# Dossier Steam: aturan, rute, dan pertanggungjawaban

Canonical: https://phishdestroy.io/steam_dossier/id/index
Language: id
Author: PhishDestroy Team
Publisher: PhishDestroy

> Valve menetapkan pembatasan. Steam menyediakan infrastrukturnya.

PhishDestroy II · Bagian 1 — Ringkasan Perkara Steam / Case File 001

# Aturan mereka. *Sistem mereka.*

Valve menetapkan pembatasan. Steam menyediakan infrastrukturnya.

Enam temuan, masing-masing terkait dengan catatan publik yang tercantum tanggalnya. Bagian-bagian terperinci tersebut disusun dalam urutan yang sama: catatan teknis (Bagian A), catatan peraturan dan penegakan hukum (Bagian B), kerangka hukum (Bagian C), kemudian lampiran yang berisi bukti-bukti utama.

[Baca ringkasan →](https://phishdestroy.io/steam_dossier/id/index#briefing-section)[Bukti · EN ↗](https://phishdestroy.io/steam_dossier/steam_evidence_archive)

Investigasi / Bukti 03 · Bukti

[01 Pertanyaan utama / penegakan hukum yang selektif ## Satu buku peraturan. Penegakan yang tidak merata. Daftar tersebut menunjukkan bahwa layanan komersial menggunakan identitas Steam, inventaris, bot, dan transfer sebagai infrastruktur operasional. SSA melarang eksploitasi komersial dan otomatisasi tanpa izin. Read the rule & 2016 record ↗](https://phishdestroy.io/steam_dossier/id/index#enforcement-standard) [02 Bagian A — Catatan teknis · Bagian 3 ## Situs tersebut diblokir. Namun, rute masuknya tidak diblokir. 26 domain utama yang diblokir. Proksi otentikasi yang ada di balik masing-masing domain tersebut, serta berapa lama proksi tersebut telah beroperasi. Host otentikasi dengan domain terpisah: bukti dari Link Filter ↗](https://phishdestroy.io/steam_dossier/id/index#proxy-bypass-explainer) [03 Bagian 2 — Surat terbuka ## Surat Terbuka kepada Komisi Perjudian Negara Bagian Washington Sepuluh hari berubah menjadi sepuluh tahun. Pertanyaan yang diajukan Komisi pada tahun 2016 kepada Valve belum dijawab dengan data terperinci per operator; surat ini meminta Komisi untuk membuka kembali kasus tersebut. Surat Terbuka kepada Komisi Perjudian Negara Bagian Washington ↗](https://phishdestroy.io/steam_dossier/id/index#wsgc-public-address)

[01 / INVESTIGASI **Daftar Isi →**](https://phishdestroy.io/steam_dossier/id/index#briefing-section)[02 / BUKTI **Bukti · EN ↗**](https://phishdestroy.io/steam_dossier/steam_evidence_archive)[03 / JELAJAHI **Jelajahi · EN ↗**](https://phishdestroy.io/steam_dossier/output_steam_network/index.html)

DOSSIER STEAM / II

## Otentikasi Pihak Ketiga, Penegakan & *Akses Data*

Studi forensik komprehensif mengenai celah struktural, mekanisme pengelakan proxy, penegakan hukum yang selektif, serta tantangan regulasi seputar ekosistem Web API Steam.

[Open account access subsection](https://phishdestroy.io/steam_dossier/id/investigation_part2)

Bagian 1 — Ringkasan Perkara 

## Aturan. Rekor. Pertanyaan-pertanyaan yang belum terjawab.

Konteks & batasan sumber

Enam temuan, masing-masing terkait dengan catatan publik yang tercantum tanggalnya. Bagian-bagian terperinci tersebut disusun dalam urutan yang sama: catatan teknis (Bagian A), catatan peraturan dan penegakan hukum (Bagian B), kerangka hukum (Bagian C), kemudian lampiran yang berisi bukti-bukti utama.

Enam temuan. Masing-masing mengaitkan suatu aturan tertulis dengan catatan bertanggal serta suatu pertanyaan yang dapat diuji berdasarkan bukti tersebut.

1. Host otentikasi dengan domain terpisah — 44 rute · 26 pasangan terpisah 

Catatan daftar penerima bantuan **44 platform yang melakukan otentikasi melalui domain terdaftar tersendiri**. Lima rute lainnya masih dalam proses verifikasi dan menunggu penetapan tanggal RDAP; jika rute-rute tersebut disetujui, jumlah totalnya akan menjadi 47. Rute-rute tersebut tidak termasuk dalam angka 44 maupun dalam tabel usia. — **27 dengan berkas bukti per rute yang telah dipublikasikan** dan 17 yang ditambahkan dari pengumpulan manual, dicantumkan secara terpisah. Dalam **26 pasang filter-split** domain utamanya adalah **DIBLOKIR** di Filter Tautan Steam, sedangkan proxy yang menggunakan informasi login tersebut tidak diblokir. Domain-domain ini bukanlah domain sekali pakai: csgogem.com diblokir, sedangkan `api.csgem.com`, server yang menggunakan nama pengguna Steam, telah terdaftar sejak Maret 2014 — **12 tahun 6 bulan**. Valve menerima nama host tersebut dalam setiap permintaan OpenID, dan menampilkannya kembali kepada pengguna di halaman masuknya sendiri. Tabel lengkap, usia per rute, dan sumbernya terdapat di Bagian 3.

[Ikuti rute ini →](https://phishdestroy.io/steam_dossier/id/index#proxy-bypass-explainer)

2. 2016: mekanisme tersebut diberi nama, batas waktu ditetapkan 

Pada tanggal 13 Juli 2016, Valve secara terbuka menjelaskan bagaimana situs perjudian menggunakan Steam OpenID dan akun perdagangan otomatis, dan pemberitahuan dari penasihat hukumnya tertanggal 20 Juli 2016 menetapkan batas waktu sepuluh hari. Sejak saat itu, belum ada catatan penegakan hukum per operator yang dipublikasikan. Sepuluh tahun setelah batas waktu tersebut ditetapkan, mekanisme dengan nama yang sama masih digunakan pada host otentikasi dengan domain terpisah yang tidak menghasilkan pemblokiran Link Filter pada 2026-09-21.

[Baca surat terbuka untuk WSGC →](https://phishdestroy.io/steam_dossier/id/index#wsgc-public-address)

3. Korelasi perangkat, di atas kertas surat berkop firma pengacara 

Dalam korespondensi yang disajikan di sini, penasihat hukum Valve menjelaskan korelasi pada tingkat perangkat yang menghubungkan satu perangkat dengan beberapa akun — suatu kemampuan yang sebelumnya telah disampaikan oleh Tim Dukungan Steam kepada para pengguna bahwa hal tersebut secara teknis tidak mungkin dilakukan. Pertanyaan yang masih belum terjawab adalah catatan tingkat perangkat apa saja yang dimiliki oleh Valve dan atas dasar apa pemegang akun ditolak aksesnya ke catatan tersebut.

[Baca memorandum tersebut →](https://phishdestroy.io/steam_dossier/id/index#official-memorandum)

4. Ada dua tanggapan terkait akses. Satu menahan data tersebut, satu lagi membocorkannya. 

**Oktober 2025:** Pengacara Valve menanggapi permohonan berdasarkan Pasal 15 dengan lampiran setebal 830 halaman yang bagian-bagian yang disensornya ditutupi dengan cat di atas teks alih-alih dihapus — **902,270 karakter** mengungkap kembali data tersebut dengan alat ekstraksi standar, termasuk pengenal pihak ketiga yang semula disembunyikan oleh batasan-batasan tersebut. Pasal 15 ayat (4) adalah alasan di balik keberadaan batasan-batasan tersebut. **September 2026:** Tiket HT-2YBP-F7JP-D4VB ditutup setelah tiga hari dengan tautan ke halaman Data Akun layanan mandiri — tanpa data, tanpa dasar hukum yang disebutkan. Jangka waktu satu bulan sesuai Pasal 12(3) belum berakhir pada saat publikasi; keberatan ini diajukan atas substansi keputusan tersebut.

[Baca pemeriksaan penyuntingan →](https://phishdestroy.io/steam_dossier/id/index#academic-response)[Baca catatan tiket →](https://phishdestroy.io/steam_dossier/id/index#gdpr-live-case)

5. Pasar berada di atas batas atas Steam 

Steam membatasi harga penawaran di pasar pada sekitar **$1,800**. Di lima pasar berdasarkan data pada tanggal tertentu (23 September 2026), **248 kategori barang CS2** harganya melebihi batas tersebut oleh dua atau lebih di antaranya secara terpisah, dan **keseluruhan 248 orang tidak hadir dari Steam**; harga Dragon Lore baru dari pabrik mulai dari **$10,941** di 389 salinan yang terdaftar di kelima platform tersebut (angka khusus CSFloat pada Bagian 13, berdasarkan snapshot tanggal 20 September, adalah $10,623.95 di 62 penawaran). Penjualan pada harga-harga tersebut memerlukan platform eksternal, sementara transfer item masih berjalan melalui Steam.

[Ikuti perkembangan harga dan transfer →](https://phishdestroy.io/steam_dossier/id/index#market-gap-section)

6. Aturannya jelas; jejak auditnya tidak 

Perjanjian Pelanggan menetapkan Steam untuk penggunaan pribadi dan non-komersial, melarang eksploitasi komersial kecuali jika secara tegas diizinkan, melarang penggunaan skrip dan bot, serta mengizinkan penutupan akun. Valve menerapkan ketentuan tersebut kepada operator perjudian pada tahun 2016. Secara terpisah, menurut akun teknik CSFloat, Valve ditutup `IEconItems_730/GetPlayerItems` Pada tahun 2017, akses publik terhadap ID item asli dihentikan (tidak ditemukan catatan perubahan Valve).

[Letakkan aturan tersebut di samping jaringan →](https://phishdestroy.io/steam_dossier/id/index#enforcement-standard)

[2016 / Permintaan tertulis **10 hari** Batas waktu yang tercantum dalam pemberitahuan yang dikeluarkan oleh penasihat hukum pada Juli 2016 kepada situs-situs perjudian. Surat terbuka kepada WSGC: Bagian 2.](https://phishdestroy.io/steam_dossier/id/index#wsgc-public-address) [2017 / Jejak audit publik **Akses ID ditutup** CSFloat mencatat hilangnya ID item asli.](https://phishdestroy.io/steam_dossier/id/index#evidence-blackout) [Korespondensi penasihat hukum **Korelasi perangkat** Satu perangkat terkait dengan puluhan akun yang dicuri.](https://phishdestroy.io/steam_dossier/id/index#official-memorandum) [Daftar rute **Terblokir, tapi masih bisa masuk** **Aturannya:** Pernyataan Valve tahun 2016 melarang pengoperasian usaha perjudian di Steam OpenID. **Catatan:** Ada 26 domain utama yang terdaftar di Link Filter, sementara server yang menjalankan login Steam masing-masing domain tersebut telah beroperasi selama — server csgogem.com telah beroperasi selama 12 tahun 6 bulan.](https://phishdestroy.io/steam_dossier/id/index#proxy-bypass-explainer)

Bagian 2 — Surat terbuka 

## Surat Terbuka kepada Komisi Perjudian Negara Bagian Washington

Sepuluh hari berubah menjadi sepuluh tahun. Pertanyaan yang diajukan Komisi pada tahun 2016 kepada Valve belum dijawab dengan data terperinci per operator; surat ini meminta Komisi untuk membuka kembali kasus tersebut.

PENGUMUMAN UMUM · KOMISI PERJUDIAN NEGARA BAGIAN WASHINGTON

### Sepuluh hari berubah menjadi sepuluh tahun. *Buka kembali catatan tersebut.*

Kepada Komisi Perjudian Negara Bagian Washington:

Pada tahun 2016, Direktur David Trujillo meminta Valve untuk menunjukkan langkah-langkah yang telah diambil guna menghentikan penggunaan skin Steam untuk perjudian. Ketua saat itu, Chris Stearns, dan Komisi berhadapan dengan industri yang dibangun di atas barang-barang yang diterbitkan oleh Valve dan transfer Steam. Keduanya kini telah meninggalkan jabatan mereka di Komisi. Pertanyaan yang mereka ajukan kepada Valve belum kedaluwarsa.

Penasihat Hukum Valve, Karl Quackenbush, memberi waktu sepuluh hari kepada operator perjudian untuk menghentikan penggunaan komersial akun-akun Steam. Dalam tanggapannya pada bulan Oktober kepada Komisi Anda, Valve membantah telah memfasilitasi perjudian, menyatakan telah mengirimkan surat peringatan untuk menghentikan kegiatan tersebut kepada lebih dari empat puluh situs, dan menyatakan telah menonaktifkan akun-akun yang terkait. Perusahaan tersebut juga membela keputusannya untuk mempertahankan layanan perdagangan Steam dan OpenID karena layanan-layanan tersebut bermanfaat bagi pelanggan dan pengembang game. **Itu merupakan upaya untuk menunjukkan kekuasaan. Hal itu layak diuji, bukan hanya diterima begitu saja.**

Menurut penilaian kami, jawaban Valve tidak menunjukkan bahwa tindakan penegakan yang dipilihnya sesuai dengan skala jaringan yang dijelaskannya. Surat ancaman kepada seorang operator tidak sama dengan pemblokiran permanen terhadap akun-akun Steam, infrastruktur perdagangan, dan jalur otentikasi yang menjadi landasan berjalannya bisnis tersebut. Perkiraan yang dilaporkan menyebutkan bahwa [CS:GO Lounge sendiri mencatatkan volume taruhan lebih dari $1 miliar pada tahun 2016](https://dotesports.com/counter-strike/news/csgo-lounge-billion-bets-3896); itu adalah perkiraan dari pihak luar mengenai jumlah taruhan, bukan pendapatan Valve, dan operasi taruhan berbasis kulit yang semula dijalankan situs tersebut kemudian ditutup. Skala tersebut membuat penegakan hukum yang dapat diverifikasi menjadi sangat penting.

Hari ini, milik Valve sendiri [Perjanjian Pelanggan](https://store.steampowered.com/agreement/?l=english) [diarsipkan 2026-09-21 ↗](https://web.archive.org/web/20260921022032/https://store.steampowered.com/agreement/?l=english) membatasi eksploitasi komersial kecuali jika secara tegas diizinkan, serta secara terpisah melarang bentuk-bentuk otomatisasi tertentu. Kami [daftar rute yang sudah kedaluwarsa](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit.json) catatan yang dinyatakan sebagai OpenID mengembalikan host untuk layanan eksternal; `openid.realm` dan `openid.return_to` adalah bidang-bidang yang dikirimkan ke Steam, bukan rahasia yang disembunyikan darinya. Kami [Pemeriksaan Filter Tautan](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-all-results.json) menunjukkan kasus-kasus di mana alamat utama telah diberi peringatan, tetapi host login yang terkait tidak. Hasil penyaringan saja tidak dapat membuktikan bahwa Valve mengizinkan proses login atau bahwa bot tertentu berhasil menghindari pemblokiran akun. **Hal ini memang membuktikan bahwa peringatan di laman beranda tidak dapat dijadikan jawaban yang lengkap mengenai akses.**

Keberadaan fungsi perdagangan dan OpenID yang bermanfaat serta sah Steam juga tidak dapat menjawab apakah operator yang dilarang benar-benar telah dikecualikan. Aturan Valve sendiri memperbolehkan pengecualian secara tegas. Jika Valve mengandalkan perbedaan tersebut, Komisi harus memintanya untuk mengidentifikasi izin, kontrol akun, dan kriteria penegakan yang berlaku bagi bisnis skin komersial, serta penggunaan non-perjudian spesifik yang diajukannya pada tahun 2016. Kemungkinan penggunaan yang sah semata-mata bukanlah jawaban atas penggunaan terlarang yang telah didokumentasikan.

Kami meminta Komisi untuk meninjau kembali berkas tahun 2016 dan meminta laporan terperinci per operator: akun Steam dan bot perdagangan mana saja yang dinonaktifkan setelah pemberitahuan sepuluh hari; apakah akun terkait atau server pengembalian dipantau; operator mana saja yang kemudian mendapatkan kembali aksesnya; pengecualian apa saja yang diberikan; dan catatan apa yang mendukung pernyataan Valve kepada Komisi. Publikasikan apa yang diizinkan oleh undang-undang untuk diperiksa oleh publik. Bandingkan catatan tersebut dengan rute saat ini dan dengan intervensi Valve selanjutnya, termasuk [OPSkins pada tahun 2018](https://blog.counter-strike.net/expresstrade/) [diarsipkan 2026-03-07 ↗](https://web.archive.org/web/20260307161538/https://blog.counter-strike.net/expresstrade/).

**Pemberitahuan tersebut menetapkan batas waktu sepuluh hari pada bulan Juli 2016; sepuluh tahun sudah cukup lama untuk menentukan apakah hal tersebut telah dilaksanakan.** Komisi sebaiknya membandingkan laporan keuangan Valve tahun 2016 dengan infrastruktur yang masih dapat diamati hingga saat ini.

Penyelidikan Dossier Steam · Pernyataan Publik, 20 September 2026

[Pengumuman Komisi Tahun 2016 ↗](https://wsgc.wa.gov/news/2016/washington-state-gambling-commission-orders-valve-stop-skins-gambling) [diarsipkan 2026-05-20 ↗](https://web.archive.org/web/20260520012601/https://wsgc.wa.gov/news/2016/washington-state-gambling-commission-orders-valve-stop-skins-gambling) · [Tanggapan Valve tahun 2016 (salinan dokumen) ↗](https://fr.scribd.com/document/328063293/Valve-s-Oct-18th-response-to-Washington-State-Gambling-Commission-s-cease-and-desist) · [Pernyataan OpenID Valve tahun 2016 ↗](https://store.steampowered.com/oldnews/22883) [diarsipkan 2026-09-21 ↗](https://web.archive.org/web/20260921021947/https://store.steampowered.com/oldnews/22883) · [Perjanjian saat ini Steam ↗](https://store.steampowered.com/agreement/?l=english) [diarsipkan 2026-09-21 ↗](https://web.archive.org/web/20260921022032/https://store.steampowered.com/agreement/?l=english) · Kronologi pertukaran tahun 2016: [Bagian 11 →](https://phishdestroy.io/steam_dossier/id/index#case-study-section)

Bagian A — Catatan teknis · Bagian 3 

## Situs tersebut diblokir. Namun, rute masuknya tidak diblokir.

**26 domain utama yang diblokir. Proksi otentikasi yang ada di balik masing-masing domain tersebut, serta berapa lama proksi tersebut telah beroperasi.** Host otentikasi terpisah ini bukanlah alamat sekunder yang bersifat insidental — masing-masing merupakan sebuah **proksi otentikasi untuk Steam**, yang berada di antara platform dan titik akhir OpenID milik Valve serta menangani proses masuk yang tidak lagi dapat dilakukan secara terbuka oleh domain yang diblokir. Valve menempatkan pintu masuk utama pada Link Filter. Proses masuk tetap berjalan melalui proxy: csgogem.com diblokir, dan `api.csgem.com` telah terdaftar sejak Maret 2014 — **dua belas setengah tahun**. Setiap hari, server tersebut mengirimkan nama hostnya sendiri ke titik akhir OpenID milik Valve, dan Steam langsung menampilkannya kembali kepada pengguna di halaman masuk. **Valve adalah jalur utama yang dilalui oleh setiap rute ini; jalur tersebut tidak perlu mencari rute-rute tersebut.** Itulah yang diukur dalam bagian ini: bukan apakah ada peringatan, melainkan berapa tahun rute di belakang peringatan tersebut tetap terbuka. Terdapat 44 rute dengan domain terpisah dalam daftar, 27 di antaranya dilengkapi dengan berkas bukti per rute yang telah dipublikasikan — lihat tabel di bawah ini. Perhatikan satu contoh, lalu ukur semuanya.

### Gambar 3.1 — Kedua rute tersebut, digambarkan.

Satu platform, satu pengguna, dua permintaan yang dikirim dari browser yang sama. Fitur Link Filter milik Valve berfungsi pada keduanya. Fitur ini memblokir permintaan yang berisi tautan dan membiarkan permintaan yang berisi data login. Semua data yang diukur dalam bagian ini menunjukkan berapa lama rute bawah tetap terbuka.

Geser diagram ke samping →

Tautan diposting pada Steam — dihentikan Permintaan masuk — disetujui Cek yang disimpan tertanggal 19 dan 21 September 2026

**Kedua permintaan tersebut terlihat oleh Valve, dan hanya satu yang ditindaklanjuti.** Filter Tautan adalah daftar Valve, yang diperiksa oleh layanan Valve. Permintaan OpenID membawa nama host otentikasi itu sendiri ke titik akhir Valve, yang langsung menampilkannya kembali di halaman login. Nama host tersebut tetap ada dalam permintaan — perbedaannya terletak pada apakah ada tindakan yang dilakukan terhadapnya atau tidak.

**Satu platform. Dua rute yang berbeda.** ROLLBIT / CATATAN YANG TELAH DISIMPAN

**01** PEMERIKSAAN FILTER LINK

TUJUAN**rollbit.com** Domain utama platform tersebut

FILTER STEAM LINK**Memeriksa tautan tersebut** Sistem peringatan tujuan yang terpisah

HASIL YANG DISIMPAN**Tautan diblokir** 19 dan 21 September 2026

**02** RUTE MASUK YANG TERAMATI

DI PERON**Masuk dengan Steam** Platform tersebut memulai permintaan OpenID

HOST OTENTIKASI TERPISAH**rbsnin.com** Tidak ada blok Filter Tautan dalam pemeriksaan yang disimpan

STEAM**Formulir masuk telah ditampilkan** Host yang diminta tercantum dalam pemberitahuan Steam

**Mulailah dari tujuan.** rollbit.com adalah domain utama platform ini. Jalur pertama ini menampilkan pengaturan Filter Tautan yang telah disimpan, bukan alur pengguna yang telah selesai.

**Sebuah blok yang terlihat.** Filter Tautan milik Steam menampilkan pesan "Tautan Diblokir!" untuk domain utama. Respons mentahnya telah disimpan.

**Proses otentikasi menggunakan rute lain.** Tindakan "Masuk dengan Steam" pada platform ini memicu permintaan OpenID menggunakan host otentikasi terpisah.

**Nama host yang berbeda.** rbsnin.com tidak menampilkan pemblokiran Filter Tautan pada tanggal 21 September 2026 — pada hari yang sama, dalam pemeriksaan tanpa otentikasi yang sama, rollbit.com justru menampilkan satu pemblokiran. Situs tersebut terdaftar tiga hari sebelumnya, yaitu pada tanggal 18 September 2026.

**Permintaan tersebut mencapai Steam.** Rute yang teramati mengarah ke formulir login Steam. Para penulis tidak menyelesaikan proses login tersebut. Memblokir tautan domain utama tidak menghalangi rute yang teramati ini menuju formulir tersebut.

Periksa catatan pengambilan sampel asli, tanggal pendaftaran, dan rincian protokol

Seperti apa penegakan Valve itu

Domain utama: diblokir

Pengguna

→ 

rollbit.com
(domain utama)

↓

FILTER STEAM LINK — TERBLOKIR 

"Tautan Diblokir!" — ditandai sebagai tautan yang berpotensi berbahaya

rollbit.com menampilkan pemblokiran Filter Tautan pada 2026-09-19 dan 2026-09-21 (pemeriksaan tanpa otentikasi; HTML mentah dan SHA-256 disimpan). Catatan yang terlihat dan dapat diaudit.

Apa yang sebenarnya terjadi — otentikasi

Host otentikasi: tidak diblokir

Pengguna

→ 

rollbit.com
"Masuk dengan Steam"

↓

Pengalihan melalui host otentikasi terpisah: 
`rbsnin.com` Filter Tautan: BERSIH 

terdaftar 2026-09-18T09:34:52Z (Verisign RDAP)

↓

Steam pemberitahuan di halaman masuk (2026-09-20): 
`"Note that rbsnin.com is not affiliated with Steam or Valve"`

Steam menampilkan pemberitahuan ini dari openid.realm pada permintaan yang diterimanya.

↓

Steam formulir login yang disajikan untuk host terpisah 
Proses masuk tidak diselesaikan oleh para penulis; alurnya diamati hingga formulir Steam.

Valve menerima nama host return_to / realm pada setiap permintaan semacam itu. rbsnin.com tidak mengembalikan pemblokiran Link Filter pada 2026-09-21.

Sesuai permintaan

Sebagai penyedia OpenID, Steam menerima nama host otentikasi pada setiap permintaan otentikasi: nama host tersebut tiba di server milik Valve di `openid.return_to` dan `openid.realm` parameter.

Dikirim oleh situs ini

Host otentikasi tidak terdeteksi melalui pemindaian — platform mengirimkannya ke Steam dalam setiap permintaan. Berdasarkan OpenID 2.0 §9.1 `return_to` secara resmi bersifat opsional, tetapi tanpa itu Steam tidak dapat menampilkan hasil login, sehingga untuk proses login Steam yang berfungsi, hal itu pada dasarnya wajib. Steam bahkan menampilkan nama host kepada pengguna ("*<host> tidak berafiliasi dengan Steam atau Valve*").

14 tahun

adalah usia host otentikasi tertua yang masih memiliki Steam sesi login pada pemeriksaan ke-2026-09-21 (dota2.net, terdaftar pada 2011-10-29); sedangkan yang termuda berusia tiga hari (rbsnin.com). **Jangan mengartikan angka "0 host otentikasi diblokir" sebagai kesimpulan.** Host otentikasi yang diblokir akan langsung membuat fitur "Masuk dengan Steam" pada platform ini tidak berfungsi, sehingga daftar yang disusun berdasarkan login yang berhasil hanya dapat berisi host yang tidak pernah diblokir. Angka yang memiliki arti bukanlah jumlah pemblokiran — melainkan berapa tahun domain utama berada di Filter Tautan sementara proses masuk di sebelahnya tetap berjalan.

Host otentikasi dengan domain terpisah: tanggal pendaftaran vs. domain utama (30 rute: 25 di antaranya berhasil diidentifikasi dalam audit browser 2026-09-21, ditambah 5 yang ditambahkan pada 2026-09-22)

