAVEDAD: CRÍTICA

### 2. Ausencia del principio del mínimo privilegio

La API web Steam carecía de ámbitos de autorización basados en roles. Una clave de API para desarrolladores emitida para consultar el estado del inventario en «solo lectura» poseía permisos completos de «escritura», incluida la capacidad de modificar operaciones existentes, iniciar otras nuevas, registrar webhooks y rechazar intercambios pendientes válidos.

Estado: defecto de diseño sistémico. Una clave = control total de lectura y escritura sobre el inventario y las operaciones de la cuenta.

OWASP A07:2021 / Sesiones GRAVEDAD: ALTA

### 3. Fallos en la gestión de sesiones

Los usuarios han informado de que las sesiones web secuestradas procedentes de rangos de direcciones IP de servidores de alojamiento siguen activas. La práctica habitual consiste en cerrar las sesiones ante anomalías geográficas y tras un cambio de contraseña; los informes de los usuarios recopilados en el archivo describen sesiones que permanecieron activas tras un cambio de contraseña.

Estado: comportamiento notificado (quejas de usuarios en el archivo). Las sesiones podían generar claves API sin necesidad de volver a autenticarse.

El bloqueo a nivel de dominio era técnicamente viable VIABILIDAD DE LA APLICACIÓN

### 4. El bloqueo a nivel de dominio de los servidores de autenticación era técnicamente viable

Valve ya gestiona una lista de dominios (el «Link Filter») y ya recibe todos los nombres de host de autenticación en sus propias solicitudes de OpenID. Ambos mecanismos no están conectados de ninguna forma visible desde el exterior: a fecha de 2026-09-22, en 26 pares el dominio principal figuraba en el filtro, mientras que el proxy que gestionaba su inicio de sesión no lo hacía.

Conectarlas es una tarea de ingeniería sencilla: lee el `openid.realm` el nombre de host de cada solicitud entrante, compararlo con una lista y rechazar o marcar la solicitud. La ilustración de la derecha muestra el esquema de dicha rutina. Rechazar el host de autenticación —en lugar de limitarse a la página de inicio pública— interrumpiría el paso «Iniciar sesión con Steam», del que dependen estas plataformas.

No hay pruebas públicas que demuestren que Valve realice dicha comprobación. La comisión combinada del Steam Community Market, de aproximadamente 15%, se aplica a las ventas realizadas dentro del mercado; no se cobra en las transacciones externas de estas plataformas.

block_auth_hosts.py ILUSTRACIÓN

// Leer el host Steam que ya se ha recibido — no realizar escaneo

def on_openid_request(solicitud):

host = parse_openid_realm(request)

si anfitrión en dominios_bloqueados:

rechazar (una solicitud)

**Nota:** Pseudocódigo a título meramente ilustrativo. Ambas partes ya existen en Valve: el nombre de host del autor se incluye en la solicitud y la lista de dominios es el filtro de enlaces. No hay ningún registro público que explique por qué no están conectadas.

Apartado 5.1 — Las normas no se retiraron de la publicación 

### Valve se compila siguiendo estas reglas todos los días. En este caso, no se ha compilado según ellas.

Steam está disponible en la App Store y en Google Play, realiza ventas a través de los principales procesadores de tarjetas y utiliza API de terceros como cualquier otra gran plataforma. Cada una de esas relaciones conlleva un requisito de seguridad publicado y con fecha concreta que Valve debe cumplir para seguir operando. Compara las fechas de dichos requisitos con las fechas en las que la propia API web de Steam incorporó las mismas medidas de protección. **Nada de lo que figura a continuación es una norma privada, un memorándum interno ni un secreto comercial: cada fila es un documento público con una fecha de publicación.**

Requisitos de seguridad externos publicados, con sus fechas, comparados con la fecha en la que la API web Steam incorporó el control equivalente

| La norma publicada y la fecha en que entró en vigor | La API web Steam sobre la misma pregunta |
| --- | --- |
| **Autorización limitada** OAuth 2.0 — RFC 6749, Octubre de 2012. En el apartado 3.3 se define `scope` De este modo, un cliente solo recibe el acceso que solicita. Desde entonces, ha sido la configuración por defecto de todas las API de las principales plataformas. | **Los ámbitos granulares llegaron el 16 de enero de 2026.** Antes de eso, una sola clave de la API web Steam permitía acceso completo de lectura y escritura sobre las operaciones de la cuenta, independientemente del motivo por el que se hubiera emitido. **Trece años y tres meses** tras la especificación que define el control. |
| **Una clave no es una autorización** La propia documentación de Google Cloud: Una clave API estándar no autentica a un sujeto, y en el caso de las API que crean o gestionan recursos, No utilices claves de autorización en el entorno de producción. | **La clave de la API web Steam era exactamente eso.** Una cadena de portador, emitida para una cuenta, que por sí sola basta para consultar el inventario, cancelar una operación pendiente y enviar una nueva. No se autenticó a ningún ordenante en el momento de su uso. |
| **Autenticación multifactorial para el acceso privilegiado** PCI DSS 3.2, requisito 8.3 — obligatorio a partir del 1 de febrero de 2018 para todos los accesos administrativos que no se realicen a través de la consola y para todos los accesos remotos al entorno de datos de los titulares de tarjetas. Posteriormente, Apple exigió la autenticación de dos factores a todos los titulares de cuentas del Programa para Desarrolladores a partir de 27 de febrero de 2019: Los desarrolladores que tengan el rol de «Titular de la cuenta» en un programa para desarrolladores deberán activar la autenticación de dos factores para iniciar sesión. | **Se necesitaba un segundo factor para crear una clave API a partir de 4 de diciembre de 2023.** Hasta entonces, bastaba con una cookie de sesión robada, sin que apareciera ningún aviso en el teléfono del titular de la cuenta ni se enviara ninguna notificación posterior. **Cuatro años y nueve meses** después de que Apple obligara a Valve a utilizar un segundo factor de autenticación simplemente para iniciar sesión en un portal para desarrolladores. |
| **Ciclo de vida y revocación de las credenciales** Twitch exige a todas las aplicaciones de terceros: Tu aplicación debe validar el token de OAuth al iniciarse y, a partir de entonces, cada hora., y afirma que realiza auditorías para detectar aquellas aplicaciones que no lo hacen. Su API heredada v5 se retiró definitivamente el 28 de febrero de 2022 según un horario publicado. | **No hay ningún registro publicado sobre el ciclo de vida de la clave.** El cambio de 2023 protegió el punto final de creación. No se ha encontrado ninguna declaración Valve relacionada con este cambio que haga referencia a las claves ya registradas, y el cambio no vino acompañado de ningún registro de cambios. A partir de los datos públicos no se puede determinar si las claves creadas antes de dicho cambio quedaron invalidadas, y esa es precisamente la pregunta que un interesado necesitaría que se le respondiera para saber si una clave creada en su cuenta años atrás sigue activa. |

Referencia arquitectónica // Token Architecture 

#### Ámbitos detallados de GitHub frente a Valve Steam API web

Valve desarrolladores gestionan a diario software de código abierto en GitHub utilizando tokens granulares con el mínimo privilegio. Compárese esto con la clave monolítica emitida a 130 millones de Steam jugadores.

Token de GitHub de alto nivel de detalle

Utilizado por Valve en GitHub

Token de alto nivel de detalle con aislamiento por ámbito y aplicación obligatoria del ciclo de vida.

Acceso al repositorio: Solo repositorios seleccionados (1 repositorio)

Conceder permisos: Solo lectura [✓]

Código y secretos: Sin acceso [✕]

Fecha de caducidad: 30 días (TTL obligatorio)

Registro de auditoría: Dirección IP, agente de usuario y marca de tiempo

**Situación de seguridad:** El token de privilegios mínimos limita los daños a un único recurso de solo lectura.

! Valve Steam Clave de la API web

Distribuido a 130 millones de usuarios

Una única cadena maestra de 32 caracteres que otorga una autorización de «todo o nada» en materia de operaciones e inventario.

Acceso a la cuenta: CUENTA COMPLETA (monolítica)

Gestión de operaciones: Leer, Cancelar, Rechazar [!]

Ámbitos granulares: NINGUNO (Llegó en 2026, con 13 años de retraso)

Fecha de caducidad: NUNCA (Válido indefinidamente)

Registro de auditoría: NINGUNA (El usuario no tiene historial de direcciones IP)

**Vulnerabilidad:** Una clave robada permite interceptar de forma silenciosa todas las ofertas comerciales salientes.

La norma se aplica en una sola dirección 

Supongamos que un proveedor Valve —ya sea un proveedor de servicios en la nube, un procesador de pagos o una red de distribución de contenidos (CDN)— dejó un punto final de credenciales sin un segundo factor de autenticación y, meses más tarde, los propios datos corporativos de Valve se filtraron a través de una clave generada en ese punto final. ¿Aceptaría Valve que la culpa recayera en quienquiera que hiciera clic en el enlace? Las denegaciones archivadas que se conservan en este expediente responden a la pregunta inversa para el usuario: la postura adoptada es que el titular de la cuenta creó la clave y debe asumir la pérdida. **Esta misma arquitectura se describe como un fallo del proveedor por un lado y una responsabilidad del usuario por el otro.** Que sea así no es una cuestión técnica, y tampoco es algo que esta investigación pueda zanjar: es algo que debe decidir un tribunal o una autoridad supervisora.

Una ilustración, no una prueba: la norma interpretada al revés 

- Un procesador de pagos que permitía que un script de terceros generara una credencial de transacción con privilegios totales a partir únicamente de una cookie del navegador, sin que se le pidiera confirmación al titular de la cuenta.

- Un proveedor de identidad que cerró la brecha a través de la cual se acuñaron sus tokens y no publicó nada sobre los tokens ya acuñados.

- Un banco que respondió a una transferencia impugnada señalando que la credencial utilizada estaba registrada en la propia cuenta del cliente y cerró el expediente.

Ninguna de estas observaciones pretende constituir una conclusión sobre ninguna empresa concreta. Se trata de las mismas decisiones de diseño, trasladadas a un contexto en el que la respuesta de las autoridades de supervisión está bien documentada; y esa es precisamente la comparación que se pide al regulador que realice.

**Lo que se desprende del expediente:** Los controles que no figuraban en la API web Steam eran públicos, obsoletos y, en varios casos, condiciones Valve que la empresa tenía que cumplir para poder seguir distribuyendo sus propios productos. El intervalo entre cada norma y el cambio equivalente Steam es cuantificable y se detalla más arriba. **Lo que no aclara es el motivo.** No se ha encontrado ninguna Valve explicación sobre los motivos de ninguno de estos intervalos, y aquí no se da ninguna por sentada; dicho registro se encuentra en Valve y no se ha publicado.

Fuentes, todas ellas documentos públicos: OAuth 2.0 — [RFC 6749, octubre de 2012 ↗](https://datatracker.ietf.org/doc/rfc6749/) · Google Cloud — [Documentación sobre claves API ↗](https://docs.cloud.google.com/docs/authentication/api-keys) · Requisito 8.3 de la norma PCI DSS 3.2 — [Guía de recursos del PCI SSC ↗](https://listings.pcisecuritystandards.org/pdfs/PCI_DSS_Resource_Guide_(003).pdf) · Apple — [Próximo requisito de autenticación de dos factores para los titulares de cuentas, 20 de febrero de 2019 ↗](https://developer.apple.com/news/?id=02202019a) [archivado 2025-05-06 ↗](https://web.archive.org/web/20250506070026/https://developer.apple.com/news/?id=02202019a) · Twitch — [Requisito de validación de el token ↗](https://dev.twitch.tv/docs/authentication/validate-tokens/) y el [Aviso de cierre de la versión 5 ↗](https://discuss.dev.twitch.com/t/legacy-twitch-api-v5-i-e-kraken-shutdown-reminder-february-28-2022/36589) [archivado 2025-01-27 ↗](https://web.archive.org/web/20250127085635/https://discuss.dev.twitch.com/t/legacy-twitch-api-v5-i-e-kraken-shutdown-reminder-february-28-2022/36589). Las fechas de Steam son las que figuran en el registro de actualizaciones de esta sección; las entradas de 2023 y 2026 corresponden a las versiones que Valve lanzó sin un registro de cambios. Consultado el 2026-09-22.

Registro de actualizaciones de Valve — con fecha, procedente de fuentes públicas

| Fecha | Valve cambio | ¿Se ha anunciado? | Lo que cerró | Retraso: mecanismo público → solucionado | Fuente |
| --- | --- | --- | --- | --- | --- |
| 2026-09-01 | Detección automática de chats sospechosos | Sí | Enlaces o patrones peligrosos en los chats de grupo | — | [noticias ↗](https://store.steampowered.com/news/posts/?enddate=1788390000) |
| 2026-01-16 | Ámbitos granulares de la API web de Steamworks | Sí | Ámbitos de privilegios mínimos para las claves de desarrollador | — | [anuncio ↗](https://steamcommunity.com/groups/steamworks/announcements/detail/4123547285514022851) |
| 2025-07-15 | Protección comercial y ventana de reversión de CS2 | Sí | **Nada.** No se trata de una solución de seguridad que aborde la causa raíz. El acceso para la recuperación de cuentas por parte del servicio de asistencia no se ve afectado. Al activar la anulación, se aplica automáticamente un bloqueo de operaciones de 30 días ([Skinvault ↗](https://skinvault.gg/blog/cs2-trade-protection-explained/)), mientras que la crisis en el mercado al contado provocó una caída de $104M (-25%) en la capitalización bursátil en las últimas 24 horas ([CSMarketCap ↗](https://csmarketcap.com/blog/market-insights/from-boom-to-bust-cs2s-trade-protection-impact)). En 2026, los temporizadores pasaron a ser por artículo ([Skin.land ↗](https://skin.land/blog/steam-changes-cs2-trade-ban-logic-timing/)). | — | [Preguntas frecuentes ↗](https://help.steampowered.com/faqs/view/3041-A87A-E5F6-B6AC) |
| 2025-05-14 | Anuncio sobre la seguridad de la cuenta | Sí | Guía sobre Stealer y el secuestro de sesiones | — | [anuncio ↗](https://steamcommunity.com/ogg/593110/announcements/detail/533224478739530146) |
| 2024-10-02 | CS2 «The Armory»: retención de 7 días | Sí | Mercado de intercambio de artículos de la Armería | — | [anuncio ↗](https://steamcommunity.com/games/CSGO/announcements/detail/4447966961421256740) |
| 2024-09-18 | Restricción comercial para el inicio de sesión en un dispositivo nuevo | Sí | Bloqueo de transferencias de 2 a 7 días en dispositivos nuevos | — | [Preguntas frecuentes ↗](https://help.steampowered.com/faqs/view/3041-A87A-E5F6-B6AC) |
| 2024-02-14 | Suspensión del cambio de nombre y avatar del perfil | Sí | Periodo de espera de 2 a 4 horas para realizar intercambios tras cambiar el nombre | — | [publicación ↗](https://steamcommunity.com/discussions/forum/1/4202490424033360096/) |
| 2023-12-04 | Confirmación a través del móvil para las claves API | Sin historial de cambios | Registro silencioso de claves solo mediante cookies | ≈6 años después de los paneles de la época de 2017 | [página de desarrollo ↗](https://steamcommunity.com/dev/apikey) |
| 2023-10-24 | Autenticación multifactorial (MFA) mediante SMS para la publicación de versiones de videojuegos | Sí | Publicación de compilaciones en Steamworks | — | [anuncio ↗](https://steamcommunity.com/groups/steamworks/announcements/detail/3734103130194459461) |
| 2023-07-12 | Advertencia sobre el contenido de la biografía personalizada | Sí | Enlaces de phishing en las biografías | — | [foro ↗](https://steamcommunity.com/discussions/forum/1/3807266184852932971/) |
| 2023-01-25 | Perfil {ENLACE ELIMINADO} y tiempo de recarga | Sí | Enlaces en el texto del perfil | — | [Preguntas frecuentes ↗](https://help.steampowered.com/faqs/view/225C-C51E-B8F0-55B2) |
| 2022-10-24 | Revisión del proceso de inicio de sesión y truncamiento de cookies | Sin historial de cambios | Sesiones robadas ilimitadas | — (Migración de tokens de IAuthenticationService) | [noticias ↗](https://store.steampowered.com/news/group/4/view/3314112260640237775) |
| 2022-10-12 | Inicio de sesión mediante código QR en la aplicación móvil 3.0 | Sí | Panel de desautorización de sesión | — | [noticias ↗](https://store.steampowered.com/news/group/4/view/3314112260640237775) |
| 2022-05-10 | Se han eliminado los puntos finales de cancelación de operaciones | Sin historial de cambios | Intercambio de ofertas (cancelar y reenviar) | ≈5 años después de los paneles de la época de 2017 | [número 325 ↗](https://github.com/DoctorMcKay/node-steam-tradeoffer-manager/issues/325) |
| 2020-05-25 | Bloqueo de intercambios de 7 días en Dota 2 | Sí | Reventa rápida de artículos | — | [blog ↗](https://blog.dota2.com/2020/05/trading-cooldown/) |
| 2018-03-29 | Bloqueo de intercambio de 7 días en CS:GO | Sí | Blanqueo instantáneo de bots | ≈20 meses después de la declaración de julio de 2016 | [blog ↗](https://blog.counter-strike.net/index.php/2018/03/20308/) [archivado 2025-02-26 ↗](https://web.archive.org/web/20250226114333/https://blog.counter-strike.net/index.php/2018/03/20308/) |

Fuentes: las entradas Valve enlazadas, las páginas de ayuda y los incidencias de GitHub, según la fecha indicada. Se implementaron tres correcciones decisivas sin registro de cambios (mayo de 2022, octubre de 2022 y diciembre de 2023) que fueron detectadas por los usuarios, sin que Valve las anunciara; esa asimetría forma parte del historial de aplicación. Los retrasos solo se calculan cuando la propia datación del expediente (declaración de julio de 2016; paneles de estafas de la época de 2017) proporciona el punto de partida; «—» significa que aquí no se ha establecido dicho punto de partida.

Parte A — Ficha técnica · Sección 6 

## Simulador interactivo de vulnerabilidades y secuestros de sistemas

Contexto y límites de la fuente

Una reconstrucción del proceso desde el mensaje de phishing hasta el registro de la clave en el servidor y la operación de intercambio. Antes de 2023, una clave de API web registrada en una cuenta podía consultar su inventario, cancelar una oferta de intercambio pendiente y crear una nueva, sin que se mostrara al titular de la cuenta ninguna pantalla de confirmación de la operación para ninguna de esas acciones. Esto supone una falta del principio del privilegio mínimo (OWASP A01:2021). Los tiempos que aparecen en esta simulación son ilustrativos y no constituyen mediciones en tiempo real de la plataforma actual.

Repasa paso a paso el secuestro reconstruido. En cada fase se muestra lo que ve el titular de la cuenta y, junto a ello, la llamada Steam que recibe en ese mismo momento. **Todas y cada una de esas llamadas se autentican correctamente.** Ningún paso de la secuencia requiere que la autenticación de Steam falle; lo que se necesita es que la clave que emite no tenga ámbito (OWASP A01:2021).

**Lo que ve el jugador. Lo que cambia detrás.** SIMULADOR DE RECORRIDO

01 / EL SEÑUELO PARA CHAT**Un amigo me pide que vote** La víctima recibe un mensaje con un enlace.

02 / EL INICIO DE SESIÓN**Un portal de dobles** La víctima introduce sus datos de acceso.

03 / EL ACCESO**Creación de la API de Silent Web** El atacante registra una clave de desarrollador.

04 / EL CAMBIO**Intercambio comercial legítimo** El bot «Clone» duplica al destinatario seleccionado.

05 / CONFIRMACIÓN**Falsificación autorizada** Se ha aprobado una oferta errónea desde el móvil.

**Fase A: Ataque de phishing.** El atacante se hace con el control de la cuenta de un amigo y la utiliza para enviar un enlace engañoso, en el que invita a la víctima a votar o a unirse al equipo de un torneo.

**La trampa del phishing.** Convencida de que está iniciando sesión de forma segura en Steam, la víctima introduce sus credenciales y los códigos Steam Guard. El servidor de phishing captura estos datos y el activo `steamLoginSecure` cookie de sesión.

**Fase B: Registro de «Silent Key».** Utilizando la cookie de sesión robada, el servidor del atacante envía una solicitud POST al punto final de registro de claves para registrar una clave maestra de desarrollador de la API web. Anteriormente (antes de 2023), esto no requería ninguna aprobación secundaria Steam Guard ni notificación.

**Fase C: Intercambio automatizado de operaciones.** El script del atacante realiza consultas `IEconService/GetTradeOffers`. Cuando la víctima inicia una transacción legítima, el script la cancela inmediatamente y utiliza un bot clonado para enviar al destinatario una oferta idéntica con el mismo nombre y avatar.

**La explotación se ha completado.** Al esperar recibir una notificación en el móvil sobre su operación original, la víctima aprueba la operación sustitutiva. Se trata de un análisis forense integrado que muestra cómo la ausencia del principio del «privilegio mínimo» (OWASP A01:2021) permite el secuestro automatizado de activos en menos de un segundo.

El mismo paso, visto desde la red Reconstrucción del patrón anterior a 2023 · formas ilustrativas de las llamadas

**Delantero** Envía el enlace desde una cuenta en la que la víctima ya confía.

**Víctima** Lee un mensaje de un amigo, no de un desconocido.

**Steam ve** Un mensaje de chat entre dos cuentas que son amigas.

```
Channel Steam chat / Steam group invite
Payload a link to an external host
No Steam API call is made at this stage. Nothing in this step is anomalous to the platform.
```

**Por qué funciona:** El fondo que se está gastando pertenece a la cuenta del amigo afectado, no al atacante.

**Víctima** Introduce la contraseña y el código Steam Guard en una página que se parece a la original.

**Servidor del atacante** Recopila las credenciales y la cookie de sesión resultante.

**Steam ve** Un inicio de sesión correcto que ha superado la autenticación de dos factores.

```
Captured steamLoginSecure = <session cookie>
Captured Steam Guard code (single use, already spent)
From this point the attacker holds an authenticated session. The second factor has been used, not bypassed.
```

**Por qué funciona:** La autenticación de dos factores protege el momento del inicio de sesión. No protege lo que la sesión resultante pueda hacer a continuación.

**Servidor del atacante** Registra una clave de la API web para desarrolladores en la cuenta de la víctima.

**Víctima** No recibe ningún mensaje ni notificación.

**Steam ve** Una sesión autenticada mediante un punto de acceso documentado.

```
POST steamcommunity.com/dev/ajaxregisterkey
Cookie: steamLoginSecure=<stolen session>
Body: agreeToTerms=agreed&domain=localhost
A script has no real domain to give, so it sends localhost — the value found on the account in Section 18. Pre-2023 this needed no password, no Steam Guard, no notification, and the key came with no scope limit. Mobile confirmation was added 2023-12-04, without a changelog.
```

**Este es el paso estructural.** Una cookie de sesión se convierte en una credencial duradera con todos los privilegios; este fallo figura en la sección 5 como OWASP ASVS 2.8 y A01:2021.

**Script del atacante** Consulta las ofertas de intercambio, cancela la verdadera y envía una duplicada.

**Víctima** Acaba de iniciar una operación válida y está a la espera de que se confirme.

**Steam ve** Llamadas a la API válidas que incluyan una clave válida emitida para esa cuenta.

```
GET IEconService/GetTradeOffers/v1 ← polled
POST IEconService/CancelTradeOffer/v1 ← voids the real offer
POST new offer from a clone bot (matching name and avatar)
Every call is correctly authenticated. Nothing in the sequence requires a defect in Steam's authentication to succeed.
```

**Por qué funciona:** La clave no tenía un ámbito de solo lectura, por lo que una credencial para consultar el inventario también podía cancelar y crear operaciones.

**Víctima** Aprueba el aviso en el móvil que se esperaba para la operación original.

**Delantero** Recibe los artículos en la cuenta clonada.

**Steam ve** Una transferencia confirmada por el titular de la cuenta en un dispositivo registrado.

```
Confirmation genuine — made by the account holder
Recipient the clone bot, not the intended counterparty
The confirmation is authentic. The offer it confirms is not the one the user initiated.
```

**El legado que dejó:** una transacción que el usuario aprobó. Ese es el registro que Steam Support consulta cuando se recibe la reclamación, y el motivo por el que las reclamaciones archivadas se cerraron como «error del usuario». Las reclamaciones se encuentran en [el archivo de ejecución](https://phishdestroy.io/steam_dossier/es/steam_enforcement_evidence#support-records).

Parte A — Expediente técnico · Sección 7 

## Los puntos finales que hay detrás de la secuencia.

Contexto y límites de la fuente

Estos son los Steam puntos finales de la API web que los scripts de secuestro detectados utilizaban para interceptar operaciones sin pasar por los pasos de confirmación del navegador.

Cuatro puntos finales documentados se encargan de todo. Ninguno de ellos presenta fallos, ni es necesario aprovecharlos: una clave válida los invoca y Steam responde. **La clave es lo único que el atacante tuvo que robar.**

IEconService / GetTradeOffers / v1 ENCUESTA

Se utiliza para supervisar las ofertas de negociación de la cuenta. Los scripts consultan este punto final repetidamente con la clave API comprometida; este devuelve los detalles de las ofertas de negociación recién creadas, pendientes o modificadas. En este caso no se miden los intervalos de consulta.

**Vector de amenaza:** Muestra los ID de las ofertas comerciales pendientes y los datos del perfil del destinatario.

IEconService / CancelTradeOffer / v1 INTERACCIÓN

Se utilizaba para invalidar de forma automática la oferta de intercambio legítima del usuario. Antes de 2023, la clave no estaba protegida por ninguna autenticación de dos factores, por lo que un servidor automatizado podía cancelar una oferta tan pronto como se detectara, sin avisar al titular de la cuenta.

**Vector de amenaza:** Anula la operación antes de que el titular de la cuenta complete la confirmación a través del móvil.

ISteamUser / GetPlayerSummaries / v2 RECON

Se ha realizado una consulta para obtener el nombre del perfil, la URL de la imagen de avatar y el nivel del destinatario legítimo de la transacción. Esto permite que el script adapte una cuenta clonada previamente preparada para que coincida con los datos. Aquí no se mide el tiempo.

**Vector de amenaza:** Proporciona los datos necesarios para hacerse pasar por el destinatario previsto.

/dev/ajaxregisterkey CREACIÓN

El punto final de registro de Steam para las claves. Históricamente, cualquier sesión activa de cookies del navegador (`steamLoginSecure`) podía registrar una clave sin una confirmación Steam Guard en el dispositivo móvil y sin notificarlo al titular de la cuenta.

**Vector de amenaza:** Una credencial persistente creada por un script, sin que el titular de la cuenta se dé cuenta.

Parte A — Expediente técnico · Sección 8 · Artículo 7 del RGPD 

## Una casilla marcada. ¿De quién es esa acción?

Contexto y límites de la fuente

Al denegar el reembolso, Steam Las respuestas del servicio de atención al cliente conservadas en el archivo sostienen que el titular de la cuenta creó la clave API y que, al marcar la casilla, aceptó las condiciones.

La respuesta del servicio de asistencia atribuye la clave al titular de la cuenta. La cuestión es si el registro permite determinar quién lo creó realmente.

Sin embargo, en el patrón de secuestro de claves API observado, la víctima nunca vio ni accedió a la página de creación de claves API. El campo de consentimiento se envía mediante un script que ejecuta una solicitud POST «headless» con la cookie de sesión robada.

De conformidad con el artículo 7 y el artículo 4, apartado 11, del RGPD, el consentimiento debe ser una manifestación de voluntad libre, específica, informada e inequívoca del interesado. La postura de los autores es que un campo de aceptación de condiciones enviado por un script malicioso con una cookie robada, sin que se muestre ninguna página al titular de la cuenta, no puede ajustarse a esa definición. Corresponde a la autoridad de control determinar si así es.

Análisis forense de cargas útiles: registro de claves

PUBLICAR https://steamcommunity.com/dev/ajaxregisterkey

// Carga útil de la solicitud (inyectada mediante un script de secuestro)

{

"agreeToTerms": «de acuerdo» , <-- generado automáticamente, sin intervención humana

«dominio»: «localhost» , ← no validado: se acepta cualquier valor, incluido «localhost»

"sessionid": "8f0d8ef763ab2140bf89de2a"

}

**La pregunta para la autoridad de control:** en los casos en que el titular de la cuenta nunca haya marcado la casilla de consentimiento, si la aceptación de las condiciones registrada en la cuenta cumple el requisito del artículo 7 de que constituya una manifestación de voluntad libre, específica, informada e inequívoca de los deseos del interesado, y si Steam el servicio de atención al cliente puede basarse en ello para desestimar una reclamación.

Fuente: forma de solicitud de registro de claves, tal y como se ha reconstruido a partir del punto de acceso público y de los informes de secuestro conservados en el archivo de pruebas ([versión con función de búsqueda de 2026-09-17](https://phishdestroy.io/steam_dossier/es/steam_evidence_archive)) · El identificador de sesión que se muestra es un marcador de posición, no un valor capturado.

Autopsia forense · El vector de sustitución comercial 

### Cómo Valve logró finalmente neutralizar la «sustitución comercial» — y por qué se necesitaron siete años de soluciones provisionales

Durante casi una década, el **«Sustitución de claves API» (o estafa MitM de API)** fue el modelo de robo de cuentas más lucrativo en Steam, con el que se sustrajeron cientos de millones de dólares en skins a jugadores desprevenidos. Valve no erradicó el exploit corrigiendo la arquitectura vulnerable de la API; en su lugar, Valve dedicó siete años a superponer cuatro barreras de fricción en toda la plataforma que paralizaron la liquidez del comercio de la comunidad, sin abordar la causa raíz.

1. La muerte por mimetismo

#### Tiempo de espera para cambiar de avatar y nombre (febrero de 2024)

La vulnerabilidad requería una imitación en menos de un segundo: el bot fraudulento interceptaba una transacción saliente y extraía el avatar y el nombre del destinatario a través de `ISteamUser`, y clonó el perfil en 200 ms. El 14 de febrero de 2024, Valve implementó discretamente una medida obligatoria **Tiempo de espera de 2 a 4 horas para realizar una transacción (Error 34)** inmediatamente después de cualquier cambio en el nombre de perfil o en el avatar. Un bot ya no puede clonar a un destinatario sobre la marcha sin quedar bloqueado para realizar operaciones.

2. La muerte económica

#### Inversión de tendencia de 7 días en CS2 (julio de 2025)

Valve introdujo medidas unilaterales **Inversiones en las operaciones** para objetos de Counter-Strike. Cualquier skin intercambiada se marca como «Protegida contra intercambios» durante siete días. Si una víctima descubre una sustitución, hace clic en «Reversar intercambio» en Steam Soporte, y el skin se devuelve al instante a su inventario, al tiempo que se bloquea al destinatario. Dado que el bloqueo de intercambio de 7 días impide que los estafadores trasladen el objeto a un sitio de cambio por dinero, el robo deja de ser rentable.

3. La muerte de «Silent Key»

#### Notificación push obligatoria para la API (diciembre de 2023)

Históricamente, una cookie de sesión robada permitía que los scripts maliciosos ejecutaran una solicitud POST en segundo plano y sin interfaz gráfica hacia `/dev/ajaxregisterkey` sin avisar a la víctima. El 4 de diciembre de 2023, Valve exigió una confirmación explícita mediante notificación push en la aplicación móvil Steam para generar una clave de API web, con lo que se eliminó la asignación silenciosa de claves en segundo plano.

4. Avisos móviles dentro de la aplicación

#### Banners con la antigüedad y el nombre de la cuenta (2022-2024)

Valve se ha rediseñado la ventana modal de confirmación para dispositivos móviles con el fin de mostrar el **Steam antigüedad de la cuenta (fecha de creación)**, nivel Steam y una advertencia explícita de color ámbar: *«Este usuario ha cambiado recientemente el nombre de su perfil»*, lo que rompe la ilusión óptica para las víctimas que prestan atención.

Los tres fallos del «mosaico» de Valve: por qué los estafadores simplemente cambiaron de objetivo

**1. La laguna jurídica de la exclusión de juegos (Dota 2 y TF2)** 

Las «Trade Reversals» se implementaron exclusivamente para Counter-Strike 2. **Los objetos de Dota 2 y Team Fortress 2 siguen sin estar protegidos en absoluto** debido a las complejidades de la creación y el engaste. Los objetos de alto nivel que valen miles de dólares (ganchos de garra de dragón, Baby Roshans dorados, llamas ardientes inusuales de TF2) no tienen ningún plazo de reversión. Los estafadores simplemente redirigieron la interceptación automatizada de la API hacia los comerciantes de Dota 2 y TF2, donde el servicio de atención al cliente de Steam aplica estrictamente su política de 2016 de «no restitución de objetos».

**2. El depósito «Zombie Key» (sin caducidad)** 

Mientras que Valve incorporó la autenticación de dos factores (2FA) mediante notificaciones push en el móvil para generar *nuevo* llaves en diciembre de 2023, **Valve nunca se han revocado, caducado ni eliminado las claves de API heredadas existentes**. Millones de cuentas activas que generaron claves (o en las que se crearon claves de forma silenciosa mediante phishing o malware antes de diciembre de 2023) siguen teniendo credenciales activas con **caducidad nula (sin TTL) y tiempo de espera por inactividad nulo**. Los autores de amenazas mantienen enormes bases de datos históricas con estas claves persistentes y siguen realizando consultas `IEconService` sin alteraciones.

**3. La sanción impuesta a la víctima: suspensión de operaciones durante 30 días** 

Incluso en CS2, Valve penaliza al jugador estafado: al hacer clic en «Anular intercambio» en Steam Soporte, se inflige automáticamente un **prohibición obligatoria de realizar operaciones y de acceder al Mercado Comunitario durante 30 días en la cuenta de la víctima**. Valve sanciona al usuario con un mes de suspensión de la plataforma como medida disuasoria frente a las anulaciones «frívolas», lo que desalienta a las víctimas a anular operaciones con artículos líquidos de menor valor.

El escándalo regulatorio fundamental: siete años de soluciones provisionales frente a un único ámbito de aplicación de la API 

¿Por qué Valve dedicó siete años a inventar restricciones comerciales, tiempos de espera en las cuentas y bloqueos comerciales reversibles —lo que trastocó toda la economía del juego y provocó una pérdida de $104M en capitalización bursátil— en lugar de aplicar la solución estándar del sector?

Tal y como demuestra el lanzamiento oficial de Valve en Steamworks el 16 de enero de 2026 (Anuncio [#493839547938902179 ↗](https://steamcommunity.com/groups/steamworks/announcements/detail/493839547938902179)), Valve ya construido **Grupos de permisos detallados (General, Microtransacciones, Economía, Datos de ventas)** y **Lista blanca de direcciones IP** para las claves de editor corporativas. Valve llevaba años disponiendo de la solución técnica. Una simple casilla de selección visible para el usuario—*«Impedir que esta clave de la API web acceda a IEconService (Gestión de operaciones)»* o una lista blanca de direcciones IP domésticas —habría erradicado la estafa de la sustitución comercial en 2018 sin causar ningún daño colateral económico. Valve se negó a ofrecer a los jugadores habituales la protección que había diseñado para sus socios corporativos.

Parte B — Normativa y historial de cumplimiento · Artículo 9 

## Su reglamento. Las plataformas registradas.

Contexto y límites de la fuente

Este libro mayor asocia las cláusulas explícitas del **Steam Contrato de suscripción (SSA)** y **Steam Conducta en línea (SOC)** directrices dirigidas directamente contra entidades comerciales activas y de gran envergadura.

**La regla:** Prohibido el uso comercial, los juegos de azar y los bots — y Steam El servicio de atención al cliente se acoge a esas cláusulas cuando se niega a devolver los artículos a una víctima. **El historial:** A primera vista, esas mismas cláusulas se aplican a las plataformas comerciales de este registro, que operan con Steam identidades, Steam bots y Steam transferencias. **La cláusula se aplica a la persona que perdió las pieles y no, según consta en ningún registro público, a las empresas que las transportaban.**

En las reclamaciones archivadas, Steam Support menciona el «Prohibido el uso comercial» y «Sin automatización ni bots» cláusulas que se invocan al negarse a restituir los artículos a las víctimas de fraude con claves API. A primera vista, esas mismas cláusulas se aplican a las plataformas comerciales recogidas en este expediente, que se autentican mediante Steam OpenID y transfieren los artículos a través de cuentas automatizadas Steam. Aquí no se estima ninguna cifra de ingresos para todo el mercado (véanse las estadísticas de aplicación de la ley más abajo). Lo que muestran los registros es la norma aplicada a cuentas individuales en los casos archivados y no existe ningún registro publicado de aplicación de la ley por operador para las plataformas. Esa asimetría es lo que documenta esta sección.

La cuestión central / aplicación selectiva de la ley Normas → Alcance → Rendición de cuentas

### Unas mismas normas. Una aplicación desigual.

El registro muestra que los servicios comerciales utilizan identidades Steam, inventarios, bots y transferencias como infraestructura operativa. La SSA prohíbe la explotación comercial y la automatización sin autorización. Las reclamaciones archivadas muestran que dicha norma se aplicó a cuentas individuales, mientras que el registro público no muestra un registro equivalente, operador por operador, para las plataformas aquí documentadas. Publique la norma, las pruebas y la resolución de ejecución correspondiente a cada una de ellas.

**189** sitios web incluidos en el alcance de la auditoría

**44** rutas de dominios independientes en el registro activo: 27 con un archivo de pruebas publicado y 17 recopiladas manualmente. Solo la auditoría de 189 sitios web resolvió 25 de ellas; el registro añade las rutas recopiladas manualmente.

**12 años y 6 meses** csgogem.com bloqueado en el filtro de enlaces; `api.csgem.com` registrado el 2014-03-08 y nunca bloqueado — uno de los 26 pares de este tipo a fecha del 2026-09-22

**Total no verificado** Se ha excluido la estimación de ingresos para todo el mercado

Steam Conducta en línea 

> «…no deberás realizar ni intentar realizar ninguna de las siguientes acciones en Steam: […] Llevar a cabo actividades comerciales. Entre los ejemplos de este tipo de conductas prohibidas se incluyen: publicar anuncios; organizar concursos; **juego**; comprar o vender cuentas Steam; vender contenidos, tarjetas regalo u otros artículos; y mendigar».

[store.steampowered.com/online_conduct ↗](https://store.steampowered.com/online_conduct) [archivado 2026-09-21 ↗](https://web.archive.org/web/20260921022120/https://store.steampowered.com/online_conduct)

SSA, artículo 2.G — Uso comercial 

> «…[no podrá] explotar el Contenido y los Servicios ni ninguna de sus partes con fines comerciales, salvo en los casos expresamente permitidos en otras disposiciones del presente Acuerdo…»

Las notificaciones de Valve de 2016, tal y como se ha informado, invocaban la licencia personal y no comercial. Ningún operador ha presentado una autorización Valve que conste en el expediente. [store.steampowered.com/subscriber_agreement ↗](https://store.steampowered.com/subscriber_agreement/) [archivado 2026-09-18 ↗](https://web.archive.org/web/20260918014700/https://store.steampowered.com/subscriber_agreement/)

Steam Condiciones de uso de la API web 

> «No está permitido utilizar la API web Steam ni los datos Steam de forma alguna que incumpla el Steam Contrato de suscriptor».

Las plataformas de venta de skins de terceros operan mediante cuentas automatizadas que utilizan la API Steam. El texto de la norma no contempla ninguna excepción para la actividad a escala comercial. [steamcommunity.com/dev/apiterms ↗](https://steamcommunity.com/dev/apiterms) [archivado 2026-09-21 ↗](https://web.archive.org/web/20260921022210/https://steamcommunity.com/dev/apiterms)

SSA, artículo 4.C 

#### Automatización

Se restringen los scripts, los bots y las interacciones no humanas. El libro mayor registra las operaciones realizadas por bots, las redes de cuentas y el enrutamiento automatizado a escala comercial.

[Inspeccionar el registros etiquetados con esta cláusula](https://phishdestroy.io/steam_dossier/es/index#legal-ledger-workspace-section)

SSA, artículo 2.G 

#### Uso comercial

La explotación comercial requiere una autorización expresa. Compara los modelos de negocio documentados, su alcance y cualquier autorización o medida de cumplimiento que se haya hecho pública.

[Inspeccionar el registros etiquetados con esta cláusula](https://phishdestroy.io/steam_dossier/es/index#legal-ledger-workspace-section)

SSA, artículo 3.A 

#### VPN y ocultación de la ubicación

Ocultar la dirección IP mediante un proxy puede dar lugar a la rescisión del contrato. Los servidores de autenticación con dominios independientes requieren un análisis por separado: hay que determinar qué se está ocultando y qué norma se aplica.

[Revisa la información sobre el servidor de autenticación](https://phishdestroy.io/steam_dossier/es/index#proxy-bypass-explainer)

Steam Ayuda / Política de URL 

#### Ocultación de enlaces

Steam prohíbe los acortadores de enlaces y las herramientas que ocultan el destino de los enlaces. Un dominio de autenticación independiente — `rbsnin.com` En el proceso de inicio de sesión de Rollbit, `auth.dota.trade` en CS.MONEY — plantea la misma cuestión de si el destino que se muestra al verificador OpenID de Steam identifica el sitio operativo.

[Política de URL de Valve ↗](https://help.steampowered.com/en/faqs/view/628C-E332-BD8C-4D36)

Referencias normativas: [Steam Contrato de suscripción, revisión del 10 de septiembre de 2026](https://store.steampowered.com/subscriber_agreement/) [archivado 2026-09-18 ↗](https://web.archive.org/web/20260918014700/https://store.steampowered.com/subscriber_agreement/) · [Steam Condiciones de uso de la API web](https://steamcommunity.com/dev/apiterms) [archivado 2026-09-21 ↗](https://web.archive.org/web/20260921022210/https://steamcommunity.com/dev/apiterms) · [Steam Política de URL (ocultación de enlaces)](https://help.steampowered.com/en/faqs/view/628C-E332-BD8C-4D36). Las cifras se refieren a los registros y las etiquetas de este expediente; no se trata de un recuento de infracciones sancionadas.

El déficit de confianza 

#### ¿Quién revisa la decisión cuando el servicio de asistencia cierra el caso?

Las reclamaciones conservadas describen sanciones permanentes, reclamaciones sin respuesta y negativas a restituir los artículos sustraídos. Contrasta esos relatos con el historial real de las entradas, las soluciones disponibles y los registros de acceso a la cuenta. Una explicación genérica basada en el phishing no puede determinar quién inició un restablecimiento o creó una clave API.

[Lee las quejas registradas ↗](https://phishdestroy.io/steam_dossier/es/steam_enforcement_evidence#support-records)[Solicitar los registros correspondientes →](https://phishdestroy.io/steam_dossier/es/index#dsar-playbook)[Gráfico de relaciones de los moderadores →](https://phishdestroy.io/steam_dossier/es/social_graph)

Parte B — Normativa y historial de cumplimiento · Artículo 10 

## Una API de automatización. Una norma contra la automatización.

Contexto y límites de la fuente

La cuestión que plantea esta sección es cómo se concilian ambos aspectos: qué usos de la API están autorizados, quién los autoriza y según qué criterios publicados. Aquí no se estima el número de usuarios comerciales autorizados de la API, y la ausencia de una lista publicada no implica tal cifra; la ausencia es la conclusión, no una cifra que haya detrás. Los mensajes de asistencia Steam citados anteriormente han sido reproducidos por el proyecto ArchiSteamFarm en su propia sección de preguntas frecuentes (verificados textualmente 2026-09-22); no se trata de Valve publicaciones, y no se identifican las cuentas a las que se enviaron.

**La norma (SSA, artículo 4.C):** No se admiten scripts, bots ni sistemas no humanos en Steam. **El historial:** Valve ofrece una API REST sin interfaz de usuario cuyo único objetivo es la automatización de servidor a servidor, y proporciona la clave a cualquier cuenta. **Se bloquea a los usuarios que utilicen herramientas de automatización; la interfaz de automatización es un producto propio de Valve.** Nunca se ha publicado qué usos comerciales están autorizados.

### La falacia del «desarrollador de videojuegos»

SDK de Steamworks (original) 

Lo utilizan los estudios de videojuegos legítimos para integrar logros, emparejamiento y tablas de clasificación en los clientes de sus juegos. Requiere una integración compleja en C++ y la incorporación como socio oficial.

Steam API web (La laguna jurídica) 

Una arquitectura JSON/REST sin encabezado diseñada para servidores web externos. En el patrón de secuestro que aquí se documenta, se utiliza para leer inventarios y manipular intercambios entre pares desde servidores remotos; sus usos legítimos no se recogen en este informe.

Para quién es la llave Un usuario normal Steam no necesita una clave de API web dentro de la aplicación; la página de claves se encuentra en una URL para desarrolladores y su finalidad, según la documentación, es el acceso externo desde el lado del servidor. Las denuncias archivadas por suplantación de identidad describen casos de víctimas que no sabían que esa página existía hasta que se había registrado una clave en su cuenta.

#### La contradicción de la automatización

El artículo 4.C de la SSA establece lo siguiente: «No está permitido utilizar ningún tipo de scripts, bots, macros u otros sistemas no controlados por personas («automatización») para interactuar de ninguna manera con el Contenido y los Servicios de Steam». Sin embargo, los puntos finales de la API web (como `CancelTradeOffer`) no requieren interfaz de usuario ni captcha y eluden por completo el cliente Steam. La API está diseñada para la automatización de servidor a servidor; la norma prohíbe la automatización por parte de los usuarios; la línea divisoria entre ambas no se ha hecho pública.

#### Un puesto del lado del servidor en el flujo comercial

Una clave de API web permite que un servidor externo realice operaciones en la cuenta sin necesidad del cliente Steam. En el patrón de secuestro, dicho servidor se interpone entre el titular de la cuenta y el servidor de operaciones.

- → No aparece ninguna pantalla de confirmación de operación para las acciones realizadas con la tecla.

- → Permite la consulta en segundo plano (GetTradeOffers).

- → Cancela y vuelve a emitir ofertas sin necesidad de que el usuario intervenga.

Valve ha creado la interfaz, ha prohibido la automatización por parte de los usuarios en sus normas y no ha publicado ningún criterio sobre qué usos comerciales están autorizados.

Parte B — Normativa y historial de cumplimiento · Artículo 11 

## Se exigían diez días. Había que rendir cuentas de diez años.

Contexto y límites de la fuente

El 20 de julio de 2016, el consejero jurídico de Valve fijó un plazo de 10 días a los operadores de juegos de azar. Diez años después (a fecha de la captura de pantalla del expediente, 2026-09-21), al menos una de las plataformas mencionadas en las noticias de prensa sobre dicho aviso, CSGOFast, sigue operativa con un servidor de autenticación en un dominio independiente. A continuación se reconstruye el texto a partir de las noticias de prensa del 21 de julio de 2016; la reconstrucción no es un escaneo. El expediente de ejecución al que aludía el aviso no se ha publicado. La carta abierta a la Comisión es [Sección 2](https://phishdestroy.io/steam_dossier/es/index#wsgc-public-address).

Lee el aviso de julio de 2016 que figura junto a las observaciones posteriores. Lo que aún falta es un registro de cumplimiento por cada operador.

Una semana antes — 13 de julio de 2016, en público 

El [13 de julio de 2016](https://store.steampowered.com/oldnews/22883) [archivado 2026-09-21 ↗](https://web.archive.org/web/20260921021947/https://store.steampowered.com/oldnews/22883), Valve describió cómo los sitios web de apuestas utilizaban Steam: OpenID para la identificación de cuentas y cuentas automatizadas para las operaciones. Valve afirmó que el uso de esos mecanismos para gestionar un negocio de apuestas infringía su API y sus acuerdos de usuario. **Tanto la descripción del mecanismo como la prohibición figuran en la propia declaración fechada de Valve.** En 2026-09-21, los servidores de autenticación de dominios independientes sometidos a prueba no devolvieron ningún bloqueo de filtro de enlaces, y Valve no ha publicado ningún registro de aplicación específico por operador.

### VALVE CORPORATION

Bellevue, WA

**FECHA:** Julio de 2016 (según informó la prensa el 21 de julio de 2016)

**DE:** Karl Quackenbush, consejero jurídico general

**Asunto:** Cese y desistimiento — uso comercial de cuentas Steam

**NOTA:** Reconstrucción del texto facilitado; no es un escaneo

«Sabemos que gestionas uno de los sitios web de apuestas que se enumeran a continuación. Está utilizando Steam cuentas para llevar a cabo esta actividad. Según el Steam Contrato de Suscripción, los servicios Steam y Steam están autorizados únicamente para uso personal y no comercial».

«Debes cesar y abstenerte de inmediato de seguir utilizando tus cuentas Steam con fines comerciales. Si no lo haces, en un plazo de diez (10) días , «Valve emprenderá todas las acciones legales a su alcance, incluida, entre otras, la cancelación de tus cuentas».

Reconstrucción del texto del aviso de julio de 2016, elaborada por los autores a partir de las noticias publicadas el 21 de julio de 2016 

Karl Quackenbush

Consejero jurídico general, Valve Corp.

Cronología Julio de 2016 – septiembre de 2026

Plazo indicado en el anuncio:

10 días

Julio de 2016

Tiempo transcurrido desde la notificación:

3,715 días

Cifra fija desde el 20 de julio de 2016 hasta la instantánea del expediente del 21 de septiembre de 2026; no se trata de una cifra en tiempo real.

Expediente de ejecución publicado:

Ninguno

No se ha encontrado ningún registro por operador de cortes o bloqueos

◀ **Días 0-10** — el plazo, a escala **Día 3715** — la instantánea ▶

- 20 de julio de 2016**Se ha emitido un requerimiento de diez días***Día 0*

- 17 de febrero de 2024**Se aplican las obligaciones de la DSA***Día 2,768*

- 25 de febrero de 2026**Se ha anunciado la denuncia de la Fiscalía General de Nueva York***Día 3,507*

- 21 de septiembre de 2026**Resumen del expediente***Día 3715*

Diez años después, **CSGOFast** —mencionado en las noticias de prensa sobre los avisos de 2016— está operativo: csgofast.com devolvió un bloqueo de Link Filter en 2026-09-19 y 2026-09-21, mientras que su servidor de autenticación `steam-login.authtofast.com` (registrado 2026-06-30) no lo hizo.