| Platform | Filter Tautan: utama | Host otentikasi | Filter Tautan: host otentikasi | Host otentikasi telah terdaftar | Sumber pengamatan | Berkas bukti |
| --- | --- | --- | --- | --- | --- | --- |
| Rollbit rollbit.com · reg. 2014-11-08 | DIBLOKIR 2026-09-19, 2026-09-21 · [Wayback 2026-09-21](https://web.archive.org/web/20260921022628/https://steamcommunity.com/linkfilter/?url=https:%2F%2Frollbit.com) | `rbsnin.com` | BERSIH 2026-09-21 · [HTML mentah](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/rbsnin.com.20260921T021120Z.html) (tidak ada cuplikan Wayback) | 2026-09-18 09:34:52Z, Verisign RDAP | Steam pemberitahuan halaman masuk, 2026-09-20 | [rollbit.com.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/rollbit.com.json) |
| Skin.Club skin.club · reg. 2017-09-04 | DIBLOKIR 2026-09-19, 2026-09-21 · [Wayback 2026-09-21](https://web.archive.org/web/20260921022740/https://steamcommunity.com/linkfilter/?url=https:%2F%2Fskin.club) | `sc-auth.net` | BERSIH 2026-09-21 · [Wayback 2026-09-21](https://web.archive.org/web/20260921022842/https://steamcommunity.com/linkfilter/?url=https:%2F%2Fsc-auth.net) | 2019-04-02 RDAP | Steam pemberitahuan halaman login | [skin.club.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/skin.club.json) |
| Howl.GG howl.gg · daftar 2017-03-16 | DIBLOKIR 2026-09-18, 19 September, 21 September · [Wayback 2026-09-21](https://web.archive.org/web/20260921022603/https://steamcommunity.com/linkfilter/?url=https:%2F%2Fhowl.gg) | `howl.uno` | BERSIH 2026-09-21 · [Wayback 2026-09-21](https://web.archive.org/web/20260921022636/https://steamcommunity.com/linkfilter/?url=https:%2F%2Fhowl.uno) | 2026-08-11 RDAP | Perekaman layar browser secara langsung + URL OpenID yang disediakan | [howl.gg.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/howl.gg.json) |
| Duelbits duelbits.com · terdaftar 2020-02-03 | DIBLOKIR 2026-09-21 · [Wayback 2026-09-21](https://web.archive.org/web/20260921022840/https://steamcommunity.com/linkfilter/?url=https:%2F%2Fduelbits.com) | `switchflips.com` | BERSIH 2026-09-21 · [Wayback 2026-09-21](https://web.archive.org/web/20260921022901/https://steamcommunity.com/linkfilter/?url=https:%2F%2Fswitchflips.com) | 2020-04-21 RDAP | URL OpenID yang disediakan | [duelbits.com.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/duelbits.com.json) |
| CSGOFast csgofast.com · terdaftar 2015-03-27 | DIBLOKIR 2026-09-19, 2026-09-21 · [Wayback 2026-09-21](https://web.archive.org/web/20260921022758/https://steamcommunity.com/linkfilter/?url=https:%2F%2Fcsgofast.com) | `steam-login.authtofast.com` | BERSIH authtofast.com, 2026-09-21 · [Wayback 2026-09-21](https://web.archive.org/web/20260921022847/https://steamcommunity.com/linkfilter/?url=https:%2F%2Fauthtofast.com) | 2026-06-30 authtofast.com, RDAP | Perekaman layar browser secara langsung + URL OpenID yang disediakan | [csgofast.com.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/csgofast.com.json) |
| Kulit Hewan Ternak farmskins.com · reg. 2016-03-23 | DIBLOKIR 2026-09-19, 2026-09-21 · [HTML mentah](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/farmskins.com.20260921T025840Z.html) | `steam.kobal.cc` | BERSIH 2026-09-19, 2026-09-21 · [HTML mentah](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/steam.kobal.cc.20260921T025844Z.html) | 2017-01-07 kobal.cc, RDAP | Perekaman layar browser secara langsung + URL OpenID yang disediakan | [farmskins.com.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/farmskins.com.json) |
| CobaltLab cobaltlab.tech | DIBLOKIR 2026-09-21 · [HTML mentah](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/cobaltlab.tech.20260921T041604Z.html) | `cobaltauth.com` | BERSIH 2026-09-21 · [HTML mentah](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/cobaltauth.com.20260921T041608Z.html) | 2025-01-07 RDAP | URL OpenID yang disediakan | [cobaltlab.tech.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/cobaltlab.tech.json) |
| CSGO.NET csgo.net · terdaftar 2012-07-22 | DIBLOKIR 2026-09-21 · [HTML mentah](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/csgo.net.20260921T041619Z.html) | `cn2.easylot.net` | BERSIH 2026-09-21 · [HTML mentah](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/cn2.easylot.net.20260921T041623Z.html) | 2016-09-03 easylot.net, RDAP | Perekaman layar secara langsung melalui browser | [csgo.net.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/csgo.net.json) |
| GGDrop ggdrop.com | DIBLOKIR 2026-09-21 · [HTML mentah](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/ggdrop.com.20260921T041637Z.html) | `ggauth.com` | BERSIH 2026-09-21 · [HTML mentah](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/ggauth.com.20260921T041641Z.html) | 2023-05-03 RDAP | URL OpenID yang disediakan | [ggdrop.com.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/ggdrop.com.json) |
| RustChance rustchance.com | DIBLOKIR 2026-09-21 · [HTML mentah](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/rustchance.com.20260921T041703Z.html) | `hgfuihd.com` | BERSIH 2026-09-21 · [HTML mentah](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/hgfuihd.com.20260921T041706Z.html) | 2019-01-27 RDAP | URL OpenID yang disediakan | [rustchance.com.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/rustchance.com.json) |
| Skin.Fans skin.fans | DIBLOKIR 2026-09-21 · [HTML mentah](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/skin.fans.20260921T041710Z.html) | `auth.skinfans.com` | BERSIH 2026-09-21 · [HTML mentah](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/auth.skinfans.com.20260921T041713Z.html) | 2018-07-16 skinfans.com, RDAP | URL OpenID yang disediakan | [skin.fans.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/skin.fans.json) |
| Skinport skinport.com · reg. 2018-09-05 | DIBLOKIR 2026-09-21 · [HTML mentah](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/skinport.com.20260921T041724Z.html) | `skinport.app` | BERSIH 2026-09-21 · [HTML mentah](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/skinport.app.20260921T041728Z.html) | 2020-06-20 RDAP | Perekaman layar browser secara langsung + URL OpenID yang disediakan | [skinport.com.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/skinport.com.json) |
| Skins.Cash skins.cash | DIBLOKIR 2026-09-21 · [HTML mentah](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/skins.cash.20260921T041731Z.html) | `skinscash.live` | BERSIH 2026-09-21 · [HTML mentah](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/skinscash.live.20260921T041735Z.html) | 2019-12-05 RDAP | URL OpenID yang disediakan | [skins.cash.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/skins.cash.json) |
| TF2Hunt tf2hunt.com · terdaftar 2018-01-13 | DIBLOKIR 2026-09-21 · [HTML mentah](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/tf2hunt.com.20260921T041739Z.html) | `rstspcl.com` | BERSIH 2026-09-21 · [HTML mentah](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/rstspcl.com.20260921T041742Z.html) | 2020-08-08 RDAP | Perekaman layar browser secara langsung + URL OpenID yang disediakan | [tf2hunt.com.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/tf2hunt.com.json) |
| CSGOGem csgogem.com · terdaftar 2016-10-16 | DIBLOKIR 2026-09-22 · [HTML mentah](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/csgogem.com.20260922T192355Z.html) | `api.csgem.com` csgem.com — domain terpisah yang dapat didaftarkan | BERSIH 2026-09-22 · [HTML mentah](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/api.csgem.com.20260922T192358Z.html) | 2014-03-08 csgem.com, RDAP — yang paling lama terdaftar | Pengumpulan manual + Penangkapan melalui Filter Tautan | [linkfilter-2026-09-22.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-2026-09-22.json) |
| Gamdom gamdom.com · terdaftar 2016-07-29 | DIBLOKIR 2026-09-22 · [HTML mentah](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/gamdom.com.20260922T192326Z.html) | `login.gambldom.com` gambldom.com — hanya berbeda satu huruf dari merek tersebut | BERSIH 2026-09-22 · [HTML mentah](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/login.gambldom.com.20260922T192330Z.html) | 2017-09-24 gambldom.com, RDAP | Pengumpulan manual + Penangkapan melalui Filter Tautan | [linkfilter-2026-09-22.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-2026-09-22.json) |
| 12CS 12cs.fail · reg. 2026-03-24 | DIBLOKIR 2026-09-22 · [HTML mentah](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/12cs.fail.20260922T192347Z.html) | `fail.games` | BERSIH 2026-09-22 · [HTML mentah](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/fail.games.20260922T192351Z.html) | 2021-08-24 fail.games, RDAP | Pengumpulan manual + Penangkapan melalui Filter Tautan | [linkfilter-2026-09-22.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-2026-09-22.json) |
| CSGOEmpire csgoempire.com · terdaftar 2015-06-10 | BERSIH 2026-09-19, 2026-09-21 · [Wayback 2026-09-21](https://web.archive.org/web/20260921022953/https://steamcommunity.com/linkfilter/?url=https:%2F%2Fcsgoempire.com) | `csgoempirelogin4.com` salah satu dari sepuluh domain bernomor login1–10 | BERSIH 2026-09-21 · [Wayback 2026-09-21](https://web.archive.org/web/20260921022947/https://steamcommunity.com/linkfilter/?url=https:%2F%2Fcsgoempirelogin4.com) | 2020-07-20 05:49:17Z, Verisign RDAP | Perekaman layar browser secara langsung | [csgoempire.com.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/csgoempire.com.json) |
| CS.MONEY cs.money | BERSIH 2026-09-21 · [HTML mentah](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/cs.money.20260921T021131Z.html) | `auth.dota.trade` | BERSIH 2026-09-21 · [HTML mentah](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/auth.dota.trade.20260921T021134Z.html) | 2016-07-15 dota.trade, RDAP | Steam pemberitahuan halaman login | [cs.money.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/cs.money.json) |
| CSFloat csfloat.com · reg. 2021-07-11 | BERSIH 2026-09-21 · [HTML mentah](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/csfloat.com.20260921T041612Z.html) | `csgofloat.com` domain merek lama operator; domain terpisah yang dapat didaftarkan, bukan indikator upaya pengelakan | BERSIH 2026-09-21 · [HTML mentah](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/csgofloat.com.20260921T041615Z.html) | 2015-09-29 RDAP | Perekaman layar secara langsung melalui browser | [csfloat.com.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/csfloat.com.json) |
| G4Skins g4skins.com | BERSIH 2026-09-21 · [HTML mentah](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/g4skins.com.20260921T041630Z.html) | `auth.g4s.to` | BERSIH 2026-09-21 · [HTML mentah](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/auth.g4s.to.20260921T041634Z.html) | 2021-05-30 g4s.to, RDAP | URL OpenID yang disediakan | [g4skins.com.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/g4skins.com.json) |
| Juice.GG juice.gg | BERSIH 2026-09-21 · [HTML mentah](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/juice.gg.20260921T041644Z.html) | `letmeinjuice.com` | BERSIH 2026-09-21 · [HTML mentah](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/letmeinjuice.com.20260921T041648Z.html) | 2024-04-15 RDAP | URL OpenID yang disediakan | [juice.gg.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/juice.gg.json) |
| Market.CSGO market.csgo.com | BERSIH 2026-09-21 · [HTML mentah](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/market.csgo.com.20260921T041652Z.html) | `dota2.net` | BERSIH 2026-09-21 · [HTML mentah](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/dota2.net.20260921T041655Z.html) | 2011-10-29 RDAP | Perekaman layar browser secara langsung + URL OpenID yang disediakan | [market.csgo.com.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/market.csgo.com.json) |
| Rust.TM rust.tm | BERSIH 2026-09-21 · [HTML mentah](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/rust.tm.20260921T041659Z.html) | `dota2.net` | BERSIH 2026-09-21 · [HTML mentah](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/dota2.net.20260921T041655Z.html) | 2011-10-29 RDAP | URL OpenID yang disediakan | [rust.tm.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/rust.tm.json) |
| CSGOLounge csgolounge.com · reg. 2013-08-14 | BERSIH 2026-09-22 · [HTML mentah](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/csgolounge.com.20260922T192333Z.html) | `dota2.net` front-end ketiga di host otentikasi ini | BERSIH 2026-09-22 · [HTML mentah](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/dota2.net.20260922T192340Z.html) | 2011-10-29 dota2.net, RDAP | Pengumpulan manual + Penangkapan melalui Filter Tautan | [linkfilter-2026-09-22.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-2026-09-22.json) |
| Dota2Lounge dota2lounge.com · terdaftar 2012-08-10 | BERSIH 2026-09-22 · [HTML mentah](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/dota2lounge.com.20260922T192337Z.html) | `dota2.net` front-end keempat di host otentikasi ini | BERSIH 2026-09-22 · [HTML mentah](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/dota2.net.20260922T192340Z.html) | 2011-10-29 dota2.net, RDAP | Pengumpulan manual + Penangkapan melalui Filter Tautan | [linkfilter-2026-09-22.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-2026-09-22.json) |
| SkinBaron skinbaron.de | BERSIH 2026-09-21 · [HTML mentah](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/skinbaron.de.20260921T041717Z.html) | `skinbaron.com` merek yang sama, TLD yang berbeda | BERSIH 2026-09-21 · [HTML mentah](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/skinbaron.com.20260921T041721Z.html) | 2015-12-22 RDAP | URL OpenID yang disediakan | [skinbaron.de.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/skinbaron.de.json) |
| TF2Royal tf2royal.com · terdaftar 2022-08-17 | BERSIH 2026-09-21 · [HTML mentah](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/tf2royal.com.20260921T041746Z.html) | `tf2auth.com` | BERSIH 2026-09-21 · [HTML mentah](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/tf2auth.com.20260921T041750Z.html) | 2021-07-27 RDAP | Perekaman layar browser secara langsung + URL OpenID yang disediakan | [tf2royal.com.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/tf2royal.com.json) |
| Tradeit tradeit.gg | BERSIH 2026-09-21 · [HTML mentah](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/tradeit.gg.20260921T041753Z.html) | `connect-tradeit.com` | BERSIH 2026-09-21 · [HTML mentah](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/connect-tradeit.com.20260921T041757Z.html) | 2022-02-23 RDAP | URL OpenID yang disediakan | [tradeit.gg.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/tradeit.gg.json) |
| Peningkat upgrader.pro | BERSIH 2026-09-21 · [HTML mentah](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/upgrader.pro.20260921T041801Z.html) | `upgauth.space` | BERSIH 2026-09-21 · [HTML mentah](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/upgauth.space.20260921T041804Z.html) | 2026-08-14 RDAP | URL OpenID yang disediakan | [upgrader.pro.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/upgrader.pro.json) |

Sumber: steamcommunity.com/linkfilter, permintaan GET tanpa otentikasi, 2026-09-21, 53 host, selang waktu 3 detik; [steam_tos_assets/linkfilter-recheck-2026-09-21.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-recheck-2026-09-21.json); kode HTML mentah dalam `steam_tos_assets/linkfilter-raw/`. Tanggal pendaftaran: RDAP, [steam_tos_assets/pendaftaran-domain.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/domain-registration.json). · Pemeriksaan sebelumnya terhadap 2026-09-19 di [linkfilter-all-results.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-all-results.json) · catatan rute di [auth-route-audit.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit.json) · Tangkapan layar Wayback Machine dari halaman Link Filter, 2026-09-21, yang tercantum dalam [wayback-snapshots.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/wayback-snapshots.json) (tidak ada snapshot untuk rbsnin.com; berkas mentah lokal adalah satu-satunya catatan).

Tanggal pendaftaran: RDAP (`steam_tos_assets/domain-registry/`). "URL OpenID yang disediakan" hanya menentukan parameter permintaan, bukan proses login yang telah selesai. Para penulis tidak menyelesaikan proses login apa pun di platform mana pun. Domain terpisah tidak dengan sendirinya menjadi bukti penghindaran. Demikian pula, "0 host otentikasi diblokir" bukanlah temuan independen: memblokir satu host akan mengganggu proses login Steam platform tersebut, sehingga daftar yang disusun dari proses login yang berfungsi tidak dapat berisi host otentikasi yang diblokir. Pengamatan yang memiliki bobot adalah pasangan tersebut dan durasinya — domain utama pada Filter Tautan di samping domain login yang telah berjalan selama bertahun-tahun. Tabel ini berisi 30 baris: 25 dari 27 rute dengan file bukti per rute, ditambah lima yang ditambahkan pada 2026-09-22 yang pembagian Filter Tautannya tercatat dalam [linkfilter-2026-09-22.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-2026-09-22.json) meskipun data tersebut dikumpulkan secara manual — hal itu tercantum pada kolom sumber. Dua rute berkas bukti yang tidak ditampilkan adalah skinsnipe.com (host otentikasi `pricing.tradeupspy.com`, terdaftar 2020-03-11) dan csgobig.com (host otorisasi `letmeinbig.com`, terdaftar 2023-01-20); keduanya mengembalikan hasil "BLOCKED main / CLEAN auth host" pada pemeriksaan 2026-09-22, yang dicatat dengan SHA-256 di [linkfilter-2026-09-22c.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-2026-09-22c.json), namun kode HTML mentah untuk batch tersebut tidak termasuk dalam kumpulan yang telah dipublikasikan, sehingga rute-rute tersebut disebutkan namanya di sini alih-alih diberi baris tersendiri—sebagaimana dapat dilihat pada setiap baris lainnya dalam tabel ini. 12 rute lainnya yang dikumpulkan secara manual dalam daftar tersebut diidentifikasi sebagai berikut dalam [master_registry.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/master_registry.json) di bawah `realm_src: user`.

Audit Empiris Primer · Rentang Tanggal Multi-Tahun 

### Jebakan Pandangan Besar: Filter Tautan Hanyalah Sandiwara Kepatuhan, Bukan Perisai

Di peramban desktop, pengguna dilindungi oleh sistem pertahanan eksternal: Google Safe Browsing dan Microsoft SmartScreen mencegat upaya phishing yang sudah diketahui dengan menampilkan peringatan berwarna merah yang menutupi seluruh layar. **Di dalam mode Big Picture Steam, overlay dalam game (Shift+Tab), dan Deck Steam (SteamOS), mekanisme pertahanan tersebut tidak tersedia.** Browser bawaan ini tidak mendukung ekstensi apa pun, menonaktifkan mesin Safe Browsing eksternal, dan hanya menyisakan satu lapisan perlindungan bagi pengguna: Valve's `linkfilter` interstisial.

Geser untuk membandingkan keempat hasil →

92.5%

2025–2026: Serangan phishing generasi terbaru **lulus tanpa masalah** (37/40)

77.5%

Era phishing CS2 2023–2024 **lulus tanpa masalah** (31/40)

70.0%

Serangan phishing warisan tahun 2021–2022 **lulus tanpa masalah** (28/40)

7 dari 7

saluran utama perjudian diblokir (kontrol positif)

Audit Longitudinal Multi-Tahun: 120 Domain Phishing Murni Steam Diuji Secara Langsung (24 Sep 2026)

Untuk menguji apakah filter Valve hanya lambat dalam mendeteksi ancaman baru ataukah secara mendasar tidak dapat mendeteksinya sama sekali, kami melakukan audit **120 domain phishing yang terkonfirmasi terkait Steam** pada tiga kelompok historis dibandingkan dengan `steamcommunity.com/linkfilter`:

- **Angkatan 1: 2021–2022 (Penawaran Pertukaran Klasik & Item yang Diterima) — 70.0% Lulus Tanpa Gangguan (28/40).** Bahkan 4 hingga 5 tahun setelah dicatat oleh kelompok pemantau komunitas, 7 dari 10 host phishing lama masih dapat diakses tanpa diblokir sama sekali.

- **Angkatan 2: 2023–2024 (CS2 Beta Hype & Permohonan Dukungan Palsu) — 77.5% Lulus Tanpa Kesalahan (31/40).** Kampanye yang menyamar sebagai pengumuman rilis Counter-Strike 2 dan seruan palsu dari komunitas (misalnya, `cs2-steam.com`, `appealsteamcommunity.help`) langsung menembus.

- **Angkatan 3: 2025–2026 (Penerapan Serverless Edge & Kloning Favicon) — 92.5% Lulus Tanpa Kesalahan (37/40).** Kit phishing modern yang dijalankan di EdgeOne, Vercel, dan Cloudflare Pages (misalnya `steamgifter.online`, `steam-dp4lt5b8fnez.edgeone.dev`) dapat melintas hampir tanpa hambatan.

**Telemetri & Perlindungan dari Tanggung Jawab, Bukan Perlindungan.** Mengapa Filter Tautan ada jika ia membiarkan 70% hingga 92.5% dari phishing murni Steam lolos? Filter ini berfungsi sebagai penafian tanggung jawab perusahaan dan sensor telemetri klik keluar. Dengan menampilkan pesan yang sopan *"Kamu akan pergi Steam"* Pemberitahuan dengan tombol hijau "Lanjutkan" yang dapat diklik, Valve mengalihkan tanggung jawab hukum kepada korban berdasarkan Steam Perjanjian Pelanggan (*"pengguna secara sukarela keluar dari Steam"*). Valve mengumpulkan data telemetri dari klik tersebut, tetapi tidak mencegah pencurian.

**Bukti Hash Favicon: Tidak Ada Pengambilan Data dari Sumber Ancaman.** Platform intelijen ancaman independen (urlscan.io, Shodan, Censys) mengidentifikasi kit phishing Steam yang masih aktif dengan melakukan pencarian sederhana terhadap hash favicon resmi Steam (`page.favicon.hash:9f890a9debcdfccc339149a7943be9aff9e4c9203c2fa37d5671a5b2c88503ad NOT domain:*.steampowered.com`). Pemeriksaan otomatis dasar ini dapat mengidentifikasi kluster phishing aktif dalam hitungan detik. Valve tidak melakukan sinkronisasi dengan sumber data eksternal, tidak menjalankan pencarian ancaman berbasis hash, dan hanya melakukan intervensi secara manual apabila diwajibkan oleh pihak regulator (perintah WSGC tahun 2016 terkait perjudian) atau untuk melindungi rangkaian domain yang telah didaftarkan sebagai merek dagangnya.

**Benda-benda sebagai bukti audit utama:** Audit longitudinal multi-tahun dengan 120 domain: [audit-phishing-uap-longitudinal.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/longitudinal-steam-phishing-audit.json) · 100 sampel phishing khusus Steam: [linkfilter-steam-phishing-100.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-steam-phishing-100.json) · Audit pakan skala luas (n=250): [linkfilter-coverage-2026-09-22.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-coverage-2026-09-22.json).

CSGOEmpire — pendaftaran massal sepuluh domain otorisasi bernomor 

Pada **2020-07-20** sepuluh domain bernomor, `csgoempirelogin1.com` melalui `csgoempirelogin10.com`, telah terdaftar. Cap waktu RDAP Verisign tercatat untuk kesepuluh akun tersebut: login1 05:49:06Z, login5 05:49:08Z, login2 05:49:11Z, login3 05:49:14Z, login4 05:49:17Z, login6 05:49:20Z, login7 05:49:23Z, login8 05:49:26Z, login9 05:49:28Z — **sembilan domain dalam 22 detik** — dan login10 pada pukul 05:56:03Z, tujuh menit kemudian. Jarak waktunya konsisten dengan operasi massal oleh satu registrar.

Pola ini sejalan dengan host cadangan yang telah disiapkan sebelumnya; hanya `login4` Hal ini telah teramati dalam permintaan OpenID yang aktif. csgoempire.com dan csgoempirelogin4.com sama-sama menampilkan hasil "CLEAN" pada Filter Tautan pada 2026-09-21; CSGOEmpire tidak termasuk di antara situs-situs yang disebutkan dalam laporan media mengenai pemberitahuan bulan Juli 2016.

# DNS — semuanya 10 aktif (September 2026)

Oke csgoempirelogin1.com 172,67,129,43

Oke csgoempirelogin2.com 172,67,175,168

Oke csgoempirelogin3.com 188.114.96.3

Oke csgoempirelogin4.com 188.114.96.11 ← dalam lalu lintas OpenID

Oke csgoempirelogin5.com 172,67,160,194

Oke csgoempirelogin6–10.com Alamat IP Cloudflare

NXDOMAIN: csgoempirelogin11.com

Kesepuluh di antaranya terdaftar 2020-07-20; kesepuluh di antaranya dilengkapi cap waktu RDAP (steam_tos_assets/domain-registry/csgoempireloginN.com.rdap.json)

Kesimpulan bagi pihak regulator 

### Domain utama yang diblokir, ditambah dengan host otentikasi yang tidak diblokir, membuat rute masuk tetap terbuka — dan akan tetap terbuka selama bertahun-tahun.

Blok Link Filter di domain utama merupakan catatan publik yang dapat diverifikasi. Host otentikasi mengangkut lalu lintas "Masuk dengan Steam" dan muncul dalam parameter permintaan OpenID milik Valve. Berdasarkan pemeriksaan terhadap 2026-09-21 dan 2026-09-22, dalam 26 pasangan yang dipisahkan oleh filter, domain utama mengembalikan blokir Filter Tautan, sedangkan proxy yang membawa login-nya tidak mengembalikan apa pun. Daftar di atas mengukur separuh lainnya: host-host ini bukanlah domain sementara yang berumur pendek. Beberapa di antaranya telah terdaftar selama lebih dari satu dekade pada tanggal pemeriksaan, dan setiap hari dari periode tersebut merupakan hari di mana Valve menerima nama host tersebut dalam parameter permintaannya sendiri. Valve belum mempublikasikan catatan penegakan per operator, sehingga tidak dapat dipastikan dari data publik apakah ada tindakan lain yang diterapkan pada host-host ini.

12 tahun 6 bulan

csgogem.com diblokir di Filter Tautan.
Host login-nya `api.csgem.com` telah
telah terdaftar sejak 2014-03-08 dan tidak.

Ringkasan dalam Bahasa yang Mudah Dipahami — Untuk Regulator dan Pengadilan (perluas)

Ringkasan dalam bahasa yang mudah dipahami — untuk pihak regulator

### Latar Belakang: Apa Itu Steam dan Mengapa Hal Ini Penting dalam Konteks Ini

Steam adalah platform perangkat lunak yang dioperasikan oleh Valve Corporation (Bellevue, Washington, AS). Steam berfungsi sebagai penyedia identitas digital: situs web perjudian dan permainan di seluruh internet menggunakan sistem yang disebut "Masuk dengan Steam" — sebuah tombol yang memungkinkan situs web memverifikasi bahwa pengunjung memiliki akun Steam yang asli. Hal ini mirip dengan "Masuk dengan Google" atau verifikasi kartu identitas yang diterbitkan pemerintah: situs web tersebut mengarahkan pengguna ke server Steam, Steam mengonfirmasi identitas mereka, dan Steam mengarahkan mereka kembali ke situs web tersebut. **Valve mengelola sistem otentikasi. Setiap proses masuk melalui "Masuk dengan Steam" dilakukan melalui server milik Valve sendiri.**

### Apa yang Dilakukan Valve: Pemblokiran Domain

Pada Juli 2016, menyusul tekanan dari media dan pihak hukum terkait perjudian skin, penasihat hukum Valve mengirimkan surat peringatan kepada sekitar 23 situs perjudian yang disebutkan namanya (menurut laporan pers tanggal 21 Juli 2016); pada Oktober 2016, Valve memberitahukan kepada Komisi Perjudian Negara Bagian Washington bahwa pihaknya telah menghubungi lebih dari empat puluh situs. Beberapa domain perjudian tercantum dalam **Steam Filter Tautan** — daftar yang membuat setiap tautan ke mereka yang diposting di dalam Steam (di obrolan, di halaman profil, di toko) menampilkan halaman peringatan: *"Tautan Diblokir!"* Filter Tautan adalah satu-satunya langkah penegakan yang dampaknya dapat diamati dari luar Valve.

**Contoh:** Tautan ke `rollbit.com` Di bagian Steam muncul halaman peringatan Link Filter (pilihan 2026-09-19 dan 2026-09-21 dicentang). Secara teori, situs judi tersebut diblokir.

### Apa Itu Domain Proksi?

A **Host otentikasi domain terpisah adalah proxy otentikasi**: alamat situs web kedua, di domain terdaftar yang berbeda, yang ditempatkan oleh operator yang sama di antara penggunanya dan Steam semata-mata untuk menjalankan langkah "Masuk dengan Steam". Alamat ini bertindak sebagai perantara dalam proses masuk. Pengguna mengira bahwa mereka sedang masuk ke platform; permintaan yang sampai ke Valve membawa nama host proxy tersebut, bukan nama host platform. Alamat ini biasanya tidak memiliki hubungan yang terlihat secara publik dengan situs perjudian, dan merupakan alamat yang menerima pengguna kembali setelah Steam mengonfirmasi identitas mereka.

**Contoh:** Rollbit beroperasi di bawah `rollbit.com`, yang diblokir oleh Link Filter. Untuk otentikasi Steam, aliran yang teramati pada 2026-09-20 menggunakan alamat terpisah: `rbsnin.com`, terdaftar 2026-09-18. Alamat ini mengembalikan **Tidak ada blok Filter Tautan** pada 2026-09-21. Situs perjudian tersebut tetap beroperasi, dan alur masuk Steam-nya berjalan melalui host yang tidak diblokir.

### Titik Kritis: Host Otentikasi Dikirim ke Steam dalam Setiap Permintaan

Valve tidak perlu melakukan pemindaian atau penelusuran untuk mengetahui host otentikasi mana saja yang sedang digunakan. Steam adalah **Penyedia identitas OpenID** untuk situs-situs ini, dan setiap klik pada tombol "Masuk dengan Steam" akan mengirimkan permintaan GET ke server milik Valve yang berisi nama host otentikasi dalam bentuk teks biasa. Berdasarkan OpenID 2.0 §9.1, `return_to` Kolom ini secara resmi bersifat opsional, tetapi tanpa kolom tersebut Steam tidak dapat menampilkan hasil login, sehingga untuk proses login Steam yang berfungsi, kolom ini pada dasarnya wajib diisi. Steam sendiri menampilkan nama host pada halaman login ("*<host> tidak berafiliasi dengan Steam maupun Valve*").

— Bentuk permintaan Steam yang diterima (host sebagaimana teramati pada Rollbit di 2026-09-20): —

DAPATKAN steamcommunity.com/openid/login

&openid.mode= checkid_setup

&openid.return_to= https://rbsnin.com/… ← secara efektif diperlukan; tercatat dalam log Valve

&openid.realm= https://rbsnin.com ← dinyatakan sendiri oleh situs tersebut; ditampilkan di halaman masuk Steam

Jika situs tersebut menggunakan verifikasi server-ke-server (check_authentication), log Valve juga mencatat alamat IP server platform dan jaringan hostingnya.

Mengambil nama host dari permintaan ini merupakan proses standar. Catatan penegakan — host mana saja yang ditindaklanjuti, mana yang tidak, dan berdasarkan kriteria apa — hanya ada di infrastruktur Valve dan belum dipublikasikan.

### Apa yang Ditunjukkan oleh Hal Ini

**1. Blok Filter Tautan berfungsi pada tautan, bukan pada proses masuk.** Memblokir domain utama (misalnya `rollbit.com`) menampilkan peringatan kepada pengguna yang mengklik tautan ke situs tersebut di dalam Steam. Hal ini tidak menghentikan situs tersebut untuk beroperasi, maupun penggunaan layanan OpenID milik Valve melalui alamat yang berbeda.

**2. Host otentikasi yang diuji tidak diblokir.** Tabel di atas menunjukkan host otentikasi dengan domain terpisah yang terdaftar antara tahun 2011 dan September 2026, beberapa di antaranya terdaftar bertahun-tahun setelah pemberitahuan pada Juli 2016. Pada 26 pasang, domain utama mengembalikan pemblokiran Filter Tautan, sedangkan proxy yang membawa login-nya tidak (pemeriksaan tanpa otentikasi, 2026-09-21 dan 2026-09-22; respons mentah dan SHA-256 disimpan). Proksi tersebut akan berhenti berfungsi pada hari Valve menolaknya, itulah sebabnya ukuran yang digunakan di sini adalah berapa lama proksi tersebut telah berjalan, bukan apakah proksi tersebut terdaftar atau tidak. Valve menerima nama-nama host ini dalam permintaan OpenID-nya sendiri. Apakah ada tindakan lain selain Filter Tautan yang diterapkan tidak dapat ditentukan dari data publik, karena Valve belum mempublikasikan catatan penegakan per operator.

**3. Situs-situs tersebut tetap melakukan otentikasi melalui infrastruktur Valve.** "Masuk dengan Steam" adalah layanan dari Valve; setiap proses otentikasi melalui layanan ini merupakan permintaan yang diterima dan diproses oleh Valve. Valve juga memperoleh pendapatan dari case keys, dan Steam Community Market mengenakan biaya gabungan sekitar 15% untuk transaksi yang diselesaikan di dalam Market (bukan pada perdagangan eksternal). Tindakan Link Filter menciptakan catatan publik; hal itu tidak mengganggu hubungan otentikasi.

Apakah Pemblokiran Itu Akan Berhasil?

Sebagai perbandingan: ketika penyedia pendaftaran domain gratis Freenom menghentikan operasinya pada tahun 2023, kampanye phishing yang bergantung pada domain-domainnya pun terhenti. Kelangsungan operasional bergantung pada stabilitas infrastruktur.

Logika yang sama berlaku di sini. Jika sebuah host otentikasi ditolak dalam proses OpenID Steam, fungsi "Masuk dengan Steam" pada platform tersebut akan mengalami gangguan hingga host baru terdaftar, sertifikat diterbitkan, dan propagasi DNS selesai. Selama periode tersebut: terjadi downtime.

**Rotasi tidak membuat upaya memblokir menjadi sia-sia.** Hal ini menjadikan pemblokiran sebagai biaya operasional. Karena host baru muncul dalam log permintaan Valve sendiri pada penggunaan pertama, respons dapat berjalan dengan kecepatan yang sama seperti pada penggunaan pertama tersebut.

**Pendaftaran massal itu sendiri merupakan sebuah sinyal:** Akun login1–login10 milik CSGOEmpire terdaftar pada tanggal 2020-07-20, sembilan di antaranya dalam waktu 22 detik (Verisign RDAP). Respons tidak harus diberikan per domain; serangkaian pendaftaran yang dilakukan secara berurutan dalam satu sesi pendaftar dapat diidentifikasi sebagai satu rangkaian.

Catatan publik tidak menunjukkan adanya upaya untuk memblokir host otentikasi yang berhasil diatasi melalui rotasi.
Data tersebut menunjukkan domain-domain utama yang diblokir sementara proxy yang menangani setiap proses login tetap beroperasi — sebanyak 26 pasang per tanggal 2026-09-22, dengan host otentikasi tertua terdaftar sejak 12 tahun 6 bulan yang lalu — dan tidak ada catatan penegakan kebijakan yang dipublikasikan untuk operator mana pun.
Oleh karena itu, pertanyaan bagi pihak regulator adalah: tindakan penegakan apa, jika ada, yang telah diterapkan Valve terhadap host otorisasi yang diterimanya dalam permintaan OpenID-nya sendiri?

Apa yang Dilakukan Valve — dan Mengapa Hal Itu Tidak Mengganggu Jalur Otentikasi

Tabel di bawah ini memetakan setiap tindakan Valve yang terdokumentasi secara publik berdasarkan apakah tindakan tersebut memengaruhi titik masuk otentikasi OpenID. Temuan ini bukanlah "Valve tidak melakukan apa-apa" — melainkan bahwa tidak ada satu pun tindakan yang didokumentasikan secara publik yang menyentuh titik di mana proses masuk ke platform perjudian melewati server Valve.

| Tanggal | Valve Tindakan | Terkena dampak `openid.return_to` jalur? |
| --- | --- | --- |
| Juli 2016 | Pernyataan publik tanggal 13 Juli 2016; pemberitahuan dari kuasa hukum kepada sekitar 23 situs yang disebutkan namanya (media, 21 Juli 2016); lebih dari 40 situs telah dihubungi berdasarkan surat Valve tertanggal Oktober 2016 kepada WSGC | Tidak. Pemberitahuan dan Filter Tautan berlaku pada operator dan tautan; jalur permintaan OpenID tidak diubah. |
| 2017 | Penutupan `IEconItems_730/GetPlayerItems` (menurut akun teknik CSFloat; tidak ditemukan catatan perubahan Valve) | Tidak. Hal ini memengaruhi visibilitas riwayat item publik. Otentikasi OpenID tidak mengalami perubahan. |
| 2018-03-29 | Pengumuman pemblokiran perdagangan selama 7 hari di CS:GO (blog.counter-strike.net) | Tidak. Pergerakan item melambat; jalur permintaan OpenID tidak diubah. |
| 2022-05-10 | Titik akhir pembatalan perdagangan telah dihapus dari API Web publik (ditemukan oleh pengguna; tidak ada catatan perubahan Valve — node-steam-tradeoffer-manager #325) | Tidak. Alat pertukaran penawaran telah ditutup; otentikasi OpenID tidak diubah. |
| 2023-12-04 | Pembuatan kunci API kini memerlukan konfirmasi melalui ponsel (steamcommunity.com/dev/apikey; tidak ada catatan perubahan) | Tidak. Titik akhir utama telah dilindungi; host otentikasi yang disebutkan di sini tidak terpengaruh. |
| 2026-09-19 / 21 September | Steam Kondisi Filter Link sebagaimana diamati oleh para penulis | 14 domain utama menunjukkan adanya blokir dalam pemeriksaan ulang 2026-09-21 yang tersimpan — 26 pasangan terpisah dalam daftar berdasarkan 2026-09-22 — sementara proxy yang menangani setiap login tetap berjalan. |

Sumber: Valve pernyataan tanggal 13 Juli 2016 ([store.steampowered.com/oldnews/22883](https://store.steampowered.com/oldnews/22883), [telah diarsipkan 2026-09-21](https://web.archive.org/web/20260921021947/https://store.steampowered.com/oldnews/22883)) · Laporan teknis CSFloat mengenai penutupan pada tahun 2017 ([blog.csfloat.com](https://blog.csfloat.com/how-floatdb-tracks-items/), [diarsipkan 2026-09-21](https://web.archive.org/web/20260921022415/https://blog.csfloat.com/how-floatdb-tracks-items/)) · Status Filter Tautan: [linkfilter-recheck-2026-09-21.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-recheck-2026-09-21.json).