Registro completo y con fecha de los cambios de seguridad de Valve: [Cronología de la seguridad →](https://phishdestroy.io/steam_dossier/es/security_timeline) · El historial de Washington y el criterio de aplicación: [a continuación](https://phishdestroy.io/steam_dossier/es/index#washington-record-heading)

**Lo que consta en el expediente:** La notificación de 2016 establecía un plazo de 10 días; Valve ya gestionaba una lista de dominios (el «Link Filter») y recibía los nombres de host de autenticación en sus propias solicitudes de OpenID; no se ha publicado ningún registro de medidas coercitivas por operador. Los informes de la comunidad describen una medida tomada en 2018 contra un mercado (SkinJar), pero dichos informes no han sido verificados y no se tienen en cuenta en este documento.

CSGOFAST / LA RUTA DE AUTENTIFICACIÓN GUARDADA 

### Sigue al servidor de retorno indicado.

Los enlaces de los registros de rutas guardados `csgofast.com` a `steam-login.authtofast.com`. El nombre de host independiente se incluye en la solicitud OpenID Steam. Esto proporciona a los investigadores una dirección concreta que pueden comparar con los registros de filtrado y aplicación de Valve.

[Consulta la ruta de CSGOFast y su origen ↗](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/csgofast.com.json) · [Comparar resultados guardados Steam Filtro de enlaces ↗](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-all-results.json)

ARCHIVO PÚBLICO / WASHINGTON · 2016 → 2026 

### Dos plazos. Una norma de aplicación sin respuesta.

**20 de julio**

#### Valve concede a los sitios web de apuestas un plazo de 10 días

En la notificación de su abogado se advertía de que el uso comercial continuado de las cuentas Steam podría dar lugar a la rescisión del contrato.

**27 de septiembre**

#### Washington presiona Valve

La Comisión de Juegos de Azar del estado exigió pruebas de las medidas adoptadas para impedir las transferencias de «skins» con fines de juego y fijó el 14 de octubre como fecha límite para responder.

**17 de octubre**

#### Valve rechaza la acusación

Valve respondió tras el plazo establecido, negó que facilitara las apuestas, afirmó que había desactivado las cuentas relacionadas y señaló que no quería desactivar el comercio ni OpenID para todos los usuarios. Al menos una de las plataformas mencionadas en las noticias de prensa sobre las notificaciones de julio (CSGOFast) seguía en funcionamiento una década después. Ambos hechos solo pueden ser ciertos si el operador sustituyó las cuentas desactivadas; el registro que lo demostraría no se ha publicado. La WSGC debería pedir a Valve que aclare esta contradicción.

**2026**

#### Las rutas observadas en septiembre de 2026

El registro de rutas recoge 44 plataformas que se autentican a través de servidores de autenticación de dominios independientes, entre ellas CSGOFast, utilizando los mecanismos OpenID y de intercambio Valve descritos en 2016. No se ha presentado el registro de medidas coercitivas que indicaría qué operadores fueron bloqueados.

INFORME DE LA PROPIA COMISIÓN · 30 DE ENERO DE 2018 

#### Dieciocho meses después de que Valve respondiera, el organismo regulador seguía considerándolo una intención.

En la sesión informativa celebrada ante su propia asamblea legislativa durante la audiencia pública sobre el proyecto de ley HB 2881, la Comisión describió la declaración de julio de 2016 con sus propias palabras: Valve **«anunció su intención de tomar medidas enérgicas contra el uso de su plataforma para facilitar las apuestas con skins».** En esa misma página se recoge el impacto que tuvo ese anuncio en las previsiones del sector — *«como consecuencia de ello»,* La previsión para el mercado de las apuestas con «skin» en 2020 se revisó de **$19.7 mil millones** a **$670 millones**, una caída de alrededor del 97 por ciento, solo a raíz del anuncio. La previsión se modificó. El informe de cumplimiento por operador que lo justificaría aún no se ha publicado.

Las cifras de mercado son estimaciones de Narus Advisors / Eilers & Krejcik Gaming reproducidas en el informe de la Comisión, no conclusiones de la propia Comisión; el mismo documento sitúa las apuestas con «skins» en 2016 en unos $5 mil millones, de los cuales aproximadamente $3 mil millones correspondieron a sitios web tipo casino. Recuperado el 2026-09-22, SHA-256 `c507c9025f93da0aadaf395c4d8882f25973211c318ee8e9b6f18a5b3755e050`.

La postura pública de Valve en 2016 y la infraestructura observable en la actualidad pueden compararse. La cuestión es si las medidas de control llegaron a las cuentas y rutas utilizadas por los operadores prohibidos. **Un plazo de preaviso de diez días no constituye prueba de que se haya notificado a todos los operadores mencionados en el mismo.** La medida tomada por OPSkins en 2018 es la única intervención documentada contra un operador concreto; teniendo en cuenta que se revisaron 189 plataformas y que no se ha publicado ningún registro por operador, una única medida documentada no pone de manifiesto un patrón de aplicación de la normativa.

[Comunicado de 2016 de la Comisión del Juego de Washington ↗](https://wsgc.wa.gov/news/2016/washington-state-gambling-commission-orders-valve-stop-skins-gambling) [archivado 2026-05-20 ↗](https://web.archive.org/web/20260520012601/https://wsgc.wa.gov/news/2016/washington-state-gambling-commission-orders-valve-stop-skins-gambling) · [Respuesta de Valve del 17 de octubre de 2016 (copia del documento) ↗](https://fr.scribd.com/document/328063293/Valve-s-Oct-18th-response-to-Washington-State-Gambling-Commission-s-cease-and-desist) · [Sesión informativa del WSGC ante la Asamblea Legislativa, 30 de enero de 2018 (copia local, 4 págs.) ↗](https://phishdestroy.io/steam_dossier/steam_tos_assets/wsgc-skins-gambling-briefing-2018.pdf) · [el mismo archivo en wsgc.wa.gov ↗](https://wsgc.wa.gov/sites/default/files/2023-10/Skins%20Gambling.pdf) · [registro de recuperación y hash ↗](https://phishdestroy.io/steam_dossier/steam_tos_assets/wsgc-briefing-manifest.json) · [La acción de Valve en OPSkins en 2018 ↗](https://blog.counter-strike.net/expresstrade/) [archivado 2026-03-07 ↗](https://web.archive.org/web/20260307161538/https://blog.counter-strike.net/expresstrade/) · [Auditoría de la ruta actual ↗](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit.json)

Auditoría forense longitudinal · Objetivos de las órdenes de cese y desistimiento de 2016 

### La década del preaviso de 10 días: auditoría forense de supervivencia de los 23 emplazamientos señalados

Los días 19 y 20 de julio de 2016, Valve el consejero jurídico Karl Quackenbush emitió notificaciones formales de cese y desistimiento a 23 plataformas de apuestas con «skins», ordenándoles que cesaran el uso comercial de Steam cuentas dentro de **10 días** bajo la amenaza de la cancelación de la cuenta y de acciones legales. Más de 3,700 días después, una auditoría empírica revela el verdadero patrón de aplicación de la normativa: numerosos operadores nunca cesaron su actividad, otros siguieron operando hasta seis años después de la fecha límite, y el ecosistema, valorado en miles de millones de dólares, siguió aprovechando la arquitectura OpenID de Valve.

5+ EN DIRECTO

Definitivamente en funcionamiento en 2026 (CSGOBig, CSGO500, CSGOFast, etc.)

6 AÑOS

Periodo más largo de actividad tras el aviso previo al cierre (CSGOatse estuvo activo hasta 2022)

$5.01B

Volumen de apuestas «skin» en 2016 (Narus / Eilers & Krejcik)

Más de 200

Sitios web de apuestas en línea activos que operan en el momento álgido del mercado

Los «Surviving Titans» · Plan financiero y de tráfico para 2024-2026 

#### Desde avisos con 10 días de antelación hasta conglomerados con sede en el extranjero: un volumen de negocio de varios miles de millones de dólares

En lugar de acabar con las apuestas con «skin», los avisos de Valve de 2016 impulsaron una evolución del sector. Los operadores que sobrevivieron se reestructuraron como entidades corporativas extraterritoriales (Curazao, Belice, Chipre), fueron pioneros en el comercio entre pares (P2P) para eludir las prohibiciones de los bots y ahora procesan más de **10 millones de visitas mensuales a la web** y **miles de millones de dólares en volumen anual de apuestas** sin dejar de autenticarse a través de Steam:

| Plataforma / Dominio | Aviso de julio de 2016 | Resultado de la ejecución y situación de supervivencia | Verificación registrada / Enlaces principales |
| --- | --- | --- | --- |
| CSGOBig csgobig.com | Aviso con 10 días de antelación (julio de 2016) | SIGO VIVIENDO EN 2026 Se ha suspendido temporalmente y se ha relanzado; la autenticación se realiza a través de letmeinbig.com y csgobiglogin.com | [X: @csgobig ↗](https://x.com/csgobig) · [FB: csgobigofficial ↗](https://www.facebook.com/csgobigofficial/) |
| CSGO500 csgo500.com / 500.casino | Aviso con 10 días de antelación (julio de 2016) | SEGUIRÉ VIVIENDO EN 2026 Renombrado como 500 Casino (licencia de Curazao n.º 8048/JAZ2014-037), con una facturación mensual de varios millones | [Plataforma en directo (500.casino) ↗](https://500.casino) |
| CSGOFast csgofast.com | Aviso con 10 días de antelación (julio de 2016) | SEGUIRÉ VIVIENDO EN 2026 Oferta activa de ruleta, Crash y Jackpot a través de steam-login.authtofast.com | [Expediente de auditoría de autenticación ↗](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/csgofast.com.json) |
| CSGOLounge / Dota2Lounge csgolounge.com / dota2lounge.com | Aviso con 10 días de antelación (julio de 2016) | SEGUIRÉ VIVIENDO EN 2026 Se ha reorientado hacia las apuestas con monedas de los esports y las apuestas con criptomonedas; ha mantenido su funcionamiento ininterrumpido | [Plataforma en directo ↗](https://csgolounge.com) |
| CSGOCasino csgocasino.net / csgocasino.gg | Aviso con 10 días de antelación (julio de 2016) | EN DIRECTO A TRAVÉS DE SUCCESSOR (2026) El dominio ha sido redirigido; el portal sucesor, ya operativo, funciona en csgocasino.gg | [Dominio sucesor ↗](https://csgocasino.gg/) |
| CSGOatse csgoatse.com | Aviso con 10 días de antelación (julio de 2016) | HA PERDURADO 6 AÑOS (EN ACTIVO HASTA 2022) Las operaciones de juego continuaron sin interrupción durante seis años tras el ultimátum de 10 días de Valve | [X: @CSGOatsecom (Activo hasta 2022) ↗](https://x.com/CSGOatsecom) |
| CSGOSweep csgosweep.com | Aviso con 10 días de antelación (julio de 2016) | VIVIÓ HASTA DICIEMBRE DE 2017 Permaneció en funcionamiento público durante 17 meses tras la fecha límite | [X: Estado de CSGOSweep, diciembre de 2017 ↗](https://x.com/CSGOSweep/status/937420902538543106) |
| CSGOWild csgowild.com | Aviso con 10 días de antelación (julio de 2016) | VIVIÓ HASTA DICIEMBRE DE 2017 Promocionado por influyentes de gran alcance; estuvo en funcionamiento durante un año y medio tras la carta de cese y desistimiento, antes de la migración a las criptomonedas. | [X: @Wild (Activo en diciembre de 2017) ↗](https://x.com/Wild) |
| CSGOPot csgopot.com | Aviso con 10 días de antelación (julio de 2016) | VIVIÓ HASTA SEPTIEMBRE DE 2017 Llevaba 14 meses operando apuestas con botes de alto riesgo tras haber recibido la notificación | [X: @csgopot (Activo en septiembre de 2017) ↗](https://x.com/csgopot) |
| CSGODiamonds csgodiamonds.com | Aviso con 10 días de antelación (julio de 2016) | SUPERÓ LA METAD DE 2017 Se mantuvo en marcha durante 2017 a pesar de que se admitió que se habían manipulado los resultados de los streamers patrocinados | [X: @csgodiamondscom (2017) ↗](https://x.com/csgodiamondscom) |
| CSGOLotto csgolotto.com | Aviso con 10 días de antelación (julio de 2016) | CERRADO EN JULIO DE 2016 Cerró tras un escándalo público; objeto de una orden de consentimiento de la FTC federal | [Orden de consentimiento de la FTC (expediente C-4632) ↗](https://search.ftc.gov/legal-library/browse/cases-proceedings/162-3184-csgolotto-trevor-martin-thomas-cassell-matter) |
| CSGODouble csgodouble.com | Aviso con 10 días de antelación (julio de 2016) | CERRADO EN JULIO DE 2016 Cierre voluntario inmediatamente después de la publicación de la orden de cese y desistimiento | [X: @CSGODouble (Cerrado en julio de 2016) ↗](https://x.com/CSGODouble) |
| CSGOMassive csgomassive.com | Aviso con 10 días de antelación (julio de 2016) | CERRADO EN 2016 Cessó su actividad pública a finales de 2016 | [X: @csgo_massive ↗](https://x.com/csgo_massive) |
| CSGOStrong csgostrong.com | Aviso con 10 días de antelación (julio de 2016) | CERRADO EN 2016 Cessó su actividad pública en 2016 | [FB: csgostrongfree ↗](https://www.facebook.com/csgostrongfree/) |
| Skins2 skins2.com | Aviso con 10 días de antelación (julio de 2016) | CERRADO EN 2016 Cessó su actividad pública en 2016 | [FB: CSNCOM ↗](https://www.facebook.com/CSNCOM/) |

| Plataforma | Tráfico mensual (visitas) | Volumen de negocio estimado | Entidad jurídica y jurisdicción | Principales medidas normativas y modelo |
| --- | --- | --- | --- | --- |
| CSGOEmpire csgoempire.com | 2,3 millones — 9,0 millones al mes Duración media: más de 6 minutos; 80% directo | $1.5B — $2.5B Volumen de negocio anual >1,000,000 operaciones de intercambio de skins P2P al mes; $6.4M de volumen de órdenes activas y líquidas | Moonrail Limited B.V. (Curazao n.º 148182) Pagos: JHOLT LTD (Chipre); Fundador: «Monarch» (Ossi Ketola) | Pioneros en el intercambio de artículos P2P sin comisiones; con licencia de Curazao OGL/2024/1183/0869 |
| CSGORoll csgoroll.com | 2,74 millones — 3,5 millones al mes Duración media: 9 min 23 s; tasa de rebote: 16% | $1.0B — $2.0B Volumen de negocio anual Ingresos corporativos anuales estimados de entre $100M y $200M procedentes de la ventaja de la casa | Feral Holdings Limited Con sede en la ciudad de Belice, Belice (n.º de registro 171519) | Prohibido por la ACMA australiana (mayo de 2023); patrocinaba al equipo de primera división G2 Esports, que contaba con jugadores menores de edad |
| 500 Casino (CSGO500) 500.casino / csgo500.com | 220 000 — 425 000 al mes ~105 000 visitantes únicos al mes | $100k / semana ($5.2M/año) en Royales Requisito de apuesta para grandes apostadores: $400 de apuesta por cada $1 de rakeback | Perfect Storm B.V. (Curazao n.º 150536) Licencia de la Junta de Control del Juego de Curazao OGL/2024/1354/0882 | Prohibida por la Spelinspektionen sueca (noviembre de 2023) por dirigirse a jugadores suecos sin licencia |
| CSGOBig csgobig.com | ~169,600 / mes Duración media: 19 min 12 s; primarias de EE. UU. | Volumen anual multimillonario Cajas misteriosas, ruleta y batallas por cajas | Funciona mediante enrutamiento por proxy auxiliar letmeinbig.com (registrado en 2023) y csgobiglogin.com | Target de julio de 2016 C&D; relanzado con arquitectura de autenticación por proxy |
| CSGOFast csgofast.com | ~150 000 — 250 000 al mes Público internacional multilingüe | Volumen anual multimillonario Juegos de ruleta y «crash» de alta velocidad | Entidades operativas extraterritoriales Rutas Steam autenticación a través de steam-login.authtofast.com | Objeto de la orden de cese y desalojo de julio de 2016; nunca cesó su actividad; en funcionamiento en 2026 |
| CSGOPolygon csgopolygon.com / plg.bet | ~300 000 — 500 000 al mes El dominio de la CEI y Europa del Este | Volumen anual multimillonario Criptomonedas y ruleta de skins, apuestas en partidos | Objetivo de la segunda fase (octubre de 2016) Se ha reorientado hacia las criptomonedas con el dominio espejo plg.bet | Ha sobrevivido una década completa; sigue liquidando skins a través de API de terceros |

La segunda oleada: por qué la notificación de cese y desistimiento de Valve se dirigió a más de 43 sitios web en total

El 17 de octubre de 2016, el asesor jurídico de Valve comunicó oficialmente a la Comisión de Juegos de Azar del Estado de Washington que, tras las 23 notificaciones iniciales del 19 de julio, Valve había enviado cartas de cese y desistimiento a **más de 20 sitios web adicionales de apuestas con «skins»** (con lo que el total oficial supera los 43). Esta segunda ronda se hizo necesaria porque la lista inicial omitía, inexplicablemente, los centros de juego más grandes y famosos del mundo:

- **CSGOJackpot.com:** La empresa pionera en el sector de las apuestas clandestinas, que gestionó un volumen de cientos de millones antes de cerrar ante la amenaza de una acusación federal.

- **CSGOShuffle.com:** La plataforma que se vio envuelta en el escándalo de las retransmisiones de julio de 2016, en la que el streamer de Twitch PhantomL0rd era propietario en secreto del 33% de la empresa y se descubrió que manipulaba las cuotas con fondos de la propia plataforma.

- **El macroecosistema (más de 200 operadores):** Según un estudio del sector realizado por Narus Advisors y Eilers & Krejcik Gaming, en 2016 operaban más de 200 sitios web distintos de apuestas con «skins», que generaron $5.01 mil millones en volumen de apuestas procedentes de 3,03 millones de jugadores activos. Las 43 cartas de Valve se dirigían a menos de 20% del mercado activo.

Investigaciones oficiales gubernamentales y reguladoras sobre el juego «Steam Skin Gambling»

El fenómeno de las apuestas con «skin» está documentado en múltiples investigaciones oficiales, medidas coercitivas y documentos de posición del Gobierno:

**1. Comisión de Juegos de Azar del Estado de Washington (WSGC) (2016-2018)** 

El 5 de octubre de 2016 se emitió una requerimiento formal de cese y desistimiento; el 30 de enero de 2018 se publicó un informe legislativo en el que se documentaba que los «skins» son equivalentes al efectivo y se daba a conocer el volumen de apuestas con «skins» de $5.0B.

[Informe legislativo del WSGC en formato PDF (copia local) ↗](https://phishdestroy.io/steam_dossier/steam_tos_assets/wsgc-skins-gambling-briefing-2018.pdf)

**2. Comisión Federal de Comercio de EE. UU. (FTC) (septiembre de 2017, expediente C-4632)** 

Primera medida coercitiva reguladora federal relacionada con las apuestas con «skins» contra los propietarios de CSGOLotto, Trevor Martin y Thomas Cassell, por prácticas engañosas y control no revelado de la plataforma.

[Resolución y orden de consentimiento de la FTC ↗](https://search.ftc.gov/legal-library/browse/cases-proceedings/162-3184-csgolotto-trevor-martin-thomas-cassell-matter)

**3. Documento de posición de la Comisión del Juego del Reino Unido (UKGC) y auditorías sobre los jóvenes** 

La encuesta de 2018 de la Comisión del Juego reveló que el 3% de los jóvenes de 11 a 16 años afirmó haber apostado alguna vez con objetos del juego (skins).

[Repositorio de investigación de la UKGC ↗](https://www.gamblingcommission.gov.uk/news/article/gambling-commission-publishes-new-report-on-children-and-gambling-trends)
[UKGC policy on virtual currencies ↗](https://www.gamblingcommission.gov.uk/licensees-and-businesses/guide/page/digital-and-virtual-currencies)

**4. Investigación del Senado australiano sobre Medio Ambiente y Comunicaciones (2018)** 

Informe del Parlamento Federal sobre *«Microtransacciones en videojuegos para obtener objetos aleatorios»*, en la que se analizan la mecánica de las cajas de botín de Valve, las retiradas de dinero en el mercado secundario y la elusión de la normativa.

[Investigación del Parlamento de Australia ↗](https://www.aph.gov.au/Parliamentary_Business/Committees/Senate/Environment_and_Communications/Gamingmicro-transactions/Report)

La demanda pendiente 

**Publicar el informe de medidas coercitivas: qué cuentas de juego y bots se han desactivado, a qué servidores de respuesta se ha restringido el acceso y a qué servicios comerciales se les ha concedido permiso. Una prohibición pública y una advertencia en la página de inicio no demuestran que se haya detenido la operación subyacente.**

Parte B — Normativa y historial de cumplimiento · Artículo 12 

## El nombre de host ya figura en la solicitud.

Límites del contexto y de la fuente

Valve ya dispone de una lista de dominios (el «Link Filter») y ya recibe el nombre de host de autenticación en cada solicitud de OpenID. El pseudocódigo que aparece a continuación muestra la estructura lógica para conectar ambos elementos. No hay pruebas públicas que indiquen que Valve lo haga.

Valve ya mantiene una lista negra de dominios. Valve ya recibe el host de inicio de sesión en cada solicitud de OpenID. **No hay que construir nada: solo hay que unir las dos cosas.** Se trata de una consulta de nombre de host en una lista que Valve mantiene por sí misma. El pseudocódigo que aparece a continuación es un ejemplo ilustrativo, no la implementación de Valve.

forensic_autoban.py

# PSEUDOCÓDIGO ILUSTRATIVO — Valve.block_domain() y flag_session_as_mitm() no son llamadas reales a la API. Esto ilustra la estructura lógica de una medida de mitigación que Valve podría implementar frente a dominios de autenticación por proxy, no el funcionamiento interno real de Valve.

# Ilustración: el esquema lógico de una comprobación de la solicitud de OpenID recibida

def audit_openid_request (solicitud):

blocked_origins = base de datos. obtener_plataformas_en_la_lista_negra ()

proxy_domain = request.params. obtener ( «openid.realm» )

target_redirect = request.params. obtener ( 'openid.return_to' )

# Lógica: Si el proxy redirige a un sitio bloqueado, bloquear el proxy.

para sitio web en blocked_origins:

si sitio web en target_redirect:

Valve. bloquear_dominio (proxy_domain)

Valve. marcar_sesión_como_MITM (request.session)

# Resultado: Se rechaza la solicitud de inicio de sesión para ese host

Observación: 
Cuando un dominio principal ya figura en el filtro de enlaces (por ejemplo, howl.gg, bloqueado 2026-09-18/19/21) y su host de autenticación (howl.uno) aparece en la solicitud OpenID procedente del botón de inicio de sesión de ese sitio, la asociación es observable para Valve a partir de sus propios datos de solicitud. La comprobación se puede automatizar; sin embargo, no se puede determinar si se lleva a cabo.

### Precedentes documentados y comunicados

Valve ha intervenido contra un operador externo al menos una vez, según consta: en 2018 revocó el acceso de OPSkins al sistema ExpressTrade ([El anuncio de Valve ↗](https://blog.counter-strike.net/expresstrade/) [archivado 2026-03-07 ↗](https://web.archive.org/web/20260307161538/https://blog.counter-strike.net/expresstrade/)). Los informes de la comunidad de 2018 también describen cómo una plataforma de comercio (SkinJar) perdió el acceso; dichos informes no han sido verificados y el mecanismo se deduce a partir del resultado, no de un proceso revelado.

Lo que establece el precedente: 

Valve puede bloquear el acceso de un operador externo cuando lo considere oportuno. CSGOFast, mencionado en las noticias de prensa sobre las notificaciones de julio de 2016, operaba en 2026-09-21 con un servidor de autenticación registrado en 2026-06-30 que no devolvía ningún bloqueo de Link Filter. No hay ningún criterio publicado que explique por qué se bloqueó a un operador y a otros no.

### Lo que indica y lo que no indica una fecha de inscripción

La fecha de registro de un host de autenticación constituye el límite inferior de cuándo podría haber aparecido por primera vez dicho host en una solicitud OpenID; no implica un uso continuado. `sc-auth.net`, por ejemplo, se registró como 2019-04-02 (RDAP) y se observó en el flujo de inicio de sesión Steam de Skin.Club en septiembre de 2026; lo que ocurrió entre esas dos fechas no figura en los registros públicos.