Temuan ini dapat dibantah dengan adanya satu contoh yang telah dipublikasikan di mana Valve menolak permintaan OpenID karena `openid.return_to` mengarah ke server otorisasi perjudian. Tidak ditemukan catatan serupa dalam catatan publik.

Dua pendaftaran auth-host terbaru

**howl.uno** telah terdaftar 2026-08-11 (RDAP), 41 hari sebelum 2026-09-21; howl.gg menampilkan pemblokiran Link Filter pada 2026-09-18, 2026-09-19, dan 2026-09-21. Belum dapat dipastikan apakah pemblokiran tersebut terjadi sebelum pendaftaran.

**rbsnin.com** telah terdaftar 2026-09-18T09:34:52Z (Verisign RDAP) dan terdeteksi dalam alur masuk Rollbit Steam pada 2026-09-20 melalui pemberitahuan di halaman masuk Steam sendiri; rollbit.com mengembalikan pemblokiran Filter Tautan pada 2026-09-19 dan 2026-09-21, sedangkan rbsnin.com tidak.

Setiap host dalam tabel di atas dikirim ke server otentikasi Valve sebagai `openid.realm` pada setiap upaya masuk.

Data lengkap per rute dan hasil penilaian Filter Tautan: lihat tabel pada Bagian 3 di atas; hasil mentah terdapat di [linkfilter-recheck-2026-09-21.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-recheck-2026-09-21.json) dan [linkfilter-all-results.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-all-results.json).

Metodologi — Bagaimana Jumlah Rute dan Filter Tautan Ditentukan

1. Resolusi domain

Audit 2026-09-21 telah menyelesaikan 78 dari 189 platform yang diminta: **33 di antaranya melakukan otentikasi berdasarkan nama hostnya sendiri dan 20 di antaranya berdasarkan subdomainnya sendiri — otentikasi langsung, dan tidak ada satupun di antaranya yang dihitung sebagai rute domain terpisah.** Yang tersisa **25. Melakukan otentikasi melalui domain terpisah yang dapat didaftarkan**, tersebar di 24 nama host yang berbeda (dota2.net digunakan bersama oleh market.csgo.com dan rust.tm): 10 diidentifikasi melalui tangkapan layar browser secara langsung, 3 melalui pemberitahuan di halaman login milik Steam sendiri, dan 12 melalui URL OpenID yang disediakan. Daftar real-time ([master_registry.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/master_registry.json), 2026-09-22) memperluas hal tersebut menjadi **44 rute domain terpisah**: 26 pasangan filter-split (domain utama BLOCKED, host otentikasi CLEAN) ditambah 18 rute lainnya tanpa pemisahan domain utama. Dari 44 rute tersebut, **27. Menyimpan berkas bukti per rute**; sedangkan 17 lainnya dikumpulkan secara manual dan telah diberi tanda `realm_src: user` dalam daftar. Lima dari ketujuh belas domain tersebut — csgogem.com, gamdom.com, 12cs.fail, csgolounge.com, dan dota2lounge.com — ditambahkan pada 2026-09-22 dengan tangkapan Link Filter untuk kedua host (HTML mentah + SHA-256 dalam [linkfilter-2026-09-22.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-2026-09-22.json)), sehingga pemisahan itu sendiri terbukti meskipun data wilayah tersebut dikumpulkan secara manual; data tersebut tercantum dalam tabel di atas bersama dengan rute-rute dalam berkas bukti. `tfauth.com` (tf2easy.com) telah dihapus dari daftar pada 2026-09-22: sama seperti arena.fragnet.net, tidak ada tautan yang dapat diverifikasi yang menghubungkannya dengan situs asalnya. Jumlahnya dapat dihitung kembali dari data yang dipublikasikan [auth-route-audit.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit.json) (run of 2026-09-21) berdasarkan satu aturan: sebuah platform hanya dihitung jika host OpenID Steam yang teramati berada di domain yang dapat didaftarkan yang berbeda dari platform itu sendiri.

2. Steam Status Filter Tautan

Diuji melalui `steamcommunity.com/linkfilter/?url=https://[domain]`, tanpa otentikasi, pada 2026-09-19 dan 2026-09-21; HTML mentah disimpan dengan SHA-256. Status dicatat secara terpisah untuk domain utama dan host otentikasi. Sebuah pengklasifikasi membedakan pemberitahuan umum "Anda sedang meninggalkan Steam" (CLEAN) dari halaman "Tautan Diblokir! ... ditandai sebagai berpotensi berbahaya" (BLOCKED); kontrol google.com memastikan keduanya tidak disamakan. Varian terotentikasi sebelumnya dari pengujian ini dibuang setelah menghasilkan "diblokir" untuk setiap domain termasuk kontrol tersebut — yang ditelusuri berasal dari cookie sesi yang tidak valid dalam skrip probe, bukan hasil yang sebenarnya.

3. Pemantauan host otentikasi

Perekaman langsung: peramban Playwright diarahkan ke alur masuk masing-masing platform dan `openid.return_to` Nama host diambil dari permintaan yang disadap. Pemberitahuan halaman login: nama host diambil dari " milik Steam sendiri"*<host> tidak berafiliasi dengan Steam atau Valve*"teks, yang Steam ditampilkan dari `openid.realm` (rbsnin.com, sc-auth.net, auth.dota.trade). URL yang disediakan: URL loginform a Steam yang diberikan kepada para penulis; URL ini menentukan parameter permintaan, bukan proses login yang telah selesai. Tidak ada proses login yang diselesaikan di platform mana pun.

4. Cakupan — hal-hal yang belum terselesaikan, dan mengapa hal itu penting

Dari 189 platform tersebut, **110 tidak menghasilkan rute yang sudah ditetapkan** dan satu di antaranya tidak berlaku (189 − 78 − 1). Dokumen ini tidak memperhitungkan satupun dari kasus-kasus tersebut. Rincian dari 110 kasus, berdasarkan berkas audit: 22 tantangan bot, 14 waktu habis, 12 kesalahan HTTP, dan 10 kesalahan navigasi — pengamat tidak dapat mencapai alur login, meskipun sebagian besar situs ini dapat dibuka secara normal di peramban biasa; 20 tidak menampilkan kontrol login Steam di halaman arahan; 16 mencapai alur login yang tidak dapat diselesaikan ke host; 11 domain tidak dapat diselesaikan di DNS; 5 terhenti di halaman persetujuan. Daftar di bawah ini membagi 110 situs yang sama secara berbeda: 11 situs yang tidak dapat di-resolve di DNS dicantumkan secara terpisah sebagai *Dihapus · NXDOMAIN*, dan satu entri yang tidak berlaku tersebut bergabung dengan yang lainnya. Sebanyak 189 platform telah diaudit, 11 di antaranya dihapus berdasarkan status NXDOMAIN definitif dari kedua resolver, **178 dipertahankan** ([platform-audit.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/platform-audit.json), [platforms-removed.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/platforms-removed.json)). **137 domain otentikasi yang telah ditebak oleh ledger berdasarkan pola penamaan telah dihapus dari data pada 2026-09-19 — tidak pernah teramati, sehingga tidak pernah menjadi bukti.** Tiga dari tebakan tersebut bertentangan dengan URL OpenID yang disediakan: buff.163.com, gamerpay.gg, dan csgoluck.com melakukan otentikasi secara langsung, sedangkan tebakan yang diajukan adalah buffauthproxy.163.com, gamerpayredirect.io, dan lucklogin.app. Daftar penghapusan tersebut tercantum dalam berkas audit yang telah dipublikasikan.

Angka 25 merupakan batas bawah, bukan batas atas. Dari 78 platform yang berhasil diakses, 25 di antaranya menggunakan domain terpisah dan 53 lainnya tidak. Rasio tersebut tidak memberikan asumsi apa pun mengenai 110 platform yang tidak berhasil diakses, dan tidak ada proyeksi apa pun yang didasarkan pada rasio tersebut di mana pun dalam dokumen ini. Masing-masing dapat diselesaikan dengan membuka situs tersebut dan menekan "Masuk dengan Steam": nama host otentikasi terdapat di URL halaman Steam yang dimuat.

**Inti dari bagian ini:** Seorang pengamat independen memerlukan peramban dan kesabaran yang besar untuk mengidentifikasi 189 platform, dan berhasil mengidentifikasi 78 di antaranya. Valve memerlukan kueri basis data. Setiap platform yang menggunakan "Masuk dengan Steam" — baik yang sudah teridentifikasi maupun yang belum — mengirimkan `openid.realm` ke titik akhir otentikasi Valve pada setiap proses masuk. Adanya celah dalam tabel ini disebabkan karena para penulis berada di luar sistem. Celah tersebut tidak ada untuk Valve.

Nama host proxy yang terdeteksi terdapat di [auth-route-audit.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit.json). Tanggal pendaftaran domain dari RDAP (Verisign) / IP2WHOIS. Hasil penyaringan tautan menunjukkan [linkfilter-all-results.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-all-results.json).

Analogi untuk memperjelas

Bayangkan sebuah perusahaan taksi berizin diberitahu oleh pihak regulator bahwa mereka tidak boleh lagi beroperasi dari alamat terdaftarnya di Main Street. Perusahaan tersebut melepas papan nama dari Main Street. Pelepasan papan nama tersebut didokumentasikan. Namun, perusahaan yang sama membuka alamat baru di Side Street — yang terdaftar dengan nama berbeda — dan terus beroperasi dari sana. Pihak regulator mengoperasikan sistem pengiriman pusat yang digunakan oleh setiap taksi dari kedua alamat tersebut. Setiap permintaan perjalanan menunjukkan "penjemputan dari Jalan Samping." Pihak regulator tidak pernah mencabut izin Jalan Samping tersebut. **Pencopotan papan nama Main Street adalah satu-satunya tindakan penegakan hukum yang dilakukan. Perusahaan taksi tersebut tidak pernah menghentikan operasinya.**

Bagian A — Catatan teknis · Bagian 3.1 

### Di dalam Steam, daftar Valve adalah satu-satunya daftar.

Tautan yang diklik di klien Steam, overlay dalam game, atau mode Big Picture tidak akan terbuka di peramban pengguna. Tautan tersebut ditampilkan di dalam peramban tertanam milik Steam sendiri — di mana lapisan peringatan yang biasanya ditampilkan oleh peramban tidak ada. **Filter Tautan bukanlah salah satu dari sekian banyak langkah pengamanan. Justru, itulah keseluruhan langkah pengamanannya.**

**Di peramban biasa** Tiga lapisan yang terpisah

- **Google Safe Browsing** Halaman sela seluas satu halaman untuk situs-situs yang terdaftar dalam daftar phishing dan malware Google, yang diperbarui secara terus-menerus dan tidak bergantung pada situs yang sedang dikunjungi.

- **Ekstensi browser antivirus** Sebagian besar produk endpoint untuk konsumen dilengkapi dengan ekstensi peramban yang memeriksa tujuan situs web dengan membandingkannya terhadap daftar reputasi milik vendor tersebut.

- **Pemeriksaan HTTPS pada titik akhir** Jika produk tersebut melakukan pemeriksaan TLS, konten halaman akan dipindai sebelum sampai ke pengguna.

**Di klien Steam, overlay, dan Big Picture** Satu lapisan

- **Google Safe Browsing** Tidak ada. Pemeriksaan ini memerlukan kunci API Google yang tidak disediakan dalam build Chromium yang tertanam; jika kunci tersebut tidak ada, dokumentasi desain Chromium sendiri menyebutkan bahwa penangan Safe Browsing sama sekali tidak pernah ditambahkan ke rantai permintaan.

- **Ekstensi antivirus untuk browser** Tidak ada. Renderer Steam bukanlah browser pengguna dan tidak memuat ekstensi apa pun dari profil browser pengguna, sehingga tidak ada add-on yang berjalan pada halaman tersebut.

- **Pemeriksaan HTTPS pada titik akhir** Tergantung pada produk. Lalu lintas tersebut berakhir di dalam proses Valve yang ditandatangani secara digital, bukan di peramban yang dikenali, dan sejumlah produk titik akhir mengecualikan aplikasi yang ditandatangani dari pemeriksaan TLS.

- **Filter Tautan Steam** Daftar blokir milik Valve, yang dirujuk ketika sebuah tautan keluar dari ekosistem Steam. Ini adalah satu-satunya pemeriksaan yang dijalankan — dan tabel di atas mencatat hasil yang ditampilkan untuk host otentikasi yang dijelaskan dalam bagian ini.

Sebuah uji yang dapat dilakukan oleh siapa pun, dan kesimpulannya menjadi tidak berlaku jika uji tersebut gagal

Buka salah satu URL uji Safe Browsing yang dipublikasikan oleh Google (`testsafebrowsing.appspot.com`) di Chrome: muncul halaman sela berwarna merah yang menutupi seluruh layar. Buka URL yang sama dari pesan obrolan Steam, sehingga URL tersebut ditampilkan di klien Steam atau lapisan overlay: tidak muncul halaman sela. Satu-satunya peringatan yang dapat ditampilkan oleh Steam adalah halaman Filter Tautan miliknya sendiri, dan hanya untuk host yang ada dalam daftar Valve.

Rekor program hadiah bug milik Valve **Lapisan tersebut sudah pernah diatasi sebelumnya — pada rekaman Valve sendiri**

Jika Filter Tautan merupakan satu-satunya pemeriksaan yang dijalankan di dalam klien, masalah kegagalan yang terkait dengannya bukanlah hal sepele. Dua laporan pada program HackerOne milik Valve, keduanya diterima, keduanya telah diselesaikan, dan keduanya telah diungkapkan secara lengkap:

- [#291750](https://hackerone.com/reports/291750) [diarsipkan 2025-11-16 ↗](https://web.archive.org/web/20251116185046/https://hackerone.com/reports/291750) Open Redirect · medium

### Penyisipan jalur bypass pada sistem perlindungan filter

Dilaporkan pada 19 November 2017, telah diselesaikan, diungkapkan pada 9 Mei 2018. Bukti konsep dari laporan itu sendiri: mengganti titik ideografis `。` (`%E3%80%82`) untuk titik dalam nama host — Pemblokiran tersebut dapat dilewati. Konten selingan yang dimaksud dalam bagian ini tidak muncul.

- [#1079561](https://hackerone.com/reports/1079561) [diarsipkan 2026-09-24 ↗](https://web.archive.org/web/20260924181830/https://hackerone.com/reports/1079561) Pengungkapan Informasi · tinggi

### Peramban web Big Picture membocorkan cookie login dan mengungkapkan informasi sensitif (dapat menyebabkan pengambilalihan akun)

Dilaporkan pada 15 Januari 2021, telah diselesaikan, diungkapkan pada 21 September 2021. Tingkat keparahan Valve sendiri tergolong tinggi, dan judulnya menyebutkan konsekuensinya. Catatan yang diungkapkan memuat judul, peringkat, dan tanggal; uraian teknisnya tidak termasuk dalam muatan yang dipublikasikan, sehingga tidak ada kutipan lebih lanjut dari sana di sini.

**Penafsiran para penulis, bukan temuan dari salah satu laporan tersebut:** Keduanya berada di kedua sisi gerbang yang sama. Yang satu adalah peringatan yang tidak muncul sebelum halaman tujuan terbuka; yang lain adalah sesi yang terputus dari klien begitu halaman di dalamnya terbuka. Urutan peristiwa yang terjadi setelah sesi dicuri — kunci terdaftar tanpa permintaan konfirmasi, transaksi asli dibatalkan, dan salinan dikirim ke klon — merupakan pola yang dijelaskan dalam [Bagian 5](https://phishdestroy.io/steam_dossier/id/index#vulnerability-profile) ke [Bagian 8](https://phishdestroy.io/steam_dossier/id/index#consent-analysis). Kedua laporan tersebut telah ditutup; tidak ada satupun yang dikategorikan sebagai kerentanan aktif. Temuan yang diungkapkan dalam laporan tersebut lebih terbatas namun sudah cukup: lapisan tunggal yang tersisa memiliki riwayat yang tercatat pernah berhasil dilewati, berdasarkan catatan Valve sendiri.

Sumber: catatan pengungkapan HackerOne untuk setiap laporan, diambil pada 2026-09-22 — nomor, judul, tim, kelemahan, tingkat keparahan, tanggal laporan dan pengungkapan, serta status sebagaimana dipublikasikan oleh HackerOne. Catatan pengambilan data: [hackerone-reports.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/hackerone-reports.json). Tidak disebutkan besaran hadiah di sini; tidak ada yang tercantum dalam catatan yang diungkapkan dan telah diperoleh.

Pengamatan lapangan · PhishDestroy **Deteksi yang biasanya mengakhiri suatu kampanye tidak menghentikan kampanye-kampanye ini**

Kami mengamati bahwa server phishing terus menarik lalu lintas sambil membawa **20 atau lebih deteksi vendor**. Jika dikirim melalui web atau email, kampanye dalam kondisi seperti itu akan gagal dalam hitungan hari — baik browser maupun antivirus akan menindaklanjuti penilaian tersebut. Di dalam Steam, keduanya tidak melakukannya. Penilaian tersebut sebenarnya sudah ada sejak awal. Tidak ada satu pun komponen di sisi klien yang pernah meminta hal itu.

### Apa artinya hal ini bagi seorang anak di bawah umur yang telah menginstal antivirus

Dia tidak mengabaikan peringatan apa pun dan tidak menonaktifkan apa pun. Sebuah pesan masuk ke dalam Steam — pisau gratis, suara untuk tim seorang teman — dan halaman tersebut terbuka di dalam Steam. Dia tidak pernah membuka peramban, jadi peramban tidak pernah melindunginya. Antivirusnya sedang berjalan dan mungkin sudah mengklasifikasikan domain tersebut sebagai berbahaya; namun, antivirus itu tidak pernah diminta pendapatnya. **Setiap peringatan yang seharusnya bisa menghentikannya sudah ada. Tak satu pun dari peringatan itu sampai kepadanya.** Dia yakin bahwa dia tidak pernah meninggalkan Steam, dan memang benar dia tidak pernah meninggalkannya.

Tawaran gratis ini bukanlah ide asli para pelaku phishing — penawaran barang gratis Valve adalah cara yang biasa digunakan situs skin dan perjudian untuk beriklan, dan itulah tepatnya mengapa pesan tersebut terkesan biasa saja. Keluhan: [arsip penegakan hukum](https://phishdestroy.io/steam_dossier/id/steam_enforcement_evidence#support-records). Data mengenai usia dan anak-anak: [Pasal 17](https://phishdestroy.io/steam_dossier/id/index#minors-protection).

Sumber: Steam menampilkan konten web melalui Chromium Embedded Framework di dalam `steamwebhelper` proses — lihat [Analisis teknis DARKNAVY tanggal 27 Juni 2024 ↗](https://www.darknavy.org/blog/exploiting_steam_usual_and_unusual_ways_in_the_cef_framework/) dan milik Valve sendiri [Steam Forum Beta Klien ↗](https://steamcommunity.com/groups/SteamClientBeta/discussions/0/3365901765276206401/) [diarsipkan 2025-08-04 ↗](https://web.archive.org/web/20250804051514/https://steamcommunity.com/groups/SteamClientBeta/discussions/0/3365901765276206401/). Tidak ada versi CEF yang digunakan: Chromium yang tertanam bukanlah Chrome dan tidak menyertakan layanan Google apa pun dari Chrome. Penjelajahan Aman tanpa kunci API: [Dokumen desain Chromium ↗](https://www.chromium.org/developers/design-documents/safebrowsing/) [diarsipkan 2026-08-21 ↗](https://web.archive.org/web/20260821101616/https://www.chromium.org/developers/design-documents/safebrowsing/), [Kunci API Chromium ↗](https://www.chromium.org/developers/how-tos/api-keys/) [diarsipkan 2026-08-30 ↗](https://web.archive.org/web/20260830122831/https://www.chromium.org/developers/how-tos/api-keys/) (“Banyak API Google yang digunakan oleh Chrome bersifat khusus untuk Google dan tidak dimaksudkan untuk digunakan dalam produk turunan”), dan efek yang sama pada versi lain yang tidak dilengkapi kunci — [Homebrew cask #193814 ↗](https://github.com/Homebrew/homebrew-cask/issues/193814). URL pengujian: [testsafebrowsing.appspot.com ↗](https://testsafebrowsing.appspot.com/).

Bagian A — Catatan teknis · Bagian 4 

## Sebuah titik akhir ditutup. Pelacakan publik kehilangan sebuah kunci.

Konteks & batasan sumber

Steam telah menerapkan perubahan yang menghapus visibilitas publik terhadap ID Aset barang dan membatasi akses inventaris melalui API. Akibatnya: melacak barang tertentu berdasarkan ID Aset aslinya menjadi tidak mungkin dilakukan melalui data publik. Berikut ini adalah hal-hal yang sebelumnya mungkin dilakukan, hal-hal yang tidak lagi mungkin dilakukan setelahnya, serta konsekuensi yang harus ditanggung korban yang berusaha membuktikan ke mana perginya properti mereka. Tanggalnya adalah 2017 menurut akun teknik CSFloat; belum ditemukan changelog Valve. Urutan peristiwa tersebut — kira-kira setahun setelah pernyataan perjudian pada Juli 2016 — merupakan pertanyaan investigasi, bukan temuan. Catatan item itu sendiri tetap tersimpan di dalam sistem Valve; penyelidik eksternal kehilangan akses ke rantai ID asli, sementara pengenal float, seed, dan paint hanya memungkinkan pencocokan sebagian.

**Aturan Valve berlaku:** Steam Tim Dukungan tidak akan memulihkan item yang telah keluar dari akun Anda, dan Anda yang bertanggung jawab untuk membuktikan apa yang sebenarnya terjadi. **Catatan:** Pada tahun 2017, Valve menutup titik akhir yang menyalurkan ID item asli. Sebelumnya, siapa pun dapat melacak skin curian dari akun korban hingga ke bot di pasar. Setelah itu, tidak ada seorang pun di luar Valve yang bisa melakukannya. **Bukti yang diminta dari korban adalah bukti yang telah dimatikan** — dan itu masih ada, di dalam Valve.

### Era Sebelum Pemadaman Listrik

Secara historis, setiap item virtual yang dihasilkan di Steam memiliki identitas yang unik secara global dan tidak dapat diubah ID Aset . Basis data OSINT pihak ketiga dapat mengindeks ID-ID tersebut. Jika suatu aset milik pengguna dibajak, para penyelidik dapat melacak riwayat pergerakan aset tersebut saat dipindahkan dari akun perantara pelaku pembajakan ke akun penyimpanan di pasar daring atau situs perjudian.

SEBELUMNYA: siapa pun dapat melacak pergerakan suatu aset dari akun korban melalui akun-akun perantara hingga ke bot penyimpanan di pasar atau kasino, dengan menggunakan data publik.

### Setelah perubahan tersebut

Menurut akun teknik CSFloat, Valve menutup titik akhir pada tahun 2017 dan ID item asli tidak lagi tersedia bagi pihak luar. Belum ditemukan pernyataan Valve mengenai alasan perubahan tersebut. Pada periode yang sama, juga belum ditemukan tindakan yang dipublikasikan terhadap akun bot komersial yang memindahkan item dalam skala besar.

Apa pun alasannya, perubahan tersebut memutus rantai kepemilikan publik. Seorang korban tidak lagi dapat menelusuri rantai ID asli dari data publik untuk membuktikan bahwa suatu barang curian tertentu telah dilikuidasi melalui pasar atau kasino tertentu. Catatan barang tersebut masih ada di dalam sistem Valve; masyarakat umum, peneliti, dan penegak hukum yang bekerja berdasarkan data publik tidak dapat mengaksesnya.

SETELAHNYA: Pelacakan suatu barang tertentu berdasarkan ID Aset aslinya tidak lagi dapat dilakukan melalui data publik. Rantai pertanggungjawaban ID asli untuk suatu barang yang dipindahkan setelah tahun 2017 hanya ada di dalam infrastruktur Valve; tidak ada catatan semacam itu yang dipublikasikan. Pengidentifikasi Float, seed, dan paint hanya memungkinkan pencocokan parsial dan probabilistik.

IEconItems_730

DAPATKAN `/IEconItems_730/GetPlayerItems/v1/`

Payload yang Dapat Dilacak (Pra-Patch)

`"id": "14892281934" ,`

`"original_id": "11829910211" ,`

Status: Korban dapat melacak riwayat pergerakan barang di seluruh akun bot.

Payload yang Disamarkan (Pasca-Patch)

Saat ini

`"id": "HIDDEN_BY_PRIVACY_SETTINGS" ,`

`"original_id": "NULL" ,`

Status: Pihak luar tidak lagi dapat melacak riwayat barang berdasarkan ID Aset asli dari data publik.

**Dampak terhadap bukti:** Setelah perubahan tersebut, data publik yang diperlukan untuk melacak suatu item tertentu berdasarkan ID Aset aslinya—mulai dari akun korban hingga ke bot pasar daring atau kasino—tidak lagi tersedia. Catatan internal tersebut masih tersimpan di Valve; korban, peneliti, atau penyelidik yang bekerja berdasarkan data publik tidak dapat mereproduksi rantai ID asli (pengidentifikasi float, seed, dan paint hanya memungkinkan pencocokan sebagian).

Sumber: Laporan teknis CSFloat mengenai penutupan pada tahun 2017 dari `IEconItems_730/GetPlayerItems` — [blog.csfloat.com/how-floatdb-tracks-items](https://blog.csfloat.com/how-floatdb-tracks-items/) ([telah diarsipkan 2026-09-21](https://web.archive.org/web/20260921022415/https://blog.csfloat.com/how-floatdb-tracks-items/)) · payload yang ditampilkan hanyalah ilustrasi bentuk bidang, bukan respons yang terekam · belum ditemukan catatan perubahan Valve untuk penutupan tersebut.

Bagian A — Catatan teknis · Bagian 5 

## Satu sesi. Akses yang lebih luas daripada yang terlihat oleh pengguna.

Konteks & batasan sumber

Arsitektur kunci API Valve, sebagaimana adanya sebelum perubahan tahun 2023, menyimpang dari standar industri dasar (OWASP ASVS, NIST SP 800-63B) dan merupakan mekanisme yang dijelaskan dalam pengaduan pencurian inventaris otomatis yang disimpan dalam arsip bukti (Bagian 6–8).

**Aturan Valve diterapkan:** Pemegang akunlah yang membuat kunci tersebut, menyetujui syarat-syaratnya, dan menanggung kerugiannya — itulah jawaban yang tercantum dalam arsip penolakan. **Catatan:** Hingga Desember 2023, cookie sesi yang dicuri saja sudah cukup untuk mendaftarkan kunci tersebut. Tanpa kata sandi. Tanpa Steam Guard. Tanpa pemberitahuan kepada pemilik akun tersebut. **Pengguna tersebut tidak membuat kunci tersebut, tidak dapat melihatnya, namun diberitahu bahwa dia yang membuatnya.** Konfirmasi melalui ponsel ditambahkan pada 2023-12-04 — sekitar tujuh tahun setelah pernyataan tahun 2016 dan kira-kira enam tahun setelah panel-panel penipuan yang disimpan dalam arsip tersebut. Biaya selama tahun-tahun itu tidak ditanggung oleh Valve. Biaya tersebut dibayar dari rekening-rekening yang telah dikosongkan selama periode tersebut, sebagian di antaranya milik anak-anak.

OWASP ASVS 2.8 / NIST SP 800-63B TINGKAT KEPARAHAN: KRITIS

### 1. Otentikasi Bertahap yang Tidak Memadai

Steam memungkinkan pembuatan kunci API dengan hak akses tinggi dan masa berlaku panjang hanya dengan menggunakan cookie sesi. Tidak diperlukan 2FA (Steam Guard) atau tantangan otentikasi lanjutan saat membuat atau mengubah kunci API pengembang, sehingga konfirmasi melalui perangkat seluler Steam Guard — satu-satunya faktor kedua yang ditawarkan Steam — tidak melindungi langkah ini. (Faktor kedua berbasis perangkat keras telah diminta di pelacak Valve sendiri pada tahun 2016 dan masalah ini masih terbuka: Lampiran D, GH-01.)

Status: belum diperbaiki sebelum tahun 2023. Memungkinkan skrip yang menyimpan cookie curian untuk mendaftarkan kunci tanpa interaksi pengguna sama sekali.

OWASP A01:2021 / Prinsip Hak Akses Terbatas TINGKAT KEPARAHAN: KRITIS

### 2. Tidak adanya Prinsip Hak Akses Terbatas

API Web Steam tidak memiliki cakupan otorisasi berbasis peran sama sekali. Kunci API pengembang yang diterbitkan untuk status inventaris "hanya baca" memiliki izin "tulis" penuh — termasuk kemampuan untuk memodifikasi transaksi yang sudah ada, memulai transaksi baru, mendaftarkan webhook, dan menolak pertukaran yang tertunda dan sah.

Status: cacat desain sistemik. Satu kunci = kendali penuh atas inventaris dan transaksi akun, baik untuk membaca maupun menulis.

OWASP A07:2021 / Sesi TINGKAT KERASAN: TINGGI

### 3. Gangguan dalam Pengelolaan Sesi

Para pengguna melaporkan bahwa sesi web yang dibajak yang berasal dari rentang alamat IP server hosting tetap berlangsung. Praktik standar adalah menghentikan sesi jika terjadi anomali geografis atau saat kata sandi diubah; laporan pengguna yang terkumpul dalam arsip menggambarkan adanya sesi yang tetap aktif setelah kata sandi diubah.

Status: masalah yang telah dilaporkan (keluhan pengguna dalam arsip). Sesi dapat menghasilkan kunci API tanpa perlu otentikasi ulang.

Pemblokiran di tingkat domain secara teknis dapat dilakukan KELAYAKAN PENEGAKAN HUKUM

### 4. Pemblokiran Host Otentikasi di Tingkat Domain Secara Teknis Dapat Dilakukan

Valve sudah mengelola daftar domain (Link Filter) dan sudah menerima setiap nama host otentikasi dalam permintaan OpenID-nya sendiri. Kedua mekanisme tersebut tidak terhubung dengan cara apa pun yang terlihat dari luar: per 2026-09-22, pada 26 pasangan, domain utama berada di filter sementara proxy yang mengangkut proses login-nya tidak.

Menghubungkannya merupakan tugas teknik yang sederhana: baca `openid.realm` mengambil nama host dari setiap permintaan yang masuk, membandingkannya dengan daftar, dan menolak atau menandai permintaan tersebut. Ilustrasi di sebelah kanan menunjukkan alur kerja rutinitas semacam itu. Menolak host otentikasi — alih-alih hanya halaman arahan publik — akan mengganggu langkah "Masuk dengan Steam" yang menjadi andalan platform-platform ini.

Tidak ada bukti publik yang menunjukkan bahwa Valve melakukan pemeriksaan semacam itu. Biaya gabungan Steam Community Market sebesar sekitar 15% berlaku untuk transaksi yang diselesaikan di dalam Pasar tersebut; biaya tersebut tidak dikenakan pada transaksi eksternal di platform-platform tersebut.

block_auth_hosts.py ILUSTRASI

// Baca host Steam yang sudah terdeteksi — tidak perlu melakukan pemindaian

def on_openid_request(request):

host = parse_openid_realm(request)

jika tuan rumah di domain_yang_diblokir:

menolak (permintaan)

**Catatan:** Pseudokode ini hanya untuk ilustrasi. Kedua bagian tersebut sudah ada di Valve — nama host otentikasi tercantum dalam permintaan, dan daftar domain merupakan Filter Tautan. Tidak ada catatan publik yang menjelaskan mengapa keduanya tidak terhubung.

Bagian 5.1 — Standar-standar tersebut tidak pernah diterbitkan 

### Valve berhasil dikompilasi sesuai aturan tersebut setiap hari. Namun, di sini, kompilasi tidak berhasil sesuai aturan tersebut.

Steam tersedia di App Store dan Google Play, melakukan penjualan melalui penyedia layanan pembayaran kartu utama, serta memanfaatkan API pihak ketiga seperti platform besar lainnya. Setiap hubungan tersebut memiliki persyaratan keamanan yang telah dipublikasikan dan bertenor tertentu yang harus dipenuhi oleh Valve agar dapat terus beroperasi. Bandingkan tanggal persyaratan tersebut dengan tanggal ketika Web API milik Steam sendiri memperoleh perlindungan yang sama. **Tidak ada satu pun yang tercantum di bawah ini yang merupakan standar internal, memo internal, atau rahasia dagang: setiap baris merupakan dokumen publik yang dilengkapi dengan tanggal penerbitan.**

Persyaratan keamanan eksternal yang telah dipublikasikan, beserta tanggalnya, dibandingkan dengan tanggal ketika Web API Steam menerapkan pengendalian yang setara

| Standar yang telah diterbitkan, serta tanggal berlakunya | API Web Steam terkait pertanyaan yang sama |
| --- | --- |
| **Otorisasi yang dibatasi cakupannya** OAuth 2.0 — RFC 6749, Oktober 2012. Bagian 3.3 mendefinisikan `scope` Sehingga, klien hanya menerima akses yang dimintanya. Sejak saat itu, hal ini telah menjadi pengaturan default pada setiap API platform utama. | **Cakupan granular diperkenalkan pada 16 Januari 2026.** Sebelumnya, satu kunci API Web Steam memiliki akses penuh untuk membaca dan menulis data transaksi akun tersebut, terlepas dari alasan penerbitannya. **Tiga belas tahun dan tiga bulan** setelah spesifikasi yang mendefinisikan kontrol tersebut. |
| **Kunci bukanlah otorisasi** Dokumentasi Cloud resmi dari Google: Kunci API standar tidak dapat mengautentikasi sebuah entitas, dan untuk API yang membuat atau mengelola sumber daya, Jangan gunakan kunci otorisasi di lingkungan produksi. | **Kunci API Web Steam memang persis seperti itu.** Sebuah string pemegang, yang diterbitkan untuk suatu akun, yang dengan sendirinya sudah cukup untuk membaca inventaris, membatalkan transaksi yang tertunda, dan mengirimkan transaksi baru. Tidak ada pihak utama yang diautentikasi pada saat penggunaan. |
| **Otentikasi multi-faktor pada akses istimewa** PCI DSS 3.2, persyaratan 8.3 — wajib mulai dari 1 Februari 2018 untuk semua akses administratif non-konsol dan semua akses jarak jauh ke lingkungan data pemegang kartu. Apple kemudian mewajibkan otentikasi dua faktor bagi setiap pemegang akun Program Pengembang mulai dari 27 Februari 2019: Pengembang yang memiliki peran Pemegang Akun dalam program pengembang harus mengaktifkan otentikasi dua faktor untuk masuk. | **Diperlukan faktor kedua untuk membuat kunci API dari 4 Desember 2023.** Sampai saat itu, cookie sesi yang dicuri saja sudah cukup, tanpa munculnya peringatan di ponsel pemilik akun dan tanpa pemberitahuan setelahnya. **Empat tahun dan sembilan bulan** setelah Apple mewajibkan Valve untuk menggunakan otentikasi dua faktor hanya untuk masuk ke portal pengembang. |
| **Siklus hidup dan pencabutan kredensial** Twitch mewajibkan setiap aplikasi pihak ketiga untuk: Aplikasi Anda harus memverifikasi token OAuth saat pertama kali dijalankan dan setiap jam setelahnya, dan menyatakan bahwa pihaknya melakukan audit terhadap aplikasi yang tidak mematuhinya. API v5 lamanya telah dihentikan sepenuhnya pada 28 Februari 2022 sesuai jadwal yang telah diumumkan. | **Tidak ada catatan siklus hidup kunci yang dipublikasikan.** Perubahan pada tahun 2023 melindungi titik akhir pembuatan. Tidak ditemukan pernyataan Valve yang menyebutkan bahwa perubahan tersebut mencakup kunci yang sudah terdaftar, dan tidak ada catatan perubahan (changelog) yang menyertai perubahan tersebut sama sekali. Apakah kunci yang dibuat sebelum perubahan tersebut menjadi tidak valid tidak dapat dipastikan dari data publik — yang merupakan pertanyaan yang perlu dijawab bagi subjek data agar mereka mengetahui apakah kunci yang dibuat di akun mereka bertahun-tahun sebelumnya masih aktif. |

Tolok Ukur Arsitektur // Arsitektur Token 

#### Cakupan Tingkat Halus GitHub vs Valve Steam Web API

Valve pengembang mengelola perangkat lunak sumber terbuka di GitHub setiap hari dengan menggunakan token berprivilese minimal yang terperinci. Bandingkan hal itu dengan kunci monolitik yang diterbitkan untuk 130 juta Steam pemain.

Token Berbasis Detail di GitHub

Digunakan oleh Valve di GitHub

Token bergranularitas halus dengan isolasi berbasis lingkup dan penerapan siklus hidup yang wajib.

Akses Repositori: Hanya Repos yang Dipilih (1 repo)

Izin Masalah: Hanya baca [✓]

Kode & Rahasia: Tidak ada akses [✕]

Tanggal kedaluwarsa: 30 Hari (TTL Wajib)

Pencatatan Audit: IP, User-Agent, dan Cap Waktu

**Kondisi Keamanan:** Token dengan hak akses minimal membatasi kerusakan pada satu sumber daya yang hanya dapat dibaca.

! Valve Steam Kunci API Web

Telah didistribusikan kepada 130 juta pengguna

Satu string utama berisikan 32 karakter yang mencakup wewenang perdagangan dan persediaan secara keseluruhan atau tidak sama sekali.

Akses Akun: AKUN LENGKAP (Monolitik)

Manajemen Perdagangan: Baca, Batalkan, Tolak [!]

Cakupan Granular: TIDAK ADA (Tiba pada tahun 2026, terlambat 13 tahun)

Tanggal kedaluwarsa: TIDAK PERNAH (Berlaku tanpa batas waktu)

Pencatatan Audit: TIDAK ADA (Pengguna tidak memiliki riwayat IP)

**Kerentanan:** Kunci yang dicuri memungkinkan penyadapan diam-diam terhadap semua penawaran perdagangan yang dikirimkan.

Standar yang diterapkan dalam satu arah 

Misalkan sebuah vendor Valve bergantung pada — penyedia layanan awan, pemroses pembayaran, atau CDN — yang membiarkan titik akhir kredensial tanpa otentikasi dua faktor, dan beberapa bulan kemudian data korporat Valve bocor melalui kunci yang dihasilkan di titik akhir tersebut. Akankah Valve menerima bahwa kesalahan terletak pada siapa pun yang mengklik tautan tersebut? Penolakan-penolakan yang diarsipkan dan disimpan dalam berkas ini menjawab pertanyaan yang sebaliknya bagi pengguna: posisi yang diambil adalah bahwa pemegang akunlah yang membuat kunci tersebut dan menanggung kerugiannya. **Arsitektur yang sama dijelaskan sebagai kegagalan penyedia layanan di satu sisi dan tanggung jawab pengguna di sisi lain.** Hal mana yang benar bukanlah pertanyaan teknis, dan bukan pula sesuatu yang dapat diputuskan oleh penyelidikan ini — hal itu merupakan kewenangan pengadilan atau otoritas pengawas.

Ilustrasi, bukan bukti — standar yang diartikan sebaliknya 

- Sebuah penyedia layanan pemrosesan pembayaran yang memungkinkan skrip pihak ketiga membuat kredensial transaksi dengan hak akses penuh hanya berdasarkan cookie browser, tanpa ada pemberitahuan kepada pemegang akun.

- Penyedia identitas yang menutup celah yang digunakan untuk mencetak token-tokennya dan tidak mempublikasikan informasi apa pun mengenai token-token yang telah dicetak.

- Sebuah bank yang menanggapi sengketa transfer dengan menyatakan bahwa kredensial yang digunakan terdaftar pada rekening nasabah itu sendiri, dan menutup laporan tersebut.

Tak satu pun dari hal-hal ini dimaksudkan sebagai kesimpulan mengenai perusahaan tertentu mana pun. Ini adalah keputusan desain yang sama, namun diterapkan dalam konteks di mana tanggapan pihak pengawas telah didokumentasikan dengan baik — dan inilah perbandingan yang diminta untuk dilakukan oleh pihak regulator.

**Apa yang terungkap dalam catatan:** Ketentuan-ketentuan yang tidak terdapat dalam API Web Steam bersifat terbuka, sudah ketinggalan zaman, dan, dalam beberapa kasus, merupakan persyaratan Valve yang harus dipenuhi agar perusahaan tersebut dapat terus mengirimkan produknya sendiri. Selang waktu antara setiap standar dan perubahan setara Steam dapat diukur dan telah dijelaskan di atas. **Yang tidak dijelaskan di sini adalah alasannya.** Belum ditemukan pernyataan alasan Valve mengenai salah satu dari rentang waktu tersebut, dan tidak ada asumsi yang dibuat di sini; catatan tersebut terdapat di dalam Valve dan belum dipublikasikan.

Sumber-sumber, masing-masing berupa dokumen publik: OAuth 2.0 — [RFC 6749, Oktober 2012 ↗](https://datatracker.ietf.org/doc/rfc6749/) · Google Cloud — [Dokumentasi kunci API ↗](https://docs.cloud.google.com/docs/authentication/api-keys) · Persyaratan PCI DSS 3.2 nomor 8.3 — [Panduan Sumber Daya PCI SSC ↗](https://listings.pcisecuritystandards.org/pdfs/PCI_DSS_Resource_Guide_(003).pdf) · Apple — [Persyaratan Otentikasi Dua Faktor yang Akan Berlaku bagi Pemegang Akun, 20 Februari 2019 ↗](https://developer.apple.com/news/?id=02202019a) [diarsipkan 2025-05-06 ↗](https://web.archive.org/web/20250506070026/https://developer.apple.com/news/?id=02202019a) · Twitch — [persyaratan validasi token ↗](https://dev.twitch.tv/docs/authentication/validate-tokens/) dan [Pemberitahuan penghentian layanan v5 ↗](https://discuss.dev.twitch.com/t/legacy-twitch-api-v5-i-e-kraken-shutdown-reminder-february-28-2022/36589) [diarsipkan 2025-01-27 ↗](https://web.archive.org/web/20250127085635/https://discuss.dev.twitch.com/t/legacy-twitch-api-v5-i-e-kraken-shutdown-reminder-february-28-2022/36589). Tanggal yang tercantum pada Steam adalah tanggal yang terdapat dalam catatan pembaruan di bagian ini; entri tahun 2023 dan 2026 adalah entri yang dirilis oleh Valve tanpa catatan perubahan. Diambil pada 2026-09-22.

Catatan pembaruan milik Valve — bertanggal, bersumber dari sumber-sumber publik

| Tanggal | Valve ubah | Sudah diumumkan? | Apa yang ditutup | Lag: mekanisme publik → diperbaiki | Sumber |
| --- | --- | --- | --- | --- | --- |
| 2026-09-01 | Penandaan Otomatis Percakapan yang Mencurigakan | Ya | Tautan / pola berbahaya dalam obrolan grup | — | [berita ↗](https://store.steampowered.com/news/posts/?enddate=1788390000) |
| 2026-01-16 | Cakupan terperinci Steamworks Web API | Ya | Cakupan hak akses minimal untuk kunci pengembang | — | [pengumuman ↗](https://steamcommunity.com/groups/steamworks/announcements/detail/4123547285514022851) |
| 2025-07-15 | CS2 Perlindungan Perdagangan & Jendela Pembalikan | Ya | **Tidak ada apa-apa.** Ini bukan solusi keamanan yang mengatasi akar masalah. Akses pemulihan akun oleh tim dukungan tetap tidak terpengaruh. Memicu pembatalan akan mengakibatkan pemblokiran perdagangan otomatis selama 30 hari ([Skinvault ↗](https://skinvault.gg/blog/cs2-trade-protection-explained/)), sementara guncangan perdagangan tunai menyebabkan penurunan kapitalisasi pasar sebesar $104M (-25%) dalam 24 jam ([CSMarketCap ↗](https://csmarketcap.com/blog/market-insights/from-boom-to-bust-cs2s-trade-protection-impact)). Pada tahun 2026, pengatur waktu mulai diterapkan per item ([Skin.land ↗](https://skin.land/blog/steam-changes-cs2-trade-ban-logic-timing/)). | — | [Pertanyaan yang Sering Diajukan ↗](https://help.steampowered.com/faqs/view/3041-A87A-E5F6-B6AC) |
| 2025-05-14 | Pengumuman Mengenai Keamanan Akun | Ya | Panduan tentang pencurian / pembajakan sesi | — | [pengumuman ↗](https://steamcommunity.com/ogg/593110/announcements/detail/533224478739530146) |
| 2024-10-02 | CS2 'The Armory' - Penundaan selama 7 hari | Ya | Penundaan perdagangan/perdagangan barang-barang Armory | — | [pengumuman ↗](https://steamcommunity.com/games/CSGO/announcements/detail/4447966961421256740) |
| 2024-09-18 | Pembatasan transaksi saat masuk menggunakan perangkat baru | Ya | Pembatasan transaksi selama 2–7 hari pada perangkat baru | — | [Pertanyaan yang Sering Diajukan ↗](https://help.steampowered.com/faqs/view/3041-A87A-E5F6-B6AC) |
| 2024-02-14 | Penundaan perubahan nama profil & avatar | Ya | Waktu tunggu 2–4 jam untuk transaksi setelah penggantian nama | — | [posting ↗](https://steamcommunity.com/discussions/forum/1/4202490424033360096/) |
| 2023-12-04 | Konfirmasi melalui ponsel untuk kunci API | Tidak ada catatan perubahan | Pendaftaran kunci secara diam-diam hanya melalui cookie | Sekitar 6 tahun setelah panel-panel era 2017 | [halaman pengembang ↗](https://steamcommunity.com/dev/apikey) |
| 2023-10-24 | SMS MFA untuk publikasi rilis game | Ya | Penerbitan build Steamworks | — | [pengumuman ↗](https://steamcommunity.com/groups/steamworks/announcements/detail/3734103130194459461) |
| 2023-07-12 | Peringatan mengenai konten biografi khusus | Ya | Tautan phishing di bio | — | [forum ↗](https://steamcommunity.com/discussions/forum/1/3807266184852932971/) |
| 2023-01-25 | Profil {TAUTAN DIHAPUS} & waktu tunggu | Ya | Tautan dalam teks profil | — | [Pertanyaan yang Sering Diajukan ↗](https://help.steampowered.com/faqs/view/225C-C51E-B8F0-55B2) |
| 2022-10-24 | Perombakan sistem login & pemotongan cookie | Tidak ada catatan perubahan | Sesi yang dicuri tanpa batas | — (Migrasi token IAuthenticationService) | [berita ↗](https://store.steampowered.com/news/group/4/view/3314112260640237775) |
| 2022-10-12 | Aplikasi Seluler 3.0: Masuk dengan QR | Ya | Panel pencabutan otorisasi sesi | — | [berita ↗](https://store.steampowered.com/news/group/4/view/3314112260640237775) |
| 2022-05-10 | Titik akhir pembatalan transaksi telah dihapus | Tidak ada catatan perubahan | Pertukaran penawaran (batalkan & kirim ulang) | Sekitar 5 tahun setelah panel-panel era 2017 | [edisi #325 ↗](https://github.com/DoctorMcKay/node-steam-tradeoffer-manager/issues/325) |
| 2020-05-25 | Pemblokiran perdagangan Dota 2 selama 7 hari | Ya | Jual beli barang dengan cepat | — | [blog ↗](https://blog.dota2.com/2020/05/trading-cooldown/) |
| 2018-03-29 | Kunci perdagangan 7 hari di CS:GO | Ya | Pencucian bot instan | ≈20 bulan setelah pernyataan pada Juli 2016 | [blog ↗](https://blog.counter-strike.net/index.php/2018/03/20308/) [diarsipkan 2025-02-26 ↗](https://web.archive.org/web/20250226114333/https://blog.counter-strike.net/index.php/2018/03/20308/) |

Sumber: postingan Valve yang ditautkan, halaman bantuan, dan masalah di GitHub, sesuai tanggal yang tertera. Tiga perbaikan penting dirilis tanpa catatan perubahan (Mei 2022, Oktober 2022, Desember 2023) dan terdeteksi oleh pengguna, bukan diumumkan oleh Valve — asimetri tersebut merupakan bagian dari catatan penegakan. Keterlambatan dihitung hanya jika tanggal dalam dokumen itu sendiri (pernyataan Juli 2016; panel penipuan era 2017) menyediakan titik awalnya; “—” berarti titik awal tersebut tidak ditetapkan di sini.

Bagian A — Catatan teknis · Bagian 6 

## Simulator Eksploitasi & Pembajakan Interaktif

Konteks & batasan sumber

Rekontruksi alur proses mulai dari pesan phishing hingga pendaftaran kunci di sisi server dan proses pertukaran perdagangan. Sebelum tahun 2023, kunci Web API yang terdaftar pada suatu akun dapat membaca inventarisnya, membatalkan penawaran perdagangan yang tertunda, dan membuat penawaran baru, serta tidak ada layar konfirmasi perdagangan yang ditampilkan kepada pemilik akun untuk tindakan-tindakan tersebut. Hal tersebut merupakan pelanggaran prinsip hak akses minimal (OWASP A01:2021). Waktu yang ditampilkan dalam simulasi ini bersifat ilustratif dan bukan merupakan pengukuran langsung dari platform saat ini.

Ikuti langkah demi langkah rekonstruksi upaya pembajakan akun ini. Setiap tahap menunjukkan apa yang dilihat oleh pemilik akun dan, di sebelahnya, panggilan Steam yang diterima pada saat yang sama. **Setiap panggilan tersebut telah diautentikasi dengan benar.** Tidak ada satu pun tahap dalam urutan tersebut yang harus bergantung pada otentikasi Steam agar gagal — kunci yang diterbitkannya harus tidak memiliki cakupan (OWASP A01:2021).

**Apa yang dilihat pemain. Apa yang berubah di baliknya.** SIMULATOR LANGKAH DEMI LANGKAH

01 / UMPAN PERCAKAPAN**Seorang teman meminta saya untuk memberikan suara** Korban menerima pesan yang berisi tautan.

02 / HALAMAN MASUK**Portal yang mirip** Korban memasukkan kredensial login.

03 / AKSES**Pembuatan API Silent Web** Penyerang mendaftarkan kunci pengembang.

04 / PERUBAHAN**Perdagangan sah yang ditukar** Bot kloning menduplikasi penerima sasaran.

05 / KONFIRMASI**Palsu yang telah disetujui** Penawaran yang salah telah disetujui melalui ponsel.

**Fase A: Serangan Phishing.** Pelaku membobol akun seorang teman dan menggunakannya untuk mengirim tautan palsu, yang mengajak korban untuk memberikan suara atau bergabung dengan tim turnamen.

**Jebakan Phishing.** Dengan keyakinan bahwa mereka sedang masuk ke Steam secara aman, korban memasukkan kredensial dan kode Steam Guard. Server phishing menangkap detail tersebut dan yang aktif `steamLoginSecure` cookie sesi.

**Fase B: Pendaftaran Silent Key.** Dengan menggunakan cookie sesi yang dicuri, server penyerang mengirimkan permintaan POST ke titik akhir pendaftaran kunci untuk mendaftarkan kunci Web API pengembang utama. Sebelumnya (sebelum tahun 2023), proses ini tidak memerlukan persetujuan sekunder Steam Guard atau pemberitahuan.

**Fase C: Pertukaran Perdagangan Otomatis.** Skrip penyerang melakukan polling `IEconService/GetTradeOffers`. Ketika korban memulai transaksi yang sah, skrip tersebut langsung membatalkannya dan menggunakan bot tiruan untuk mengirimkan penawaran yang identik—dengan nama dan avatar yang sama—kepada penerima.

**Eksploitasi Telah Selesai.** Karena mengira akan menerima notifikasi melalui ponsel terkait transaksi aslinya, korban pun menyetujui transaksi pengganti tersebut. Ini adalah panduan forensik terintegrasi yang menunjukkan bagaimana tidak diterapkannya prinsip Hak Akses Terbatas (Least Privilege) (OWASP A01:2021) memungkinkan terjadinya pembajakan aset secara otomatis dalam hitungan kurang dari satu detik.

Langkah yang sama, dilihat dari sudut pandang jaringan Rekonstruksi pola sebelum tahun 2023 · contoh bentuk panggilan

**Penyerang** Mengirimkan tautan dari akun yang sudah dipercaya oleh korban.

**Korban** Membaca pesan dari seorang teman, bukan dari orang asing.

**Steam melihat** Sebuah pesan obrolan antara dua akun yang saling berteman.

```
Channel Steam chat / Steam group invite
Payload a link to an external host
No Steam API call is made at this stage. Nothing in this step is anomalous to the platform.
```

**Mengapa hal ini berhasil:** Dana yang dihabiskan tersebut merupakan milik akun teman yang diretas, bukan milik penyerang.

**Korban** Masukkan kata sandi dan kode Steam Guard ke dalam halaman palsu.

**Server penyerang** Menyimpan kredensial dan cookie sesi yang dihasilkan.

**Steam melihat** Proses masuk yang berhasil dan telah memenuhi persyaratan otentikasi dua faktor.

```
Captured steamLoginSecure = <session cookie>
Captured Steam Guard code (single use, already spent)
From this point the attacker holds an authenticated session. The second factor has been used, not bypassed.
```

**Mengapa hal ini berhasil:** Otentikasi dua faktor melindungi proses masuk. Namun, hal ini tidak melindungi apa yang dapat dilakukan oleh sesi yang terbentuk setelahnya.

**Server penyerang** Mendaftarkan kunci API Web pengembang pada akun korban.

**Korban** Tidak menerima pesan apa pun maupun pemberitahuan apa pun.

**Steam melihat** Sesi yang telah diautentikasi menggunakan titik akhir yang terdokumentasi.

```
POST steamcommunity.com/dev/ajaxregisterkey
Cookie: steamLoginSecure=<stolen session>
Body: agreeToTerms=agreed&domain=localhost
A script has no real domain to give, so it sends localhost — the value found on the account in Section 18. Pre-2023 this needed no password, no Steam Guard, no notification, and the key came with no scope limit. Mobile confirmation was added 2023-12-04, without a changelog.
```

**Ini adalah langkah struktural.** Cookie sesi diubah menjadi kredensial yang tahan lama dan memiliki hak akses penuh — kelemahan yang tercatat dalam Bagian 5 sebagai OWASP ASVS 2.8 dan A01:2021.

**Skrip penyerang** Melakukan pemungutan suara untuk penawaran perdagangan, membatalkan penawaran yang asli, dan mengirimkan duplikatnya.

**Korban** Baru saja memulai transaksi yang sah dan sedang menunggu konfirmasi.

**Steam melihat** Panggilan API yang sah yang menggunakan kunci yang sah yang diterbitkan untuk akun tersebut.

```
GET IEconService/GetTradeOffers/v1 ← polled
POST IEconService/CancelTradeOffer/v1 ← voids the real offer
POST new offer from a clone bot (matching name and avatar)
Every call is correctly authenticated. Nothing in the sequence requires a defect in Steam's authentication to succeed.
```

**Mengapa hal ini berhasil:** Kunci tersebut tidak memiliki cakupan baca-saja, sehingga kredensial yang dapat membaca inventaris juga dapat membatalkan dan membuat transaksi.

**Korban** Menyetujui pesan notifikasi seluler yang semula diharapkan untuk transaksi tersebut.

**Penyerang** Menerima barang-barang tersebut di akun klon.

**Steam melihat** Sebuah transfer yang dikonfirmasi oleh pemegang akun melalui perangkat yang terdaftar.

```
Confirmation genuine — made by the account holder
Recipient the clone bot, not the intended counterparty
The confirmation is authentic. The offer it confirms is not the one the user initiated.
```

**Catatan yang ditinggalkan:** sebuah transaksi yang disetujui pengguna. Itulah catatan yang dibaca oleh Tim Dukungan Steam saat keluhan masuk, dan alasan mengapa keluhan-keluhan yang telah diarsipkan ditutup sebagai kesalahan pengguna. Keluhan-keluhan tersebut terdapat di [arsip penegakan hukum](https://phishdestroy.io/steam_dossier/id/steam_enforcement_evidence#support-records).

Bagian A — Catatan teknis · Bagian 7 

## Titik akhir di balik urutan tersebut.

Konteks & batasan sumber

Berikut adalah titik akhir Web API Steam yang digunakan oleh skrip pembajakan yang dilaporkan untuk menyadap transaksi tanpa melalui langkah-langkah konfirmasi di sisi peramban.

Empat titik akhir yang tercatat sudah cukup untuk menyelesaikan seluruh proses. Tak satu pun di antaranya merupakan celah, tak satu pun perlu dieksploitasi — kunci yang sah memanggil titik-titik akhir tersebut dan Steam merespons. **Kunci adalah satu-satunya hal yang harus dicuri oleh penyerang.**

IEconService / GetTradeOffers / v1 Jajak Pendapat

Digunakan untuk memantau penawaran perdagangan di akun tersebut. Skrip-skrip tersebut melakukan polling terhadap titik akhir ini berulang kali menggunakan kunci API yang telah diretas; titik akhir ini mengembalikan rincian penawaran perdagangan yang baru dibuat, sedang dalam proses, atau telah diubah. Interval polling tidak diukur di sini.

**Vektor ancaman:** Menampilkan ID penawaran perdagangan yang masih dalam proses serta rincian profil penerima.

IEconService / BatalkanPenawaranPerdagangan / v1 INTERAKSI

Digunakan untuk secara otomatis membatalkan penawaran perdagangan sah milik pengguna. Sebelum tahun 2023, tidak ada otentikasi berlapis yang melindungi kunci tersebut, sehingga server otomatis dapat membatalkan penawaran begitu penawaran tersebut terdeteksi, tanpa ada pemberitahuan apa pun kepada pemilik akun.

**Vektor ancaman:** Membatalkan transaksi sebelum pemegang rekening menyelesaikan konfirmasi melalui ponsel.

ISteamUser / GetPlayerSummaries / v2 RECON

Dilakukan kueri untuk mengambil nama profil, URL gambar avatar, dan level penerima transaksi yang sah. Hal ini memungkinkan skrip untuk menyesuaikan akun klon yang telah disiapkan agar sesuai. Waktu eksekusi tidak diukur di sini.

**Vektor ancaman:** Menyediakan data yang diperlukan untuk menyamar sebagai penerima yang dimaksud.

/dev/ajaxregisterkey PENCIPTAAN

Titik akhir pendaftaran Steam untuk kunci. Sebelumnya, setiap sesi cookie browser yang aktif (`steamLoginSecure`) dapat mendaftarkan sebuah kunci tanpa konfirmasi Steam Guard di perangkat seluler, dan tanpa pemberitahuan apa pun kepada pemilik akun.

**Vektor ancaman:** Kredensial permanen yang dibuat oleh sebuah skrip, tanpa sepengetahuan pemilik akun.

Bagian A — Catatan teknis · Bagian 8 · Pasal 7 GDPR 

## Kotak yang dicentang. Tindakan siapa?

Konteks & batasan sumber

Dalam menanggapi penolakan penggantian biaya, Steam Tanggapan tim dukungan yang tersimpan di arsip menyatakan bahwa pemegang akunlah yang membuat kunci API tersebut dan, dengan mencentang kotak tersebut, telah menyetujui persyaratannya.

Tanggapan dari tim dukungan mengaitkan kunci tersebut dengan pemilik akun. Pertanyaannya adalah apakah catatan tersebut membuktikan siapa yang sebenarnya membuatnya.

Namun, dalam pola pembajakan kunci API yang teramati, korban sama sekali tidak pernah melihat atau membuka halaman pembuatan kunci API. Kolom persetujuan dikirimkan oleh sebuah skrip yang menjalankan permintaan POST headless menggunakan cookie sesi yang dicuri.

Berdasarkan Pasal 7 dan Pasal 4 ayat (11) GDPR, persetujuan harus berupa pernyataan kehendak subjek data yang diberikan secara sukarela, spesifik, berdasarkan informasi yang memadai, dan tidak ambigu. Pendapat para penulis adalah bahwa kolom persetujuan syarat dan ketentuan yang dikirimkan oleh skrip berbahaya menggunakan cookie yang dicuri, tanpa menampilkan halaman apa pun kepada pemegang akun, tidak dapat memenuhi definisi tersebut. Apakah hal tersebut memenuhi definisi tersebut merupakan kewenangan otoritas pengawas.

Analisis Muatan Forensik: Pendaftaran Kunci

POSTING https://steamcommunity.com/dev/ajaxregisterkey

// Muatan Permintaan (Disisipkan melalui skrip pembajakan)

{

"setujuDenganKetentuan": "setuju" , <-- dimasukkan secara otomatis, tanpa campur tangan manusia

"domain": "localhost" , ← belum diverifikasi — nilai apa pun diterima, termasuk localhost

"sessionid": "8f0d8ef763ab2140bf89de2a"

}

**Pertanyaan untuk otoritas pengawas:** apabila pemegang akun tidak pernah mengklik kotak persetujuan, apakah penerimaan syarat dan ketentuan yang tercatat pada akun tersebut memenuhi persyaratan Pasal 7 mengenai pernyataan kehendak subjek data yang diberikan secara sukarela, spesifik, berdasarkan informasi yang memadai, dan tidak ambigu, serta apakah Steam Layanan Dukungan dapat mengandalkan hal tersebut untuk menolak klaim.

Sumber: bentuk permintaan pendaftaran kunci sebagaimana direkonstruksi dari titik akhir publik dan dari laporan pembajakan yang disimpan dalam arsip bukti ([versi 2026-09-17 yang dapat dicari](https://phishdestroy.io/steam_dossier/id/steam_evidence_archive)) · Pengenal sesi yang ditampilkan hanyalah tempat penampung, bukan nilai yang direkam.

Otopsi Forensik · Vektor Substitusi Komoditas 

### Bagaimana Valve Akhirnya Menetralkan "Substitusi Perdagangan" — Dan Mengapa Butuh 7 Tahun Penyesuaian Sementara

Selama hampir satu dekade, **"Penggantian Kunci API" (atau Penipuan MitM API)** merupakan model pencurian akun yang paling menguntungkan di Steam, yang berhasil menguras ratusan juta dolar dalam bentuk skin dari para pemain yang tidak curiga. Valve tidak memberantas celah keamanan tersebut dengan memperbaiki arsitektur API yang rentan; sebaliknya, Valve menghabiskan tujuh tahun untuk menerapkan empat lapisan penghalang transaksi di seluruh platform yang melumpuhkan likuiditas perdagangan komunitas, sementara akar masalahnya tetap tidak ditangani.

1. Kematian Akibat Peniruan

#### Waktu Tunggu Avatar & Nama (Februari 2024)

Serangan tersebut membutuhkan peniruan dalam hitungan kurang dari satu detik: bot penipu itu mencegat transaksi yang akan dikirim, lalu mengambil data avatar/nama penerima melalui `ISteamUser`, dan mengkloning profil tersebut dalam waktu 200 milidetik. Pada 14 Februari 2024, Valve secara diam-diam memberlakukan suatu kewajiban **Waktu tunggu transaksi 2–4 jam (Kesalahan 34)** segera setelah terjadi perubahan nama profil atau avatar. Bot tidak lagi dapat mengkloning penerima secara langsung tanpa memblokir dirinya sendiri dari aktivitas perdagangan.

2. Kematian Ekonomi

#### Pembalikan Tren Perdagangan CS2 Selama 7 Hari (Juli 2025)

Valve memperkenalkan langkah sepihak **Pembalikan Tren Perdagangan** untuk item Counter-Strike. Setiap skin yang diperdagangkan akan diberi label "Dilindungi Perdagangan" selama tujuh hari. Jika korban menyadari adanya penggantian, mereka cukup mengklik "Batalkan Pertukaran" di Steam Dukungan, dan skin tersebut akan langsung dikembalikan ke inventaris mereka sekaligus membekukan akun penerima. Karena kunci pertukaran selama 7 hari mencegah penipu memindahkan item ke situs pencairan dana, pencurian tersebut menjadi tidak menguntungkan.

3. Kematian "Silent Key"

#### Pemberitahuan Push Seluler Wajib untuk API (Desember 2023)

Secara historis, cookie sesi yang dicuri memungkinkan skrip berbahaya untuk menjalankan permintaan POST latar belakang tanpa antarmuka pengguna ke `/dev/ajaxregisterkey` tanpa memberi tahu korban. Pada tanggal 4 Desember 2023, Valve mewajibkan konfirmasi push secara eksplisit di Aplikasi Seluler Steam untuk membuat kunci API Web, sehingga menghilangkan proses pembuatan kunci di latar belakang tanpa pemberitahuan.