### Auditoría comparativa: Normas de cumplimiento de la API

| Dimensión de la aplicación de la ley | Normas de la API de GitHub | Steam API web (Valve) |
| --- | --- | --- |
| 1. Neutralidad en materia de cumplimiento | Se aplican a todas las cuentas normas publicadas y uniformes, así como límites de frecuencia documentados (por ejemplo, 5,000 llamadas/hora para usuarios autenticados, 15,000/hora para organizaciones de GitHub Enterprise Cloud) y políticas de uso aceptable publicadas. | No hay criterios publicados. Las cuentas individuales se cierran en virtud de las cláusulas de automatización y uso comercial (quejas archivadas), mientras que no se ha publicado ningún historial de medidas coercitivas por operador para las plataformas comerciales. |
| 2. Uso indebido de OpenID / proxy de autenticación | Las políticas publicadas por GitHub permiten suspender o revocar las aplicaciones y los tokens de OAuth en caso de uso indebido, y su documentación describe la revocación automática de los tokens expuestos (resumen de la documentación de GitHub elaborado por los autores). | Los servidores de autenticación de dominios independientes observados en Steam flujos de OpenID (por ejemplo, rbsnin.com, howl.uno, sc-auth.net) no provocaron ningún bloqueo del filtro de enlaces en 2026-09-21, mientras que sus dominios principales sí lo hicieron. |
| 3. Monetización del abuso | GitHub no cobra comisión por las transacciones de artículos gestionadas mediante automatización de terceros; su modelo de ingresos se basa en las suscripciones y los anuncios en su mercado. | Valve vende las llaves de las cajas que permiten obtener los objetos, y el Mercado de la Comunidad cobra una comisión conjunta de aproximadamente 15% sobre las ventas realizadas en el propio Mercado. En este informe no se estima ninguna cifra correspondiente a los ingresos atribuibles a plataformas de terceros. |
| 4. Duración de los bucles de evasión | Los ID de cliente de OAuth suspendidos dejan de funcionar en toda la plataforma en el momento de la suspensión; la documentación no indica un plazo para la aplicación de la medida y aquí no se asume ninguno. | Los servidores de autenticación de dominios independientes con fechas de registro comprendidas entre 2011 y septiembre de 2026 no mostraron ningún bloqueo por parte del filtro de enlaces en las comprobaciones de 2026-09-19 y 2026-09-21. La fecha de registro constituye un límite inferior del posible uso, no una prueba de uso continuado. |

Fuentes: Columna de GitHub — Documentación publicada por GitHub sobre los límites de tasa de la API y la política de la plataforma (resumen de los autores, sin citas) · Columna Steam — Comprobaciones del filtro de enlaces de 2026-09-19 y 2026-09-21 ([linkfilter-recheck-2026-09-21.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-recheck-2026-09-21.json)), registro RDAP ([registro-de-dominios.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/domain-registration.json)) y las reclamaciones de asistencia archivadas ([archivo de pruebas](https://phishdestroy.io/steam_dossier/es/steam_evidence_archive)).

Parte B — Normativa y historial de cumplimiento · Artículo 13 

## La diferencia de precio «off-Steam»

El artículo se encuentra en un inventario Steam; la venta se realiza en otro lugar. Un AWP Dragon Lore «Factory New» tenía **62 ofertas activas en CSFloat**; el precio más bajo que se pide **$10,623.95**. En el propio mercado de Steam no se puede fijar un precio de venta superior a aproximadamente $1,800. Para vender al precio más alto observado, el propietario necesita un comprador o un mercado ajeno a Steam. El artículo y su transferencia siguen dependiendo de Steam.

Contexto y límites de la fuente

En esta sección aparecen tres conceptos distintos que no son intercambiables. **245** es el número de categorías de nombres de artículos de CS2 cuya oferta activa más barata superó el valor $1,800 únicamente en CSFloat, el 20 de septiembre de 2026. **241** es ese mismo conjunto menos las cuatro categorías fijadas en el límite superior $100,000 de CSFloat, que es el panel sobre el que se calcula el límite inferior $13.63M. **248** Se trata de una visión general diferente: categorías cuyo precio superaba el límite máximo en dos o más de los cinco mercados el 23 de septiembre de 2026. Los mercados se solapan, por lo que nunca deben sumarse las cifras de las distintas plataformas. Todas las cifras aquí indicadas son precios de venta, no ventas realizadas, y ninguna de ellas corresponde a ingresos, volumen de negocio o beneficio —ni para Valve ni para nadie más—. Los valores que figuran en PriceEmpire son estimaciones redondeadas publicadas por dicho sitio web, y su carta Steam incluye artículos de otros Steam juegos, por lo que los ámbitos de la comparación no son idénticos.

**Un artículo. Dos sistemas de precios.** SIGUE EL REGISTRO

STEAM**Acerca de $1,800** Límite máximo de anuncios publicados en el mercado comunitario

CATÁLOGO GUARDADO**$10,623.95** AWP Dragon Lore, nueva de fábrica, precio a consultar

LA DEPENDENCIA**Sigue siendo un artículo Steam** El inventario y la transferencia siguen en Steam

Steam limita el precio de venta. Un vendedor puede aceptar una oferta inferior, pero no puede publicar en ese mercado el precio de venta de cinco cifras observado.

El catálogo de CSFloat guardado muestra 62 ofertas. Se trata de un precio de venta solicitado, no de una prueba de que la venta se haya completado.

En ese caso, el vendedor necesita un canal alternativo o un comprador. El artículo sigue dependiendo del inventario y del sistema de transferencia de Steam.

01 / ARTÍCULO **Valve inventario del juego**Objeto de CS2 o Dota 2 guardado en Steam

02 / TECHO **Acerca de $1,800 en Steam**Precio máximo por un anuncio en el mercado

03 / PREGUNTAS EXTERNAS **$10,623.95 para «Dragon Lore»**La oferta más barata de CSFloat en la instantánea de esa fecha

04 / ENTREGA **Steam permanece en la cadena**La titularidad y la transferencia de artículos dependen de su sistema

**245 categorías CS2 en CSFloat.****166 categorías de CS2 y 3 de Dota 2 en Skinport.**

Cada cifra recoge las categorías de nombres de artículos cuya oferta activa más barata se situaba estrictamente por encima de $1,800 el 20 de septiembre de 2026. Los mercados se solapan; no se deben sumar sus recuentos. Una oferta no equivale a una venta completada.

[Consulta el registro por artículo →](https://phishdestroy.io/steam_dossier/es/elite_skins#register)

API DIRECTA DE CSFLOAT / INSTANTÁNEA CON FECHA **$13.63M**

Valor mínimo total de venta en **241 categorías de artículos** y **3,395 ofertas activas**. Se calcula multiplicando el precio de venta más barato de cada categoría por el número de ofertas correspondientes. Se excluyen de este panel conservador las cuatro categorías fijadas en el límite máximo de $100,000 de CSFloat.

### Lo que refleja la cifra en dólares

Estas ofertas representan, como mínimo, **$13,631,888.25** en los precios de venta anunciados para este subconjunto limitado de CSFloat. Si se incluyen las cuatro categorías con precio máximo, el resultado es **$14,231,888.25**. Esto es un *límite mínimo para las órdenes de compra activas*, y no las ventas realizadas, el volumen de caja, los beneficios ni el mercado CS2 en su conjunto.

[Volver a calcular a partir de la instantánea de CSFloat de 245 filas ↗](https://phishdestroy.io/steam_dossier/steam_tos_assets/csfloat-catalogue.json)

PRICEEMPIRE / VALOR DE CATÁLOGO **Steam: n.º 15 de 39**

### Muchos locales indican un valor en dólares superior a Steam.

UUSkins 

**$133.8M**

YouPin898 

**$127.5M**

Buff.163 

**$104M**

Moon.Market 

**$100.3M**

White.Market 

**$89.6M**

Buff.Market 

**$86.7M**

Steam 

**$31M**

Los seis valores más altos mostrados y Steam. PriceEmpire redondea estas cifras; Steam muestra **$31M**. Catorce recintos de la lista lo superan según los valores en dólares que se muestran.

PRICEEMPIRE / NÚMERO DE OFERTAS **Steam: n.º 1 de 39**

### Steam sigue a la cabeza en cuanto al número de ofertas.

Steam 

**32,2 millones**

YouPin898 

**5,9 millones**

C5Game 

**4,6 millones**

HaloSkins 

**4,4 millones**

Skinport 

**3,8 millones**

Steam muestra **32,2 millones** Ofertas. El número de ofertas y el valor total de venta responden a cuestiones diferentes; es posible que haya muchas propiedades a la venta a bajo precio que dominen el recuento.

Fuente: [Comparativa pública de PriceEmpire ↗](https://pricempire.com/cs2-marketplaces) [archivado 2026-09-21 ↗](https://web.archive.org/web/20260921022459/https://pricempire.com/cs2-marketplaces), capturado el 2026-09-20 a las 19:03 UTC; [extracción de 39 filas con fecha ↗](https://phishdestroy.io/steam_dossier/steam_tos_assets/priceempire-marketplaces.json). Las cifras son estimaciones aproximadas y el inventario puede solaparse entre las distintas sedes. La ficha de Steam también describe objetos de otros juegos de Steam, por lo que los ámbitos no son idénticos. Los valores indicados corresponden a los precios de venta, no a las ventas ni a los ingresos.

**42**

OTRA FUENTE / STEAMANALYST 

### El ecosistema comercial está a la vista de todos.

[Directorio de tiendas de SteamAnalyst](https://www.steamanalyst.com/marketplace) [archivado 2026-07-19 ↗](https://web.archive.org/web/20260719014552/https://www.steamanalyst.com/marketplace) Enumera 42 plataformas de venta de CS2 de terceros, además de Steam, con datos recientes sobre los precios de 32 de las 43 entradas. PriceEmpire recoge 39 plataformas de venta según sus propios criterios de inclusión. Empresas identificadas, ofertas públicas, precios visibles: esta economía está abierta a la inspección.

EL LÍMITE ES EL MECANISMO: LA OFERTA PIERDE IMPULSO, PERO EL ARTÍCULO NO. 

En cinco mercados recogidos en una instantánea autorizada, **Las 248 categorías de artículos de CS2 tienen un precio fijado de forma independiente que supera en dos o más unidades el límite máximo de cotización de Steam, que es de aproximadamente $1,800, y ninguna de ellas aparece en Steam**. Esa misma instantánea agrupaba todo el catálogo por precios: el mercado de Valve ofrece 95.3% de las categorías de artículos por debajo de su límite máximo y 1.9% de las que están por encima. La caída no se debe a una disminución de la demanda, sino que se ajusta exactamente a la norma publicada. Vender a esos precios requiere un comprador externo o un mercado, mientras que Steam sigue controlando el inventario y la transferencia: la transacción sale de la caja de Valve y la entrega se realiza a través de la infraestructura de Valve.

[Steam Preguntas frecuentes sobre el mercado ↗](https://help.steampowered.com/en/faqs/view/61F0-72B7-9A18-C70B)[archivado 2026-09-21 ↗](https://web.archive.org/web/20260921022227/https://help.steampowered.com/en/faqs/view/61F0-72B7-9A18-C70B)[Steam Contrato de suscripción ↗](https://store.steampowered.com/agreement/?l=english)[archivado 2026-09-21 ↗](https://web.archive.org/web/20260921022032/https://store.steampowered.com/agreement/?l=english)[Conjunto de datos del atlas de cinco mercados ↗](https://phishdestroy.io/steam_dossier/steam_tos_assets/cs2sh-atlas.json)[Manifiesto de procedencia ↗](https://phishdestroy.io/steam_dossier/steam_tos_assets/cs2sh-manifest.json)[Instantánea anterior de CSFloat ↗](https://phishdestroy.io/steam_dossier/steam_tos_assets/csfloat-catalogue.json)[Resumen de Skinport ↗](https://phishdestroy.io/steam_dossier/steam_tos_assets/skinport-floor-over-cap.json)[PriceEmpire ↗](https://pricempire.com/cs2-marketplaces) [archivado 2026-09-21 ↗](https://web.archive.org/web/20260921022459/https://pricempire.com/cs2-marketplaces)[SteamAnalyst ↗](https://www.steamanalyst.com/marketplace) [archivado 2026-07-19 ↗](https://web.archive.org/web/20260719014552/https://www.steamanalyst.com/marketplace)[Registro de diferencias de precios ↗](https://phishdestroy.io/steam_dossier/es/elite_skins)[Atlas de la escala de precios ↗](https://phishdestroy.io/steam_dossier/es/skin_atlas)

Parte C — Marcos jurídicos

Parte C — Marcos jurídicos · Sección 14 · Acceso del personal 

## ¿Quién puede restablecer las medidas de seguridad?

Contexto y límites de la fuente

La seguridad de una cuenta también depende de las personas que pueden recuperarla, consultar sus datos privados o restablecer sus medidas de seguridad. La investigación debe supervisar esas acciones privilegiadas con el mismo rigor con el que supervisa el uso indebido de las API.

La recuperación de cuentas otorga a un agente de atención al cliente la facultad de retirar la cuenta a su titular. **Valve ha confirmado por escrito, en dos ocasiones —en febrero de 2023 y en noviembre de 2025— que esta facultad se utilizó para ceder cuentas a personas equivocadas.** Con treinta y tres meses de diferencia, a través del mismo canal. A continuación: lo que vale ese acceso, seis casos documentados y el registro Valve que se aplica a cada uno de ellos y que no se ha facilitado a nadie.

Testimonio conservado / 9 de mayo de 2025 

### Un ticket de recuperación que desactivó la seguridad de la cuenta y una pérdida declarada de $10,000

Un usuario del archivo de asistencia recopilado informa de que Steam el servicio de asistencia restableció la contraseña y desactivó la protección de la cuenta después de que otra persona enviara una solicitud de recuperación. El autor afirma que la cuenta llevaba años inactiva, contenía elementos desde 2016-2017 y tenía Steam Guard, un teléfono vinculado y códigos de recuperación almacenados.

> «Steam El servicio de asistencia le ha dado acceso a mi cuenta a otra persona».

Declaración en primera persona, conservada en `steam_support_tickets_MEGA.json`, registro n.º 110. [Lee la publicación completa capturada ↗](https://phishdestroy.io/steam_dossier/es/steam_enforcement_evidence#case-support-recovery)

No se trata de la mala suerte de un solo usuario. Esa misma vía —una solicitud de ayuda que transfiere la cuenta a quien facilite los datos más antiguos— es el procedimiento documentado para todos los casos que figuran en el registro que se muestra a continuación, y Valve lo ha dejado por escrito en dos ocasiones.

**El propietario no puede ganar esa discusión.** La recuperación solicita la primera clave de CD, el primer correo electrónico, la primera tarjeta y el primer número de teléfono. Esos datos se encuentran en la base de datos de Valve, y el servicio de asistencia técnica los consulta —según se informa, se remontan hasta quince años atrás—. Una persona que tenga una copia de tu expediente siempre podrá proporcionar más datos de tu historial de los que tú mismo puedas aportar. Los objetivos se seleccionaban para que encajaran en el perfil: inactivos durante años, de gran valor y, a menudo, comprados de segunda mano, de modo que el titular nunca conociera la clave original. Posteriormente, las cuentas se eliminaban por completo, rompiendo así el rastro del historial de artículos que la comunidad utiliza para rastrear un skin —una eliminación que un usuario normal no puede realizar sin el periodo de espera estándar.

Privilegio mínimo / OWASP A01 

Los privilegios de recuperación deben limitarse a la tarea en cuestión, someterse a una revisión independiente y registrarse. Se debe auditar quién puede restablecer credenciales, eliminar Steam Guard, consultar registros de facturación o exportar datos de cuentas. [Directrices de OWASP sobre el control de acceso ↗](https://top10.owasp.org/2025/A01_2025-Broken_Access_Control/) [archivado 2026-09-20 ↗](https://web.archive.org/web/20260920212535/https://top10.owasp.org/2025/A01_2025-Broken_Access_Control/)

Amplio acceso a la asistencia técnica Riesgo relacionado con el ámbito de acceso

### Más allá del inventario.

Si se abusa del acceso general, la telemetría privada puede convertirse en una herramienta para la elaboración de perfiles, el phishing dirigido y la vigilancia. Entre las posibles víctimas se encuentran los usuarios comunes, el personal militar, las figuras públicas y sus familias. Se trata de un modelo de amenaza; los permisos exactos requieren registros de control de acceso.

01 Historial y ubicación de la IP

Los registros de IP pueden revelar el historial de navegación y la ubicación aproximada. Por sí solos, no permiten determinar con precisión los desplazamientos físicos.

02 Identificación de dispositivos

Los identificadores de dispositivos, cuando se recopilan y son accesibles, permiten vincular sesiones y cuentas.

03 Telemetría de actividad

Las marcas de tiempo de inicio de sesión y los registros de sesión pueden revelar hábitos, incluida la actividad que no se ve en un perfil público.

04 Comunicaciones y contactos

El acceso a los mensajes almacenados o a la información de contacto aumentaría las posibilidades de elaboración de perfiles y de ingeniería social.

05 Desenmascaramiento de la identidad

Los registros originales de correo electrónico, teléfono y pagos pueden vincular una cuenta seudónima a una persona.

06 Reventa de datos y responsabilidad

Las listas de destinatarios exportadas podrían servir para cometer estafas selectivas. Identifica al autor, la ubicación de acceso, los destinatarios y las transferencias; la ubicación por sí sola no determina ni el acceso ni la inmunidad jurídica.

Valve describe el registro de direcciones IP, la información de los dispositivos, los registros de pago y los proveedores de asistencia externos en su [Política de privacidad, apartados 3 y 5.2](https://store.steampowered.com/privacy_agreement/) [archivado 2026-09-21 ↗](https://web.archive.org/web/20260921021648/https://store.steampowered.com/privacy_agreement/). La política autoriza el acceso de terceros para prestar apoyo; sin embargo, no se ha revelado el registro de auditoría que indicaría qué contratista accedió a qué categoría, cuándo y con qué autorización.

Sección 14.1 · el registro · junio de 2022 → noviembre de 2025 · todas las cifras tienen su fuente 

### Valve abrió la puerta dos veces, con treinta y tres meses de diferencia. Nunca se cerró.

Se han registrado seis casos en los que se sustrajeron cuentas a través del propio canal de solicitud de ayuda de Steam, o mediante las credenciales que protege dicho canal. Cada importe corresponde a la cifra publicada por la fuente citada, y se indica el nombre de cada fuente. Dos de los seis casos se han resuelto con la recuperación íntegra de los fondos. La diferencia entre estos casos y el resto no radicaba en lo que ocurrió, sino en quién estaba al tanto de ello.

Valve, por escrito — febrero de 2023 «Los artículos en cuestión se han eliminado de tu cuenta porque procedían de una cuenta que fue vulnerada a través de una solicitud de asistencia, responsabilidad de la que se hace cargo el equipo de CS:GO. Hemos anulado los intercambios y los hemos eliminado de todas las cuentas que los recibieron».Steam Respuesta de asistencia a un destinatario de los artículos de HFB, reproducida por [Dexerto, 21 de febrero de 2023 ↗](https://www.dexerto.com/csgo/csgo-skins-worth-millions-allegedly-stolen-with-help-from-steam-support-staff-2066939/) [archivado 2025-08-18 ↗](https://web.archive.org/web/20250818113925/https://www.dexerto.com/csgo/csgo-skins-worth-millions-allegedly-stolen-with-help-from-steam-support-staff-2066939/)

Valve, de nuevo por escrito — noviembre de 2025 · 33 meses después «Un técnico de asistencia que se encargó de la solicitud de ayuda no siguió nuestro procedimiento, lo que provocó que tu cuenta se restableciera a nombre de otra persona. Te pido disculpas por este error».Steam Respuesta del servicio de asistencia a Hawkeye337, citada en [Dexerto, 14 de noviembre de 2025 ↗](https://www.dexerto.com/counter-strike-2/valve-saves-hacked-cs2-player-threatened-with-ransom-over-300000-of-rare-stickers-3283135/)

Casos de filtrado:

Restitución: 100% viral frente a 0% no viral

- 21 de junio de 2022 

**HFB: el mayor surtido del juego** $2,000,000+ *· se elevó a $3,000,000+ en el seguimiento de febrero de 2023* 

Siete «Dragon Lores» de AWP de recuerdo y el karambit «Blue Gem» n.º 1, cuyo valor solo ese cuchillo asciende a unos **$1.26 millones**. La cuenta llevaba tres años inactiva, aunque la aplicación de autenticación móvil seguía activa; aun así, se cambiaron el correo electrónico y la contraseña a través del proceso de recuperación del servicio de asistencia.

**El dinero se acabó antes que los artículos.** Según se ha informado, **$200,000+** Parte de los ingresos de la venta ya se había retirado a través de market.csgo.com, un mercado en el que las transacciones se liquidan en efectivo y criptomonedas. Al anular una transacción, se recupera el skin, pero no el dinero que ya se haya ingresado en la cuenta.

**Y la solución dejó de funcionar.** Un comprador trasladó su «Souvenir Dragon Lore» a una unidad de almacenamiento del juego. El script de reversión de Valve no podía ver el interior de su propio contenedor, por lo que le proporcionó al propietario una copia nueva y dejó la oculta tal cual — Valve duplicó un **$130,000** artículo al intentar revertir un robo. Se detectó gracias a la comparación de los identificadores de los artículos y a las denuncias de la comunidad, y se eliminó un mes después, en julio de 2022. BUFF reembolsó al comprador, no Valve. Una solución de emergencia tan precaria como esta no es un control; es lo que hace una plataforma cuando carece de control.

[Dexerto, 21 de junio de 2022 ↗](https://www.dexerto.com/csgo/over-2-million-in-csgo-skins-stolen-from-hacked-steam-account-1853092/) [archivado 2022-07-02 ↗](https://web.archive.org/web/20220702042821/https://www.dexerto.com/csgo/over-2-million-in-csgo-skins-stolen-from-hacked-steam-account-1853092/) · [Kaspersky ↗](https://www.kaspersky.com/blog/cs-go-two-million-usd-inventory-hack/44697/) · importe del retiro por [Esportfire, 22 de junio de 2022 ↗](https://esportfire.com/article/the-2-million-usd-csgo-hack-22062022) [archivado 2026-05-15 ↗](https://web.archive.org/web/20260515110250/https://esportfire.com/article/the-2-million-usd-csgo-hack-22062022), atribuido allí a varias fuentes de Twitter · duplicación y eliminación según [Esportsbetting, 14 de julio de 2022 ↗](https://esportsbetting.com/valve-deletes-130000-stolen-dragon-lore/)

**Restaurado***Se anularon las transacciones. Se retiraron los artículos de los inventarios de quienes los habían pagado a precio completo.*

- 14 de agosto de 2022 

**CS.Money: los bots propios de la plataforma** $6,300,000 *· 19,000+ skins · primera estimación $1.6M* 

Los atacantes se hicieron con los archivos del autenticador móvil de los bots de negociación de la plataforma y los vaciaron; a continuación, enviaron parte del botín a operadores conocidos para despistar. Los investigadores de la comunidad identificaron **55 cuentas de atacantes en cuestión de horas** y los publicó.

Valve no modificó nada. La razón aducida fue que un sitio web de terceros se encuentra fuera de Steam —el mismo Steam en cuyo inventario, API comercial y sistema de cuentas se llevó a cabo el robo de principio a fin—.

[Esportfire, 14 de agosto de 2022 ↗](https://esportfire.com/article/the-biggest-hack-in-csgo-history-csmoney-14082022) [archivado 2025-11-15 ↗](https://web.archive.org/web/20251115173120/https://esportfire.com/article/the-biggest-hack-in-csgo-history-csmoney-14082022)

**Rechazado***No hubo reversión. La pérdida recayó sobre la plataforma y sus usuarios.*

- Notificado
21 de febrero de 2023 

**Qkss — la misma puerta, el mismo actor** $1,000,000+ 

Según se ha informado, se tramitó de la misma forma que el HFB, por parte del mismo actor y a través de la misma solicitud de asistencia técnica. El HFB se resolvió por completo ocho meses antes. El Qkss no.

**Un camino. Dos respuestas.** No hay nada en el expediente publicado que distinga ambos casos, salvo el número de asistentes.

[Dexerto, 21 de febrero de 2023 ↗](https://www.dexerto.com/csgo/csgo-skins-worth-millions-allegedly-stolen-with-help-from-steam-support-staff-2066939/) [archivado 2025-08-18 ↗](https://web.archive.org/web/20250818113925/https://www.dexerto.com/csgo/csgo-skins-worth-millions-allegedly-stolen-with-help-from-steam-support-staff-2066939/)

**Rechazado***No se ha restaurado.*

- Notificado
Febrero de 2023 

**El uso de información privilegiada en sí mismo: un año de ello** ≈ $320,000 *· se refiere a un periodo de aproximadamente un año, no a una valoración de existencias* 

El acceso desde el servicio de asistencia permitió consultar el historial de la cuenta hasta **15 años** — la primera clave de CD, el primer correo electrónico, la primera tarjeta. Esas son, precisamente, las pruebas que exige el proceso de recuperación, y por eso quien tiene la base de datos siempre sale ganando en la discusión frente a quien tiene la cuenta.

El bloguero Mzkshow reveló cómo el operador interno «Steam Help» y su colaborador «Alexander» se centraron en cuentas inactivas que contenían más de $100k en skins. Un M4A4 Howl robado, con los hologramas de iBUYPOWER y Titan Katowice 2014, se vendió por **$35,000** y acabó recayendo en Valerii «b1t» Vakhovskyi, de NAVI, quien no tenía forma de saberlo. Tras la intervención de Valve, la empresa contratista despidió a todo el personal del servicio de asistencia técnica Steam.