4. Peringatan Seluler dalam Aplikasi

#### Spanduk Usia & Nama Akun (2022–2024)

Valve telah memperbarui jendela konfirmasi di perangkat seluler agar menampilkan informasi mitra perdagangan **Steam masa berlaku akun (tanggal pembuatan)**, tingkat Steam, dan peringatan kuning yang jelas: *"Pengguna ini baru saja mengubah nama profilnya"*, sehingga mengungkap ilusi visual tersebut bagi korban yang waspada.

Tiga Kelemahan dalam Karya Patchwork Valve: Mengapa Para Penipu Hanya Mengalihkan Sasaran

**1. Celah Pengecualian Game (Dota 2 & TF2)** 

Fitur "Trade Reversals" diterapkan secara eksklusif untuk Counter-Strike 2. **Item-item Dota 2 dan Team Fortress 2 tetap sama sekali tidak terlindungi** karena kerumitan proses pembuatan dan pemasangan permata. Item tingkat tinggi yang bernilai ribuan dolar (Dragonclaw Hooks, Golden Baby Roshans, Unusual TF2 burning flames) tidak memiliki jendela pembatalan sama sekali. Para penipu hanya mengalihkan intersepsi API otomatis ke para pedagang Dota 2 dan TF2, di mana Steam Support secara ketat menerapkan kebijakan “tidak ada pemulihan item” tahun 2016.

**2. Cadangan "Zombie Key" (Tanpa Batas Waktu)** 

Sementara Valve menambahkan otentikasi dua faktor (2FA) berbasis notifikasi push seluler untuk menghasilkan *baru* kunci pada bulan Desember 2023, **Valve kunci API lama yang ada tidak pernah dicabut, kedaluwarsa, atau dihapus**. Jutaan akun aktif yang telah menghasilkan kunci (atau yang kuncinya telah dibuat secara diam-diam oleh serangan phishing/malware sebelum Desember 2023) masih memiliki kredensial aktif dengan **tanpa batas waktu kedaluwarsa (tanpa TTL) dan tanpa batas waktu inaktivitas**. Para pelaku ancaman menyimpan basis data historis yang sangat besar berisi kunci-kunci yang bersifat persisten ini, dan terus melakukan polling `IEconService` tanpa gangguan.

**3. Sanksi bagi Korban: Pembekuan Perdagangan Selama 30 Hari** 

Bahkan di CS2, Valve memberikan sanksi kepada pemain yang menjadi korban penipuan: mengklik "Reverse Trade" di Steam Support secara otomatis akan memberikan **larangan perdagangan dan akses ke Pasar Komunitas selama 30 hari yang bersifat wajib terhadap akun korban**. Valve menjatuhkan sanksi berupa pemblokiran akses ke platform selama sebulan kepada pengguna sebagai upaya pencegahan terhadap pembatalan transaksi yang "tidak beralasan", guna mencegah korban membatalkan transaksi atas barang-barang likuid bernilai rendah.

Skandal Regulasi Inti: Tujuh Tahun Menggunakan Jalan Pintas vs. Satu Ruang Lingkup API 

Mengapa Valve menghabiskan tujuh tahun untuk menciptakan mekanisme pembatasan perdagangan, masa tunggu akun, dan penguncian perdagangan yang dapat dibatalkan—yang mengacaukan seluruh ekonomi dalam game dan menghapus $104M dari kapitalisasi pasar—alih-alih menerapkan solusi yang sudah menjadi standar industri?

Sebagaimana dibuktikan oleh rilis resmi Valve di Steamworks pada 16 Januari 2026 (Pengumuman [#493839547938902179 ↗](https://steamcommunity.com/groups/steamworks/announcements/detail/493839547938902179)), Valve sudah dibangun **Kelompok Izin Terperinci (Umum, Transaksi Mikro, Ekonomi, Data Penjualan)** dan **Daftar Putih IP** untuk Kunci Penerbit korporat. Valve sudah memiliki solusi teknisnya selama bertahun-tahun. Sebuah kotak centang yang ditampilkan kepada pengguna—*"Cegah kunci API Web ini mengakses IEconService (Manajemen Perdagangan)"* atau daftar putih alamat IP rumah—akan dapat memberantas penipuan substitusi perdagangan pada tahun 2018 tanpa menimbulkan dampak ekonomi yang merugikan sama sekali. Valve menolak memberikan perlindungan yang dirancang khusus untuk mitra korporatnya kepada para pemain biasa.

Bagian B — Peraturan dan catatan penegakan · Pasal 9 

## Buku pedoman mereka. Platform-platform yang tercatat.

Konteks & batasan sumber

Buku besar ini memetakan klausul-klausul eksplisit dari **Steam Perjanjian Pelanggan (SSA)** dan **Steam Perilaku Daring (SOC)** pedoman yang secara langsung ditujukan kepada entitas komersial yang aktif dan berskala besar.

**Aturannya:** tidak boleh digunakan untuk tujuan komersial, tidak boleh untuk perjudian, tidak boleh menggunakan bot — dan Steam Tim Dukungan mengutip klausul-klausul tersebut saat menolak mengembalikan barang milik korban. **Catatan:** Klausul-klausul yang sama, secara harfiah, mencakup platform-platform komersial dalam daftar ini, yang beroperasi berdasarkan Steam identitas, Steam bot, dan Steam transfer. **Klausul tersebut diberlakukan terhadap pihak yang kehilangan kulit-kulit tersebut, dan—berdasarkan catatan resmi apa pun—bukan terhadap perusahaan-perusahaan yang mengangkutnya.**

Dalam pengaduan yang telah diarsipkan, Steam Tim Dukungan menyebutkan bahwa "Dilarang Digunakan untuk Tujuan Komersial" dan "Tidak Ada Otomatisasi/Bot" ketentuan-ketentuan saat menolak mengembalikan barang kepada korban penipuan kunci API. Ketentuan-ketentuan yang sama berlaku secara harfiah bagi platform-platform komersial yang tercatat dalam berkas ini, yang melakukan otentikasi melalui Steam OpenID dan mentransfer barang melalui akun-akun otomatis Steam. Tidak ada perkiraan angka pendapatan secara keseluruhan di pasar yang disajikan di sini (lihat statistik penegakan hukum di bawah). Yang tercatat adalah penerapan aturan terhadap akun individu dalam kasus-kasus yang diarsipkan, dan tidak ada catatan penegakan hukum per operator yang dipublikasikan untuk platform-platform tersebut. Asimetri inilah yang didokumentasikan dalam bagian ini.

Pertanyaan utama / penegakan hukum yang selektif Aturan → Skala → Akuntabilitas

### Satu buku peraturan. Penegakan yang tidak merata.

Daftar tersebut menunjukkan bahwa layanan komersial menggunakan identitas Steam, inventaris, bot, dan transfer sebagai infrastruktur operasional. SSA melarang eksploitasi komersial dan otomatisasi tanpa izin. Pengaduan yang diarsipkan menunjukkan bahwa aturan tersebut diterapkan pada akun individu, sementara catatan publik tidak menunjukkan catatan serupa per operator untuk platform-platform yang didokumentasikan di sini. Publikasikan aturan, bukti, dan keputusan penegakan hukum untuk masing-masing kasus.

**189** situs web yang termasuk dalam cakupan audit

**44** rute domain terpisah dalam daftar aktif — 27 di antaranya disertai berkas bukti yang dipublikasikan, 17 lainnya dikumpulkan secara manual. Audit peramban terhadap 189 situs web saja telah menyelesaikan 25 di antaranya; daftar tersebut juga mencakup rute yang dikumpulkan secara manual.

**12 tahun 6 bulan** csgogem.com diblokir di Filter Tautan; `api.csgem.com` terdaftar 2014-03-08 dan tidak pernah diblokir — salah satu dari 26 pasangan serupa per tanggal 2026-09-22

**Tidak ada total yang terverifikasi** perkiraan pendapatan di seluruh pasar tidak termasuk

Steam Perilaku Saat Beraktivitas Online 

> "…Anda dilarang melakukan, atau berusaha melakukan, hal-hal berikut ini di Steam: […] Melakukan kegiatan komersial. Contoh perilaku terlarang tersebut antara lain: memposting iklan; menyelenggarakan kontes; **perjudian**; membeli atau menjual akun Steam; menjual konten, kartu hadiah, atau barang lainnya; serta mengemis."

[store.steampowered.com/online_conduct ↗](https://store.steampowered.com/online_conduct) [diarsipkan 2026-09-21 ↗](https://web.archive.org/web/20260921022120/https://store.steampowered.com/online_conduct)

SSA § 2.G — Penggunaan komersial 

> "…[Anda tidak boleh] memanfaatkan Konten dan Layanan atau bagian mana pun darinya untuk tujuan komersial apa pun, kecuali sebagaimana secara tegas diizinkan di bagian lain dalam Perjanjian ini…"

Pemberitahuan Valve tahun 2016, sebagaimana dilaporkan, mengacu pada lisensi pribadi dan non-komersial. Tidak ada operator yang menunjukkan izin Valve secara resmi. [store.steampowered.com/subscriber_agreement ↗](https://store.steampowered.com/subscriber_agreement/) [diarsipkan 2026-09-18 ↗](https://web.archive.org/web/20260918014700/https://store.steampowered.com/subscriber_agreement/)

Steam Ketentuan Penggunaan Web API 

> "Anda dilarang menggunakan Steam Web API atau Steam Data dengan cara apa pun yang melanggar Steam Perjanjian Pelanggan."

Pasar skin pihak ketiga beroperasi melalui akun otomatis yang menggunakan API Steam. Teks aturan tersebut tidak memberikan pengecualian apa pun untuk skala komersial. [steamcommunity.com/dev/apiterms ↗](https://steamcommunity.com/dev/apiterms) [diarsipkan 2026-09-21 ↗](https://web.archive.org/web/20260921022210/https://steamcommunity.com/dev/apiterms)

SSA Pasal 4.C 

#### Otomatisasi

Skrip, bot, dan interaksi non-manusia dilarang. Buku besar mencatat aktivitas perdagangan bot, jaringan akun massal, dan pengalihan otomatis dalam skala komersial.

[Periksa yang catatan yang diberi label berdasarkan klausul ini](https://phishdestroy.io/steam_dossier/id/index#legal-ledger-workspace-section)

SSA Pasal 2.G 

#### Penggunaan komersial

Pemanfaatan komersial memerlukan izin tertulis. Bandingkan model bisnis yang terdokumentasi, skalanya, serta izin atau penegakan hukum yang diungkapkan.

[Periksa yang catatan yang diberi label berdasarkan klausul ini](https://phishdestroy.io/steam_dossier/id/index#legal-ledger-workspace-section)

SSA Pasal 3.A 

#### VPN & penyamaran lokasi

Menyembunyikan alamat IP tempat tinggal melalui proxy IP dapat mengakibatkan pemutusan layanan. Host otentikasi dengan domain terpisah memerlukan analisis tersendiri: tentukan apa yang disembunyikan dan aturan mana yang berlaku.

[Periksa bukti auth-host](https://phishdestroy.io/steam_dossier/id/index#proxy-bypass-explainer)

Steam Bantuan / Kebijakan URL 

#### Penyamaran tautan

Steam melarang penggunaan layanan pemendek tautan dan alat yang menyembunyikan tujuan tautan. Domain otentikasi terpisah — `rbsnin.com` dalam alur masuk Rollbit, `auth.dota.trade` di CS.MONEY — memunculkan pertanyaan serupa mengenai apakah tujuan yang ditampilkan kepada verifikator OpenID milik Steam mengidentifikasi situs yang sedang beroperasi.

[Kebijakan URL Valve ↗](https://help.steampowered.com/en/faqs/view/628C-E332-BD8C-4D36)

Referensi peraturan: [Steam Perjanjian Pelanggan, revisi 10 September 2026](https://store.steampowered.com/subscriber_agreement/) [diarsipkan 2026-09-18 ↗](https://web.archive.org/web/20260918014700/https://store.steampowered.com/subscriber_agreement/) · [Steam Ketentuan Penggunaan Web API](https://steamcommunity.com/dev/apiterms) [diarsipkan 2026-09-21 ↗](https://web.archive.org/web/20260921022210/https://steamcommunity.com/dev/apiterms) · [Steam Kebijakan URL (penyamaran tautan)](https://help.steampowered.com/en/faqs/view/628C-E332-BD8C-4D36). Angka-angka tersebut menggambarkan catatan dan tag dalam berkas ini; angka-angka tersebut bukanlah jumlah pelanggaran yang telah diputuskan.

Kekurangan kepercayaan 

#### Siapa yang meninjau keputusan tersebut ketika tim dukungan menutup kasus tersebut?

Keluhan-keluhan yang tersimpan tersebut menggambarkan sanksi permanen, keberatan yang tidak ditanggapi, dan penolakan untuk mengembalikan barang-barang yang dicuri. Bandingkan laporan-laporan tersebut dengan riwayat tiket yang sebenarnya, upaya penyelesaian yang tersedia, dan catatan akses akun. Penjelasan umum terkait phishing tidak dapat membuktikan siapa yang memicu proses reset atau membuat kunci API.

[Baca keluhan yang telah direkam ↗](https://phishdestroy.io/steam_dossier/id/steam_enforcement_evidence#support-records)[Minta catatan yang mendasari →](https://phishdestroy.io/steam_dossier/id/index#dsar-playbook)[Grafik hubungan moderator →](https://phishdestroy.io/steam_dossier/id/social_graph)

Bagian B — Peraturan dan catatan penegakan · Pasal 10 

## Sebuah API otomatisasi. Sebuah aturan yang melarang otomatisasi.

Konteks & batasan sumber

Pertanyaan yang diajukan dalam bagian ini adalah bagaimana kedua hal tersebut dapat diselaraskan: penggunaan API mana saja yang diizinkan, oleh siapa, dan berdasarkan kriteria apa yang telah dipublikasikan. Tidak ada perkiraan jumlah pengguna API komersial yang diizinkan di sini, dan hal tersebut juga tidak tersirat dari tidak adanya daftar yang dipublikasikan — ketiadaan daftar itulah yang menjadi temuan, bukan angka di baliknya. Pesan dukungan Steam yang dikutip di atas disalin oleh proyek ArchiSteamFarm dalam FAQ-nya sendiri (diverifikasi secara verbatim 2026-09-22); pesan-pesan tersebut bukanlah Valve publikasi, dan akun-akun yang menerimanya tidak diidentifikasi.

**Aturan (SSA § 4.C):** tidak ada skrip, tidak ada bot, tidak ada sistem non-manusia di Steam. **Catatan:** Valve menyediakan REST API tanpa antarmuka pengguna yang sepenuhnya ditujukan untuk otomatisasi antar-server, dan memberikan kunci akses ke akun mana pun. **Pengguna diblokir karena menggunakan otomatisasi; antarmuka otomatisasi tersebut merupakan produk milik Valve sendiri.** Penggunaan komersial apa saja yang diizinkan belum pernah diumumkan.

### Kesalahpahaman tentang "Pengembang Game"

Steamworks SDK (Asli) 

Digunakan oleh studio game resmi untuk mengintegrasikan pencapaian, pencocokan pemain, dan papan peringkat ke dalam klien game mereka. Membutuhkan integrasi C++ yang rumit serta proses pendaftaran mitra resmi.

Steam Web API (Celah) 

Arsitektur JSON/REST tanpa header yang dirancang untuk server web eksternal. Dalam pola "hijack" yang didokumentasikan di sini, arsitektur ini digunakan untuk membaca inventaris dan memanipulasi transaksi peer-to-peer dari server jarak jauh; penggunaan sahnya tidak tercantum dalam dokumen ini.

Untuk siapa kunci itu? Pengguna biasa Steam tidak memerlukan kunci Web API di dalam aplikasi; halaman kunci tersebut terletak di bawah URL pengembang dan tujuan yang tercantum dalam dokumentasinya adalah untuk akses eksternal di sisi server. Keluhan-keluhan terkait pembajakan yang telah diarsipkan menggambarkan para korban yang tidak mengetahui keberadaan halaman tersebut hingga kunci telah terdaftar di akun mereka.

#### Kontradiksi Otomatisasi

SSA § 4.C berbunyi: "Anda dilarang menggunakan skrip, bot, makro, atau sistem lain yang tidak dikendalikan oleh manusia ('Otomatisasi') dalam bentuk apa pun untuk berinteraksi dengan Konten dan Layanan di Steam dengan cara apa pun." Namun, titik akhir Web API (seperti `CancelTradeOffer`) tidak memerlukan antarmuka pengguna (UI) dan tidak memerlukan captcha, serta sepenuhnya melewati klien Steam. API ini dirancang untuk otomatisasi antar-server; aturan tersebut melarang otomatisasi oleh pengguna; batas antara keduanya tidak diumumkan.

#### Posisi di sisi server dalam alur perdagangan

Kunci API Web memungkinkan server pihak ketiga melakukan transaksi atas nama akun tersebut tanpa melibatkan klien Steam. Dalam skema penyusupan, server tersebut berada di antara pemilik akun dan server transaksi.

- → Tidak ada layar konfirmasi transaksi yang ditampilkan untuk tindakan yang dilakukan oleh kunci tersebut.

- → Mengaktifkan polling latar belakang (GetTradeOffers).

- → Membatalkan dan menerbitkan kembali penawaran tanpa keterlibatan pengguna.

Valve telah mengembangkan antarmuka tersebut, melarang otomatisasi oleh pengguna dalam aturannya, dan belum menerbitkan kriteria mengenai penggunaan komersial apa saja yang diizinkan.

Bagian B — Peraturan dan catatan penegakan hukum · Pasal 11 

## Diminta sepuluh hari. Harus mempertanggungjawabkan sepuluh tahun.

Konteks & batasan sumber

Pada 20 Juli 2016, penasihat hukum Valve memberikan batas waktu 10 hari kepada para operator perjudian. Sepuluh tahun kemudian (berdasarkan cuplikan berkas, 2026-09-21), setidaknya satu platform yang disebutkan dalam laporan media terkait pemberitahuan tersebut, yaitu CSGOFast, masih beroperasi dengan host otentikasi domain terpisah. Kata-kata dalam pemberitahuan tersebut direkonstruksi di bawah ini berdasarkan laporan media tanggal 21 Juli 2016; rekonstruksi ini bukanlah hasil pindaian. Catatan penegakan hukum yang disiratkan dalam pemberitahuan tersebut belum dipublikasikan. Surat terbuka kepada Komisi tersebut adalah [Bagian 2](https://phishdestroy.io/steam_dossier/id/index#wsgc-public-address).

Silakan baca pemberitahuan bulan Juli 2016 yang tercantum di samping catatan-catatan selanjutnya. Hal yang masih menjadi perhatian adalah catatan penegakan hukum per operator.

Satu minggu sebelumnya — 13 Juli 2016, di hadapan publik 

Pada [13 Juli 2016](https://store.steampowered.com/oldnews/22883) [diarsipkan 2026-09-21 ↗](https://web.archive.org/web/20260921021947/https://store.steampowered.com/oldnews/22883), Valve menjelaskan bagaimana situs perjudian menggunakan Steam: OpenID untuk identifikasi akun dan akun otomatis untuk transaksi. Valve menyatakan bahwa penggunaan mekanisme tersebut untuk menjalankan bisnis perjudian melanggar ketentuan API dan perjanjian pengguna. **Baik penjelasan mengenai mekanisme tersebut maupun larangan tersebut tercantum dalam pernyataan Valve yang bertanggal.** Pada 2026-09-21, host otentikasi domain terpisah yang diuji tidak menunjukkan adanya pemblokiran Filter Tautan, dan Valve belum menerbitkan catatan penegakan per operator.

### VALVE CORPORATION

Bellevue, WA

**TANGGAL:** Juli 2016 (dilaporkan oleh media pada 21 Juli 2016)

**DARI:** Karl Quackenbush, Penasihat Hukum Utama

**RE:** Peringatan untuk menghentikan — penggunaan akun Steam untuk tujuan komersial

**CATATAN:** Rekonstruksi teks yang dilaporkan; bukan hasil pindaian

"Kami mengetahui bahwa Anda mengoperasikan salah satu situs perjudian yang tercantum di bawah ini. Anda menggunakan Steam akun untuk menjalankan bisnis ini. Berdasarkan Perjanjian Pelanggan Steam, layanan Steam dan Steam hanya dilisensikan untuk penggunaan pribadi dan non-komersial."

"Anda harus segera menghentikan dan tidak lagi menggunakan akun-akun Steam Anda untuk tujuan komersial apa pun. Jika Anda tidak melakukannya, dalam waktu sepuluh (10) hari , Valve akan mengambil semua langkah hukum yang tersedia, termasuk namun tidak terbatas pada penutupan akun-akun Anda."

Rekontruksi teks pengumuman bulan Juli 2016, yang disusun oleh para penulis berdasarkan laporan media tanggal 21 Juli 2016 

Karl Quackenbush

Penasihat Hukum Utama, Valve Corp.

Garis Waktu Juli 2016 – September 2026

Batas waktu yang tercantum dalam pengumuman:

10 Hari

Juli 2016

Waktu yang telah berlalu sejak pemberitahuan:

3,715 Hari

Jumlah tetap dari tanggal 20 Juli 2016 hingga cuplikan data pada tanggal 21 September 2026, bukan angka aktual

Catatan penegakan hukum yang dipublikasikan:

Tidak ada

Tidak ditemukan catatan per operator mengenai pemutusan atau pemblokiran

◀ **Hari 0–10** — batas waktu, untuk disesuaikan **Hari ke-3715** — cuplikan ▶

- 20 Juli 2016**Perintah sepuluh hari telah dikeluarkan***Hari ke-0*

- 17 Februari 2024**Kewajiban DSA berlaku***Hari 2,768*

- 25 Februari 2026**Pengumuman pengaduan Jaksa Agung New York***Hari 3,507*

- 21 September 2026**Gambaran umum berkas***Hari ke-3715*

Sepuluh tahun kemudian, **CSGOFast** — yang disebutkan dalam laporan media mengenai pemberitahuan tahun 2016 — sudah beroperasi: csgofast.com menampilkan pemblokiran Link Filter pada 2026-09-19 dan 2026-09-21, sedangkan host otentikasinya `steam-login.authtofast.com` (terdaftar 2026-06-30) tidak melakukannya.

Catatan lengkap berstempel tanggal mengenai perubahan keamanan Valve: [Garis Waktu Keamanan →](https://phishdestroy.io/steam_dossier/id/security_timeline) · Catatan Washington dan standar penegakan hukum: [di bawah ini](https://phishdestroy.io/steam_dossier/id/index#washington-record-heading)

**Fakta yang tercatat:** Pemberitahuan tahun 2016 menetapkan batas waktu 10 hari; Valve telah mengoperasikan daftar domain (Link Filter) dan menerima nama host otorisasi dalam permintaan OpenID-nya sendiri; belum ada catatan penegakan hukum per operator yang dipublikasikan. Laporan komunitas menggambarkan tindakan pada tahun 2018 terhadap sebuah pasar daring (SkinJar), namun laporan-laporan tersebut belum diverifikasi dan tidak dijadikan acuan di sini.

CSGOFAST / RUTE OTENTIKASI YANG DISIMPAN 

### Ikuti host pengembalian yang dinyatakan.

Tautan catatan rute yang telah disimpan `csgofast.com` ke `steam-login.authtofast.com`. Nama host terpisah tersebut tercantum dalam permintaan OpenID Steam. Hal ini memberikan para penyelidik alamat yang spesifik untuk dibandingkan dengan catatan penyaringan dan penegakan aturan dari Valve.

[Periksa rute CSGOFast dan sumbernya ↗](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/csgofast.com.json) · [Bandingkan hasil yang disimpan Steam Saring tautan ↗](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-all-results.json)

CATATAN UMUM / WASHINGTON · 2016 → 2026 

### Dua batas waktu. Satu standar penegakan hukum yang belum dijelaskan.

**20 JULI**

#### Valve memberikan waktu 10 hari kepada situs perjudian

Pihak kuasa hukumnya memperingatkan bahwa penggunaan akun Steam untuk tujuan komersial secara terus-menerus dapat mengakibatkan penutupan akun.

**27 SEP**

#### Washington menekan Valve

Komisi Perjudian negara bagian tersebut meminta bukti langkah-langkah yang diambil untuk menghentikan transfer skin untuk keperluan perjudian dan menetapkan batas waktu tanggapan hingga 14 Oktober.

**17 OKT**

#### Valve membantah tuduhan tersebut

Valve memberikan tanggapan setelah batas waktu berlalu, membantah tuduhan bahwa platform tersebut memfasilitasi perjudian, menyatakan telah menonaktifkan akun-akun yang terkait, dan mengatakan tidak ingin menonaktifkan layanan perdagangan dan OpenID bagi semua pengguna. Setidaknya satu platform yang disebutkan dalam laporan pers mengenai pemberitahuan bulan Juli (CSGOFast) masih beroperasi sepuluh tahun kemudian. Kedua fakta tersebut hanya dapat berlaku jika operator mengganti akun-akun yang dinonaktifkan; catatan yang menunjukkan hal ini belum dipublikasikan. WSGC sebaiknya meminta Valve untuk menyelaraskan kedua hal tersebut.

**2026**

#### Rute-rute yang diamati pada bulan September 2026

Daftar rute mencatat 44 platform yang melakukan otentikasi melalui host otentikasi domain terpisah, termasuk CSGOFast, dengan menggunakan OpenID dan mekanisme perdagangan Valve yang dijelaskan pada tahun 2016. Catatan penegakan yang seharusnya menunjukkan operator mana saja yang diputus aksesnya belum dirilis.

PAPARAN DARI KOMISI SENDIRI · 30 JANUARI 2018 

#### Delapan belas bulan setelah Valve memberikan tanggapan, otoritas pengawas masih menyebutnya sebagai niat.

Dalam audiensi publik RUU HB 2881, Komisi tersebut menjelaskan pernyataan bulan Juli 2016 dengan kata-katanya sendiri kepada badan legislatifnya: Valve **"mengumumkan niatnya untuk menindak penggunaan platformnya yang memfasilitasi perjudian skin."** Halaman yang sama mencatat dampak pengumuman tersebut terhadap proyeksi industri — *"sehingga,"* proyeksi pasar perjudian online tahun 2020 telah direvisi dari **$19.7 miliar** ke **$670 juta**, penurunan sekitar 97 persen, hanya berdasarkan pengumuman tersebut saja. Perkiraan tersebut berubah. Data penegakan hukum per operator yang dapat menjadi dasar keputusan tersebut masih belum dipublikasikan.

Angka-angka pasar tersebut merupakan perkiraan dari Narus Advisors / Eilers & Krejcik Gaming yang dikutip dalam briefing Komisi, bukan temuan Komisi; dokumen yang sama menyebutkan bahwa nilai taruhan skin pada tahun 2016 mencapai sekitar $5 miliar, dengan sekitar $3 miliar di antaranya terjadi di situs-situs bergaya kasino. Diambil pada 2026-09-22, SHA-256 `c507c9025f93da0aadaf395c4d8882f25973211c318ee8e9b6f18a5b3755e050`.

Posisi resmi Valve pada tahun 2016 dan infrastruktur yang dapat diamati saat ini dapat dibandingkan secara berdampingan. Pertanyaannya adalah apakah penegakan hukum telah menjangkau akun dan rute yang digunakan oleh operator yang dilarang. **Pemberitahuan sepuluh hari bukanlah bukti bahwa pemberitahuan tersebut telah disampaikan kepada seluruh operator yang disebutkan di dalamnya.** Tindakan OPSkins tahun 2018 merupakan satu-satunya intervensi yang tercatat terhadap seorang operator tertentu; mengingat ada 189 platform yang diperiksa dan tidak ada catatan per operator yang dipublikasikan, satu tindakan yang tercatat tersebut tidak menunjukkan pola penegakan hukum.

[Pengumuman Komisi Perjudian Washington tahun 2016 ↗](https://wsgc.wa.gov/news/2016/washington-state-gambling-commission-orders-valve-stop-skins-gambling) [diarsipkan 2026-05-20 ↗](https://web.archive.org/web/20260520012601/https://wsgc.wa.gov/news/2016/washington-state-gambling-commission-orders-valve-stop-skins-gambling) · [Tanggapan Valve tanggal 17 Oktober 2016 (salinan dokumen) ↗](https://fr.scribd.com/document/328063293/Valve-s-Oct-18th-response-to-Washington-State-Gambling-Commission-s-cease-and-desist) · [Sesi paparan WSGC kepada badan legislatif, 30 Januari 2018 (salinan lokal, 4 halaman) ↗](https://phishdestroy.io/steam_dossier/steam_tos_assets/wsgc-skins-gambling-briefing-2018.pdf) · [file yang sama di wsgc.wa.gov ↗](https://wsgc.wa.gov/sites/default/files/2023-10/Skins%20Gambling.pdf) · [catatan pengambilan & hash ↗](https://phishdestroy.io/steam_dossier/steam_tos_assets/wsgc-briefing-manifest.json) · [Aksi OPSkins Valve tahun 2018 ↗](https://blog.counter-strike.net/expresstrade/) [diarsipkan 2026-03-07 ↗](https://web.archive.org/web/20260307161538/https://blog.counter-strike.net/expresstrade/) · [Audit rute saat ini ↗](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit.json)

Audit Forensik Longitudinal · Target Perintah Penghentian dan Larangan Tahun 2016 

### Dekade Pemberitahuan 10 Hari: Audit Kelangsungan Hidup Forensik di 23 Lokasi yang Disebutkan

Pada tanggal 19–20 Juli 2016, Valve Penasihat Hukum Utama Karl Quackenbush mengeluarkan surat peringatan resmi untuk menghentikan kegiatan kepada 23 platform perjudian skin, memerintahkan mereka untuk menghentikan penggunaan komersial atas Steam akun di dalam **10 hari** di bawah ancaman penutupan akun dan tindakan hukum. Lebih dari 3,700 hari kemudian, audit empiris mengungkap pola penegakan aturan yang sebenarnya: sejumlah operator tidak pernah menghentikan operasinya, sementara yang lain tetap beroperasi hingga enam tahun setelah batas waktu, dan ekosistem bernilai miliaran dolar tersebut terus memanfaatkan arsitektur OpenID Valve.

5+ LANGSUNG

Dipastikan akan beroperasi pada tahun 2026 (CSGOBig, CSGO500, CSGOFast, dll.)

6 TAHUN

Jangka waktu terlama sejak pemberitahuan hingga penutupan (CSGOatse tetap aktif hingga tahun 2022)

$5.01B

Volume taruhan kulit tahun 2016 (Narus / Eilers & Krejcik)

200+

Situs perjudian online yang aktif beroperasi pada puncak pasar

The Surviving Titans · Peta Jalan Keuangan & Lalu Lintas 2024–2026 

#### Dari Peringatan 10 Hari hingga Konglomerat Luar Negeri: Perputaran Dana Senilai Miliaran Dolar

Alih-alih memberantas perjudian skin, pemberitahuan Valve pada tahun 2016 justru memicu evolusi industri. Operator yang masih bertahan melakukan restrukturisasi menjadi entitas korporasi lepas pantai (Curaçao, Belize, Siprus), memelopori perdagangan Peer-to-Peer (P2P) untuk menghindari larangan bot, dan kini memproses lebih dari **10 juta kunjungan situs web per bulan** dan **miliaran dolar dalam total taruhan tahunan** sambil tetap melakukan otentikasi melalui Steam:

| Platform / Domain | Pengumuman Juli 2016 | Hasil Penegakan Hukum & Status Kelangsungan Hidup | Verifikasi yang Tercatat / Tautan Utama |
| --- | --- | --- | --- |
| CSGOBig csgobig.com | Pemberitahuan 10 Hari (Juli 2016) | MASIH HIDUP DI TAHUN 2026 Untuk sementara dihentikan, kemudian diluncurkan kembali; otentikasi dilakukan melalui letmeinbig.com & csgobiglogin.com | [X: @csgobig ↗](https://x.com/csgobig) · [FB: csgobigofficial ↗](https://www.facebook.com/csgobigofficial/) |
| CSGO500 csgo500.com / 500.casino | Pemberitahuan 10 Hari (Juli 2016) | MASIH HIDUP PADA TAHUN 2026 Berganti nama menjadi 500 Casino (lisensi Curaçao No. 8048/JAZ2014-037), dengan omzet bulanan mencapai jutaan | [Platform Langsung (500.casino) ↗](https://500.casino) |
| CSGOFast csgofast.com | Pemberitahuan 10 Hari (Juli 2016) | MASIH HIDUP PADA TAHUN 2026 Saat ini sedang mengoperasikan permainan roulette, crash, dan jackpot melalui steam-login.authtofast.com | [Dokumen Audit Otorisasi ↗](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/csgofast.com.json) |
| CSGOLounge / Dota2Lounge csgolounge.com / dota2lounge.com | Pemberitahuan 10 Hari (Juli 2016) | MASIH HIDUP PADA TAHUN 2026 Beralih ke taruhan koin esports dan taruhan kripto; tetap beroperasi secara berkelanjutan | [Platform Langsung ↗](https://csgolounge.com) |
| CSGOCasino csgocasino.net / csgocasino.gg | Pemberitahuan 10 Hari (Juli 2016) | SIARAN LANGSUNG MELALUI SUCCESSOR (2026) Domain telah dialihkan; portal pengganti yang aktif beroperasi di bawah csgocasino.gg | [Domain Penerus ↗](https://csgocasino.gg/) |
| CSGOatse csgoatse.com | Pemberitahuan 10 Hari (Juli 2016) | BERTAHAN SELAMA 6 TAHUN (AKTIF HINGGA TAHUN 2022) Operasi perjudian tetap berjalan penuh selama enam tahun setelah ultimatum 10 hari dari Valve | [X: @CSGOatsecom (Aktif hingga 2022) ↗](https://x.com/CSGOatsecom) |
| CSGOSweep csgosweep.com | Pemberitahuan 10 Hari (Juli 2016) | BERLANJUT HINGGA DESEMBER 2017 Beroperasi secara terbuka selama 17 bulan setelah batas waktu | [X: Status CSGOSweep Desember 2017 ↗](https://x.com/CSGOSweep/status/937420902538543106) |
| CSGOWild csgowild.com | Pemberitahuan 10 Hari (Juli 2016) | BERLANJUT HINGGA DESEMBER 2017 Dipromosikan oleh para influencer ternama; beroperasi selama 1,5 tahun setelah surat peringatan (C&D) sebelum beralih ke kripto | [X: @Wild (Aktif pada Desember 2017) ↗](https://x.com/Wild) |
| CSGOPot csgopot.com | Pemberitahuan 10 Hari (Juli 2016) | BERTAHAN HIDUP HINGGA SEPTEMBER 2017 Mengoperasikan taruhan jackpot dengan taruhan tinggi selama 14 bulan setelah pemberitahuan | [X: @csgopot (Aktif pada September 2017) ↗](https://x.com/csgopot) |
| CSGODiamonds csgodiamonds.com | Pemberitahuan 10 Hari (Juli 2016) | BERTAHAN HINGGA PERTENGAHAN TAHUN 2017 Acara tersebut tetap berlangsung sepanjang tahun 2017 meskipun telah diakui adanya manipulasi hasil untuk para streamer yang disponsori | [X: @csgodiamondscom (2017) ↗](https://x.com/csgodiamondscom) |
| CSGOLotto csgolotto.com | Pemberitahuan 10 Hari (Juli 2016) | TUTUP PADA JULI 2016 Ditutup akibat skandal publik; menjadi sasaran perintah persetujuan dari Komisi Perdagangan Federal (FTC) | [Perintah Kesepakatan FTC (Nomor Perkara C-4632) ↗](https://search.ftc.gov/legal-library/browse/cases-proceedings/162-3184-csgolotto-trevor-martin-thomas-cassell-matter) |
| CSGODouble csgodouble.com | Pemberitahuan 10 Hari (Juli 2016) | TUTUP PADA JULI 2016 Segera hentikan operasi secara sukarela setelah penerbitan surat peringatan dan tuntutan (C&D) | [X: @CSGODouble (Ditutup pada Juli 2016) ↗](https://x.com/CSGODouble) |
| CSGOMassive csgomassive.com | Pemberitahuan 10 Hari (Juli 2016) | TUTUP 2016 Menghentikan operasi publik pada akhir tahun 2016 | [X: @csgo_massive ↗](https://x.com/csgo_massive) |
| CSGOStrong csgostrong.com | Pemberitahuan 10 Hari (Juli 2016) | TUTUP 2016 Menghentikan operasi publik pada tahun 2016 | [FB: csgostrongfree ↗](https://www.facebook.com/csgostrongfree/) |
| Skins2 skins2.com | Pemberitahuan 10 Hari (Juli 2016) | TUTUP 2016 Menghentikan operasi untuk umum pada tahun 2016 | [FB: CSNCOM ↗](https://www.facebook.com/CSNCOM/) |

| Platform | Lalu Lintas Bulanan (Kunjungan) | Perkiraan Omset / Volume | Badan Hukum & Yurisdiksi | Tindakan Regulasi Utama & Model |
| --- | --- | --- | --- | --- |
| CSGOEmpire csgoempire.com | 2,3 juta — 9,0 juta per bulan Durasi rata-rata 6+ menit; 80% langsung | $1.5B — $2.5B Total Transaksi Tahunan >1,000,000 Transaksi skin P2P per bulan; $6.4M volume pesanan aktif yang likuid | Moonrail Limited B.V. (Curaçao No. 148182) Pembayaran: JHOLT LTD (Siprus); Pendiri: "Monarch" (Ossi Ketola) | Pelopor perdagangan barang P2P tanpa biaya; berlisensi Curaçao OGL/2024/1183/0869 |
| CSGORoll csgoroll.com | 2,74 juta — 3,5 juta / bulan Durasi rata-rata 9 menit 23 detik; tingkat pentalan 16% | $1.0B — $2.0B Total Transaksi Tahunan Perkiraan pendapatan tahunan perusahaan sebesar $100M–$200M dari keunggulan rumah | Feral Holdings Limited Berkantor pusat di Kota Belize, Belize (Nomor Registrasi #171519) | Dilarang oleh ACMA Australia (Mei 2023); mensponsori tim tier-1 G2 Esports yang memiliki pemain di bawah umur |
| 500 Casino (CSGO500) 500.casino / csgo500.com | 220 ribu — 425 ribu / bulan ~105 ribu pengunjung unik per bulan | $100k / minggu ($5.2M/tahun) di Royales Persyaratan taruhan untuk pemain besar: $400 taruhan per $1 rakeback | Perfect Storm B.V. (Curaçao No. 150536) Izin dari Badan Pengawas Perjudian Curaçao OGL/2024/1354/0882 | Dilarang oleh Spelinspektionen Swedia (November 2023) karena menargetkan pemain Swedia tanpa izin |
| CSGOBig csgobig.com | ~169,600 / bulan Durasi rata-rata 19 menit 12 detik; Pemilihan pendahuluan AS | Volume Tahunan Berjumlah Beberapa Juta Kotak misteri, roulette, dan pertarungan kotak | Beroperasi melalui perutean proxy tambahan letmeinbig.com (terdaftar tahun 2023) & csgobiglogin.com | Target C&D Juli 2016 diluncurkan kembali dengan arsitektur otentikasi proxy |
| CSGOFast csgofast.com | ~150 ribu — 250 ribu per bulan Pemirsa multibahasa di seluruh dunia | Volume Tahunan Berjumlah Beberapa Juta Permainan roulette berkecepatan tinggi dan permainan crash | Entitas operasional lepas pantai Rute Steam otentikasi melalui steam-login.authtofast.com | Target Juli 2016 C&D; tidak pernah menghentikan operasinya; masih beroperasi pada tahun 2026 |
| CSGO Polygon csgopolygon.com / plg.bet | ~300 ribu — 500 ribu per bulan Dominasi Negara-Negara CIS dan Eropa Timur | Volume Tahunan Berjumlah Beberapa Juta Roulette kripto & skin, taruhan pertandingan | Target gelombang kedua (Oktober 2016) Beralih ke mata uang kripto dengan domain cermin plg.bet | Telah bertahan selama satu dekade penuh; terus melakukan likuidasi skin melalui API pihak ketiga |

Gelombang Kedua: Mengapa Surat Peringatan dan Perintah Penghentian (C&D) dari Valve Menargetkan Sebanyak 43+ Situs

Pada tanggal 17 Oktober 2016, penasihat hukum Valve secara resmi memberitahukan kepada Komisi Perjudian Negara Bagian Washington bahwa setelah 23 pemberitahuan awal pada tanggal 19 Juli, Valve telah mengirimkan surat peringatan untuk menghentikan kegiatan kepada **lebih dari 20 situs perjudian skin lainnya** (sehingga jumlah resmi kini melampaui 43). Gelombang kedua ini terpaksa dilakukan karena daftar awal secara tak dapat dijelaskan tidak mencantumkan pusat-pusat perjudian terbesar dan paling terkenal di dunia:

- **CSGOJackpot.com:** Pelopor bersejarah di balik skema penipuan “skin jackpots”, yang pernah menangani transaksi senilai ratusan juta sebelum akhirnya tutup karena terancam dakwaan federal.

- **CSGOShuffle.com:** Situs yang menjadi pusat skandal siaran langsung pada Juli 2016, di mana streamer Twitch PhantomL0rd secara diam-diam memiliki 33% saham perusahaan tersebut dan terungkap telah memanipulasi peluang taruhan menggunakan dana perusahaan.

- **Ekosistem Makro (200+ Operator):** Menurut penelitian industri yang dilakukan oleh Narus Advisors dan Eilers & Krejcik Gaming, lebih dari 200 situs perjudian skin yang berbeda beroperasi pada tahun 2016, menghasilkan $5.01 miliar dalam volume taruhan dari 3,03 juta pemain aktif. 43 surat dari Valve hanya mencakup kurang dari 20% dari pasar aktif.

Penyelidikan Resmi oleh Pemerintah dan Otoritas Pengawas Terkait Steam Perjudian Skin

Fenomena perjudian ilegal telah didokumentasikan dalam berbagai penyelidikan resmi berdasarkan undang-undang, tindakan penegakan hukum, dan makalah posisi pemerintah:

**1. Komisi Perjudian Negara Bagian Washington (WSGC) (2016–2018)** 

Menyampaikan surat peringatan resmi untuk menghentikan kegiatan (Cease & Desist) pada tanggal 5 Oktober 2016; menerbitkan Laporan Legislatif pada tanggal 30 Januari 2018 yang mendokumentasikan bahwa skin merupakan setara uang tunai serta melaporkan volume taruhan skin sebesar $5.0B.

[Laporan Legislatif WSGC dalam format PDF (Salinan Lokal) ↗](https://phishdestroy.io/steam_dossier/steam_tos_assets/wsgc-skins-gambling-briefing-2018.pdf)

**2. Komisi Perdagangan Federal Amerika Serikat (FTC) (September 2017, Nomor Perkara C-4632)** 

Tindakan penegakan peraturan federal pertama yang melibatkan perjudian skin terhadap pemilik CSGOLotto, Trevor Martin dan Thomas Cassell, atas praktik-praktik menipu dan pengendalian platform yang tidak diungkapkan.

[Keputusan dan Perintah Persetujuan FTC ↗](https://search.ftc.gov/legal-library/browse/cases-proceedings/162-3184-csgolotto-trevor-martin-thomas-cassell-matter)

**3. Makalah Posisi Komisi Perjudian Inggris (UKGC) & Audit Terkait Remaja** 

Survei Komisi Perjudian tahun 2018 menemukan bahwa 3% anak usia 11–16 tahun mengaku pernah bertaruh menggunakan item dalam gim (skin).

[Repositori Penelitian UKGC ↗](https://www.gamblingcommission.gov.uk/news/article/gambling-commission-publishes-new-report-on-children-and-gambling-trends)
[UKGC policy on virtual currencies ↗](https://www.gamblingcommission.gov.uk/licensees-and-businesses/guide/page/digital-and-virtual-currencies)

**4. Penyelidikan Senat Australia tentang Lingkungan dan Komunikasi (2018)** 

Laporan Parlemen Federal mengenai *"Transaksi mikro dalam game untuk item yang diperoleh secara acak"*, mengevaluasi mekanisme loot box Valve, pencairan dana di pasar sekunder, dan upaya menghindari peraturan.

[Penyelidikan Parlemen Australia ↗](https://www.aph.gov.au/Parliamentary_Business/Committees/Senate/Environment_and_Communications/Gamingmicro-transactions/Report)

Permintaan yang belum terpenuhi 

**Publikasikan catatan penegakan hukum: akun perjudian dan bot mana saja yang dinonaktifkan, host pengembalian mana saja yang diblokir, serta layanan komersial mana saja yang mendapat izin. Larangan yang diumumkan secara publik dan peringatan di laman beranda tidak menjamin bahwa operasi yang mendasarinya telah dihentikan.**

Bagian B — Peraturan dan catatan penegakan · Pasal 12 

## Nama host sudah tercantum dalam permintaan.

Konteks & batasan sumber

Valve sudah memiliki daftar domain (Link Filter) dan sudah menerima nama host otentikasi dalam setiap permintaan OpenID. Pseudokode di bawah ini menunjukkan alur logis untuk menghubungkan keduanya. Tidak ada bukti publik yang menunjukkan bahwa Valve melakukannya.

Valve sudah mengelola daftar blokir domain. Valve sudah menerima informasi host login dalam setiap permintaan OpenID. **Tidak perlu membangun apa pun — keduanya hanya perlu disatukan.** Itu adalah pencarian nama host berdasarkan daftar yang dikelola sendiri oleh Valve. Pseudokode di bawah ini hanyalah ilustrasi, bukan implementasi dari Valve.

forensic_autoban.py

# KODE PSEUDO ILUSTRATIF — Valve.block_domain() dan flag_session_as_mitm() bukanlah panggilan API yang sebenarnya. Ini menunjukkan struktur logis dari mitigasi yang dapat diterapkan Valve terhadap domain otentikasi proxy, bukan bagian internal Valve yang sebenarnya.

# Ilustrasi: bentuk logis dari pemeriksaan terhadap permintaan OpenID yang masuk

def audit_openid_request (permintaan):

blocked_origins = database. get_platform_yang_masuk_daftar_hitam ()

proxy_domain = request.params. dapatkan ( 'openid.realm' )

target_redirect = request.params. dapatkan ( 'openid.return_to' )

# Logika: Jika proxy tersebut mengarahkan kembali ke situs yang diblokir, blokir proxy tersebut.

untuk situs di blocked_origins:

jika situs di target_redirect:

Valve. block_domain (proxy_domain)

Valve. menandai_sesi_sebagai_MITM (request.session)

# Hasil: Permintaan masuk untuk host tersebut ditolak

Pengamatan: 
Apabila domain utama sudah terdaftar di Filter Tautan (misalnya howl.gg, diblokir 2026-09-18/19/21) dan host otentikasinya (howl.uno) muncul dalam permintaan OpenID dari tombol masuk situs tersebut, hubungan tersebut dapat diamati oleh Valve dari data permintaannya sendiri. Pemeriksaan ini dapat diotomatisasi; namun, apakah pemeriksaan tersebut dijalankan atau tidak, tidak dapat diotomatisasi.

### Preseden yang terdokumentasi dan dilaporkan

Valve tercatat telah mengambil tindakan terhadap operator pihak ketiga setidaknya sekali: pada tahun 2018, mereka mencabut akses OPSkins ke sistem ExpressTrade ([Pengumuman Valve ↗](https://blog.counter-strike.net/expresstrade/) [diarsipkan 2026-03-07 ↗](https://web.archive.org/web/20260307161538/https://blog.counter-strike.net/expresstrade/)). Laporan-laporan dari komunitas pada tahun 2018 juga menyebutkan bahwa sebuah pasar daring (SkinJar) kehilangan akses; laporan-laporan tersebut belum terverifikasi, dan mekanismenya disimpulkan berdasarkan hasilnya, bukan berdasarkan proses yang diungkapkan.

Apa yang ditetapkan oleh preseden tersebut: 

Valve dapat memutus akses operator pihak ketiga kapan pun mereka mau. CSGOFast, yang disebutkan dalam laporan pers mengenai pemberitahuan pada Juli 2016, beroperasi di 2026-09-21 dengan host otorisasi yang terdaftar di 2026-06-30 yang tidak memicu pemblokiran Link Filter. Alasan mengapa satu operator diblokir sementara yang lain tidak, tidak dijelaskan dalam kriteria apa pun yang dipublikasikan.

### Apa saja yang ditunjukkan dan tidak ditunjukkan oleh tanggal pendaftaran

Tanggal pendaftaran sebuah host otentikasi merupakan batas bawah mengenai kapan host tersebut pertama kali dapat muncul dalam permintaan OpenID; hal ini tidak menunjukkan adanya penggunaan yang berkelanjutan. `sc-auth.net`, misalnya, terdaftar dengan kode 2019-04-02 (RDAP) dan terdeteksi dalam alur masuk Steam di Skin.Club pada September 2026; apa yang terjadi antara kedua tanggal tersebut tidak tercatat dalam catatan publik.

### Audit Komparatif: Standar Kepatuhan API

| Dimensi Penegakan Hukum | Aturan API GitHub | Steam Antarmuka Pemrograman Aplikasi Web (Valve) |
| --- | --- | --- |
| 1. Netralitas Kepatuhan | Aturan yang telah dipublikasikan dan seragam. Batas frekuensi yang terdokumentasi (misalnya 5,000 panggilan/jam untuk pengguna yang terautentikasi, 15,000/jam untuk organisasi GitHub Enterprise Cloud) serta kebijakan penggunaan yang dapat diterima yang telah dipublikasikan berlaku untuk setiap akun. | Tidak ada kriteria yang dipublikasikan. Akun-akun individu ditutup berdasarkan klausul otomatisasi dan penggunaan komersial (pengaduan yang telah diarsipkan), sementara catatan penegakan aturan per operator untuk platform komersial belum dipublikasikan. |
| 2. Penyalahgunaan OpenID / Proksi Otentikasi | Kebijakan yang dipublikasikan oleh GitHub memungkinkan aplikasi dan token OAuth ditangguhkan atau dicabut jika terjadi penyalahgunaan, dan dokumentasinya menjelaskan pencabutan otomatis terhadap token yang terpapar (ringkasan dokumentasi GitHub oleh para penulis). | Host otentikasi dengan domain terpisah yang terdeteksi dalam alur OpenID Steam (misalnya rbsnin.com, howl.uno, sc-auth.net) tidak memicu pemblokiran Filter Tautan pada 2026-09-21, sedangkan domain utama mereka justru memicunya. |
| 3. Monetisasi Penyalahgunaan | GitHub tidak memungut biaya transaksi atas barang yang dipindahkan melalui otomatisasi pihak ketiga; model pendapatannya berasal dari langganan dan daftar produk di pasar. | Valve menjual kunci peti yang menghasilkan barang-barang tersebut, dan Pasar Komunitas mengenakan biaya gabungan sekitar 15% atas penjualan yang diselesaikan di dalam Pasar. Angka pendapatan yang berasal dari platform pihak ketiga tidak diperkirakan di sini. |
| 4. Masa Pakai Loop Pengalihan | ID klien OAuth yang ditangguhkan akan berhenti berfungsi di seluruh platform sejak penangguhan; dokumentasi tidak mencantumkan perkiraan waktu yang diperlukan untuk tindakan, dan hal tersebut juga tidak diasumsikan di sini. | Host otentikasi dengan domain terpisah yang memiliki tanggal pendaftaran mulai tahun 2011 hingga September 2026 tidak menunjukkan adanya pemblokiran Link Filter dalam pemeriksaan 2026-09-19 dan 2026-09-21. Tanggal pendaftaran merupakan batas bawah dari kemungkinan penggunaan, bukan bukti penggunaan yang berkelanjutan. |

Sumber: Kolom GitHub — Dokumentasi batasan laju API dan kebijakan platform yang diterbitkan oleh GitHub (ringkasan penulis, bukan kutipan) · Kolom Steam — Pemeriksaan Filter Tautan pada 2026-09-19 dan 2026-09-21 ([linkfilter-recheck-2026-09-21.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-recheck-2026-09-21.json)), pendaftaran RDAP ([domain-registration.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/domain-registration.json)) dan keluhan dukungan yang telah diarsipkan ([arsip bukti](https://phishdestroy.io/steam_dossier/id/steam_evidence_archive)).

Bagian B — Peraturan dan catatan penegakan · Pasal 13 

## Selisih harga off-Steam

Barang tersebut tersimpan di inventaris Steam; penjualannya dilakukan di tempat lain. Sebuah AWP Dragon Lore dalam kondisi baru dari pabrik telah **62 penawaran aktif di CSFloat**; harga terendah yang ditawarkan **$10,623.95**. Pasar milik Steam sendiri tidak dapat menampilkan harga penawaran di atas sekitar $1,800. Untuk menjual dengan harga yang lebih tinggi yang teramati, pemilik memerlukan pembeli atau pasar di luar Steam. Barang tersebut dan proses peralihannya tetap bergantung pada Steam.

Konteks & batasan sumber

Terdapat tiga jenis hitungan yang berbeda dalam bagian ini, dan ketiganya tidak dapat digunakan secara bergantian. **245** adalah jumlah kategori nama barang CS2 yang penawaran aktif termurahnya melebihi $1,800 hanya di CSFloat, pada tanggal 20 September 2026. **241** yaitu himpunan yang sama dikurangi empat kategori yang ditempelkan pada batas atas $100,000 di CSFloat, yang merupakan panel yang digunakan sebagai dasar perhitungan batas bawah $13.63M. **248** Ini adalah gambaran yang berbeda: kategori-kategori yang harganya melebihi batas atas di dua atau lebih dari lima platform pada tanggal 23 September 2026. Platform-platform tersebut saling tumpang tindih, sehingga jumlah dari platform yang berbeda tidak boleh dijumlahkan. Setiap angka di sini merupakan harga penawaran, bukan penjualan yang telah diselesaikan, dan tidak ada satupun yang merupakan pendapatan, omzet, atau laba — baik untuk Valve maupun pihak lain manapun. Nilai-nilai yang tercantum di PriceEmpire adalah perkiraan yang dibulatkan yang dipublikasikan oleh situs tersebut, dan kartu Steam-nya mencakup item dari game Steam lainnya, sehingga cakupan perbandingan tersebut tidak identik.

**Satu barang. Dua sistem harga.** IKUTI PERKEMBANGANNYA

STEAM**Tentang $1,800** Batas maksimum daftar di Pasar Komunitas yang telah diterbitkan

KATALOG YANG TELAH DISIMPAN**$10,623.95** AWP Dragon Lore baru dari pabrik, silakan tanyakan harganya

KETERGANTUNGAN**Masih merupakan barang Steam** Stok dan pemindahan tetap pada Steam

Steam membatasi harga penawaran. Seorang penjual boleh menerima tawaran yang lebih rendah, tetapi tidak boleh mencantumkan harga penawaran lima digit yang teramati di pasar tersebut.

Katalog CSFloat yang telah disimpan menampilkan 62 penawaran. Ini adalah harga yang diminta, bukan bukti bahwa penjualan telah selesai.

Dengan permintaan tersebut, penjual memerlukan platform atau pembeli di luar Steam. Barang tersebut tetap bergantung pada sistem persediaan dan pengiriman Steam.

01 / BARANG **Valve inventaris game**Item CS2 atau Dota 2 yang dimiliki di Steam

02 / PLAFON **Tentang $1,800 pada Steam**Harga maksimum untuk satu penawaran di Pasar

03 / PERMINTAAN DARI LUAR **$10,623.95 untuk Dragon Lore**Penawaran CSFloat termurah dalam snapshot yang sudah kadaluwarsa

04 / PENGIRIMAN **Steam tetap berada dalam rantai**Kepemilikan dan pemindahan barang bergantung pada sistemnya

**245 kategori CS2 di CSFloat.****166 kategori CS2 dan 3 kategori Dota 2 di Skinport.**

Setiap angka menunjukkan jumlah kategori nama barang yang penawaran aktif termurahnya berada tepat di atas $1,800 pada tanggal 20 September 2026. Pasar-pasar tersebut saling tumpang tindih; jumlahnya tidak boleh dijumlahkan. Sebuah penawaran bukanlah penjualan yang telah diselesaikan.

[Periksa daftar inventaris per item →](https://phishdestroy.io/steam_dossier/id/elite_skins#register)

API CSFLOAT LANGSUNG / CUPlKAN BERDASARKAN TANGGAL **$13.63M**

Nilai penawaran agregat minimum dalam **241 kategori barang** dan **3,395 penawaran aktif**. Dihitung berdasarkan harga ask termurah di setiap kategori dikalikan dengan jumlah penawaran di kategori tersebut. Empat kategori yang terikat pada batas atas $100,000 di CSFloat dikecualikan dari panel konservatif ini.

### Apa yang ditunjukkan oleh angka dalam dolar tersebut

Penawaran-penawaran ini setidaknya mewakili **$13,631,888.25** dalam harga penawaran yang dipublikasikan untuk subset CSFloat terbatas ini. Dengan memasukkan keempat kategori harga tertinggi tersebut, hasilnya adalah **$14,231,888.25**. Ini adalah sebuah *batas atas permintaan yang aktif*, bukan penjualan yang belum diselesaikan, perputaran kas, laba, atau pasar CS2 secara keseluruhan.

[Hitung ulang berdasarkan snapshot CSFloat yang terdiri dari 245 baris ↗](https://phishdestroy.io/steam_dossier/steam_tos_assets/csfloat-catalogue.json)

PRICEEMPIRE / NILAI TERDAFTAR **Steam: #15 dari 39**

### Banyak tempat yang mencantumkan nilai dalam dolar lebih besar dari Steam.

UUSkins 

**$133.8M**

YouPin898 

**$127.5M**

Buff.163 

**$104M**

Moon.Market 

**$100.3M**

White.Market 

**$89.6M**

Buff.Market 

**$86.7M**

Steam 

**$31M**

Enam nilai terbesar yang ditampilkan dan Steam. PriceEmpire membulatkan angka-angka ini; Steam menunjukkan **$31M**. Ada empat belas tempat yang terdaftar yang berada di peringkat di atasnya berdasarkan nilai dolar yang ditampilkan.

PRICEEMPIRE / JUMLAH PENAWARAN **Steam: #1 dari 39**

### Steam masih memimpin dalam hal jumlah penawaran.

Steam 

**32,2 juta**

YouPin898 

**5,9 juta**

C5Game 

**4,6 juta**

HaloSkins 

**4,4 juta**

Skinport 

**3,8 juta**

Steam menampilkan **32,2 juta** penawaran. Jumlah penawaran dan total nilai yang diminta menjawab pertanyaan yang berbeda; banyak iklan dengan harga rendah dapat mendominasi jumlahnya.

Sumber: [Perbandingan publik dari PriceEmpire ↗](https://pricempire.com/cs2-marketplaces) [diarsipkan 2026-09-21 ↗](https://web.archive.org/web/20260921022459/https://pricempire.com/cs2-marketplaces), direkam pada 2026-09-20 pukul 19:03 UTC; [ekstraksi bertanggal 39 baris ↗](https://phishdestroy.io/steam_dossier/steam_tos_assets/priceempire-marketplaces.json). Angka-angka tersebut merupakan perkiraan yang dibulatkan, dan persediaan dapat tumpang tindih di antara berbagai lokasi. Kartu Steam juga mencantumkan item dari game Steam lainnya, sehingga cakupannya tidak sama. Nilai yang tercantum menunjukkan harga yang diminta, bukan penjualan atau pendapatan.

**42**

SUMBER LAIN / STEAMANALYST 

### Ekosistem komersial itu terlihat jelas.

[Direktori pasar SteamAnalyst](https://www.steamanalyst.com/marketplace) [diarsipkan 2026-07-19 ↗](https://web.archive.org/web/20260719014552/https://www.steamanalyst.com/marketplace) mencantumkan 42 pasar CS2 pihak ketiga bersama Steam, dengan data harga terkini untuk 32 dari 43 entri tersebut. PriceEmpire mencantumkan 39 pasar berdasarkan kriteria pencantuman miliknya sendiri. Perusahaan yang disebutkan namanya, penawaran publik, harga yang terlihat: ekonomi ini terbuka untuk diperiksa.

BATASANNYA ADALAH MEKANISMENYA: PENJUALANNYA MENINGKAT, BARANGNYA TIDAK. 

Di lima pasar yang terekam dalam satu tangkapan layar berlisensi, **248 kategori barang CS2 masing-masing dihargai di atas batas atas penawaran Steam sebesar sekitar $1,800 oleh dua atau lebih di antaranya — dan semuanya tidak terdapat di Steam**. Tangkapan layar yang sama mengelompokkan seluruh katalog berdasarkan harga: pasar Valve menyediakan 95.3% dari kategori barang yang harganya di bawah batas atasnya dan 1.9% dari kategori yang harganya di atas batas tersebut. Penurunan ini tidak mencerminkan penurunan permintaan; hal ini tepat sesuai dengan aturan yang diterbitkan. Penjualan pada harga-harga tersebut memerlukan pembeli atau pasar eksternal, sementara Steam tetap mengendalikan persediaan dan proses transfer — transaksi meninggalkan kasir Valve dan pengiriman tetap menggunakan infrastruktur Valve.

[Steam Pertanyaan Umum tentang Pasar ↗](https://help.steampowered.com/en/faqs/view/61F0-72B7-9A18-C70B)[diarsipkan 2026-09-21 ↗](https://web.archive.org/web/20260921022227/https://help.steampowered.com/en/faqs/view/61F0-72B7-9A18-C70B)[Steam Perjanjian Pelanggan ↗](https://store.steampowered.com/agreement/?l=english)[diarsipkan 2026-09-21 ↗](https://web.archive.org/web/20260921022032/https://store.steampowered.com/agreement/?l=english)[Kumpulan data atlas lima pasar ↗](https://phishdestroy.io/steam_dossier/steam_tos_assets/cs2sh-atlas.json)[Daftar asal-usul ↗](https://phishdestroy.io/steam_dossier/steam_tos_assets/cs2sh-manifest.json)[Cuplikan CSFloat sebelumnya ↗](https://phishdestroy.io/steam_dossier/steam_tos_assets/csfloat-catalogue.json)[Gambaran singkat Skinport ↗](https://phishdestroy.io/steam_dossier/steam_tos_assets/skinport-floor-over-cap.json)[PriceEmpire ↗](https://pricempire.com/cs2-marketplaces) [diarsipkan 2026-09-21 ↗](https://web.archive.org/web/20260921022459/https://pricempire.com/cs2-marketplaces)[SteamAnalyst ↗](https://www.steamanalyst.com/marketplace) [diarsipkan 2026-07-19 ↗](https://web.archive.org/web/20260719014552/https://www.steamanalyst.com/marketplace)[Daftar selisih harga ↗](https://phishdestroy.io/steam_dossier/id/elite_skins)[Atlas tangga harga ↗](https://phishdestroy.io/steam_dossier/id/skin_atlas)

Bagian C — Kerangka hukum

Bagian C — Kerangka hukum · Pasal 14 · Akses personel 

## Siapa yang bisa mengatur ulang sistem pengaman?

Konteks & batasan sumber

Keamanan akun juga bergantung pada pihak-pihak yang dapat memulihkan akun, memeriksa catatan pribadi, atau mengatur ulang pengaman akun tersebut. Penyelidikan harus memantau tindakan-tindakan istimewa tersebut dengan sama ketatnya seperti saat memantau penyalahgunaan API.

Pemulihan akun memberikan wewenang kepada petugas dukungan untuk mengalihkan akun dari pemiliknya. **Valve telah menegaskan secara tertulis, sebanyak dua kali — pada Februari 2023 dan November 2025 — bahwa kewenangan ini digunakan untuk menyerahkan akun kepada orang yang salah.** Selisih waktu tiga puluh tiga bulan, melalui saluran yang sama. Di bawah ini: seberapa berharganya akses tersebut, enam kasus yang bersumber, dan log Valve berlaku untuk masing-masing kasus tersebut dan belum pernah diberikan kepada siapa pun.

Kesaksian yang terdokumentasi / 9 Mei 2025 

### Tiket pemulihan yang menonaktifkan fitur keamanan akun tersebut, serta laporan kerugian sebesar $10,000

Seorang pengguna dalam arsip dukungan yang terkumpul melaporkan bahwa Steam Tim Dukungan mereset kata sandi dan menonaktifkan perlindungan akun setelah orang lain mengajukan tiket pemulihan. Penulis mengatakan bahwa akun tersebut telah tidak aktif selama bertahun-tahun, menyimpan item sejak tahun 2016–2017, dan memiliki Steam Guard, nomor telepon yang tertaut, serta kode pemulihan yang tersimpan.

> "Steam Tim Dukungan masih memberikan akses ke akun saya kepada orang lain."