[VKPlay ↗](https://vkplay.ru/media/news/bloger-rasskazal-kak-podderzhka-steam-vorovala-akkaunty-igrokov/) · [Lis-Skins ↗](https://lis-skins.com/ru/blog/krupneisaia-mosenniceskaia-sxema-v-istorii-steam/) · [Escorenews (RU) ↗](https://escorenews.com/ru/csgo/news/44056-sotrudniki-podderjki-steam-zanimalis-krajey-skinov-s-akkauntov-za-god-oni-zarabotali-svyshe-300-tysyach-dollarov) · [Dexerto (EN) ↗](https://www.dexerto.com/csgo/csgo-skins-worth-millions-allegedly-stolen-with-help-from-steam-support-staff-2066939/)

**Sin registro***Valve nunca ha revelado a cuántas cuentas afectó esto, ni se lo ha comunicado a las personas afectadas.*

- Notificado
2 de diciembre de 2024 

**«Matvey» — tras los despidos** $13,000 

Se concedió la recuperación a una persona que facilitó datos de la cuenta que ni el propio titular pudo corroborar. Dos años después de que la empresa contratista desmantelara su servicio de asistencia Steam, seguir el mismo procedimiento dio el mismo resultado.

[Publicación archivada, 2 de diciembre de 2024 ↗](https://www.reddit.com/r/cs2/comments/1h53qp3/steam_support_is_stealing_accounts_again/) [archivado 2025-08-05 ↗](https://web.archive.org/web/20250805141942/https://www.reddit.com/r/cs2/comments/1h53qp3/steam_support_is_stealing_accounts_again/) · [filas de origen y hash ↓](https://phishdestroy.io/steam_dossier/steam_tos_assets/outsourcing-archive-records.json)

**Rechazado***No se ha restaurado.*

- 13 de noviembre de 2025 

**Hawkeye337 (Mark Spurlock) — y la segunda confesión** ≈ $300,000–$500,000 *· Colección completa de hologramas de Katowice 2014* 

El agresor exigió **1 bitcoin** y empezaron a transferir la colección a cuentas de Negev para destruirla. Steam La respuesta por escrito del servicio de asistencia es la segunda admisión mencionada anteriormente: un técnico se encargó de la solicitud de ayuda, no siguió el procedimiento y cedió la cuenta a otra persona.

**Lo que provocó el fallo fue la señal.** Pocas horas después de que se publicaran en X las entradas en las que se etiquetaba a Valve, se recuperó la cuenta y se restablecieron todas las pegatinas. Qkss no contaba con esa audiencia.

[Skin.club ↗](https://community.skin.club/en/news/collector-has-steam-inventory-returned-after-bold-hack) · [Dexerto ↗](https://www.dexerto.com/counter-strike-2/valve-saves-hacked-cs2-player-threatened-with-ransom-over-300000-of-rare-stickers-3283135/) · [Esportfire ↗](https://esportfire.com/article/300k-scam-full-katowice-2014-holo-collection-hacked) [archivado 2025-12-17 ↗](https://web.archive.org/web/20251217072445/https://esportfire.com/article/300k-scam-full-katowice-2014-holo-collection-hacked)

**Restaurado***La noticia se desmintió a las pocas horas de que se convirtiera en tendencia.*

#### Lo que refleja el libro mayor y que ningún caso concreto muestra por sí solo.

**La ruta nunca se cerró.** La primera admisión data de febrero de 2023 y la segunda, de noviembre de 2025 — **con treinta y tres meses de diferencia**, tras el despido masivo por parte del contratista, un nuevo incidente documentado y una brecha de seguridad en la plataforma de $6.3 millones entre ambos. Contando desde el primer robo registrado en este libro de cuentas, el canal permaneció abierto durante **tres años y cinco meses**. Independientemente de lo que se corrigiera en 2023, la solicitud de ayuda siguió asignándose a la persona equivocada en noviembre de 2025 — según las propias palabras de Valve.

**La restitución se centraba en la atención, no en el daño.** Restablecido: el inventario más grande del juego y el coleccionista cuyo hilo se hizo viral. Rechazado: $1,000,000, $6,300,000, $13,000. Valve nunca ha publicado la regla que aplica, ya que una regla publicada tendría que explicar esas tres.

**No se lo dijeron a nadie.** Ni los usuarios cuyos historiales de cuenta fueron extraídos de la base de datos, ni una autoridad supervisora, ni el mercado que compró los artículos de buena fe y se los tuvieron que recuperar. No hay ningún aviso de violación de seguridad, ningún informe de incidente, ningún recuento de las cuentas afectadas — **y los ingresos que quedan en forma de dinero**, a través de plataformas que pagan en efectivo y en criptomonedas. Una reversión de la operación no puede seguir el dinero que sale de Steam.

Valve contiene el registro de auditoría de asistencia, el registro de tickets de recuperación y el registro de transacciones de cada una de las líneas anteriores. No se ha presentado ninguno de ellos. [Solicita tu propio ejemplar →](https://phishdestroy.io/steam_dossier/es/index#dsar-playbook)

La cuestión del NDA 

### La confidencialidad debe ir acompañada de la responsabilidad técnica.

Compara los acuerdos de confidencialidad con los permisos reales, los controles de exportación, las autorizaciones de restablecimiento y los registros de acceso. Una respuesta predefinida no puede resolver una acusación de que se haya abusado del propio proceso de recuperación.

Artículos 28 y 32 a 34 del RGPD 

El artículo 33 concede al responsable del tratamiento un plazo de 72 horas para notificar a la autoridad de control una violación de la seguridad de los datos personales; el artículo 34 exige informar a las personas afectadas cuando el riesgo para ellas sea elevado. Valve ha confirmado por escrito, en dos ocasiones, que su canal de asistencia entregó cuentas a personas equivocadas —incluidos el historial de la cuenta, los registros de facturación y todo lo demás—. **No se ha publicado ninguna notificación en virtud de ninguno de los dos artículos, y ningún usuario afectado ha informado de haber recibido ninguna.** [Lee el reglamento ↗](https://eur-lex.europa.eu/eli/reg/2016/679/oj/eng) [archivado 2026-09-20 ↗](https://web.archive.org/web/20260920024236/https://eur-lex.europa.eu/eli/reg/2016/679/oj/eng)

[Incluye el acceso al servicio de asistencia en tu solicitud →](https://phishdestroy.io/steam_dossier/es/index#dsar-playbook)

Parte C — Marcos jurídicos · Sección 15 · A escala comercial 

## Sigue el rastro del dinero. Separa las transacciones.

Contexto y límites de la fuente

La cuestión del uso comercial se agudiza cuando se separan los flujos de dinero. Las transferencias de artículos a terceros, las ventas principales de Valve y las retiradas de efectivo externas son transacciones diferentes.

El artículo es de Valve. El stock es de Valve. La transferencia se realiza en los servidores de Valve. **Lo único es que el pago se realiza en otro sitio** — que es el paso que determina si alguien es un operador de transferencia de fondos, y el único paso Valve que no lleva a cabo.

El mecanismo de ingresos 

### Donde realmente circula el dinero.

Tres caminos / una economía de un solo artículo

- 01 / Cuenta **Inventario de usuarios**

Artículos en reserva: Steam

- 02 / Traspaso **Comercio entre particulares**

Usuario ↔ bot o usuario ↔ usuario

- 03 / Liquidación **Plataforma externa**

Saldo de la obra o pago de Steam

**CirculaciónEl motor económico va más allá del coste de traspaso**

Steam proporciona la infraestructura de inventario y transferencia que utilizan los mercados externos. El argumento económico de la investigación es que la liquidez de la reventa y la demanda recurrente sostienen el gasto en estuches, llaves y artículos de recambio, con comisiones sobre las ventas posteriores en el Mercado Comunitario. Una transferencia directa entre particulares (P2P) no conlleva comisión del Mercado Comunitario; ese dato contable no resuelve la cuestión del beneficio general. Valve mantiene el control sobre el acceso a las cuentas y las restricciones de negociación en todo momento.

- 01 / Demanda secundaria **Liquidez y valor de reventa**

Demanda externa relacionada con el comercio y los juegos de azar

- 02 / Gasto primario **Llaves, estuches y cápsulas**

Compras a partir de Valve, cuando estén disponibles

- 03 / Ingresos **Ingresos por venta directa**

Más comisiones sobre las ventas reales en el mercado

**5% + 10%Steam + comisión de CS2 sobre las ventas en el Mercado de la Comunidad**

Conclusión económica de la investigación: los mercados de reventa de activos líquidos pueden fomentar el gasto en artículos nuevos. El conocido 15% combina las tasas de comisión del mercado, sujetas a mínimos y redondeos; no se trata de un gravamen que se aplique a todas las transacciones con el exterior.

[Lista de tarifas del Community Market de Valve ↗](https://help.steampowered.com/en/faqs/view/61F0-72B7-9A18-C70B) [archivado 2026-09-21 ↗](https://web.archive.org/web/20260921022227/https://help.steampowered.com/en/faqs/view/61F0-72B7-9A18-C70B). El 25 de febrero de 2026 [El fiscal general de Nueva York interpuso una demanda](https://ag.ny.gov/press-release/2026/attorney-general-james-sues-game-developer-promoting-illegal-gambling-through) [archivado 2026-09-01 ↗](https://web.archive.org/web/20260901015430/https://ag.ny.gov/press-release/2026/attorney-general-james-sues-game-developer-promoting-illegal-gambling-through) en la que se alega que las cajas de botín de pago están relacionadas con la reventa externa por dinero en efectivo y los daños derivados del juego —la misma relación que este informe documenta desde el punto de vista de la infraestructura técnica—. Esa denuncia es una alegación, no una conclusión; se cita aquí porque un organismo estatal encargado de hacer cumplir la ley ha planteado una cuestión relacionada con la que plantea este informe: ¿dónde está el historial de aplicación de la ley que se corresponda con las declaraciones públicas?

- 01 / Entrada **Ingreso en criptomonedas**

Registros de servicios externos y monederos

- 02 / Conversión **Equilibrio → aspectos**

Artículos entregados a través de Steam transacciones

- 03 / Salida **Venta externa de moneda fiduciaria**

Vendedor, comprador y proveedor de pagos

**¿KYC?Identificar el control en cada traspaso**

Esta es la vía que hay que investigar, no un servicio de conversión de efectivo mediante la API nativa Steam. Documenta las comprobaciones de identidad, la custodia, los identificadores de transacción y los destinatarios de los pagos en cada operador externo antes de afirmar que se trata de un retiro de efectivo sin KYC.

Estados Unidos / Ley de Secreto Bancario 

### Clasifica primero la actividad y, a continuación, la obligación.

La FinCEN evalúa la transmisión de fondos en función de la actividad que realiza una empresa. Aceptar y transferir moneda virtual convertible puede dar lugar a obligaciones en materia de servicios monetarios, con sujeción a las definiciones y excepciones aplicables. La cartera Steam de Valve acepta fondos y los convierte en artículos del juego; a continuación, dichos artículos se liquidan a través de operadores externos a cambio de moneda real. El objeto y su transferencia se gestionan en la infraestructura de Valve; el cobro en efectivo no, y el hecho de que alguna parte de ese ciclo se ajuste a las definiciones de transferencia de fondos es una cuestión de clasificación que corresponde a la FinCEN, no una conclusión que se extraiga aquí.

[FinCEN FIN-2019-G001, §§ 1–2, 5.1 ↗](https://www.fincen.gov/sites/default/files/2019-05/FinCEN%20CVC%20Guidance%20FINAL.pdf) [archivado 2025-07-11 ↗](https://web.archive.org/web/20250711185007/https://www.fincen.gov/sites/default/files/2019-05/FinCEN%20CVC%20Guidance%20FINAL.pdf)

Unión Europea / blanqueo de capitales 

### Realizar un seguimiento de los ingresos, la información y la asistencia.

La Directiva (UE) 2018/1673 regula el blanqueo intencional y la participación en actividades relacionadas con productos del delito. La cuestión que se plantea en la investigación es qué sabía Valve sobre los operadores que utilizaban su infraestructura de negociación y OpenID después del 13 de julio de 2016, cuando describió públicamente dicho uso, y qué medidas tomó al respecto. Valve no ha publicado ningún registro de medidas coercitivas por operador; ese registro, y no este expediente, respondería a la pregunta.

[Marco penal de la UE ↗](https://eur-lex.europa.eu/legal-content/EN/LSU/?uri=CELEX:32018L1673)

**Terminología de la AMLD6:** La directiva en materia de derecho penal mencionada anteriormente es distinta de la Directiva (UE) 2024/1640, también conocida como AMLD6. Esta última tiene un plazo general de transposición que vence el 10 de julio de 2027, con algunas excepciones específicas. [Artículo 78 ↗](https://eur-lex.europa.eu/eli/dir/2024/1640/oj/eng) [archivado 2026-08-30 ↗](https://web.archive.org/web/20260830153004/https://eur-lex.europa.eu/eli/dir/2024/1640/oj/eng)

Parte C — Marcos jurídicos · Artículo 16 · Notificación, respuesta, responsabilidad 

## La Ley de Servicios Digitales: dejar constancia de los conocimientos

Contexto y límites de la fuente

Hay dos elementos de una notificación conforme al artículo 16 que corresponden al remitente y no a este expediente: los datos del propio remitente y una declaración de buena fe de que la información es exacta. Todo lo demás que exige el artículo —la explicación fundamentada y la ubicación electrónica exacta— se recoge en la sección 3 y en el registro de rutas, junto con las respuestas guardadas y los hash, de modo que cualquier parte pueda presentarla. Hay otras dos limitaciones en la propia ley: la pérdida de la exención de responsabilidad del proveedor de alojamiento no implica por sí misma responsabilidad alguna en virtud de ninguna otra ley, y el 6% del artículo 52, apartado 3, es un límite máximo legal, no una sanción impuesta contra Valve.

En virtud de la DSA, un proveedor de servicios de alojamiento solo goza de exención de responsabilidad hasta el momento en que tenga conocimiento concreto de los hechos y no actúe en consecuencia. **Este expediente constituye dicha notificación.** En él se indican los servidores, las fechas, las respuestas guardadas y los hash. Desde su publicación, la cuestión ya no es si Valve lo sabía, sino qué hizo Valve a continuación.

01 Julio de 2016 / la exposición «The Dossier» 

### Un plazo de diez días.

La notificación reconstruida anteriormente constituye el punto de partida histórico para la comparación de las medidas de ejecución de la investigación.

02 17 de febrero de 2024 / solicitud general 

### La ventana temporal del DSA.

Distingue entre la conducta histórica y la conducta durante el período en el que se aplican las obligaciones pertinentes de la DSA.

03 Diez años / instantánea del expediente original 

### La duración requiere un historial de notificaciones.

El tiempo transcurrido desde julio de 2016 (véase la sección 11) es un indicador del expediente. No se trata de diez años de infracciones constatadas de la DSA. Vincula cada notificación a un elemento concreto, a la legislación aplicable, a las pruebas de entrega y a la respuesta correspondiente.

Artículo 52, apartado 3 / límite máximo legal **6 %**

### de la facturación anual a nivel mundial

Multa máxima por incumplimiento de las obligaciones derivadas de la DSA, calculada sobre la base del ejercicio financiero anterior del proveedor. Se trata de un límite máximo legal, no de una sanción impuesta a Valve.

Artículos 6, 8 y 16 / el criterio jurídico 

En el caso de los servicios de alojamiento web pertinentes, el conocimiento específico y la falta de actuación con la debida diligencia pueden dar lugar a la pérdida de la exención de responsabilidad por alojamiento. Una notificación suficientemente precisa puede demostrar el conocimiento del contenido concreto. La DSA no impone ninguna obligación general de supervisión; la pérdida de la exención no implica por sí misma la responsabilidad en virtud de otra ley.

[DSA: artículos 6, 8, 16, 52, 53 y 93, y considerando 17 ↗](https://eur-lex.europa.eu/eli/reg/2022/2065/oj/eng) [archivado 2026-09-20 ↗](https://web.archive.org/web/20260920080125/https://eur-lex.europa.eu/eli/reg/2022/2065/oj/eng)

[Revisar las reclamaciones archivadas ↗](https://phishdestroy.io/steam_dossier/es/steam_enforcement_evidence#support-records)[Crear la cronología de la cuenta →](https://phishdestroy.io/steam_dossier/es/index#dsar-playbook)[Análisis jurídico y económico completo →](https://phishdestroy.io/steam_dossier/es/legal_analysis)

Parte C — Marcos jurídicos · Sección 17 · Identidad, edad y acceso comercial 

## Menores de edad: un inicio de sesión con «Steam» no constituye una verificación de edad

Contexto y límites de la fuente

En este expediente no aparece ningún dato de menores en ninguna parte y no se recopiló ninguno: los autores no se registraron, no depositaron información ni iniciaron sesión en ninguna de las plataformas mencionadas. Cualquiera que se base en esta sección debe mantener la confidencialidad de las pruebas relacionadas con menores y ocultar los datos identificativos en los documentos públicos. La COPPA se cita aquí como una ley de protección de la privacidad de los menores con sus propias condiciones de aplicación —público destinatario, conocimiento efectivo, datos personales recopilados— y no como una norma general sobre la edad mínima para apostar; la denuncia presentada en Nueva York en 2026 es una alegación de una autoridad estatal, no una resolución judicial.

«Iniciar sesión con Steam» demuestra que existe una cuenta. **Eso no demuestra nada sobre la edad** — y en estas páginas es la única barrera entre un niño y un depósito. Léelo con [Apartado 3.1](https://phishdestroy.io/steam_dossier/es/index#inside-steam-filter): dentro del cliente Steam, la advertencia que mostraría un navegador nunca se activa, por lo que el niño nunca la ve.

¿Qué ofrece OpenID? **Identidad de la cuenta**

Un SteamID verificado que se utiliza para iniciar sesión o vincular una cuenta.

Lo que debe determinar el operador **Requisitos para participar**

Edad, jurisdicción y cualquier verificación de identidad necesaria.

Fundamento técnico: [Documentación de Steamworks OpenID ↗](https://partner.steamgames.com/doc/features/auth#website) [archivado 2026-09-21 ↗](https://web.archive.org/web/20260921022335/https://partner.steamgames.com/doc/features/auth). La verificación de identidad documentada no constituye una certificación de que el usuario pueda apostar legalmente.

COPPA / menores de 13 años 

### Identifica el operador y los datos.

La COPPA se aplica a los servicios dirigidos a menores que entran en su ámbito de aplicación y a aquellos que tienen conocimiento efectivo de que recogen datos personales de menores de 13 años. Se trata de una ley sobre la privacidad de los menores, no de una norma universal sobre la edad mínima para participar en juegos de azar. Se debe determinar el público destinatario, los datos personales que se recogen, el conocimiento de dichos datos y el proceso de consentimiento parental.

[FTC: Requisitos de la COPPA ↗](https://www.ftc.gov/legal-library/browse/rules/childrens-online-privacy-protection-rule-coppa) [archivado 2026-09-21 ↗](https://web.archive.org/web/20260921070051/https://www.ftc.gov/legal-library/browse/rules/childrens-online-privacy-protection-rule-coppa)

Las pruebas que hay que conservar 

### Registra el proceso desde el inicio de sesión hasta el ingreso.

Mantén el control de edad del sitio web, el texto del registro, las condiciones de acceso, el proceso de pago y el historial de reclamaciones. Evalúa a cada operador por separado. Mantén la confidencialidad de cualquier prueba relacionada con un menor y oculta los datos identificativos en los documentos públicos.

Un registro relacionado con la aplicación de la ley es el [Anuncio de la demanda de Nueva York de 2026](https://ag.ny.gov/press-release/2026/attorney-general-james-sues-game-developer-promoting-illegal-gambling-through) [archivado 2026-09-01 ↗](https://web.archive.org/web/20260901015430/https://ag.ny.gov/press-release/2026/attorney-general-james-sues-game-developer-promoting-illegal-gambling-through), en la que se alega que las cajas de botín de pago causan perjuicios a los usuarios jóvenes. No se trata de una conclusión de la COPPA.

Parte C — Marcos jurídicos · Sección 18 · Solicitud en virtud del artículo 15 del RGPD 

## La solicitud. La respuesta. La comparación que falta.

Pidió cuatro cosas, una de ellas el registro que revelaría quién había introducido una clave API en su cuenta. **Tres días después, el ticket se cerró con un enlace a una página en la que no aparece ninguno de ellos.** — y la frase con la que se concluye la contradicen los propios abogados de Valve.

De quién es esta cuenta · Procedencia y límites

**Estas capturas de pantalla no son de PhishDestroy.** Provienen de un titular de una cuenta Steam cualquiera —uno de los participantes en una breve encuesta realizada por este proyecto—, que presentó la solicitud él mismo y facilitó las capturas de pantalla. La cuenta es suya, el ticket es suyo y la correspondencia es entre él y el servicio de atención al cliente Steam. Este proyecto no presentó la solicitud, no tiene ninguna cuenta en la plataforma y no es parte en este ticket.

El 16 de septiembre de 2026 presentó una solicitud de acceso de datos del interesado, en virtud del artículo 15 del RGPD y la CCPA, en la que solicitaba específicamente los registros de registro de claves API, el historial de inicio de sesión con direcciones IP, el historial de autorización de dispositivos y el historial de operaciones. El 17 de septiembre, el agente «Logen» le remitió a la página de autoservicio «Datos de la cuenta». El 18 de septiembre, declaró que las categorías solicitadas no figuraban en dicha página y pidió que se remitiera el asunto al equipo de privacidad o al delegado de protección de datos (DPO). El 19 de septiembre, el agente «Kal» cerró el ticket con la misma remisión. A continuación se conservan ambas capturas de pantalla (se ha ocultado el correo electrónico del solicitante; SHA-256 en `steam_tos_assets/screenshot-manifest.json`).

Es el solicitante ideal por una razón muy sencilla: **Su cuenta tiene una clave de API web Steam que él no ha creado, registrada a nombre de `localhost`**. **Se desconoce cuándo se creó** — ni a él, ni a partir de nada que Valve haya puesto a su disposición, ya que el único registro que permitiría datarlo es el registro de inscripción de la clave API, que es precisamente la categoría que el cierre ocultó. La clave no es nueva: es anterior a que él tuviera conocimiento de ella en un intervalo que no puede cuantificar, por la misma razón.

Otros titulares de cuentas están presentando la misma solicitud. Cualquier respuesta que se reciba se añadirá aquí en las mismas condiciones que estas dos —número de ticket, fecha de captura, SHA-256, identidad del solicitante ocultada—, tanto si acepta las categorías como si las rechaza.

Este proyecto no se pronuncia sobre los motivos por los que se cerró el ticket. En él no se indicaba ningún motivo, y aquí tampoco se deduce ninguno.

**La solicitud. La respuesta. La comparación.** SIGUE EL REGISTRO

LA SOLICITUD**Categorías específicas** Registros de claves API, inicio de sesión, dispositivos y operaciones

LA RESPUESTA**Referencia de datos de la cuenta** Revisa el intercambio de soporte

LA PRUEBA**¿Qué se suministró?** Compara cada categoría solicitada

Lee la solicitud archivada para ver qué categorías solicitó el titular de la cuenta.

La respuesta guardada remite a los datos de la cuenta. Las capturas de pantalla muestran el texto y el resultado del ticket.

Pidió cuatro categorías concretas. La página de «Datos de la cuenta» a la que se le remitió es la propia función de exportación de autoservicio de Valve, y este proyecto no puede detallar su contenido para la cuenta de otra persona; por lo tanto, aquí no se publica ninguna comparación completa categoría por categoría. Lo que consta en el expediente es su declaración del 18 de septiembre en la que afirmaba que las categorías no estaban ahí, y el cierre del 19 de septiembre, en el que se repetía la remisión sin abordar el tema.

Pantalla 1/2 — Solicitud (16 de septiembre) y primera respuesta, agente «Logen» (17 de septiembre)

Image: [GDPR ticket HT-2YBP-F7JP-D4VB — request and first response](https://phishdestroy.io/steam_dossier/steam_tos_assets/gdpr-ticket-1.png)

Fuente: help.steampowered.com, ticket HT-2YBP-F7JP-D4VB · capturado del 16 al 17 de septiembre de 2026 · correo electrónico del solicitante ocultado 2026-09-21 · Archivo: [gdpr-ticket-1.png](https://phishdestroy.io/steam_dossier/steam_tos_assets/gdpr-ticket-1.png) · SHA-256 `da940c731ab9869d226e9d06ccc8a1b393738766b7b0c445a56662623e025a66` ([captura-de-pantalla-manifest.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/screenshot-manifest.json)).

Pantalla 2/2 — Solicitud de escalado (18 de septiembre) y cierre, agente «Kal» (19 de septiembre)

Image: [GDPR ticket HT-2YBP-F7JP-D4VB — escalation request and closure](https://phishdestroy.io/steam_dossier/steam_tos_assets/gdpr-ticket-2.png)

Fuente: help.steampowered.com, ticket HT-2YBP-F7JP-D4VB · capturado del 18 al 19 de septiembre de 2026 · Archivo: [gdpr-ticket-2.png](https://phishdestroy.io/steam_dossier/steam_tos_assets/gdpr-ticket-2.png) · SHA-256 `44844ea7b251f7fd7d79f87ee1578a846606a97b9659d3a53b322120c422219b` ([captura-de-pantalla-manifest.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/screenshot-manifest.json)).

Respuesta final, 19 de septiembre (textual):

«Los datos Steam que se conservan ya se pueden consultar en la página «Datos de la cuenta». Dado que el servicio de atención al cliente Steam no puede ofrecer más información, **Esta solicitud se cerrará.**"

No se han facilitado datos · no se ha indicado ningún fundamento jurídico para la denegación · no se muestra el resultado de la escalación

**Esa afirmación es falsa, y los propios abogados de Valve lo demuestran.** En el apartado 1.9 de la carta del abogado de 1 de octubre de 2025 se describe una correlación a nivel de dispositivo que vincula un dispositivo con docenas de cuentas ([Apéndice A](https://phishdestroy.io/steam_dossier/es/index#official-memorandum)). Esa misma respuesta incluía 830 páginas de documentos conservados ([Apéndice B](https://phishdestroy.io/steam_dossier/es/index#academic-response)). No aparece nada de eso en la página «Datos de la cuenta».

¿Por qué esta cuenta solicitó el registro de la clave API?

No eligió esas cuatro categorías al azar. El `localhost` La clave de su cuenta es **la marca de un script, no de una persona que introduce un dominio real en la página de desarrolladores** ([Sección 5](https://phishdestroy.io/steam_dossier/es/index#vulnerability-profile), [Sección 6](https://phishdestroy.io/steam_dossier/es/index#hijack-simulation)). El único registro que indica quién lo creó y desde dónde es el registro de registro de claves API. Eso fue lo primero que pidió. Y eso es lo que la empresa se negó a facilitar.

Fuente: el titular de la cuenta, durante la encuesta de este proyecto. Las capturas de pantalla de los tickets que aparecen arriba están cifradas; la página clave no se ha publicado.

Evaluación · PhishDestroy

Cerrar un ticket sin haber resuelto la cuestión no es algo fortuito en este caso. Es lo habitual. Nos atenemos a [16,319 registros conservados de reclamaciones y asistencia](https://phishdestroy.io/steam_dossier/es/steam_evidence_archive) y [354 intercambios de asistencia técnica sin duplicados](https://phishdestroy.io/steam_dossier/es/steam_enforcement_evidence#support-records) extraídos de ellos. Este billete es un ejemplo concreto y completo de la forma que adoptan.

Ticket de asistencia — Conservado HT-2YBP-F7JP-D4VB

Tipo de solicitud Artículo 15 del RGPD (Solicitud de acceso a los datos)

Estado del billete CERRADO EL 19 DE SEPTIEMBRE DE 2026 — NO SE HAN FACILITADO DATOS

Agentes de la bolsa «Logen» (17 de septiembre), «Kal» (19 de septiembre)

Archivado 16 de septiembre de 2026

Datos solicitados ¿Quién registró la clave de la API web vinculada a esta cuenta, y desde qué dirección IP, dispositivo y marca de tiempo?

Fundamento jurídico invocado Artículo 15 del RGPD: derecho de acceso a los datos personales

**El marco jurídico:** El artículo 12, apartado 3, concede al responsable del tratamiento un plazo de un mes a partir de la recepción (prorrogable previa justificación). Dicho plazo no había vencido en el momento de la publicación, y este expediente no alega ningún incumplimiento del plazo. La objeción se refiere al fondo del asunto: la respuesta final incluye un enlace a una página de autoservicio, pero no demuestra que se hayan facilitado las cuatro categorías de datos mencionadas; además, si el responsable del tratamiento se niega a actuar, el artículo 12, apartado 4, le obliga a exponer los motivos y las vías de reclamación. Ninguno de estos elementos figura en la respuesta final.

Por qué son importantes estos datos concretos 

El registro de eventos de claves de la API web es el registro que muestra si un tercero ha registrado una clave utilizando una cookie de sesión robada — el mecanismo descrito en las denuncias por robo de inventario conservadas en el archivo de este expediente—. Revelar quién registró una clave de API, desde qué dirección IP y en qué momento:

- Permitir a la víctima comparar la dirección IP de creación de la API con su propio historial de inicio de sesión

- Revelar las direcciones IP de centros de datos vinculadas a infraestructuras conocidas de phishing o de bots de apuestas

- Aportar pruebas que puedan utilizarse en procedimientos civiles o penales contra el autor

- Indica si se notificó al titular de la cuenta cuando se creó la clave

**Lo que consta en el expediente:** Valve conserva registros a nivel de dispositivo y de correlación de cuentas; la carta de su asesor jurídico, de 1 de octubre de 2025, los describe (véase el Apéndice A, Memorándum de pruebas — Fuente 1). En el ticket HT-2YBP-F7JP-D4VB, el interesado solicitó el mismo tipo de registros y el ticket se cerró remitiéndole a una página de autoservicio que, según informó el interesado, no los contenía. La legalidad de dicha denegación es una cuestión que compete a la autoridad de control; el resultado es que el interesado no recibe los datos.

El intercambio: cuatro mensajes, tres días

Dos agentes de atención al cliente de Steam respondieron utilizando los nombres de pila que figuraban en el ticket: «Logen» el 17 de septiembre y «Kal» el 19 de septiembre. Ambos remitieron al solicitante a la página de datos de la cuenta. En el ticket no hay nada que indique si la solicitud llegó al equipo de privacidad o al responsable de protección de datos de Valve, y el expediente no especifica quiénes son los agentes, cuáles son sus funciones ni cómo se tramitó el ticket.

16 de septiembre

Solicitud en virtud del artículo 15 presentada con cuatro categorías de datos especificadas

17-18 de septiembre

Consulta sobre los datos de la cuenta; el solicitante pide que se remita el asunto al responsable de protección de datos

19 de septiembre

Incidencia cerrada con la misma referencia; sin datos, sin fundamento indicado.

¿A qué derechos da derecho explícitamente al interesado el artículo 15 del RGPD? 

Art. 15, apartado 1, letra a) Finalidades del tratamiento: por qué Valve conserva los datos

Art. 15, apartado 1, letra b) Categorías de datos: qué contiene Valve

Art. 15, apartado 1, letra c) Destinatarios o categorías de destinatarios — **quién recibió los datos (p. ej., el titular de la clave API)**

Art. 15, apartado 1, letra d) Plazo de conservación o criterios para determinarlo

Art. 15, apartado 3 Una copia de los datos personales objeto de tratamiento, es decir, el propio registro de claves API

ART. 12, apartado 3 Se requiere una respuesta en un plazo de **un mes** a partir de la fecha de recepción; cualquier prórroga deberá comunicarse en el plazo de ese mes. El plazo aún no había vencido en el momento de la publicación. **Art. 12, apartado 4:** Si el responsable del tratamiento no toma medidas, deberá explicar los motivos e informar al interesado de las vías de reclamación.

Procedimiento de reclamación ante las autoridades reguladoras — para cualquier usuario 

Cualquier usuario que haya presentado una solicitud en virtud del artículo 15 del RGPD a Valve y no haya recibido una respuesta conforme (o una respuesta de denegación con un texto predefinido sin datos) podrá presentar una reclamación ante la autoridad de control de su Estado miembro de la UE o del EEE. El establecimiento de Valve en la UE es Valve GmbH, con sede en Hamburgo, por lo que la autoridad de control principal para las reclamaciones transfronterizas es la **Delegado de Hamburgo para la Protección de Datos y la Libertad de Información (HmbBfDI)**. (El representante a que se refiere el artículo 27 de Valve también tiene su sede en Hamburgo; la dirección de un representante no determina por sí sola cuál es la autoridad competente.) También se puede presentar una reclamación ante la autoridad del propio Estado miembro del reclamante, con arreglo al artículo 77.

[Formulario de reclamaciones de HmbBfDI ↗](https://datenschutz.hamburg.de/beschwerde) [Texto del RGPD (artículos 12, 15 y 77) ↗](https://eur-lex.europa.eu/eli/reg/2016/679/oj/eng) [archivado 2026-09-20 ↗](https://web.archive.org/web/20260920024236/https://eur-lex.europa.eu/eli/reg/2016/679/oj/eng) [Directrices del CEPD ↗](https://edpb.europa.eu)

Número de referencia del ticket para cualquier reclamación: **HT-2YBP-F7JP-D4VB** — que se recoge en este expediente como un caso documentado.

Un caso documentado 

### Los registros existen; el interesado no los ha recibido.

El abogado de Valve describió los registros de correlación a nivel de dispositivo en una carta de 1 de octubre de 2025. El 19 de septiembre de 2026 se archivó una solicitud en virtud del artículo 15 relativa a la misma clase de registros, remitiéndose al solicitante a una página de autoservicio que, según este, no contenía dichos registros, sin que se indicara el fundamento jurídico correspondiente. El ticket HT-2YBP-F7JP-D4VB es un caso documentado; si esto refleja una práctica más generalizada es una cuestión que debe resolver la autoridad de control, que puede solicitar a Valve sus registros de tramitación.

Artículos 12, 15 y 77 del RGPD / Autoridad de control 

Se puede presentar una reclamación en virtud de los artículos 12 y 15 directamente ante la autoridad de control competente sin coste alguno (artículo 77). La autoridad podrá imponer medidas correctoras, incluidas órdenes de cumplimiento de la solicitud de acceso, y multas con arreglo al artículo 83, apartado 5, letra b), por vulneraciones de los derechos de los interesados. Conservar la referencia original del billete y cualquier respuesta Valve (o la ausencia de la misma) refuerza la reclamación.

[Consulta la plantilla del DSAR →](https://phishdestroy.io/steam_dossier/es/index#dsar-playbook)

Parte C — Marcos jurídicos · Artículo 19 · Derecho contractual 

## El acuerdo de suscripción frente a la propia arquitectura de la plataforma

Contexto y límites de la fuente

Los autores no son abogados y nada de lo aquí expuesto constituye asesoramiento jurídico. La cita de la SSA procede de la revisión del 10 de septiembre de 2026; una revisión diferente puede tener un texto distinto, y la numeración de las cláusulas ha cambiado a lo largo de las distintas revisiones; comprueba la cláusula con la versión que regulaba la conducta en cuestión. Los argumentos de los artículos 25 y 32 exponen lo que exige el reglamento, no que una autoridad de control haya constatado una infracción. Las cifras del argumento 1 recogen los límites de ámbito de aplicación establecidos en la sección 13.

Tres de las disposiciones fundamentales de la SSA chocan con la forma en que está diseñada la plataforma: la prohibición del uso comercial frente a un límite máximo de precios en el «Mercado» que empuja las ventas de alto valor fuera de la plataforma; la cláusula de responsabilidad del usuario por las claves API, frente a un punto final de claves que, antes de 2023, no exigía un segundo factor de autenticación; y la redacción relativa a la aplicación de la normativa, frente a un registro público que no muestra ninguna medida de aplicación por parte de los operadores. Que estas contradicciones afecten a la aplicabilidad es una cuestión que debe resolver un tribunal; en esta sección se exponen los hechos que se presentarían ante un tribunal.

Argumento 1 / Arquitectura de la capitalización bursátil 

### El límite máximo del mercado y la prohibición de uso comercial

El mercado comunitario Steam tiene un límite máximo de cotización de aproximadamente $1,800. En cinco mercados, según una instantánea obsoleta (23 de septiembre de 2026), 248 categorías de artículos CS2 tienen precios fijos en dos o más de esos mercados que superan dicho límite máximo; dichos artículos **no se pueden vender a esos precios en la propia plataforma de Valve**. Los propietarios que deseen esos precios recurren a mercados de terceros, que funcionan con cuentas Steam y la API Steam —la SSA las considera de carácter comercial, salvo que se autorice expresamente lo contrario—.

Los artículos superan el límite máximo del Mercado → los mercados de terceros cubren esa diferencia → dichos mercados utilizan cuentas Steam y la API Steam → la SSA prohíbe el uso comercial sin autorización → no se ha publicado ningún registro de autorizaciones. La comisión combinada del Mercado Comunitario, de aproximadamente 15%, se aplica únicamente a las ventas realizadas dentro del Mercado, no a estas transacciones externas.

Argumento 2 / Arquitectura de seguridad de las claves API 

### La vulnerabilidad de la clave API como un problema de diseño de la plataforma, más que como una negligencia por parte del usuario

Antes de 2023, el punto final de creación de claves API de Steam aceptaba una solicitud POST con un «sessionid» sustraído y generaba una credencial con privilegios elevados. **sin confirmación por correo electrónico, sin autenticación de dos factores ni verificación mediante dispositivo**. Las denuncias de secuestro de API recopiladas en esta investigación siguen un patrón común: script del atacante, cookie de sesión robada, creación silenciosa de claves e interceptación de transacciones (la carga útil de la solicitud se muestra en la sección 8).

El artículo 25 del RGPD (protección de datos desde el diseño) y el artículo 32 (seguridad del tratamiento) exigen la adopción de medidas técnicas adecuadas al riesgo. La emisión de una credencial susceptible de ser interceptada en el tráfico de datos sin un segundo factor de autenticación ni notificación al titular es una cuestión de diseño que incumbe al responsable del tratamiento. La cuestión de si, en ese contexto, puede invocarse la cláusula del SSA que atribuye la responsabilidad al usuario es competencia de los tribunales y de la autoridad de control.

Argumento 3 / Visibilidad en tiempo real 

### Valve recibe el nombre de host de autenticación en cada inicio de sesión

El nombre de host de autenticación llega al punto final OpenID de Valve en texto sin cifrar en `openid.return_to` y `openid.realm` (la estructura de la solicitud se muestra en la sección 3). Su extracción es una operación estándar. A fecha de 2026-09-22, en 26 pares, el dominio principal figuraba en el filtro de enlaces, mientras que el host que albergaba su inicio de sesión Steam no lo hacía. Valve no ha publicado ningún registro de aplicación por operador, por lo que, a partir de los datos públicos, no se puede determinar si se ha aplicado alguna medida distinta del filtro de enlaces a estos hosts.

¿Quién corre con los gastos? 

### La tendencia observada en las reclamaciones archivadas

En las reclamaciones analizadas, la respuesta del servicio de atención al cliente de Steam ante una denuncia de suplantación de una clave API sigue siempre el mismo patrón: rechazar la restauración, hacer hincapié en la responsabilidad del usuario respecto a la cuenta y su clave API, y cerrar el ticket. En este informe no se estima ninguna cifra global sobre el número de cuentas afectadas ni sobre el valor perdido; tampoco se ha localizado ninguna fuente que proporcione dicha cifra.

La cuestión no es si los usuarios individuales cometieron errores. La cuestión es quién es responsable de una arquitectura que, hasta 2023, permitía que una solicitud POST con una cookie robada creara una credencial de negociación con privilegios elevados sin notificación alguna y sin autenticación de dos factores.

El SSA como documento frente al SSA como contrato 

### Un tribunal que evaluara este expediente no interpretaría la SSA de forma aislada.

Lo leería junto con la carta del abogado de octubre de 2025 en la que se describen la correlación a nivel de dispositivo, las fechas de registro del host de autenticación, las marcas de tiempo de registro por lotes, la carga útil de la solicitud de la clave API y los diez años transcurridos entre las notificaciones de julio de 2016 y las plataformas que seguían operando en septiembre de 2026. Ese es el expediente que Valve tendría que abordar.

SSA en relación con el expediente / puntos clave 

- «Sin uso comercial»: el límite máximo del mercado empuja las ventas de alto valor hacia mercados comerciales de terceros

- «Los usuarios son responsables de las claves API»: no habrá autenticación de dos factores en el punto final de las claves hasta 2023

- «Tomamos medidas contra los infractores»: no se ha publicado ningún registro de sanciones por operador desde julio de 2016

- «Has aceptado las condiciones»: en el patrón de secuestro, la aceptación la envía un script, no el titular de la cuenta.

Conclusión · Lo que se desprende del expediente y lo que solicitamos 

## Las conclusiones. Los documentos que solicitamos.

Contexto y límites de la fuente

Cada una de las conclusiones que figuran a continuación está vinculada a un registro público con fecha concreta que aparece en las secciones anteriores. Las solicitudes se dirigen a las autoridades que pueden obtener lo único a lo que esta investigación no tiene acceso: los propios registros de aplicación, acceso y tratamiento de Valve.

Cada solicitud se basa en una conclusión fechada. Las autoridades pueden solicitar documentos que esta investigación basada en fuentes públicas no puede exigir.

Lo que se desprende de los registros públicos 

- 44 plataformas activas se autentican a través de un dominio independiente registrable: 27 con un archivo de pruebas publicado por ruta y 17 procedentes de una recopilación manual y que figuran por separado. A fecha de 2026-09-22, 26 pares tenían el dominio principal bloqueado en el filtro de enlaces Steam, mientras que el servidor que alojaba su página de inicio de sesión no lo estaba: csgogem.com bloqueado, `api.csgem.com` registrado desde marzo de 2014. Steam recibe ese nombre de host en `openid.realm` y `openid.return_to` cada vez que se inicie sesión. [Sección 3](https://phishdestroy.io/steam_dossier/es/index#proxy-bypass-explainer)

- El 13 de julio de 2016, Valve dio a conocer públicamente dicho mecanismo y lo prohibió, y las notificaciones de su abogado, de fecha 20 de julio de 2016, fijaron un plazo de diez días. En los diez años transcurridos desde que venció dicho plazo, no se ha publicado ningún registro de medidas coercitivas por operador. [Artículo 11](https://phishdestroy.io/steam_dossier/es/index#case-study-section)

- El punto final de la clave de la API web Steam emitía una credencial con privilegios elevados y apta para operaciones bursátiles basándose únicamente en una cookie de sesión, sin ningún factor de autenticación adicional antes de 2023. [Sección 5](https://phishdestroy.io/steam_dossier/es/index#vulnerability-profile)

- Una solicitud en virtud del artículo 15 del RGPD (ticket HT-2YBP-F7JP-D4VB) se cerró al cabo de tres días con un enlace al autoservicio y sin datos. [Artículo 18](https://phishdestroy.io/steam_dossier/es/index#gdpr-live-case)

Lo que pedimos a cada autoridad 

Comisión de Juegos de Azar del Estado de Washington

Vuelve a abrir el expediente de 2016. Solicita un informe detallado, operador por operador, sobre qué cuentas, bots y hosts de retorno se desactivaron tras los avisos de diez días, y qué operadores recuperaron posteriormente el acceso. [Sección 2](https://phishdestroy.io/steam_dossier/es/index#wsgc-public-address)

HmbBfDI (Hamburgo; Valve GmbH)

Comprobar si la respuesta prevista en el artículo 15 cumplió con la obligación del responsable del tratamiento y exigir la divulgación de los registros de registro y acceso de la clave API pertinentes para identificar al autor. [Artículo 18](https://phishdestroy.io/steam_dossier/es/index#gdpr-live-case)

Coordinadores de servicios digitales de la DSA

Incluye la ruta de auth-host en el registro como aviso y, una vez documentada la información, evalúa si la respuesta de Valve cumple con sus obligaciones. [Artículo 16](https://phishdestroy.io/steam_dossier/es/index#dsa-accountability)

Cualquier interesado

Utiliza la plantilla del artículo 15 para solicitar los mismos registros para tu propia cuenta; un registro conservado puede servir para determinar quién inició un restablecimiento o quién creó una clave. [Apéndice G](https://phishdestroy.io/steam_dossier/es/index#dsar-playbook)

La única petición que subyace a las cuatro es la misma: publicar los registros relativos a la aplicación de la normativa, el acceso y el tratamiento de datos que solo Valve conserva. Una advertencia en la página de inicio, una carta con un plazo de diez días y una página de autoservicio son manifestaciones de control. Si se ejerció o no dicho control es una pregunta que el registro público no puede responder, pero que sí puede responder un organismo regulador.

Anexos: pruebas documentales principales y materiales de trabajo

Apéndice A — Correspondencia con los abogados 

## Memorándum probatorio — material facilitado por la Fuente 1

Base probatoria y estado de las fuentes de la correspondencia con el abogado en la que se basa lo expuesto en los artículos 1, 18 y 19.

**Base empírica y estado de la fuente: documentos facilitados por la Fuente 1**
El usuario cuya expulsión definitiva dio lugar a esta auditoría no es el objeto de la misma. En este informe no se examina si dicha expulsión estuvo justificada, y este expediente no la defiende ni la cuestiona. La cuenta no es lo importante. Lo que importa es el material: **Fuente 1** — El titular de la cuenta bloqueada, que recibió la correspondencia que figura a continuación del abogado de Valve en su calidad de interesado de su propia solicitud en virtud del RGPD — facilitó dicha correspondencia y los expedientes adjuntos, junto con el derecho a consultarlos públicamente. Se omite el nombre; los documentos se describen por fecha, metadatos del autor y hash.

Dicha correspondencia se envió en respuesta a una solicitud en virtud del RGPD/DSAR. En el transcurso de la misma, el abogado de Valve hizo constar en el expediente, mediante firma, una declaración en la que describía una funcionalidad que el servicio de asistencia de Steam había indicado previamente a los usuarios que no era técnicamente posible. El párrafo que se cita a continuación es dicha declaración.

El análisis adicional que han realizado los autores del extracto de registro obtenido es **omitido en este expediente** a la espera de una revisión independiente. Ninguna otra parte de esta investigación se basa en ello.

La admisión que consta en el expediente: telemetría persistente a nivel de dispositivo 

En el apartado 1.9 de la carta atribuida al abogado de Valve, los abogados de Valve afirman: *«Entre 2019 y 2023, esta cuenta se utilizó principalmente desde un dispositivo que también se empleó para iniciar sesión en docenas de cuentas Steam robadas».*

**El hecho:** El abogado de Valve describe aquí la correlación a nivel de dispositivo entre cuentas a lo largo de cuatro años. El servicio de asistencia de Steam ha comunicado a las víctimas de robos que el seguimiento de los artículos robados o la vinculación de cuentas a dispositivos no era técnicamente posible. Steam Guard La autorización de dispositivos está documentada públicamente, por lo que la existencia de registros por dispositivo no es en sí misma una novedad; lo que sí es nuevo es la confirmación por escrito del abogado de que dichos registros se conservan y se correlacionan entre cuentas a lo largo de períodos de varios años.

**Por qué es importante:** La correlación que puede vincular un dispositivo con docenas de cuentas pirateadas a lo largo de cuatro años corresponde al mismo tipo de registro que, según el Servicio de Asistencia, no podía facilitar a las víctimas. Los registros de ese tipo permitirían identificar cuentas y dispositivos en una cadena de robo y reventa. Qué registros existen, cuánto tiempo se conservan y en qué se basa la decisión de no facilitárselos a los interesados son cuestiones que debe abordar la autoridad de control.

Fuente: carta del abogado de Valve, con fecha del 1 de octubre de 2025, apartado 1.9, y su anexo en formato PDF de 830 páginas · recibida por la Fuente 1 en respuesta a una solicitud en virtud del artículo 15 del RGPD · SHA-256 del anexo registrado en [disclosure-audit.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/regulatory-review/disclosure-audit.json) · No se reproduce el texto de la carta; se omiten los nombres de las cuentas y los datos de terceros.

Estado: abrir

Los materiales originales están disponibles en el archivo de pruebas.

Apéndice B — El PDF generado · comprobación de la censura 

## La censura que aparece en el PDF generado es meramente estética: el texto ocultado sigue pudiendo extraerse.

El abogado de Valve respondió a una solicitud de acceso en virtud del RGPD con un anexo de 830 páginas en el que los datos ocultados se han tachado sobre el texto en lugar de eliminarlos. **902,270 caracteres aparecen debajo de las barras negras y se extraen directamente con una herramienta de extracción de texto** — incluidos los identificadores de terceros que las barras debían ocultar. Aquí solo se publican las cifras agregadas; no se reproduce ningún contenido protegido y el propio apéndice no se publica.

1. Resultados de la comprobación geométrica 

Respuesta en virtud del artículo 15 del RGPD, con fecha del **1 de octubre de 2025** Iba acompañado de un apéndice en formato PDF de 830 páginas (metadatos del creador de Aspose.PDF para .NET, creados y modificados en la misma fecha). Los autores realizaron una comprobación de la geometría a nivel de página: para cada página, se localizaron los rectángulos opacos, casi negros, superpuestos a la capa de texto y se contaron los caracteres extraíbles que se encontraban debajo de ellos.

Medido en el archivo generado

902,270

Caracteres que aún se pueden extraer de debajo de las barras negras

Contados, no estimados. Se trata de un recuento de los personajes incluidos, no de víctimas, reidentificaciones o incidentes.

830 / 830

Páginas afectadas: todas las páginas

986

Rectángulos sobre texto extraíble

1,329

Rectángulos negros opacos en total

Las barras negras se superponen a la capa de texto; no la eliminan. El texto que se encuentra debajo de las barras puede extraerse con herramientas estándar de PDF. Solo se publican las cifras globales; aquí no se reproduce ningún contenido oculto.

Demostración forense: separación de capas

MAQUETA DE SUPERPOSICIÓN VECTORIAL DE ASPOSE.PDF PARA .NET (APÉNDICE, PÁG. 412)

Denuncia presentada contra la cuenta: [INICIO DE SESIÓN: redacted_user_667]

Motivo indicado por el usuario: [TEXTO: «Un usuario denuncia la presencia de artículos duplicados en el inventario y conductas comerciales abusivas...»]

Primer plano: <path fill="#000" /> Vulnerabilidad: El flujo UTF-8 subyacente permanece intacto

Fuente: Apéndice en formato PDF de la carta del abogado del 1 de octubre de 2025 (830 páginas, metadatos del creador de Aspose.PDF para .NET) · calculado por los autores, método y recuento por página en [disclosure-audit.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/regulatory-review/disclosure-audit.json) · El SHA-256 del apéndice se incluye en el mismo archivo · El apéndice en sí no se publica.