Tuduhan dari sudut pandang orang pertama, yang tercatat dalam `steam_support_tickets_MEGA.json`, catatan nomor 110. [Baca postingan yang telah disimpan secara lengkap ↗](https://phishdestroy.io/steam_dossier/id/steam_enforcement_evidence#case-support-recovery)

Ini bukan sekadar nasib buruk seorang pengguna. Pintu masuk yang sama — yaitu permohonan bantuan yang mengalihkan akun kepada siapa pun yang menyediakan data yang lebih lama — merupakan cara yang tercatat secara resmi untuk setiap kasus dalam daftar di bawah ini, dan Valve telah dua kali menuliskannya secara tertulis.

**Pemiliknya tidak bisa memenangkan perdebatan itu.** Proses pemulihan meminta kunci CD pertama, alamat email pertama, kartu pertama, dan nomor telepon pertama. Data-data tersebut tersimpan dalam basis data Valve, dan tim dukungan mengaksesnya — dilaporkan mencakup riwayat hingga lima belas tahun ke belakang. Seseorang yang memiliki salinan berkas Anda akan selalu dapat mengungkap lebih banyak riwayat Anda daripada yang bisa Anda lakukan sendiri. Target dipilih agar sesuai: tidak aktif selama bertahun-tahun, bernilai tinggi, dan sering dibeli secara bekas, sehingga pemegangnya tidak pernah mengetahui kunci aslinya. Setelah itu, akun-akun tersebut dihapus sepenuhnya, memutus jejak riwayat item yang digunakan komunitas untuk melacak sebuah skin — penghapusan yang tidak dapat dilakukan oleh pengguna biasa tanpa masa tunggu standar.

Prinsip hak akses minimal / OWASP A01 

Hak akses pemulihan harus dibatasi hanya untuk tugas tersebut, ditinjau secara independen, dan dicatat. Lakukan audit terhadap pihak yang berwenang untuk mereset kredensial, menghapus Steam Guard, membaca catatan penagihan, atau mengekspor data akun. [Panduan OWASP tentang kontrol akses ↗](https://top10.owasp.org/2025/A01_2025-Broken_Access_Control/) [diarsipkan 2026-09-20 ↗](https://web.archive.org/web/20260920212535/https://top10.owasp.org/2025/A01_2025-Broken_Access_Control/)

Akses dukungan yang luas Risiko lingkup akses

### Lebih dari sekadar inventaris.

Jika akses dukungan luas disalahgunakan, data telemetri pribadi dapat menjadi alat untuk pembuatan profil, serangan phishing yang ditargetkan, dan pengawasan. Korban potensial meliputi pengguna biasa, personel militer, tokoh publik, dan keluarga mereka. Ini adalah model ancaman; izin yang tepat memerlukan catatan kontrol akses.

01 Riwayat IP & lokasi

Catatan IP dapat mengungkapkan riwayat jaringan dan perkiraan lokasi. Catatan tersebut, dengan sendirinya, tidak dapat menunjukkan pergerakan fisik yang tepat.

02 Identifikasi perangkat berdasarkan sidik jari

Pengidentifikasi perangkat, jika dikumpulkan dan dapat diakses, dapat menghubungkan sesi dan akun.

03 Telemetri aktivitas

Catatan waktu login dan riwayat sesi dapat mengungkap kebiasaan, termasuk aktivitas yang tidak terlihat di profil publik.

04 Komunikasi & Kontak

Akses ke pesan yang disimpan atau informasi kontak akan memperluas ruang lingkup pembuatan profil dan rekayasa sosial.

05 Pengungkapan identitas

Catatan asli berupa email, nomor telepon, dan riwayat pembayaran dapat menghubungkan akun dengan nama samaran ke seseorang.

06 Penjualan kembali data & pertanggungjawaban

Daftar target yang diekspor dapat dimanfaatkan untuk melakukan penipuan yang ditargetkan. Identifikasi pelaku, lokasi akses, penerima, dan transaksi; lokasi saja tidak cukup untuk membuktikan adanya akses maupun kekebalan hukum.

Valve menjelaskan pencatatan alamat IP, informasi perangkat, catatan pembayaran, dan penyedia layanan dukungan pihak ketiga dalam [Kebijakan Privasi Pasal 3, 5.2](https://store.steampowered.com/privacy_agreement/) [diarsipkan 2026-09-21 ↗](https://web.archive.org/web/20260921021648/https://store.steampowered.com/privacy_agreement/). Kebijakan tersebut mengizinkan akses dukungan pihak ketiga — jejak audit yang akan menunjukkan kontraktor mana yang mengakses kategori mana, kapan, dan berdasarkan otorisasi apa, belum diungkapkan.

Bagian 14.1 · daftar · Juni 2022 → November 2025 · setiap angka disertai sumbernya 

### Valve membuka pintu itu dua kali, dengan selang waktu tiga puluh tiga bulan. Pintu itu tak pernah tertutup.

Terdapat enam kasus yang dilaporkan di mana akun-akun diretas melalui saluran permintaan bantuan milik Steam sendiri, atau melalui kredensial yang dilindungi oleh saluran tersebut. Setiap jumlah yang tercantum adalah angka yang dipublikasikan oleh sumber yang dikutip, dan setiap sumber disebutkan namanya. Dua dari enam kasus tersebut telah diselesaikan sepenuhnya. Perbedaan antara keduanya dengan kasus-kasus lainnya bukanlah apa yang terjadi — melainkan siapa yang mengawasinya.

Valve, secara tertulis — Februari 2023 "Item-item yang dimaksud telah dihapus dari akun Anda karena diterima dari akun yang diretas melalui permintaan bantuan dukungan, dan tim CS:GO bertanggung jawab atas hal tersebut. Kami telah membatalkan transaksi tersebut dan menghapusnya dari semua akun yang menerimanya."Steam Dukungan untuk membalas penerima barang-barang HFB, yang disalin oleh [Dexerto, 21 Februari 2023 ↗](https://www.dexerto.com/csgo/csgo-skins-worth-millions-allegedly-stolen-with-help-from-steam-support-staff-2066939/) [diarsipkan 2025-08-18 ↗](https://web.archive.org/web/20250818113925/https://www.dexerto.com/csgo/csgo-skins-worth-millions-allegedly-stolen-with-help-from-steam-support-staff-2066939/)

Valve, kembali menulis — November 2025 · 33 bulan kemudian "Seorang teknisi dukungan yang menangani permintaan bantuan tersebut tidak mengikuti prosedur kami, sehingga akun Anda dipulihkan ke nama orang lain. Saya mohon maaf atas kesalahan ini."Steam Tanggapan dukungan untuk Hawkeye337, yang dikutip dalam [Dexerto, 14 November 2025 ↗](https://www.dexerto.com/counter-strike-2/valve-saves-hacked-cs2-player-threatened-with-ransom-over-300000-of-rare-stickers-3283135/)

Contoh filter:

Restitusi: 100% viral vs 0% non-viral

- 21 Juni 2022 

**HFB — inventaris terbesar dalam game ini** $2,000,000+ *· dinaikkan menjadi $3,000,000+ dalam pemeriksaan lanjutan pada Februari 2023* 

Tujuh Souvenir AWP Dragon Lores dan Karambit Permata Biru #1, pisau itu sendiri bernilai sekitar **$1.26 juta**. Akun tersebut telah tidak aktif selama tiga tahun, namun aplikasi otentikasi seluler masih aktif; alamat email dan kata sandinya tetap diubah melalui proses pemulihan yang disediakan oleh layanan dukungan.

**Uang itu habis lebih dulu daripada barang-barang tersebut.** Sebuah laporan menyebutkan **$200,000+** Sebagian dari hasil penjualan telah ditarik melalui market.csgo.com — sebuah pasar daring yang melakukan penyelesaian transaksi menggunakan uang tunai dan kripto. Membatalkan transaksi akan mengembalikan skin tersebut. Namun, uang tunai yang telah ditarik oleh seseorang tidak akan dikembalikan.

**Dan perbaikan itu malah membuat masalah baru.** Seorang pembeli memindahkan Souvenir Dragon Lore miliknya ke Unit Penyimpanan dalam game. Skrip rollback milik Valve tidak dapat melihat isi wadahnya sendiri, sehingga skrip tersebut memberikan salinan baru kepada pemiliknya dan membiarkan yang tersembunyi tetap ada — Valve menduplikasi sebuah **$130,000** Barang tersebut terdeteksi saat upaya untuk membatalkan pencurian. Barang tersebut terungkap melalui pencocokan ID barang dan laporan dari komunitas, lalu dihapus sebulan kemudian, pada Juli 2022. Pembeli menerima pengembalian dana dari BUFF, bukan dari Valve. Tindakan perbaikan darurat yang begitu rapuh bukanlah suatu bentuk pengendalian; itu adalah apa yang dilakukan sebuah platform ketika tidak memiliki kendali.

[Dexerto, 21 Juni 2022 ↗](https://www.dexerto.com/csgo/over-2-million-in-csgo-skins-stolen-from-hacked-steam-account-1853092/) [diarsipkan 2022-07-02 ↗](https://web.archive.org/web/20220702042821/https://www.dexerto.com/csgo/over-2-million-in-csgo-skins-stolen-from-hacked-steam-account-1853092/) · [Kaspersky ↗](https://www.kaspersky.com/blog/cs-go-two-million-usd-inventory-hack/44697/) · jumlah penarikan per [Esportfire, 22 Juni 2022 ↗](https://esportfire.com/article/the-2-million-usd-csgo-hack-22062022) [diarsipkan 2026-05-15 ↗](https://web.archive.org/web/20260515110250/https://esportfire.com/article/the-2-million-usd-csgo-hack-22062022), yang disebutkan di sana bersumber dari beberapa akun Twitter · duplikasi dan penghapusan sesuai [Esportsbetting, 14 Juli 2022 ↗](https://esportsbetting.com/valve-deletes-130000-stolen-dragon-lore/)

**Telah dipulihkan***Transaksi dibatalkan. Barang-barang tersebut ditarik kembali dari persediaan orang-orang yang telah membelinya dengan harga penuh.*

- 14 Agustus 2022 

**CS.Money — bot bawaan platform tersebut** $6,300,000 *· 19,000+ kulit · perkiraan awal $1.6M* 

Para penyerang mencuri berkas otentikator seluler milik bot perdagangan di pasar tersebut dan mengosongkannya, lalu mengirimkan sebagian hasil curian itu kepada para pedagang ternama untuk mengaburkan jejak. Para peneliti komunitas memetakan **55 akun penyerang dalam hitungan jam** dan menerbitkannya.

Valve tidak membatalkan apa pun. Alasan yang dikemukakan adalah bahwa situs pihak ketiga tersebut berada di luar Steam — yaitu Steam yang sama, di mana pencurian tersebut berlangsung dari awal hingga akhir dengan memanfaatkan inventaris, API perdagangan, dan sistem akunnya.

[Esportfire, 14 Agustus 2022 ↗](https://esportfire.com/article/the-biggest-hack-in-csgo-history-csmoney-14082022) [diarsipkan 2025-11-15 ↗](https://web.archive.org/web/20251115173120/https://esportfire.com/article/the-biggest-hack-in-csgo-history-csmoney-14082022)

**Ditolak***Tidak ada pembalikan. Kerugian tetap ditanggung oleh platform dan para penggunanya.*

- Dilaporkan
21 Februari 2023 

**Qkss — pintu yang sama, pemeran yang sama** $1,000,000+ 

Dilaporkan bahwa kasus ini ditangani dengan cara yang sama seperti kasus HFB, oleh pihak yang sama, melalui permintaan bantuan yang sama. Kasus HFB telah diselesaikan sepenuhnya delapan bulan sebelumnya. Sedangkan kasus Qkss belum.

**Satu rute. Dua jawaban.** Tidak ada hal apa pun dalam catatan yang dipublikasikan yang membedakan kedua kasus tersebut kecuali jumlah penontonnya.

[Dexerto, 21 Februari 2023 ↗](https://www.dexerto.com/csgo/csgo-skins-worth-millions-allegedly-stolen-with-help-from-steam-support-staff-2066939/) [diarsipkan 2025-08-18 ↗](https://web.archive.org/web/20250818113925/https://www.dexerto.com/csgo/csgo-skins-worth-millions-allegedly-stolen-with-help-from-steam-support-staff-2066939/)

**Ditolak***Belum dipulihkan.*

- Dilaporkan
Februari 2023 

**Praktik perdagangan orang dalam itu sendiri — selama satu tahun** ≈ $320,000 *· berlangsung selama kurang lebih satu tahun, bukan penilaian persediaan* 

Akses dari sisi dukungan telah mencapai riwayat akun hingga **15 tahun** — kunci CD pertama, email pertama, kartu pertama. Itulah tepatnya bukti yang diminta dalam proses pemulihan, dan itulah sebabnya pihak yang menguasai basis data selalu menang dalam perselisihan melawan pihak yang menguasai akun.

Blogger Mzkshow mengungkap bagaimana operator dalam jaringan "Steam Help" dan rekan kerjanya "Alexander" menargetkan akun-akun tidak aktif yang menyimpan skin senilai lebih dari $100k. Satu senjata M4A4 Howl hasil curian yang dilengkapi dengan hologram iBUYPOWER dan Titan Katowice 2014 terjual seharga **$35,000** dan akhirnya melibatkan Valerii "b1t" Vakhovskyi dari NAVI, yang sama sekali tidak mengetahuinya. Setelah Valve turun tangan, kontraktor tersebut memberhentikan seluruh staf Steam bagian layanan dukungan.

[VKPlay ↗](https://vkplay.ru/media/news/bloger-rasskazal-kak-podderzhka-steam-vorovala-akkaunty-igrokov/) · [Lis-Skins ↗](https://lis-skins.com/ru/blog/krupneisaia-mosenniceskaia-sxema-v-istorii-steam/) · [Escorenews (RU) ↗](https://escorenews.com/ru/csgo/news/44056-sotrudniki-podderjki-steam-zanimalis-krajey-skinov-s-akkauntov-za-god-oni-zarabotali-svyshe-300-tysyach-dollarov) · [Dexerto (EN) ↗](https://www.dexerto.com/csgo/csgo-skins-worth-millions-allegedly-stolen-with-help-from-steam-support-staff-2066939/)

**Tidak ada daftar***Valve belum pernah mengumumkan berapa banyak akun yang terkena dampaknya, atau memberi tahu orang-orang yang terkena dampaknya.*

- Dilaporkan
2 Desember 2024 

**"Matvey" — setelah pemecatan-pemecatan tersebut** $13,000 

Pemulihan diberikan kepada seseorang yang memberikan data akun yang bahkan pemiliknya sendiri tidak dapat mencocokkan. Dua tahun setelah kontraktor tersebut membubarkan layanan bantuan Steam-nya, cara yang sama menghasilkan hasil yang sama.

[Postingan yang disimpan, 2 Desember 2024 ↗](https://www.reddit.com/r/cs2/comments/1h53qp3/steam_support_is_stealing_accounts_again/) [diarsipkan 2025-08-05 ↗](https://web.archive.org/web/20250805141942/https://www.reddit.com/r/cs2/comments/1h53qp3/steam_support_is_stealing_accounts_again/) · [baris sumber & hash ↓](https://phishdestroy.io/steam_dossier/steam_tos_assets/outsourcing-archive-records.json)

**Ditolak***Belum dipulihkan.*

- 13 November 2025 

**Hawkeye337 (Mark Spurlock) — dan pengakuan keduanya** ≈ $300,000–$500,000 *· Koleksi holo lengkap Katowice 2014* 

Pelaku menuntut **1 bitcoin** dan mulai memindahkan koleksi tersebut ke Negevs untuk menghancurkannya. Steam Jawaban tertulis dari Tim Dukungan merupakan pengakuan kedua di atas: seorang teknisi menangani permintaan bantuan tersebut, tidak mengikuti prosedur yang berlaku, dan menyerahkan akun tersebut kepada orang lain.

**Yang menyebabkan masalah itu adalah umpan.** Beberapa jam setelah postingan yang menandai Valve diunggah di X, akun tersebut dikembalikan dan semua stiker dipulihkan. Qkss tidak memiliki audiens sebanyak itu.

[Skin.club ↗](https://community.skin.club/en/news/collector-has-steam-inventory-returned-after-bold-hack) · [Dexerto ↗](https://www.dexerto.com/counter-strike-2/valve-saves-hacked-cs2-player-threatened-with-ransom-over-300000-of-rare-stickers-3283135/) · [Esportfire ↗](https://esportfire.com/article/300k-scam-full-katowice-2014-holo-collection-hacked) [diarsipkan 2025-12-17 ↗](https://web.archive.org/web/20251217072445/https://esportfire.com/article/300k-scam-full-katowice-2014-holo-collection-hacked)

**Telah dipulihkan***Ditarik kembali dalam hitungan jam setelah berita tersebut menjadi trending.*

#### Apa yang tercantum dalam buku besar itu tidak dapat dijelaskan oleh satu kasus pun.

**Rute tersebut tidak pernah ditutup.** Pendaftaran pertama tertanggal Februari 2023 dan yang kedua November 2025 — **selisih tiga puluh tiga bulan**, disertai pemecatan massal oleh kontraktor, kejadian serupa yang tercatat, dan pelanggaran keamanan platform senilai $6.3 juta di antaranya. Jika dihitung sejak pencurian pertama dalam catatan ini, saluran tersebut tetap terbuka selama **tiga tahun lima bulan**. Terlepas dari apa pun yang telah diperbaiki pada tahun 2023, permintaan bantuan tersebut tetap saja dialihkan ke orang yang salah pada November 2025 — seperti yang disebutkan oleh Valve sendiri.

**Restitusi berfokus pada perhatian, bukan pada kerugian.** Dipulihkan: inventaris terbesar dalam game ini, dan sang kolektor yang utasnya menjadi trending. Ditolak: $1,000,000, $6,300,000, $13,000. Valve tidak pernah mempublikasikan aturan yang digunakannya, karena aturan yang dipublikasikan harus menjelaskan ketiga hal tersebut.

**Tidak ada yang diberi tahu.** Bukan para pengguna yang riwayat akunnya diambil dari basis data, bukan otoritas pengawas, bukan pula pihak pasar yang membeli barang-barang tersebut dengan itikad baik dan kemudian barang-barang itu ditarik kembali. Tidak ada pemberitahuan pelanggaran, tidak ada laporan insiden, tidak ada data jumlah akun yang terdampak — **dan hasil penjualan yang tersisa dalam bentuk uang**, melalui platform perdagangan yang membayar dengan uang tunai dan kripto. Pembatalan transaksi tidak dapat dilakukan setelah dana ditarik dari Steam.

Valve menyimpan jejak audit dukungan, catatan tiket pemulihan, dan catatan transaksi untuk setiap baris di atasnya. Tidak ada satupun dari data tersebut yang telah diserahkan. [Minta salinannya →](https://phishdestroy.io/steam_dossier/id/index#dsar-playbook)

Pertanyaan tentang NDA 

### Kerahasiaan harus dibarengi dengan akuntabilitas teknis.

Bandingkan perjanjian kerahasiaan dengan izin yang sebenarnya, pengendalian ekspor, persetujuan reset, dan catatan akses. Tanggapan standar tidak dapat menyelesaikan tuduhan bahwa proses pemulihan itu sendiri telah disalahgunakan.

Pasal 28, 32–34 GDPR 

Pasal 33 memberikan waktu 72 jam kepada pengendali data untuk memberitahukan otoritas pengawas mengenai pelanggaran data pribadi; Pasal 34 mewajibkan pemberitahuan kepada pihak yang terdampak apabila risiko yang dihadapi mereka tinggi. Valve telah mengonfirmasi secara tertulis, sebanyak dua kali, bahwa saluran dukungannya telah menyerahkan akun kepada orang yang salah — termasuk riwayat akun, catatan penagihan, dan sebagainya. **Belum ada pemberitahuan berdasarkan salah satu pasal tersebut yang diterbitkan, dan belum ada pengguna yang terdampak yang melaporkan telah menerimanya.** [Baca peraturan tersebut ↗](https://eur-lex.europa.eu/eli/reg/2016/679/oj/eng) [diarsipkan 2026-09-20 ↗](https://web.archive.org/web/20260920024236/https://eur-lex.europa.eu/eli/reg/2016/679/oj/eng)

[Sertakan akses dukungan dalam permintaan Anda →](https://phishdestroy.io/steam_dossier/id/index#dsar-playbook)

Bagian C — Kerangka hukum · Pasal 15 · Skala komersial 

## Telusuri aliran uangnya. Pisahkan transaksi-transaksinya.

Konteks & batasan sumber

Pertanyaan mengenai penggunaan komersial menjadi semakin tajam ketika arus uang dipisahkan. Transfer barang oleh pihak ketiga, penjualan utama Valve, dan penarikan dana ke luar merupakan transaksi yang berbeda.

Barang tersebut milik Valve. Stoknya berjumlah Valve. Proses pemindahan dilakukan di server milik Valve. **Hanya saja pembayarannya dilakukan di tempat lain** — yang merupakan langkah yang menentukan apakah seseorang tergolong sebagai penyedia jasa pengiriman uang, dan langkah Valve itulah yang tidak dijalankan.

Mekanisme pendapatan 

### Di mana uang itu sebenarnya mengalir.

Tiga jalur / sistem ekonomi satu barang

- 01 / Akun **Daftar pengguna**

Barang yang disimpan pada Steam

- 02 / Transfer **Perdagangan P2P**

Pengguna ↔ bot atau pengguna ↔ pengguna

- 03 / Penyelesaian **Platform eksternal**

Saldo situs atau pelunasan Steam

**SirkulasiPendorong perekonomian tidak hanya sebatas biaya transfer**

Steam menyediakan infrastruktur inventaris dan transfer yang digunakan oleh pasar eksternal. Argumen ekonomi dari penyelidikan ini adalah bahwa likuiditas penjualan kembali dan permintaan berulang menopang pengeluaran untuk casing, kunci, dan barang pengganti, disertai dengan biaya atas penjualan selanjutnya di Community Market. Transfer P2P langsung tidak dikenakan komisi Pasar Komunitas; fakta akuntansi tersebut tidak menyelesaikan manfaat yang lebih luas. Valve tetap memegang kendali atas akses akun dan pembatasan perdagangan sepanjang proses.

- 01 / Permintaan sekunder **Likuiditas & nilai jual kembali**

Permintaan dari sektor perdagangan luar negeri dan perjudian

- 02 / Belanja primer **Kunci, kotak, dan kapsul**

Pembelian mulai dari Valve jika tersedia

- 03 / Pendapatan **Pendapatan dari penjualan pertama**

Ditambah biaya atas penjualan aktual di pasar

**5% + 10%Steam + Biaya CS2 atas penjualan di Community Market**

Kesimpulan ekonomi dari penelitian ini: pasar penjualan kembali yang likuid dapat mendorong belanja barang-barang baru. Angka 15% yang sudah dikenal tersebut merupakan gabungan dari tarif biaya pasar, dengan batasan minimum dan pembulatan; angka tersebut bukanlah pungutan atas setiap transaksi perdagangan luar negeri.

[Daftar tarif Pasar Komunitas Valve ↗](https://help.steampowered.com/en/faqs/view/61F0-72B7-9A18-C70B) [diarsipkan 2026-09-21 ↗](https://web.archive.org/web/20260921022227/https://help.steampowered.com/en/faqs/view/61F0-72B7-9A18-C70B). Pada tanggal 25 Februari 2026 [Jaksa Agung New York mengajukan gugatan](https://ag.ny.gov/press-release/2026/attorney-general-james-sues-game-developer-promoting-illegal-gambling-through) [diarsipkan 2026-09-01 ↗](https://web.archive.org/web/20260901015430/https://ag.ny.gov/press-release/2026/attorney-general-james-sues-game-developer-promoting-illegal-gambling-through) dengan tuduhan bahwa kotak jarahan berbayar terkait dengan penjualan kembali uang tunai di pihak ketiga dan dampak negatif perjudian — hubungan yang sama yang didokumentasikan dalam dokumen ini dari sisi infrastruktur teknis. Keluhan tersebut hanyalah sebuah tuduhan, bukan temuan; hal ini dikutip di sini karena sebuah lembaga penegak hukum negara bagian telah mengajukan pertanyaan yang berkaitan dengan pertanyaan yang diajukan dalam dokumen ini: di manakah catatan penegakan hukum yang sesuai dengan pernyataan publik tersebut?

- 01 / Entri **Setoran kripto**

Catatan layanan eksternal dan dompet

- 02 / Konversi **Saldo → tema**

Barang yang dikirim melalui Steam transaksi

- 03 / Keluar **Penjualan mata uang fiat eksternal**

Penjual, pembeli, dan penyedia pembayaran

**KYC?Identifikasi kontrol pada setiap serah terima**

Inilah langkah yang harus ditelusuri, bukan layanan konversi tunai berbasis API Steam bawaan. Dokumentasikan verifikasi identitas, penitipan, ID transaksi, dan penerima pembayaran di setiap operator eksternal sebelum menyatakan penarikan tunai tanpa KYC.

Amerika Serikat / Undang-Undang Kerahasiaan Perbankan 

### Klasifikasikan aktivitasnya terlebih dahulu, baru kemudian kewajibannya.

FinCEN menilai kegiatan pengiriman uang berdasarkan aktivitas yang dilakukan oleh suatu usaha. Menerima dan mentransfer mata uang virtual yang dapat dikonversi dapat memicu kewajiban layanan keuangan, dengan tunduk pada definisi dan pengecualian yang berlaku. Dompet Steam milik Valve menerima dana dan mengonversinya menjadi item dalam game; item tersebut kemudian dilikuidasi melalui operator pihak ketiga untuk ditukar dengan mata uang riil. Item dan transfernya berjalan di infrastruktur Valve; penarikan dana tidak demikian, dan apakah ada bagian dari siklus tersebut yang memenuhi definisi pengiriman uang merupakan pertanyaan klasifikasi bagi FinCEN, bukan kesimpulan yang diambil di sini.

[FinCEN FIN-2019-G001, § 1–2, 5.1 ↗](https://www.fincen.gov/sites/default/files/2019-05/FinCEN%20CVC%20Guidance%20FINAL.pdf) [diarsipkan 2025-07-11 ↗](https://web.archive.org/web/20250711185007/https://www.fincen.gov/sites/default/files/2019-05/FinCEN%20CVC%20Guidance%20FINAL.pdf)

Uni Eropa / pencucian uang 

### Melacak aliran dana, informasi, dan bantuan.

Petunjuk (UE) 2018/1673 mencakup tindak pidana pencucian uang yang disengaja dan keterlibatan yang melibatkan hasil kejahatan. Pertanyaan dalam penyelidikan ini adalah apa yang diketahui oleh Valve mengenai para operator yang menggunakan infrastruktur perdagangan dan OpenID-nya setelah 13 Juli 2016, ketika perusahaan tersebut secara terbuka menjelaskan penggunaan tersebut, serta tindakan apa yang diambilnya terhadap mereka. Valve belum menerbitkan catatan penegakan hukum per operator; catatan tersebut, bukan berkas ini, yang akan menjawab pertanyaan tersebut.

[Kerangka hukum pidana Uni Eropa ↗](https://eur-lex.europa.eu/legal-content/EN/LSU/?uri=CELEX:32018L1673)

**Istilah-istilah dalam AMLD6:** Arahan hukum pidana di atas berbeda dengan Arahan (UE) 2024/1640, yang juga dikenal sebagai AMLD6. Arahan yang terakhir ini memiliki batas waktu transposisi umum pada 10 Juli 2027, dengan pengecualian-pengecualian tertentu. [Pasal 78 ↗](https://eur-lex.europa.eu/eli/dir/2024/1640/oj/eng) [diarsipkan 2026-08-30 ↗](https://web.archive.org/web/20260830153004/https://eur-lex.europa.eu/eli/dir/2024/1640/oj/eng)

Bagian C — Kerangka hukum · Pasal 16 · Pemberitahuan, tanggapan, tanggung jawab 

## Undang-Undang Layanan Digital: mencatat pengetahuan secara resmi

Konteks & batasan sumber

Dua unsur pemberitahuan berdasarkan Pasal 16 menjadi tanggung jawab pemberi pemberitahuan, bukan bagian dari berkas ini: rincian pribadi pemberi pemberitahuan dan pernyataan itikad baik bahwa informasi tersebut akurat. Semua hal lain yang disyaratkan oleh Pasal tersebut — penjelasan yang didukung bukti dan lokasi elektronik yang tepat — tercantum dalam Bagian 3 dan dalam daftar rute, beserta tanggapan yang disimpan dan hash, sehingga pihak mana pun dapat mengajukan pemberitahuan tersebut. Dua batasan lebih lanjut terkait undang-undang itu sendiri: kehilangan pengecualian hosting tidak secara otomatis menimbulkan tanggung jawab berdasarkan undang-undang lain mana pun, dan angka 6% dalam Pasal 52(3) merupakan batas maksimum yang ditetapkan undang-undang, bukan denda yang ditetapkan terhadap Valve.

Berdasarkan DSA, penyedia layanan hosting hanya tetap terlindung dari tanggung jawab hingga ia memiliki pengetahuan spesifik dan gagal mengambil tindakan. **Dokumen ini merupakan pemberitahuan tersebut.** Dokumen tersebut mencantumkan nama-nama host, tanggal, respons yang disimpan, dan nilai hash. Sejak diterbitkan, pertanyaannya bukan lagi apakah Valve mengetahuinya — melainkan apa yang dilakukan Valve selanjutnya.

01 Juli 2016 / pameran berkas 

### Tuntutan selama sepuluh hari.

Pemberitahuan yang direkonstruksi di atas merupakan titik awal historis bagi perbandingan penegakan hukum dalam penyelidikan ini.

02 17 Februari 2024 / pendaftaran umum 

### Jendela waktu DSA.

Pisahkan perilaku di masa lalu dari perilaku selama periode ketika kewajiban DSA yang bersangkutan berlaku.

03 Sepuluh tahun / cuplikan berkas asli 

### Durasi memerlukan riwayat pemberitahuan.

Waktu yang telah berlalu sejak Juli 2016 (lihat Bagian 11) merupakan metrik berkas. Hal ini bukanlah pelanggaran DSA yang telah berlangsung selama sepuluh tahun. Hubungkan setiap pemberitahuan dengan item tertentu, undang-undang yang berlaku, bukti pengiriman, dan tanggapan.

Pasal 52 ayat (3) / batas maksimum yang ditetapkan undang-undang **6 %**

### dari omzet tahunan di seluruh dunia

Denda maksimum atas pelanggaran kewajiban berdasarkan DSA, dengan mengacu pada tahun buku sebelumnya dari penyedia layanan. Ini merupakan batas maksimum yang ditetapkan undang-undang, bukan sanksi yang telah ditetapkan terhadap Valve.

Pasal 6, 8, dan 16 / uji hukum 

Untuk layanan hosting yang bersangkutan, pengetahuan spesifik dan kegagalan bertindak dengan cepat dapat mengakibatkan dicabutnya pengecualian hosting. Pemberitahuan yang cukup jelas dapat membuktikan adanya pengetahuan mengenai konten tertentu. DSA tidak memberlakukan kewajiban pemantauan secara umum; pencabutan pengecualian itu sendiri tidak secara otomatis menimbulkan pertanggungjawaban berdasarkan undang-undang lain.

[DSA: Pasal 6, 8, 16, 52, 53, 93, dan pertimbangan ke-17 ↗](https://eur-lex.europa.eu/eli/reg/2022/2065/oj/eng) [diarsipkan 2026-09-20 ↗](https://web.archive.org/web/20260920080125/https://eur-lex.europa.eu/eli/reg/2022/2065/oj/eng)

[Tinjau keluhan yang disimpan ↗](https://phishdestroy.io/steam_dossier/id/steam_enforcement_evidence#support-records)[Buat garis waktu akun →](https://phishdestroy.io/steam_dossier/id/index#dsar-playbook)[Analisis hukum dan ekonomi selengkapnya →](https://phishdestroy.io/steam_dossier/id/legal_analysis)

Bagian C — Kerangka hukum · Pasal 17 · Identitas, usia, akses komersial 

## Anak di bawah umur: login dengan kode Steam bukanlah verifikasi usia

Konteks & batasan sumber

Tidak ada data anak di bawah umur yang muncul di mana pun dalam berkas ini dan tidak ada yang dikumpulkan: para penulis tidak mendaftar, menyimpan, atau masuk ke platform mana pun yang disebutkan. Siapa pun yang mengembangkan bagian ini harus menjaga kerahasiaan bukti yang melibatkan anak dan menyunting detail yang dapat mengidentifikasi identitas dari bukti yang dipublikasikan. COPPA disebutkan di sini sebagai undang-undang privasi anak-anak dengan ketentuan ruang lingkupnya sendiri — audiens, pengetahuan yang sebenarnya, data pribadi yang dikumpulkan — dan bukan sebagai aturan umum mengenai batas usia perjudian; gugatan di New York tahun 2026 merupakan tuduhan dari otoritas negara bagian, bukan putusan.