2. Por qué esto es importante para la respuesta del interesado 

**El abogado de Valve envió este expediente a un interesado en respuesta a una solicitud de acceso a sus propios datos.** Las barras que aparecen son meramente estéticas: el texto que hay debajo nunca se eliminó, por lo que los identificadores de terceros que se pretendía ocultar con esas barras llegaron al destinatario junto con el archivo. Una censura que se elimina con una herramienta de extracción de texto no oculta nada y, además, impide que el destinatario pueda determinar qué información se reveló y cuál no.

El artículo 15, apartado 4, es la razón por la que existen esas restricciones: el derecho a obtener una copia no debe afectar negativamente a los derechos y libertades de terceros. Esa es la obligación que esta producción no cumplió. Corresponde a la autoridad de control determinar si se trata de una violación de datos personales con arreglo al artículo 4, apartado 12; la divulgación en sí misma es cuantificable en el archivo y reproducible por cualquier persona que disponga de los mismos bytes: el SHA-256 está publicado, pero el anexo no.

**Lo que había debajo de las barras no eran números de cuenta.** Se trataba del conjunto de denuncias presentadas por los usuarios contra el solicitante, con los nombres de sus autores adjuntos: Steam inicios de sesión que, dado que rara vez se utiliza un inicio de sesión únicamente en Steam, identifican a la persona que hay detrás de ellos — **Según el recuento de los autores, más de 60% de los usuarios mencionados en el documento son totalmente identificables** — junto con el texto original, sin censurar, de lo que escribieron. Dicho texto incluye amenazas de muerte e insultos dirigidos a la nacionalidad del solicitante. Algunas de las personas así identificadas son menores de edad. **La producción entregó una lista con los nombres de los periodistas a la persona a la que habían denunciado.**, que es precisamente el perjuicio que el artículo 15, apartado 4, pretende evitar.

**El orden de los caracteres del archivo es tan importante como su contenido.** La solicitud se respondió en un primer momento con la exigencia de aportar más pruebas de identidad, alegando que la dirección de correo electrónico con seudónimo del solicitante no incluía su nombre; la cuenta fue bloqueada de forma permanente durante el retraso que se produjo a continuación. La carta que finalmente facilitó los datos, más de seis semanas después del plazo de un mes establecido en el artículo 12, apartado 3, amenazaba al destinatario con un proceso penal y retenía el resto de sus propios datos hasta que explicara la actividad de su cuenta al abogado. La divulgación también aclara dos cuestiones que Valve no había respondido públicamente: los registros presentados muestran que la vinculación de cuentas se remonta a 2019, y una telemetría interna de una profundidad que Valve nunca ha descrito.

**Ámbito de aplicación de esta sección:** La observación que aquí se presenta se limita a los aspectos técnicos de la redacción, tal y como se aprecian en el expediente tal y como se ha presentado. El análisis más detallado que han realizado los autores de los registros presentados queda en suspenso a la espera de una revisión independiente y no se tiene en cuenta en ninguna otra parte de este expediente.

Prueba: carta del abogado de 1 de octubre de 2025 y su anexo en formato PDF (SHA-256 registrado en el archivo de auditoría); [Medidas y método en PDF a nivel de página ↗](https://phishdestroy.io/steam_dossier/steam_tos_assets/regulatory-review/disclosure-audit.json). La secuencia de la solicitud, la denegación de la página 8 y la descripción de los registros divulgados se exponen en detalle en el relato de PhishDestroy, [«Mi perro contra los abogados expertos en el RGPD», 17 de agosto de 2026 ↗](https://phishdestroy.medium.com/my-dog-vs-elite-gdpr-lawyers-the-valve-data-breach-nobody-is-talking-about-f6f7683d813d) [archivado 2026-08-21 ↗](https://web.archive.org/web/20260821155801/https://phishdestroy.medium.com/my-dog-vs-elite-gdpr-lawyers-the-valve-data-breach-nobody-is-talking-about-f6f7683d813d). En este caso se han omitido los nombres de las cuentas y los datos de terceros; no se reproduce nada de lo que quedan ocultos tras las barras.

> **En la página 8 de la carta de presentación se deniega parte de la solicitud y se expone el motivo por escrito:** No es posible facilitar información más detallada debido a la protección de los datos personales de otros usuarios de la plataforma Steam… — No es posible dar una respuesta más detallada, ya que hay que proteger los datos personales de otros Steam usuarios. El anexo de 830 páginas se encontraba en el mismo paquete. Lo que ocultaban las barras no eran números de cuenta: se trataba de las denuncias presentadas contra el solicitante, con los nombres de sus autores y los mensajes originales sin censurar adjuntos. El titular de la cuenta había solicitado a Valve, a través de su abogado, su propio expediente; lo que pudo extraer de él eran datos de otras personas. Nada de lo que figura en este anexo tiene que ver con quién dibujó los recuadros. Lo que queda claro es que la protección Valve invocada como motivo para la retención es precisamente la protección que esta misma entrega no respetó, en el mismo sobre, el mismo día.

Apéndice C — Anexos 

## Documentación de apoyo y correspondencia jurídica

El formato de los registros del archivo y los enlaces a las dos piezas expuestas, que se analizan en detalle en otras secciones de este dossier, en lugar de repetirse aquí. Cada pie de foto indica lo que muestra y lo que no muestra la imagen.

Dónde se discuten las demás pruebas documentales 

Anexo A: Notificación de julio de 2016 (reconstrucción) Renderizado

Generado en tiempo real, no como una captura de pantalla, en [Sección 11 — el aviso de julio de 2016](https://phishdestroy.io/steam_dossier/es/index#valve-demand-letter). Reconstrucción a partir del texto publicado por la prensa el 21 de julio de 2016; no es un escaneo del original.

Anexo B: Ticket del RGPD HT-2YBP-F7JP-D4VB Cerrado el 19 de septiembre de 2026

Las dos capturas de pantalla conservadas, sus valores hash SHA-256 y el análisis completo se encuentran en [Sección 18: el caso real del RGPD](https://phishdestroy.io/steam_dossier/es/index#gdpr-live-case). Presentada el 16 de septiembre de 2026; archivada con un enlace a la página de datos de la cuenta, sin datos y sin que se indique el fundamento jurídico de la denegación.

Anexo C: Archivo de pruebas (registro de muestra) Se muestra

Ejemplo de un registro guardado del archivo consultable de publicaciones públicas de GitHub, Reddit y comentarios; cada afirmación del archivo lleva su propia atribución y requiere su propia comprobación probatoria.

Image: [Exhibit C: Example of a saved archive record](https://phishdestroy.io/steam_dossier/steam_tos_assets/archive-record.png)

Anexo C · Ejemplo de un registro guardado en el archivo de pruebas (una incidencia pública de GitHub tal y como se conserva en la versión 2026-09-17). Solo ilustra el formato del registro. · Archivo: [archive-record.png](https://phishdestroy.io/steam_dossier/steam_tos_assets/archive-record.png) · SHA-256 `329abcc434407981fc8d203201f80ec650c61de70a88fcfbb69860aebf8e5613` ([screenshot-manifest.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/screenshot-manifest.json)).

Apéndice D — Recogida de muestras 

## Documentos primarios seleccionados

Seis registros del archivo: tres incidencias de GitHub en los sistemas de seguimiento de Valve y tres cuentas de Reddit con resultados controvertidos de la asistencia técnica. Cada fuente se mantiene vinculada a la reclamación, al texto guardado y a la cuestión que plantea.

1 / 6

Elige un registro de origen 

GH-01 / GITHUB Abrir en la compilación guardada

### Claves de hardware, solicitadas en 2016

ValveSoftware / steam-for-linux · n.º 4521 · 2016-06-27

Un usuario solicitó a Valve que admitiera las llaves de hardware U2F como segundo factor de autenticación alternativo. La incidencia guardada lleva las etiquetas «Solicitud de función» y «Revisada», y su estado figura como «abierta».

> Solicito que Steam admita los llaveros USB U2F como alternativa.
> 
> [Extracto de la incidencia de GitHub ↗](https://github.com/ValveSoftware/steam-for-linux/issues/4521)

Expediente documentado

Una solicitud antigua para una medida de seguridad adicional en la cuenta, publicada en el propio sistema de seguimiento de incidencias de Valve y marcada como «revisada».

Exigencia de rendición de cuentas

Publica la decisión sobre el producto, la fecha de respuesta y la protección concedida tras la revisión.

[Leer el registro guardado](https://phishdestroy.io/steam_dossier/es/steam_evidence_archive?source=GitHub&record=484)[Abrir GitHub ↗](https://github.com/ValveSoftware/steam-for-linux/issues/4521)

[En el dossier: Medidas de seguridad de la cuenta →](https://phishdestroy.io/steam_dossier/es/index#consent-analysis) Archivo n.º 484 · compilación 2026-09-17

GH-02 / GITHUB Abrir en la compilación guardada

### Informes de fallos sin una opción de exclusión efectiva

ValveSoftware / steam-for-linux · n.º 6459 · 2019-08-18

El autor del informe describe un problema con el cliente Steam, detectado el 12 de agosto de 2019 en Ubuntu 16. Afirma que la desactivación del destino de «crash-upload» no se mantuvo tras reiniciar el sistema, e incluye la configuración correspondiente.

> Si desactivo la `ServerURL`, se sobrescribe cada vez que se reinicia el sistema.
> 
> [Extracto de la incidencia de GitHub ↗](https://github.com/ValveSoftware/steam-for-linux/issues/6459) [archivado 2026-04-19 ↗](https://web.archive.org/web/20260419051343/https://github.com/ValveSoftware/steam-for-linux/issues/6459)

Expediente documentado

Una reclamación específica sobre privacidad que incluye la fecha del cliente, el sistema operativo y un extracto de la configuración. El incidente guardado está abierto.

Exigencia de rendición de cuentas

Identifica la investigación, las versiones afectadas y el cambio que hizo efectiva la exclusión voluntaria.

[Leer el registro guardado](https://phishdestroy.io/steam_dossier/es/steam_evidence_archive?source=GitHub&record=467)[Abrir GitHub ↗](https://github.com/ValveSoftware/steam-for-linux/issues/6459) [archivado 2026-04-19 ↗](https://web.archive.org/web/20260419051343/https://github.com/ValveSoftware/steam-for-linux/issues/6459)

[En el expediente: Solicitar los documentos correspondientes →](https://phishdestroy.io/steam_dossier/es/index#dsar-playbook) Archivo n.º 467 · compilación 2026-09-17

GH-03 / GITHUB Abrir en la compilación guardada

### Se ha notificado un uso indebido de un ticket de autenticación a Valve

ValveSoftware / Source-1-Games · n.º 3857 · 2022-02-26

El autor alega que el equipo de administración del servidor conservó Steam tickets de autenticación después de que los jugadores se desconectaran y utilizó listados de servidores engañosos. En la publicación se pide a Valve que se pronuncie sobre este comportamiento.

> Hacer que parezca que sus servidores están a rebosar.
> 
> [Extracto de la incidencia de GitHub ↗](https://github.com/ValveSoftware/Source-1-Games/issues/3857)

Expediente documentado

Una denuncia por abuso público presentada en el sistema de seguimiento de Valve el 26 de febrero de 2022. Su estado guardado es «abierto»; la denuncia incluye enlaces a capturas de pantalla.

Exigencia de rendición de cuentas

Elabora el informe de la investigación y el registro de medidas correctivas relativos al uso indebido del ticket de autenticación que se ha denunciado.

[Leer el registro guardado](https://phishdestroy.io/steam_dossier/es/steam_evidence_archive?source=GitHub&record=768)[Abrir GitHub ↗](https://github.com/ValveSoftware/Source-1-Games/issues/3857)

[En el dossier: Alcance del conjunto de datos →](https://phishdestroy.io/steam_dossier/es/index#evidence-base) Archivo n.º 768 · compilación 2026-09-17

RD-01 / REDDIT Perfil del autor

### 44 compras en el mercado objeto de litigio

r/DotA2 · nombre de usuario oculto · 2022-07-07

El autor informa de 44 compras no autorizadas en Market el 6 de julio de 2022 y de unas pérdidas de aproximadamente $500+. Afirma que la autenticación de dos factores estaba activada y describe las repetidas respuestas tipo que recibió del servicio de atención al cliente.

> Ya es el segundo ticket que envío y todavía no he recibido ninguna respuesta de Steam que no sea una plantilla copiada y pegada automáticamente.
> 
> [Fragmento de la publicación de Reddit ↗](https://www.reddit.com/r/DotA2/comments/vt76ov/funds_stolen_through_steam_market_disappointed/) [archivado 2025-03-20 ↗](https://web.archive.org/web/20250320082450/https://www.reddit.com/r/DotA2/comments/vt76ov/funds_stolen_through_steam_market_disappointed/)

Expediente documentado

Un relato detallado de unas compras objeto de disputa, con enlaces a capturas de pantalla de las transacciones y una respuesta del servicio de atención al cliente. Las cantidades y los hechos son según lo relatado por el autor.

Exigencia de rendición de cuentas

Conciliar las compras objeto de disputa con los registros de transacciones y de sesiones. Explicar los fundamentos en los que se basa la decisión del servicio de atención al cliente.

[Leer el registro guardado](https://phishdestroy.io/steam_dossier/es/steam_evidence_archive?source=Reddit&record=4533)[Abrir Reddit ↗](https://www.reddit.com/r/DotA2/comments/vt76ov/funds_stolen_through_steam_market_disappointed/) [archivado 2025-03-20 ↗](https://web.archive.org/web/20250320082450/https://www.reddit.com/r/DotA2/comments/vt76ov/funds_stolen_through_steam_market_disappointed/)

[En el dossier: Apoyo y cumplimiento →](https://phishdestroy.io/steam_dossier/es/index#enforcement-standard) Archivo n.º 4,533 · compilación 2026-09-17

RD-02 / REDDIT Perfil del autor

### Una suspensión definitiva y la imposibilidad de recurrir

r/ohnePixel · nombre de usuario oculto · 2024-12-09

El autor cuestiona la suspensión permanente y afirma que el servicio de asistencia se basó en una supuesta transferencia de cuenta y en denuncias de la comunidad. Describe los tickets cerrados y sus planes de solicitar sus datos personales.

> Les expliqué mi situación y les pedí más detalles, pero se mantienen firmes en su decisión y van a cerrar mis incidencias.
> 
> [Fragmento de la publicación de Reddit ↗](https://www.reddit.com/r/ohnePixel/comments/1hahqx2/permanently_banned_steam_account_without_a_clear/)

Expediente documentado

Una descripción de la apelación conservada, que incluye los motivos que, según el autor, respaldan la ayuda prestada y enlaces a cuatro imágenes. La fecha de la publicación procede de la exportación de la ayuda seleccionada.

Exigencia de rendición de cuentas

Identifica las pruebas en las que se basa la prohibición permanente y los recursos disponibles para impugnarla. El hecho de desestimar un recurso no explica la decisión.

[Leer el registro guardado](https://phishdestroy.io/steam_dossier/es/steam_evidence_archive?source=Reddit&record=4766)[Abrir Reddit ↗](https://www.reddit.com/r/ohnePixel/comments/1hahqx2/permanently_banned_steam_account_without_a_clear/)

[En el expediente: Solicitar los documentos correspondientes →](https://phishdestroy.io/steam_dossier/es/index#dsar-playbook) Archivo n.º 4,766 · compilación n.º 2026-09-17

RD-03 / REDDIT Perfil del autor

### Un reinicio de la recuperación y una pérdida declarada de $10,000

r/legaladvice · nombre de usuario oculto · 2025-05-09

El autor alega que el servicio de atención al cliente restableció las credenciales y desactivó las medidas de protección de la cuenta después de que otra persona presentara una solicitud de recuperación. Denuncia una pérdida de aproximadamente US$10,000 de una cuenta inactiva.

> Steam El servicio de asistencia me ha restablecido la contraseña y ha desactivado todas las medidas de seguridad de mi cuenta.
> 
> [Fragmento de la publicación de Reddit ↗](https://www.reddit.com/r/legaladvice/comments/1kipjde/got_10k_stollen_from_steam_inventory_due_to_steam/)

Expediente documentado

Una denuncia conservada sobre cómo el proceso de recuperación anula las medidas de seguridad de la cuenta. La publicación guardada recoge lo que, según el autor, le comunicó el servicio de atención al cliente.

Exigencia de rendición de cuentas

Identifica quién autorizó el restablecimiento, las pruebas de titularidad que se aceptaron y el registro de acceso. La recuperación de la cuenta forma parte de los controles del sistema de seguridad Valve.

[Leer el registro guardado](https://phishdestroy.io/steam_dossier/es/steam_evidence_archive?source=Reddit&record=4592)[Abrir Reddit ↗](https://www.reddit.com/r/legaladvice/comments/1kipjde/got_10k_stollen_from_steam_inventory_due_to_steam/)

[En el expediente: Solicitar los documentos correspondientes →](https://phishdestroy.io/steam_dossier/es/index#dsar-playbook) Archivo n.º 4,592 · compilación 2026-09-17

Seis registros seleccionados. Las descripciones de GitHub recogen la compilación guardada. Las publicaciones de Reddit conservan los relatos de los autores.

[Descarga los seis discos ↓](https://phishdestroy.io/steam_dossier/steam_tos_assets/selected-evidence-records.json)

La versión con función de búsqueda contiene **16,319 registros distintos**: 393 en Trustpilot, 5,635 en Reddit, 2,395 en GitHub, 276 entradas en la web y 7,620 en la wiki. Varias entradas pueden referirse al mismo evento. La exportación principal, de 40,448 filas, tiene un alcance diferente.

[Buscar en todo el archivo ↗](https://phishdestroy.io/steam_dossier/es/steam_evidence_archive) · [Generar manifiesto ↗](https://phishdestroy.io/steam_dossier/steam_tos_assets/archive_manifest.json) · [Ámbito y recuentos del conjunto de datos →](https://phishdestroy.io/steam_dossier/es/index#evidence-base)

Apéndice E — Estudio de caso 

## ArchiSteamFarm y la cláusula de automatización

Una herramienta de código abierto para la «farming» de tarjetas que, según su propia sección de preguntas frecuentes, funciona en millones de cuentas, lo que contraviene la cláusula del Acuerdo de Suscripción (§ 4.C) que prohíbe la automatización. Los mecanismos —lo que una granja tiene que comprar a Valve antes de poder producir nada, por qué todas las formas de cobrar una tarjeta incumplen la licencia, el historial de aplicación de la normativa y quién modera la economía de las tarjetas— se describen detalladamente en [Anexo V ↗](https://phishdestroy.io/steam_dossier/es/card_economy).

El Contrato de Suscripción Steam, en su apartado 4.C, establece lo siguiente:

«No está permitido utilizar ningún tipo de script, bot, macro u otros sistemas no controlados por personas («automatización») para interactuar de ninguna manera con el Contenido y los Servicios de Steam». — [Steam Contrato de suscripción, artículo 4.C (vigente) ↗](https://store.steampowered.com/subscriber_agreement/) [archivado 2026-09-18 ↗](https://web.archive.org/web/20260918014700/https://store.steampowered.com/subscriber_agreement/)

**Valve se encarga de hacer cumplir esta cláusula. Lo hace muy bien.** Las preguntas frecuentes de **ArchiSteamFarm (ASF)** — una herramienta de código abierto que, según su propia documentación, se ejecuta en **más de unos cuantos millones de cuentas Steam** Desde su primer lanzamiento, hace más de 11 años, reproduce tres Steam mensajes del servicio de asistencia en los que se expulsaba de forma permanente a los usuarios que gestionaban redes de bots. Valve detectó las redes, las identificó y las desmanteló. Por lo tanto, la cuestión relevante no es si Valve es capaz de detectar la automatización a gran escala.

La página web oficial del proyecto [ArchiSteamFarm Preguntas frecuentes](https://github.com/JustArchiNET/ArchiSteamFarm/wiki/FAQ) aborda directamente el riesgo de una prohibición:

«Esto es muy poco probable, teniendo en cuenta que ASF se utiliza en más de unos cuantos millones de cuentas Steam desde su lanzamiento, hace ya más de 11 años; pero sigue siendo una posibilidad, independientemente de la probabilidad real».

«Valve reconoce claramente que existen los «Steam holgazanes», tal y como se afirma aquí, así que, si me preguntas, estoy bastante seguro de que, si no les parecieran bien, ya habrían hecho algo al respecto en lugar de señalar que podrían causar problemas en lo que respecta a VAC. **La palabra clave aquí es «juegos de inactividad» (por ejemplo, ASF), y no «juegos de inactividad».**"

— ArchiSteamFarm Preguntas frecuentes, JustArchiNET. [Fuente: Wiki de GitHub ↗](https://github.com/JustArchiNET/ArchiSteamFarm/wiki/FAQ) · verificado palabra por palabra 2026-09-22

En la misma sección de preguntas frecuentes, a la pregunta «¿Han expulsado a alguien por eso?» se responde con **Sí**, y reproduce lo que Steam Support escribió a tres de ellos:

1,000+ bots · prohibido comerciar 
*«Parece que esta cuenta se utilizó para gestionar una red de cuentas de bots. El uso de bots constituye una infracción del Acuerdo de suscriptor Steam».*

Más de 170 bots · bloqueados de forma permanente, rebajas de invierno de 2017 
*«Esta cuenta se utilizó para coleccionar ilegalmente tarjetas coleccionables en Steam, así como para actividades relacionadas, no solo de carácter comercial. La cuenta ha sido bloqueada de forma permanente y el servicio de atención al cliente de Steam no puede ofrecer asistencia adicional sobre este asunto».*

Más de 120 bots · bloqueados de forma permanente 
*«Esta y otras cuentas se utilizaron para saturar nuestra infraestructura de red, lo que constituye una infracción de las normas de conducta en línea Steam».*

— Steam Mensajes de asistencia reproducidos en la ArchiSteamFarm sección de preguntas frecuentes, apartado «¿Han expulsado a alguien por eso?». [Fuente ↗](https://github.com/JustArchiNET/ArchiSteamFarm/wiki/FAQ) · verificado palabra por palabra 2026-09-22

**Coloca los dos discos uno al lado del otro.** Se identifica a un usuario particular que utiliza 1,000 bots de farming, se le informa de que «el uso de bots constituye una infracción del Steam Acuerdo de Suscriptor» y se le expulsa de forma permanente. Las plataformas comerciales incluidas en este informe gestionan cuentas automatizadas Steam como actividad principal, a una escala mucho mayor, y se autentican a través del propio OpenID de Valve en cada inicio de sesión; sin embargo, no se ha publicado ningún registro de medidas disciplinarias por operador para ninguna de ellas. **La cláusula es válida. La cuestión es a quién va dirigida.**

Aquí no se acusa a la ASF de nada, y su interpretación de la postura de Valve es propia: su autor afirma claramente que «la ASF no está autorizada por Valve». La herramienta se utiliza aquí como instrumento de medición: muestra que Valve detecta redes de bots, las identifica por escrito y las bloquea de forma permanente. Valve puede zanjar la cuestión con una sola frase publicando qué automatización comercial autoriza y el registro, por operador, de las medidas que tomó con respecto al resto.

Cómo afecta la «farming» de tarjetas a los ingresos de Valve

Las cartas coleccionables obtenidas en el juego se venden en el Mercado de la Comunidad Steam, que cobra una comisión total de aproximadamente 15% por cada venta realizada en el Mercado; la cuenta debe haber gastado $5.00 USD en Steam antes de poder recibir una tarjeta; y para obtener tarjetas es necesario poseer el juego o realizar compras dentro del mismo. Aquí no se estima ninguna cifra de ingresos totales: la escala operativa se indica únicamente tal y como la describe la sección de preguntas frecuentes de ASF. La sección de preguntas frecuentes también recoge Valve características distintivas *"Steam ociosos"* (obtención de cartas) de *«jugadores que no hacen nada»*; véase el [Preguntas frecuentes sobre la peste porcina africana ↗](https://github.com/JustArchiNET/ArchiSteamFarm/wiki/FAQ). Las normas se describen detalladamente en [Anexo V — la escala](https://phishdestroy.io/steam_dossier/es/card_economy#scale) y [la trampa del uso comercial](https://phishdestroy.io/steam_dossier/es/card_economy#licence).

Asunto ArchiSteamFarm — obtención automática de tarjetas

Escala indicada Millones de cuentas (según las preguntas frecuentes de la ASF; no se ha verificado el número exacto de cuentas activas)

Contados, no citados 10,880,610 entradas API en total en el propio grupo Steam de la ASF (5,360,499 sin límite, tal y como muestra Steam): los «millones» de las preguntas frecuentes no son una cifra aproximada, sino un recuento. 88.97% no conllevan Steam prohibición de ningún tipo. [Censo completo de las prohibiciones ↗](https://phishdestroy.io/steam_dossier/es/enforcement_audit)

Información que figura en la propia documentación de la herramienta 

- ASF inicia sesión en las cuentas en modo sin interfaz gráfica y mantiene los juegos en espera para obtener cartas sin iniciar el cliente Steam (según la documentación del proyecto).

- En la sección de preguntas frecuentes se argumenta que Valve es consciente de la existencia de los «Steam holgazanes» y que «si no les parecieran bien, ya habrían hecho algo al respecto».

- No se ha informado de ninguna medida coercitiva específica en más de 11 años (según las preguntas frecuentes); las ventas de tarjetas resultantes dentro del Community Market conllevan una comisión combinada de Steam, que asciende a unos 15%.

- En la sección de preguntas frecuentes se establece un límite máximo recomendado de diez cuentas por operador y se atribuye a Valve: «Esta recomendación se basa en directrices internas de Valve, así como en nuestras propias sugerencias». Valve no ha publicado ninguna directriz de este tipo.

- Límite técnico, según la misma sección de preguntas frecuentes: «Se pueden ejecutar entre 100 y 200 bots con una sola dirección IP y una sola instancia de ASF».

- El tiempo de juego «farmado» lo registra Valve —«suele actualizarse cada 30 minutos aproximadamente»— y el apartado § 4.C incluye «Falsificar estadísticas de juego (por ejemplo, inflar el número de victorias o derrotas, la XP o el tiempo de juego)» como una acción prohibida.

Fuentes 

[Wiki oficial de preguntas frecuentes de JustArchi ASF ↗](https://github.com/JustArchiNET/ArchiSteamFarm/wiki/FAQ) [ArchiSteamFarm repositorio ↗](https://github.com/JustArchiNET/ArchiSteamFarm) [archivado 2026-09-24 ↗](https://web.archive.org/web/20260924181709/https://github.com/JustArchiNET/ArchiSteamFarm)

La cláusula sobre automatización es explícita; en las preguntas frecuentes de la ASF se afirma desde hace años que la herramienta se utiliza en millones de cuentas; no se ha informado de ninguna medida coercitiva específica contra ella. La discrepancia entre la norma y su aplicación queda reflejada en los registros; aquí no se establece la razón de dicha discrepancia.

[Exposición completa La economía de las tarjetas: el proceso, la escala, la licencia y quién la regula ↗ Lo que una granja tiene que comprar a Valve antes de poder producir una sola tarjeta; las dos líneas del § 4.C que definen la «granja de tarjetas» por sus efectos; por qué cualquier forma de canjear una tarjeta incumple la licencia Valve, mientras que Valve cobra una tarifa en la entrada; el historial de cumplimiento, incluida la oleada de VAC de junio de 2025 y la prohibición en cadena por número de teléfono compartido; y los empleados de Valve y moderadores de la comunidad que se encargaban de gestionar los servicios de intercambio de tarjetas y la lista de prohibidos en torno a Steam.](https://phishdestroy.io/steam_dossier/es/card_economy) [El censo de las prohibiciones No le preguntamos a Valve qué tamaño tiene la granja. La medimos. ↗ 10,880,610 cuentas en total (limitadas y no limitadas) leídas del grupo Steam propio de ArchiSteamFarm, al que el software se une automáticamente por defecto al iniciarse por primera vez, a menos que el usuario desmarque la opción de unirse al grupo (lo que incluye tanto a las granjas de bots comerciales como a los jugadores habituales que mantuvieron la configuración predeterminada). 88.97% no tiene ninguna Steam suspensión de ningún tipo; de los 11% que sí la tienen, 99.8% son suspensiones comunitarias meramente simbólicas que nunca impiden seguir operando. Tras cotejarlo con SteamRep, 67.77% de los estafadores de la lista quedan en libertad una vez que se dejan de lado las sanciones del sistema antitrampas. Con desgloses por fecha de registro, ubicación geográfica y permanencia: la escala real, medida, no narrada.](https://phishdestroy.io/steam_dossier/es/enforcement_audit)

Apéndice F — Libro mayor de trabajo 

## Elige una regla. Revisa los registros que coincidan.

Contexto y límites de la fuente

Selecciona una cláusula del Acuerdo de suscripción o de las Normas de conducta en línea; el registro muestra las plataformas registradas etiquetadas bajo dicha cláusula, junto con su dominio principal, el servidor de autenticación declarado y el resultado guardado del filtro de enlaces. El registro describe el alcance de los datos de esta investigación, no constituye una constatación de incumplimiento por parte de ninguna plataforma.

Selecciona una cláusula para ver las plataformas etiquetadas, los servidores de autenticación y los resultados guardados del filtro de enlaces. Abre cada fuente para comprobar la comparación.

Apéndice G — De un modelo de denegación al expediente correspondiente 

## Manual de actuación DSAR: solicitar las pruebas

Recurre al artículo 15 del RGPD para solicitar los datos personales relacionados con la creación de claves API, la recuperación de cuentas y el acceso al servicio de asistencia. Un registro conservado permite comprobar quién inició una acción y en qué se basó la plataforma.

- 01 

### Conserva tu cronología.

Guarda los avisos de la cuenta, los tickets, los identificadores de las transacciones y las fechas en UTC. Protege la cuenta y revisa las opciones de recuperación aplicables al juego y a la transacción.

[Steam Información sobre protección comercial ↗](https://help.steampowered.com/en/faqs/view/365F-4BEE-2AE2-7BDD)

- 02 

### Solicita los datos que se han conservado.

Solicita las marcas de tiempo, las direcciones IP de origen, los eventos clave del ciclo de vida, las confirmaciones de seguridad y las acciones de recuperación relacionadas con la cuenta. Incluye los eventos de acceso al servicio de asistencia y los destinatarios cuando esos datos te conciernan.

- 03 

### Guarda el albarán de entrega.

Utiliza el canal de contacto de privacidad de Valve. El plazo de respuesta habitual es de un mes; si fuera necesario prorrogarlo hasta dos meses más, deberá justificarse dicha prórroga en el plazo de ese primer mes.

[Valve vía de contacto sobre privacidad ↗](https://store.steampowered.com/privacy_agreement/#8) [archivado 2026-09-21 ↗](https://web.archive.org/web/20260921021648/https://store.steampowered.com/privacy_agreement/)

- 04 

### Compara la respuesta.

Compara los registros con tu cronología. Pregunta por los motivos de las omisiones y, si es necesario, recurre a la vía de reclamación ante la autoridad supervisora. Conserva la respuesta tal y como la hayas recibido.

Ámbito de aplicación / Artículo 15 

El derecho de acceso abarca los datos personales conservados, incluidos los que figuran en los registros. No garantiza el acceso a todos los documentos internos, registros reconstruidos ni datos sin censurar sobre terceras personas. Solicita una copia legible y que te expliquen los motivos de cualquier restricción.

[Directrices del EDPB sobre el acceso, apartados 2 y 4 a 6 ↗](https://www.edpb.europa.eu/system/files/2023-04/edpb_guidelines_202201_data_subject_rights_access_v2_en.pdf) · [Artículos 12, 15 y 77 del RGPD ↗](https://eur-lex.europa.eu/eli/reg/2016/679/oj/eng) [archivado 2026-09-20 ↗](https://web.archive.org/web/20260920024236/https://eur-lex.europa.eu/eli/reg/2016/679/oj/eng)

Solicitud de acceso del interesado RGPD / Artículo 15

### Seguridad de la cuenta y registros de acceso

Sustituye los campos entre corchetes antes de enviar el formulario.

```
To: Valve Privacy Team
Subject: Article 15 GDPR request — account security records

Account / SteamID: [YOUR ACCOUNT IDENTIFIER]
Relevant period (UTC): [START] to [END]
Related support tickets: [TICKET REFERENCES]

I request a copy of the personal data concerning me that you retain for this period, including:

1. API-key registration, confirmation, use and revocation events, with available timestamps, source IP addresses, registered domains, device or user-agent information and non-secret key identifiers.

2. Recorded account-recovery actions, password/email/phone changes, Steam Guard removals or resets, confirmation events and the account-related evidence relied on to authorize those actions.

3. Personal data in support-access and administrative-action logs concerning my account, including available dates, purposes, actions and the support entity involved, subject to applicable rights of others.

4. Account-related records used to determine any sanction, and available records of my complaints, reviews and responses.

Please also provide the applicable processing purposes, categories, recipients, retention periods or criteria, and available information about sources where data were not obtained from me.

Where processing relies on my consent, please provide the retained record of the consent relied upon and the wording presented at that time.

Please provide an intelligible electronic copy with time zones and field definitions. Please do not include active credentials or secret tokens. If any requested data are not held, please say so. For any withheld data, please identify the scope and legal basis of the restriction and provide the remainder.

Please acknowledge receipt and respond within the applicable Article 12 period, explaining any necessary extension. I also ask you to preserve relevant existing records while this request is handled.

Name: [YOUR NAME]
Date: [DATE]
```

[Descargar .txt](https://phishdestroy.io/steam_dossier/steam_tos_assets/dsar-request-template.txt)

Qué puede ofrecer una dirección IP de un centro de datos 

### Una discrepancia es un indicio que hay que investigar.

Una solicitud de clave API procedente de la red de un centro de datos, como en el ejemplo del proveedor de alojamiento web planteado en esta investigación, puede resultar relevante si se compara con los registros de inicio de sesión, las confirmaciones y la cronología del usuario. Una dirección IP por sí sola no identifica al autor ni anula automáticamente todas las defensas. La prueba de que un autor malintencionado haya facilitado el consentimiento registrado podría poner en duda la validez de dicho consentimiento; otras bases jurídicas y cuestiones de responsabilidad requieren un análisis por separado.

[Consulta la denuncia archivada sobre la prohibición y el RGPD →](https://phishdestroy.io/steam_dossier/es/steam_enforcement_evidence#support-records)

Apéndice H — Análisis del archivo de Wayback Machine · Estadísticas de asistencia publicadas 

## Volumen de asistencia técnica. Tiempos de respuesta publicados.

Contexto y límites de la fuente

Valve publica estadísticas diarias de asistencia en `store.steampowered.com/stats/support`. Los archivos de Wayback Machine conservan instantáneas históricas de esta página desde 2018 hasta 2026. La relación entre el volumen y el número de empleados que se desprende de estas cifras no es compatible con una revisión humana de cada ticket en los tiempos de respuesta publicados.

Compara las cifras de apoyo archivadas de Valve en las instantáneas guardadas. La metodología explica qué es lo que esas cifras pueden y no pueden medir.

Volumen frente al tiempo de respuesta publicado (2018 → 2026)

### Dos colas en un servicio de atención al cliente, según se desprende de 21 capturas archivadas.

Valve publica las cifras de asistencia en directo en `store.steampowered.com/stats/support`. Cada punto que aparece a continuación corresponde al límite inferior Valve tal y como figuraba en esa página el día en que Internet Archive la capturó, y no es una estimación nuestra. Ambas series representan la misma medida en la misma unidad, por lo que deben situarse en un mismo eje y pueden compararse directamente entre sí.

**Solicitudes de reembolso** — dinero Valve disponible **Seguridad y recuperación de la cuenta** — la cuenta que has perdido

**49-55 min** El límite inferior del reembolso en cada captura desde febrero de 2018 hasta agosto de 2026. A lo largo de ocho años y medio, varía en menos de seis minutos, mientras que el volumen diario de reembolsos varía en un factor de nueve.

**2,4 h → 8,7 h** El límite inferior de la recuperación de cuentas se sitúa en torno a las 2,4 horas en todos los registros hasta diciembre de 2022, salvo en uno. En los tres registros de 2026, Valve publica 10,9 h, 5,8 h y 8,7 h.

**×2,8 → ×13** Cuánto más lenta es la recuperación que los reembolsos, según las propias cifras publicadas por Valve. Se mantiene estable durante cinco años y luego la diferencia aumenta: la cola que se ha ralentizado es aquella en la que es el usuario, y no Valve, quien corre con los gastos.

Fuente: 21 capturas de Wayback Machine de [store.steampowered.com/stats/support](https://web.archive.org/web/20260810154631/https://store.steampowered.com/stats/support), de 2018-02-03 a 2026-08-10; extracción en `VALVE_EVIDENCE_PACK/databases/steam_support_stats_history.json`. Lee los límites junto con las cifras: el gráfico representa el *inferior* límite del rango de Valve impresiones. El límite superior publicado es peor en ambos casos: los reembolsos oscilaron entre 1,5 horas y 1,5 días, y la recuperación, entre 7,0 horas y 3,6 días. Se archivaron dos capturas en una edición localizada de la misma página Valve — 2018-11-03 en checo, 2020-03-25 en francés — y están marcadas como (cs) y (fr) en la tabla; sus cifras aparecen aquí con las palabras de las unidades traducidas y los números tal y como se publicaron, y las cadenas de texto originales se conservan en el archivo de extracción. Cada captura publicó un tiempo de respuesta para ambas colas, y ningún punto de ninguna de las líneas está interpolado. La única cifra de recuperación de 15 minutos, 2020-10-21, está señalada en el gráfico y se ha dejado tal cual: aparece solo en una captura y ninguna otra captura se encuentra dentro de un orden de magnitud de ella. No existe ningún registro entre 2022-12-08 y 2026-02-01; ese vacío de 38 meses en el registro aparece sombreado y no se traza ninguna línea a través de él. Estas cifras describen los tiempos de respuesta publicados. No muestran lo que ocurre en el interior de un ticket, y Valve no ha publicado ninguna cifra de personal con la que compararlas.

Abrir cada captura como una tabla

Todas las capturas archivadas, tal y como se publicaron

| Captura | Reembolsos / día | Respuesta sobre el reembolso | Recuperación / día | Respuesta de recuperación |
| --- | --- | --- | --- | --- |
| 2018-02-03 | 98,788 | De 50,12 minutos a 1,52 horas | 25,662 | De 2,51 horas a 1,80 días |
| 2018-05-07 | 60,494 | De 53,83 minutos a 1,47 días | 24,226 | De 2,45 horas a 2,22 días |
| 2018-08-02 | 69,084 | De 50,27 minutos a 1,59 horas | 28,953 | De 2,44 horas a 22,17 horas |
| 2018-11-03 (cs) | 63,410 | De 49,28 minutos a 1,54 horas | 33,910 | De 2,42 horas a 1,31 días |
| 2019-02-01 | 76,305 | De 50,13 minutos a 1,52 horas | 35,164 | De 2,44 horas a 2,04 días |
| 2019-05-18 | 78,951 | De 51,03 minutos a 3,12 horas | 27,514 | De 2,46 horas a 20,39 horas |
| 2019-09-07 | 78,941 | De 50,65 minutos a 1,66 horas | 28,812 | De 2,42 horas a 13,59 horas |
| 2019-12-13 | 69,589 | De 50,77 minutos a 1,55 horas | 25,322 | De 2,45 horas a 1,13 días |
| 2020-03-25 (fr) | 139,278 | De 49,45 minutos a 1,53 horas | 32,302 | De 2,48 horas a 3,62 días |
| 2020-06-26 | 278,504 | De 48,98 minutos a 2,29 horas | 20,343 | De 2,39 horas a 6,99 horas |
| 2020-10-21 | 107,633 | De 50,80 minutos a 1,54 horas | 20,688 | De 15,33 minutos a 8,62 horas |
| 2021-03-20 | 158,956 | De 50,80 minutos a 1,64 horas | 25,760 | De 2,34 horas a 11,62 horas |
| 2021-06-26 | 547,907 | De 51,93 minutos a 6,73 horas | 29,728 | De 2,40 horas a 15,63 horas |
| 2021-10-10 | 170,103 | De 51,88 minutos a 3,25 horas | 23,989 | De las 2,39 horas a las 13,05 horas |
| 2022-01-31 | 354,386 | De 53,65 minutos a 8,09 horas | 24,391 | De 2,42 horas a 15,29 horas |
| 2022-05-09 | 172,555 | De 51,83 minutos a 1,65 horas | 23,289 | De 2,41 horas a 16,90 horas |
| 2022-09-05 | 153,453 | De 53,67 minutos a 4,15 horas | 23,594 | De 2,45 horas a 1,22 días |
| 2022-12-08 | 181,075 | De 54,83 minutos a 6,67 horas | 27,111 | De 2,46 horas a 18,89 horas |
| 2026-02-01 | 317,762 | De 50,30 minutos a 1,52 horas | 47,197 | De las 10.91 horas a las 21.30 horas |
| 2026-05-09 | 246,776 | De 50,12 minutos a 1,52 horas | 35,264 | De 5,81 horas a 15,60 horas |
| 2026-08-10 | 373,244 | De 52,05 minutos a 2,07 horas | 45,319 | De 8,73 horas a 16,52 horas |

OBSERVACIÓN CLAVE:

A lo largo de **21 capturas de Wayback** En el intervalo comprendido entre 2018-02-03 y 2026-08-10, las solicitudes diarias de reembolso oscilaron entre **60,494** (mayo de 2018) hasta **547,907** (Junio de 2021) — un **9,1× de diferencial**. La cifra de 2026 es 373,244 (+278% respecto a la de febrero de 2018).

A lo largo de esos mismos nueve años, el límite inferior publicado para el tiempo de respuesta de las devoluciones nunca se alejó de un **49–55 minutos** banda: un movimiento total de menos de seis minutos, mientras que la carga de trabajo subyacente se multiplicó por nueve.

Si una persona dedicara tan solo 5 segundos a leer cada ticket, procesar 373,244 tickets al día (cifra actual) le llevaría **22 agentes que trabajan las 24 horas del día, los 7 días de la semana** solo para abrirlas y cerrarlas; en su momento álgido (547,907, junio de 2021) esa cifra asciende a 32.

Si el tiempo de respuesta publicado reflejara el tiempo de tramitación por ticket (aprox. 52 min/ticket), la plantilla simultánea necesaria sería del orden de **13,500 agentes** al volumen actual y ~20,000 en el pico. No se ha encontrado ninguna cifra contrastada sobre el número de empleados de Valve; por lo tanto, aquí no se ha tenido en cuenta.

A continuación: la relación entre volumen y número de empleados no es compatible con una revisión humana de cada ticket en los tiempos de respuesta publicados. Las cifras concuerdan con una primera revisión en gran medida automatizada; no se ha publicado qué proporción se somete a revisión humana.

Por qué es importante para el cumplimiento del RGPD 

El artículo 22 del RGPD prohíbe la toma de decisiones individuales exclusivamente automatizadas que tengan efectos jurídicos significativos, sin que se conceda el derecho a una revisión humana previa solicitud. Si las decisiones de asistencia (cierre de tickets, acciones en la cuenta, denegación de solicitudes de datos) se toman íntegramente mediante scripts automatizados, cada una de esas decisiones que «afecte de manera significativa» al usuario podría infringir el artículo 22.

Entrada **HT-2YBP-F7JP-D4VB** (Apartado 18) se cerró al cabo de tres días con una remisión tipo y sin que se abordara el fundamento jurídico citado. A partir del expediente no se puede determinar si alguien lo revisó; esa es una cuestión que la autoridad de control puede plantear a Valve en virtud del artículo 22 y del artículo 15, apartado 1, letra h).

Fuente: instantáneas de Wayback Machine de store.steampowered.com/stats/support (2018-02-03, 2021-06-26, 2026-08-10) — datos extraídos a VALVE_EVIDENCE_PACK/databases/steam_support_stats_history.json (21 instantáneas, 2018-2026). Nota: el tiempo de respuesta de «~52 min» es el límite inferior de la categoría de reembolsos; la respuesta en materia de seguridad de la cuenta osciló entre 2,4 y 16,5 horas en las mismas instantáneas. 2021-06-26 es el máximo histórico (547,907 solicitudes de reembolso), no un punto medio monótono: el volumen se multiplicó por ~6 entre 2020 y 2021, luego descendió parcialmente antes de recuperarse hasta alcanzar las 373 000 en 2026.

Apéndice I — Alcance del conjunto de datos · recuentos que pueden reproducirse 

## Cuenta los registros. Comprueba el ámbito.

Contexto y límites de la fuente

Cuenta los registros y, a continuación, comprueba las afirmaciones: todas las cifras que aparecen a continuación pueden volver a calcularse a partir de los archivos publicados.

Examina los conjuntos de datos subyacentes, reproduce los recuentos y distingue las filas de origen de los incidentes únicos.

El archivo CSV principal contiene **40,448 filas**. De ellos, **36,516** proceden del canal de phishing «Discord-AntiScam». El resto **3,932** Las filas abarcan GitHub, revisiones, resultados de búsqueda, contenido de foros y otras fuentes, lo que ofrece un índice exhaustivo de los temas planteados por la comunidad y los informes de seguridad.

En ese archivo CSV, 1,690 filas están clasificadas bajo la etiqueta de colección «Vulnerabilidades de seguridad sin parchear», que recoge incidencias históricas de los usuarios y divulgaciones de vulnerabilidades. El seguimiento de estos informes implica revisar la cronología específica de cada versión y el historial público de parches de cada hilo.

El archivo de búsqueda de registros 16,319 es una versión independiente y seleccionada, con su propio manifiesto, diseñada para la exploración local precisa de reclamaciones de usuarios e informes de incidentes específicos.

> Para crear un registro de auditoría fiable, cada registro comunicado por los usuarios debe verificarse cotejándolo con los plazos de compilación documentados y los registros históricos de parches.

Los registros de la colección de la Parte II, por separado **231,829 identificadores únicos de anuncios**, incluyendo 33,509 en la categoría de registro automatizado y 198,320 marcado como transferencias no verificadas. El SHA-256 del archivo de entrada coincide con la medición conservada. Estas cifras describen los intentos de publicación y las transferencias observadas, más que los valores de las transacciones finalizadas o los totales de robos verificados, lo que pone de relieve la necesidad de disponer de registros primarios de la plataforma para medir el impacto económico exacto. [Lista de medidas y hash ↗](https://phishdestroy.io/steam_dossier/steam_tos_assets/part2-measurements.json)

[CSV avanzado ↗](https://phishdestroy.io/steam_dossier/VALVE_EVIDENCE_PACK/databases/TOTAL_VALVE_SCANDALS_MASTER_DB.csv) · [Índice del archivo con función de búsqueda ↗](https://phishdestroy.io/steam_dossier/steam_tos_assets/archive_manifest.json) · [Revisar los registros originales ↗](https://phishdestroy.io/steam_dossier/es/steam_evidence_archive)

Apéndice J — Acerca de esta investigación 

## Valve no publica ningún historial de medidas coercitivas. *Hemos construido uno.*

Independiente. Sin ánimo de lucro. Elaborado exclusivamente a partir de datos públicos. Presentado a las autoridades reguladoras.

**88.97%** La flota de vehículos autónomos no se ve afectada: no hay prohibición de ningún tipo

**67.77%** de los 51,732 estafadores condenados que quedan en libertad

**$26.8M+** Límite mínimo de gasto en tienda para la flota no limitada

**3.6%** dominios de juegos de azar bloqueados por el filtro de enlaces de Valve

**8 años** de incidentes de seguridad registrados

**De qué se trata.** Un informe forense sobre la plataforma Steam de Valve Corporation: su historial de cumplimiento normativo, su economía basada en la acumulación de tarjetas, su marco jurídico y la infraestructura de autenticación que utilizan los operadores de juegos de azar a través del relé OpenID propio de Steam. Todas las cifras pueden verificarse a partir de dos fuentes: la propia API pública de Valve y los conjuntos de datos publicados junto con esta investigación.

**A quién va dirigido.** Las autoridades reguladoras con competencia sobre Valve —la autoridad de control del RGPD en los Países Bajos, la FinCEN, la SEC, el coordinador de servicios digitales de la DSA, la UOKiK y cualquier organismo encargado de hacer cumplir la ley que investigue los flujos financieros vinculados a Steam—. También para periodistas, investigadores y cualquier usuario al que se le haya bloqueado la cuenta de forma permanente, se le haya denegado un reembolso o se le haya sustraído el inventario, y al que se le haya comunicado que no existe posibilidad de recurso.

**La única exigencia.** Valve conserva estos datos con total fidelidad —incluidos los motivos de la prohibición, el espacio de identificación completo y en tiempo real—. Es capaz de ejecutar cualquier consulta de este expediente en cuestión de segundos y ha decidido no publicar nada de ello. La pregunta para cualquier autoridad competente es sencilla: *¿Por qué no?*

**Lo que los autores no afirman.** Durante este trabajo no se completó ningún inicio de sesión en Steam en ninguna plataforma de terceros. Una URL de OpenID facilitada establece los parámetros de la solicitud, no un inicio de sesión completado. El hecho de que exista un dominio registrable independiente no constituye, por sí solo, prueba de evasión. Las fechas de registro son límites mínimos respecto a cuándo podría haber aparecido por primera vez un host en una solicitud de OpenID; no demuestran un uso continuado. Los autores no afirman lo que Valve sabía o pretendía: cada afirmación sobre Valve está vinculada a un documento público con fecha o a una observación con fecha. Cuando no ha sido posible respaldar una afirmación con un documento fuente, se ha eliminado.

Quiénes somos 

PhishDestroy — Investigadores independientes. Sin afiliación alguna con Valve Corporation ni con ninguna de las plataformas aquí mencionadas. Se utilizó una cuenta Steam con el único fin de documentar la solicitud en virtud del RGPD a la que se hace referencia en la sección 18.

Aviso legal 

Investigación de interés público, sin ánimo de lucro y descentralizada. Todos los datos se facilitan «tal cual», sin garantía alguna. Esta publicación no constituye una resolución judicial.

DE DOMINIO PÚBLICO

Licencias 

Todos los derechos cedidos a la humanidad. Se permite reproducir, adaptar y publicar sin necesidad de citar la fuente. Acceso desde la región de la OFAC: prohibido. [Licencia completa y aviso legal →](https://phishdestroy.io/steam_dossier/es/license_disclaimer)