"Masuk dengan Steam" membuktikan bahwa akun tersebut ada. **Hal itu tidak membuktikan apa pun mengenai usia** — dan di situs-situs ini, itulah satu-satunya penghalang antara seorang anak dan setoran. Bacalah dengan [Bagian 3.1](https://phishdestroy.io/steam_dossier/id/index#inside-steam-filter): di dalam klien Steam, peringatan yang biasanya ditampilkan oleh peramban tidak pernah muncul, sehingga anak tidak pernah melihatnya.

Apa yang disediakan oleh Steam OpenID **Identitas akun**

SteamID yang telah diverifikasi yang digunakan untuk masuk atau menghubungkan akun.

Hal-hal yang harus ditetapkan oleh operator **Syarat untuk berpartisipasi**

Usia, yurisdiksi, dan pemeriksaan identitas yang diperlukan.

Dasar teknis: [Dokumentasi Steamworks OpenID ↗](https://partner.steamgames.com/doc/features/auth#website) [diarsipkan 2026-09-21 ↗](https://web.archive.org/web/20260921022335/https://partner.steamgames.com/doc/features/auth). Pernyataan identitas yang terdokumentasi tersebut bukanlah sertifikasi bahwa pengguna diperbolehkan secara hukum untuk berjudi.

COPPA / anak-anak di bawah usia 13 tahun 

### Identifikasi operator dan datanya.

COPPA berlaku bagi layanan yang ditujukan untuk anak-anak dan layanan yang secara nyata mengetahui bahwa mereka mengumpulkan informasi pribadi dari anak-anak di bawah usia 13 tahun. Undang-undang ini merupakan undang-undang privasi anak-anak, bukan aturan umum mengenai batas usia perjudian. Tentukan target audiens, data pribadi yang dikumpulkan, tingkat kesadaran, serta proses persetujuan orang tua.

[FTC: Persyaratan COPPA ↗](https://www.ftc.gov/legal-library/browse/rules/childrens-online-privacy-protection-rule-coppa) [diarsipkan 2026-09-21 ↗](https://web.archive.org/web/20260921070051/https://www.ftc.gov/legal-library/browse/rules/childrens-online-privacy-protection-rule-coppa)

Bukti yang harus dilestarikan 

### Catat proses mulai dari login hingga melakukan setoran.

Pertahankan batasan usia situs, ketentuan pendaftaran, syarat kelayakan, alur pembayaran, dan riwayat pengaduan. Lakukan penilaian terhadap setiap operator secara terpisah. Jaga kerahasiaan setiap bukti yang melibatkan anak dan samarkan detail yang dapat mengidentifikasi identitas dari bukti-bukti yang dipublikasikan.

Salah satu catatan penegakan hukum publik yang terkait adalah [Pengumuman pengaduan di New York tahun 2026](https://ag.ny.gov/press-release/2026/attorney-general-james-sues-game-developer-promoting-illegal-gambling-through) [diarsipkan 2026-09-01 ↗](https://web.archive.org/web/20260901015430/https://ag.ny.gov/press-release/2026/attorney-general-james-sues-game-developer-promoting-illegal-gambling-through), yang menuduh adanya dampak merugikan bagi pengguna muda akibat kotak hadiah berbayar. Hal ini bukanlah temuan berdasarkan COPPA.

Bagian C — Kerangka hukum · Bagian 18 · Permohonan berdasarkan Pasal 15 GDPR 

## Permintaan. Jawaban. Perbandingan yang terlewatkan.

Dia meminta empat hal, salah satunya adalah log yang akan mengungkap identitas orang yang memasukkan kunci API ke akunnya. **Tiga hari kemudian, tiket tersebut ditutup dengan tautan ke halaman yang tidak memuat satupun dari hal-hal tersebut** — dan kalimat yang digunakan untuk menutupnya dibantah oleh pengacara Valve sendiri.

Akun ini milik siapa · Asal-usul & Batasan

**Tangkapan layar ini bukan milik PhishDestroy.** Mereka berasal dari seorang pemegang akun Steam biasa — salah satu responden dalam survei singkat yang diselenggarakan oleh proyek ini, yang mengajukan permintaan tersebut sendiri dan menyediakan tangkapan layarnya. Akun tersebut miliknya, tiket tersebut miliknya, dan korespondensi tersebut terjadi antara dirinya dan Tim Dukungan Steam. Proyek ini tidak mengajukan permohonan tersebut, tidak memiliki akun di platform tersebut, dan bukan pihak yang terlibat dalam tiket ini.

Pada 16 September 2026, ia mengajukan permohonan akses data sesuai Pasal 15 GDPR/CCPA yang secara khusus meminta log pendaftaran kunci API, riwayat login beserta alamat IP, riwayat otorisasi perangkat, dan riwayat transaksi. Pada 17 September, agen "Logen" mengarahkan dia ke halaman Data Akun layanan mandiri. Pada tanggal 18 September, ia menyatakan bahwa kategori yang diminta tidak terdapat di halaman tersebut dan meminta agar masalah ini diteruskan ke Tim Privasi atau DPO. Pada tanggal 19 September, agen "Kal" menutup tiket tersebut dengan rujukan yang sama. Kedua tangkapan layar tersebut disimpan di bawah ini (alamat email pemohon disamarkan; SHA-256 dalam `steam_tos_assets/screenshot-manifest.json`).

Dia adalah pemohon yang tepat karena alasan yang biasa saja: **Akunnya memiliki kunci Web API Steam yang tidak dibuatnya sendiri, yang terdaftar atas nama `localhost`**. **Tidak diketahui kapan hal itu dibuat** — bukan kepadanya, dan bukan berasal dari apa pun yang telah disediakan oleh Valve kepadanya, karena satu-satunya catatan yang dapat menentukan tanggalnya adalah log pendaftaran kunci API, yang justru merupakan kategori informasi yang disembunyikan oleh pihak yang menutup kasus tersebut. Kunci tersebut bukanlah hal baru: kunci itu sudah ada jauh sebelum ia menyadarinya, dalam rentang waktu yang tak dapat ia ukur, karena alasan yang sama.

Pemegang akun lainnya juga mengajukan permintaan yang sama. Setiap balasan yang diterima akan ditambahkan di sini dengan ketentuan yang sama seperti kedua permintaan ini — nomor tiket, tanggal penangkapan, SHA-256, identitas pemohon disamarkan — baik jika balasan tersebut menyetujui kategori-kategori tersebut maupun menolaknya.

Proyek ini tidak mengambil sikap apa pun mengenai alasan penutupan tiket tersebut. Tidak ada alasan yang disebutkan di dalamnya, dan tidak ada kesimpulan yang ditarik di sini.

**Permintaan. Tanggapan. Perbandingan.** IKUTI PERKEMBANGANNYA

PERMINTAAN**Kategori tertentu** Kunci API, data login, data perangkat, dan riwayat transaksi

TANGGAPAN**Referensi Data Akun** Periksa pertukaran dukungan

UJI COBA**Apa saja yang disediakan?** Bandingkan setiap kategori yang diminta

Baca permintaan yang tersimpan untuk mengetahui kategori apa saja yang diminta oleh pemilik akun.

Balasan yang disimpan tersebut mengarah ke Data Akun. Tangkapan layar tersebut memperlihatkan teksnya serta hasil penanganan tiket tersebut.

Dia meminta empat kategori tertentu. Halaman Data Akun yang disebutkan kepadanya adalah fitur ekspor mandiri milik Valve sendiri, dan proyek ini tidak dapat merinci isinya untuk akun orang lain — sehingga tidak ada perbandingan lengkap per kategori yang dipublikasikan di sini. Yang tercatat adalah pernyataannya pada 18 September bahwa kategori-kategori tersebut tidak ada, serta penutupan kasus pada 19 September yang mengulangi rujukan tersebut tanpa menanggapi kategori-kategori tersebut.

Layar 1/2 — Permintaan (16 Sep) dan balasan pertama, agen "Logen" (17 Sep)

Image: [GDPR ticket HT-2YBP-F7JP-D4VB — request and first response](https://phishdestroy.io/steam_dossier/steam_tos_assets/gdpr-ticket-1.png)

Sumber: help.steampowered.com, tiket HT-2YBP-F7JP-D4VB · direkam pada 16–17 Sep 2026 · alamat email pemohon disamarkan 2026-09-21 · File: [gdpr-ticket-1.png](https://phishdestroy.io/steam_dossier/steam_tos_assets/gdpr-ticket-1.png) · SHA-256 `da940c731ab9869d226e9d06ccc8a1b393738766b7b0c445a56662623e025a66` ([screenshot-manifest.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/screenshot-manifest.json)).

Layar 2/2 — Permintaan eskalasi (18 Sep) dan penutupan, agen "Kal" (19 Sep)

Image: [GDPR ticket HT-2YBP-F7JP-D4VB — escalation request and closure](https://phishdestroy.io/steam_dossier/steam_tos_assets/gdpr-ticket-2.png)

Sumber: help.steampowered.com, tiket HT-2YBP-F7JP-D4VB · diambil pada 18–19 Sep 2026 · Berkas: [gdpr-ticket-2.png](https://phishdestroy.io/steam_dossier/steam_tos_assets/gdpr-ticket-2.png) · SHA-256 `44844ea7b251f7fd7d79f87ee1578a846606a97b9659d3a53b322120c422219b` ([screenshot-manifest.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/screenshot-manifest.json)).

Tanggapan penutup, 19 September (secara harfiah):

"Data Steam yang tersimpan sudah dapat Anda temukan di halaman Data Akun Anda. Karena tidak ada informasi lebih lanjut Steam yang dapat diberikan oleh Tim Dukungan, **Permintaan ini akan ditutup.**"

Tidak ada data yang disertakan · tidak disebutkan dasar hukum penolakan · tidak ditampilkan hasil eskalasi

**Kalimat itu salah, dan pengacara Valve sendiri yang membuktikannya.** Surat penasihat hukum tertanggal 1 Oktober 2025, pada paragraf 1.9, menjelaskan korelasi pada tingkat perangkat yang menghubungkan satu perangkat dengan puluhan akun ([Lampiran A](https://phishdestroy.io/steam_dossier/id/index#official-memorandum)). Surat balasan yang sama memuat 830 halaman dokumen yang disimpan ([Lampiran B](https://phishdestroy.io/steam_dossier/id/index#academic-response)). Tidak ada satupun yang tercantum di halaman Data Akun.

Mengapa akun ini meminta riwayat kunci API?

Dia tidak memilih keempat kategori itu secara sembarangan. Yang `localhost` Kunci pada akunnya adalah **tanda bahwa itu adalah skrip, bukan seseorang yang mengetikkan domain asli ke halaman pengembang** ([Bagian 5](https://phishdestroy.io/steam_dossier/id/index#vulnerability-profile), [Bagian 6](https://phishdestroy.io/steam_dossier/id/index#hijack-simulation)). Satu-satunya catatan yang menunjukkan siapa yang membuatnya dan dari mana asalnya adalah log pendaftaran kunci API. Itulah hal pertama yang dia minta. Dan itulah yang disembunyikan oleh pihak yang menutup kasus tersebut.

Sumber: pemegang akun, selama survei proyek ini. Tangkapan layar tiket di atas telah di-hash; halaman kuncinya tidak dipublikasikan.

Penilaian · PhishDestroy

Menutup tiket sementara pertanyaannya masih belum terjawab bukanlah suatu kesalahan di sini. Itu adalah hasil yang wajar. Kami memegang [16,319 catatan pengaduan dan dukungan yang disimpan](https://phishdestroy.io/steam_dossier/id/steam_evidence_archive) dan [354 percakapan dukungan yang telah dihilangkan duplikatnya](https://phishdestroy.io/steam_dossier/id/steam_enforcement_evidence#support-records) yang diambil dari sana. Tiket ini merupakan salah satu contoh yang sudah diberi tanggal dan tercatat secara lengkap mengenai bentuk yang dimilikinya.

Tiket Dukungan — Disimpan HT-2YBP-F7JP-D4VB

Jenis permintaan Pasal 15 GDPR (Permohonan Akses Data)

Status tiket TUTUP 19 SEP 2026 — TIDAK ADA DATA YANG DISEDIAKAN

Agen di bursa "Logen" (17 Sep), "Kal" (19 Sep)

Telah diajukan 16 September 2026

Data yang diminta Siapa yang mendaftarkan kunci Web API yang terhubung dengan akun ini, dan dari alamat IP / perangkat / cap waktu mana

Dasar hukum yang dikutip Pasal 15 GDPR — hak untuk mengakses data pribadi

**Kerangka hukum:** Pasal 12 ayat (3) memberikan waktu satu bulan kepada pengendali data sejak diterimanya permohonan (dapat diperpanjang dengan alasan yang jelas). Jangka waktu tersebut belum berakhir pada saat publikasi, dan berkas ini tidak menyatakan adanya pelanggaran batas waktu. Keberatan ini berkaitan dengan substansi: tanggapan penutup mengarahkan ke halaman layanan mandiri tetapi tidak menunjukkan bahwa keempat kategori data yang disebutkan telah disediakan, dan jika pengendali data menolak untuk bertindak, Pasal 12(4) mewajibkannya untuk menyatakan alasan serta jalur pengaduan. Keduanya tidak tercantum dalam tanggapan penutup.

Mengapa data ini khususnya penting 

Catatan peristiwa kunci Web API adalah catatan yang menunjukkan apakah pihak ketiga telah mendaftarkan kunci menggunakan cookie sesi yang dicuri — mekanisme yang dijelaskan dalam pengaduan pencurian inventaris yang disimpan dalam arsip berkas ini. Mengungkapkan siapa yang mendaftarkan kunci API, dari alamat IP mana, dan pada waktu kapan, akan:

- Izinkan korban untuk membandingkan alamat IP yang digunakan saat pembuatan API dengan riwayat login mereka sendiri

- Ungkap alamat IP pusat data yang terkait dengan infrastruktur bot phishing dan perjudian yang telah diketahui

- Menyajikan bukti yang dapat digunakan dalam proses hukum perdata atau pidana terhadap pelaku

- Tunjukkan apakah pemegang akun telah diberi tahu saat kunci tersebut dibuat

**Fakta yang tercatat:** Valve menyimpan catatan tingkat perangkat dan korelasi akun — hal ini dijelaskan dalam surat penasihat hukumnya tertanggal 1 Oktober 2025 (lihat Lampiran A, Memorandum Bukti — Sumber 1). Dalam tiket HT-2YBP-F7JP-D4VB, jenis catatan yang sama diminta oleh subjek data dan tiket tersebut ditutup dengan rujukan ke halaman layanan mandiri yang, menurut laporan subjek data, tidak memuat catatan tersebut. Apakah penolakan tersebut sah merupakan pertanyaan bagi otoritas pengawas; akibatnya, orang yang bersangkutan tidak memperoleh data tersebut.

Percakapan itu — empat pesan, tiga hari

Dua agen dukungan Steam membalas dengan menggunakan nama depan yang tertera di tiket: "Logen" pada 17 September dan "Kal" pada 19 September. Keduanya mengarahkan pemohon ke halaman Data Akun. Tidak ada informasi dalam tiket yang menunjukkan apakah permintaan tersebut sampai ke Tim Privasi atau Petugas Perlindungan Data Valve, dan berkas tersebut tidak menyebutkan siapa agen-agen tersebut, apa peran mereka, atau bagaimana tiket tersebut diteruskan.

16 SEP

Permohonan berdasarkan Pasal 15 yang diajukan dengan mencantumkan empat kategori data

17–18 SEP

Rujukan ke Data Akun; pemohon meminta agar masalah ini diteruskan ke DPO

19 SEP

Tiket ditutup dengan rujukan yang sama; tidak ada data, tidak disebutkan alasannya

Hak apa yang secara eksplisit diberikan kepada subjek data berdasarkan Pasal 15 GDPR 

Pasal 15 ayat (1) huruf a Tujuan pemrosesan — mengapa Valve menyimpan data tersebut

Pasal 15 ayat (1) huruf b Kategori data — apa yang terkandung dalam Valve

Pasal 15 ayat (1) huruf c Penerima atau kategori penerima — **siapa yang menerima data tersebut (misalnya, pemegang kunci API)**

Pasal 15 ayat (1) huruf d Jangka waktu penyimpanan atau kriteria untuk menentukannya

Pasal 15 ayat (3) Salinan data pribadi yang sedang diproses — yaitu, log kunci API itu sendiri

Pasal 12 ayat (3) Diperlukan tanggapan dalam waktu **satu bulan** sejak tanggal penerimaan; permohonan perpanjangan harus disampaikan dalam bulan tersebut. Jangka waktu tersebut belum berakhir pada saat publikasi. **Pasal 12 ayat (4):** Jika pengawas tidak mengambil tindakan, ia harus menjelaskan alasannya dan memberi tahu pihak yang bersangkutan mengenai jalur pengaduan yang tersedia.

Prosedur pengaduan terkait peraturan — untuk semua pengguna 

Setiap pengguna yang telah mengajukan permohonan berdasarkan Pasal 15 GDPR kepada Valve dan tidak menerima tanggapan yang sesuai (atau penolakan dalam bentuk templat tanpa data) dapat mengajukan pengaduan kepada otoritas pengawas di negara anggota UE/EEA masing-masing. Cabang Valve di Uni Eropa adalah Valve GmbH di Hamburg, sehingga otoritas pengawas utama untuk pengaduan lintas batas adalah **Pejabat Hamburg untuk Perlindungan Data dan Kebebasan Informasi (HmbBfDI)**. (Perwakilan Pasal 27 Valve juga berkedudukan di Hamburg; alamat seorang perwakilan tidak secara otomatis menentukan otoritas yang berwenang.) Pengaduan juga dapat diajukan kepada otoritas di negara anggota tempat pengadu berkedudukan berdasarkan Pasal 77.

[Formulir pengaduan HmbBfDI ↗](https://datenschutz.hamburg.de/beschwerde) [Teks GDPR (Pasal 12, 15, 77) ↗](https://eur-lex.europa.eu/eli/reg/2016/679/oj/eng) [diarsipkan 2026-09-20 ↗](https://web.archive.org/web/20260920024236/https://eur-lex.europa.eu/eli/reg/2016/679/oj/eng) [Pedoman EDPB ↗](https://edpb.europa.eu)

Nomor referensi tiket untuk setiap keluhan: **HT-2YBP-F7JP-D4VB** — disimpan dalam berkas ini sebagai contoh yang tercatat.

Satu contoh yang tercatat 

### Catatan-catatan tersebut memang ada; namun, subjek data tidak menerimanya.

Pengacara Valve menjelaskan catatan korelasi tingkat perangkat dalam surat tertanggal 1 Oktober 2025. Pada 19 September 2026, permohonan berdasarkan Pasal 15 untuk jenis catatan yang sama ditutup dengan rujukan ke halaman layanan mandiri yang dilaporkan oleh pemohon tidak memuat catatan tersebut, tanpa dasar hukum yang disebutkan. Tiket HT-2YBP-F7JP-D4VB adalah salah satu contoh yang terdokumentasi; apakah hal ini mencerminkan praktik yang lebih luas merupakan pertanyaan bagi otoritas pengawas, yang dapat meminta Valve untuk menyerahkan catatan penanganannya.

Pasal 12, 15, dan 77 GDPR / Otoritas Pengawas 

Pengaduan berdasarkan Pasal 12 dan 15 dapat diajukan langsung kepada otoritas pengawas yang berwenang tanpa biaya (Pasal 77). Otoritas tersebut dapat menjatuhkan tindakan korektif, termasuk perintah untuk memenuhi permintaan akses, serta denda berdasarkan Pasal 83(5)(b) atas pelanggaran hak subjek data. Menyimpan referensi tiket asli dan respons Valve (atau ketiadaannya) akan memperkuat pengaduan tersebut.

[Lihat templat DSAR →](https://phishdestroy.io/steam_dossier/id/index#dsar-playbook)

Bagian C — Kerangka hukum · Pasal 19 · Hukum kontrak 

## Perjanjian Pelanggan yang bertentangan dengan arsitektur platform itu sendiri

Konteks & batasan sumber

Para penulis bukanlah pengacara dan semua uraian ini bukanlah nasihat hukum. Kutipan SSA diambil dari revisi tanggal 10 September 2026; revisi yang berbeda mungkin memiliki redaksi yang berbeda pula, dan penomoran pasal telah berubah dari satu revisi ke revisi lainnya — periksa pasal tersebut berdasarkan versi yang berlaku pada saat terjadinya perilaku yang dimaksud. Argumen Pasal 25 dan 32 menyatakan apa yang diwajibkan oleh peraturan tersebut, bukan bahwa otoritas pengawas telah menemukan adanya pelanggaran. Angka-angka dalam Argumen 1 mencakup batasan ruang lingkup yang ditetapkan dalam Bagian 13.

Tiga ketentuan utama SSA tampak tidak selaras dengan cara platform ini dibangun: larangan penggunaan komersial yang dipadukan dengan batasan harga di Market yang mendorong penjualan bernilai tinggi keluar dari platform; klausul tanggung jawab pengguna terkait kunci API yang bertentangan dengan titik akhir kunci yang, sebelum tahun 2023, tidak memerlukan otentikasi dua faktor; serta bahasa penegakan hukum yang bertentangan dengan catatan publik yang menunjukkan tidak adanya penegakan hukum per operator. Apakah ketegangan-ketegangan ini memengaruhi keberlakuan hukum merupakan pertanyaan yang harus dijawab oleh pengadilan; bagian ini menguraikan fakta-fakta yang akan dihadapi pengadilan.

Argumen 1 / Arsitektur Kapitalisasi Pasar 

### Batas atas harga pasar dan larangan penggunaan untuk keperluan komersial

Pasar Komunitas Steam memiliki batas atas harga penawaran sekitar $1,800. Di lima pasar yang tercatat dalam cuplikan data per tanggal 23 September 2026, terdapat 248 kategori barang CS2 yang harganya ditetapkan secara terpisah di atas batas atas tersebut oleh dua atau lebih pasar; barang-barang tersebut **tidak dapat dijual dengan harga tersebut di platform milik Valve sendiri**. Pemilik yang menginginkan harga-harga tersebut menggunakan pasar pihak ketiga, yang beroperasi melalui akun Steam dan API Steam — penggunaan tersebut diklasifikasikan oleh SSA sebagai kegiatan komersial kecuali jika secara tegas diizinkan.

Barang-barang melebihi batas atas Pasar → pasar pihak ketiga mengisi kekosongan tersebut → pasar-pasar tersebut menggunakan akun Steam dan API Steam → SSA melarang penggunaan komersial tanpa izin → belum ada daftar izin yang dipublikasikan. Biaya gabungan Pasar Komunitas sebesar sekitar 15% hanya berlaku untuk penjualan yang diselesaikan di dalam Pasar, bukan untuk transaksi eksternal ini.

Argumen 2 / Arsitektur Keamanan Kunci API 

### Kerentanan kunci API merupakan masalah desain platform, bukan kelalaian pengguna

Sebelum tahun 2023, titik akhir pembuatan kunci API Steam menerima permintaan POST yang menggunakan sessionid yang dicuri dan menghasilkan kredensial dengan hak akses tinggi **tanpa konfirmasi melalui email, otentikasi dua faktor, atau verifikasi perangkat**. Keluhan-keluhan terkait pembajakan API yang dikumpulkan dalam penyelidikan ini mengikuti pola yang sama: skrip penyerang, cookie sesi yang dicuri, pembuatan kunci secara diam-diam, serta intersepsi transaksi (isi permintaan ditampilkan pada Bagian 8).

Pasal 25 GDPR (perlindungan data sejak tahap perancangan) dan Pasal 32 (keamanan pemrosesan) mensyaratkan penerapan langkah-langkah teknis yang sesuai dengan tingkat risiko. Penerbitan kredensial yang memungkinkan penyadapan transaksi tanpa faktor otentikasi kedua atau pemberitahuan kepada pemilik merupakan masalah desain bagi pengendali data. Apakah klausul SSA yang membebankan tanggung jawab kepada pengguna dapat diandalkan dalam konteks tersebut merupakan pertanyaan yang harus diputuskan oleh pengadilan dan otoritas pengawas.

Argumen 3 / Visibilitas Real-Time 

### Valve menerima nama host otentikasi pada setiap proses masuk

Nama host otentikasi diterima di titik akhir OpenID milik Valve dalam bentuk teks biasa di `openid.return_to` dan `openid.realm` (bentuk permintaan tersebut ditampilkan pada Bagian 3). Mengekstraknya merupakan operasi standar. Per tanggal 2026-09-22, pada 26 pasangan, domain utama terdaftar di Link Filter, sedangkan host yang menggunakan login Steam-nya tidak terdaftar di sana. Valve belum menerbitkan catatan penegakan per operator, sehingga tidak dapat dipastikan dari data publik apakah ada tindakan selain Link Filter yang telah diterapkan pada host-host tersebut.

Siapa yang menanggung biayanya? 

### Pola yang terlihat dalam pengaduan yang telah diarsipkan

Dalam pengaduan yang ditinjau, tanggapan Tim Dukungan terhadap klaim pembajakan kunci API selalu mengikuti pola yang sama: menolak permintaan pemulihan, menegaskan bahwa pengguna bertanggung jawab atas akun dan kunci API-nya, serta menutup tiket. Tidak ada perkiraan angka agregat mengenai jumlah akun yang terdampak atau nilai kerugian dalam dokumen ini; sumber untuk angka tersebut juga belum ditemukan.

Pertanyaannya bukanlah apakah pengguna individu melakukan kesalahan. Pertanyaannya adalah siapa yang bertanggung jawab atas arsitektur yang, hingga tahun 2023, memungkinkan permintaan POST dengan cookie yang dicuri untuk membuat kredensial perdagangan dengan hak akses tinggi tanpa pemberitahuan dan tanpa otentikasi dua faktor.

SSA sebagai dokumen vs SSA sebagai perjanjian 

### Pengadilan yang menelaah berkas ini tidak akan menafsirkan SSA secara terpisah.

Dokumen tersebut akan dibaca bersamaan dengan surat penasihat hukum tertanggal Oktober 2025 yang menjelaskan korelasi pada tingkat perangkat, tanggal pendaftaran host otorisasi, cap waktu pendaftaran batch, muatan permintaan kunci API, serta rentang waktu sepuluh tahun antara pemberitahuan Juli 2016 dan platform-platform yang masih beroperasi pada September 2026. Itulah catatan yang harus ditanggapi oleh Valve.

SSA versus catatan / poin-poin utama 

- "Tidak untuk penggunaan komersial" — batasan Pasar ini mendorong penjualan bernilai tinggi ke pasar pihak ketiga yang bersifat komersial

- "Pengguna bertanggung jawab atas kunci API" — tidak ada otentikasi dua faktor pada titik akhir kunci sebelum tahun 2023

- "Kami menindak para pelanggar" — tidak ada catatan penegakan hukum per operator yang dipublikasikan sejak Juli 2016

- "Anda telah menyetujui persyaratannya" — dalam pola penyanderaan, persetujuan tersebut dikirimkan oleh sebuah skrip, bukan oleh pemilik akun

Kesimpulan · Apa yang dibuktikan oleh bukti-bukti dan apa yang kami ajukan 

## Hasil penelitian. Dokumen-dokumen yang kami minta.

Konteks & batasan sumber

Setiap temuan di bawah ini terkait dengan catatan publik bertanggal yang tercantum pada bagian-bagian di atas. Permohonan-permohonan tersebut ditujukan kepada pihak berwenang yang dapat memaksa akses terhadap satu hal yang tidak dapat dijangkau oleh penyelidikan ini: catatan penegakan hukum, akses, dan pemrosesan milik Valve sendiri.

Setiap permintaan didasarkan pada temuan yang telah ditetapkan tanggalnya. Pihak berwenang dapat meminta dokumen-dokumen yang tidak dapat dipaksakan dalam penyelidikan berbasis sumber terbuka ini.

Apa yang tercantum dalam catatan publik 

- 44 platform aktif melakukan otentikasi melalui domain terdaftar yang terpisah — 27 di antaranya memiliki berkas bukti per rute yang dipublikasikan, sedangkan 17 lainnya diperoleh melalui pengumpulan manual dan dicantumkan secara terpisah. Per tanggal 2026-09-22, 26 pasangan memiliki domain utamanya diblokir di Steam Link Filter sementara host yang menampung login-nya tidak diblokir — csgogem.com diblokir, `api.csgem.com` terdaftar sejak Maret 2014. Steam menerima nama host tersebut di `openid.realm` dan `openid.return_to` setiap kali masuk. [Bagian 3](https://phishdestroy.io/steam_dossier/id/index#proxy-bypass-explainer)

- Pada tanggal 13 Juli 2016, Valve secara terbuka menyebutkan mekanisme tersebut dan melarangnya, dan pemberitahuan dari penasihat hukumnya tertanggal 20 Juli 2016 menetapkan batas waktu sepuluh hari. Tidak ada catatan penegakan hukum per operator yang dipublikasikan dalam sepuluh tahun sejak batas waktu tersebut. [Bagian 11](https://phishdestroy.io/steam_dossier/id/index#case-study-section)

- Titik akhir kunci API Web Steam menerbitkan kredensial dengan hak akses tinggi yang dapat digunakan untuk bertransaksi hanya berdasarkan cookie sesi, tanpa otentikasi dua faktor sebelum tahun 2023. [Bagian 5](https://phishdestroy.io/steam_dossier/id/index#vulnerability-profile)

- Permohonan berdasarkan Pasal 15 GDPR (tiket HT-2YBP-F7JP-D4VB) ditutup setelah tiga hari dengan menyertakan tautan ke layanan mandiri dan tanpa data apa pun. [Pasal 18](https://phishdestroy.io/steam_dossier/id/index#gdpr-live-case)

Apa yang kami minta kepada setiap pihak berwenang 

Komisi Perjudian Negara Bagian Washington

Buka kembali berkas tahun 2016. Minta rincian per operator mengenai akun, bot, dan host pengirim mana saja yang dinonaktifkan setelah pemberitahuan sepuluh hari, serta operator mana saja yang kemudian mendapatkan kembali aksesnya. [Bagian 2](https://phishdestroy.io/steam_dossier/id/index#wsgc-public-address)

HmbBfDI (Hamburg; Valve GmbH)

Periksa apakah tanggapan berdasarkan Pasal 15 telah memenuhi kewajiban pengendali data, dan minta agar diungkapkan catatan pendaftaran dan akses kunci API yang relevan untuk mengidentifikasi pelaku. [Pasal 18](https://phishdestroy.io/steam_dossier/id/index#gdpr-live-case)

Koordinator Layanan Digital DSA

Tandai rute auth-host pada catatan tersebut sebagai pemberitahuan, lalu nilai apakah tanggapan Valve telah memenuhi kewajibannya setelah informasi tersebut didokumentasikan. [Bagian 16](https://phishdestroy.io/steam_dossier/id/index#dsa-accountability)

Setiap subjek data

Gunakan templat Pasal 15 untuk meminta catatan yang sama atas nama Anda sendiri; catatan yang disimpan dapat digunakan untuk mengetahui siapa yang memulai proses reset atau membuat kunci. [Lampiran G](https://phishdestroy.io/steam_dossier/id/index#dsar-playbook)

Tuntutan tunggal di balik keempat hal tersebut sama: mempublikasikan catatan penegakan, akses, dan pemrosesan yang hanya dimiliki oleh Valve. Peringatan di laman beranda, surat tenggat waktu sepuluh hari, dan laman layanan mandiri merupakan bentuk-bentuk penegasan kendali. Apakah kendali tersebut benar-benar dijalankan merupakan pertanyaan yang tidak dapat dijawab oleh catatan publik, namun dapat dijawab oleh pihak regulator.

Lampiran — bukti utama dan bahan kerja

Lampiran A — Korespondensi dengan penasihat hukum 

## Memorandum Bukti — bahan yang disediakan oleh Sumber 1

Dasar bukti dan status sumber untuk korespondensi penasihat hukum yang dijadikan rujukan dalam Pasal 1, 18, dan 19.

**Dasar Bukti dan Status Sumber — dokumen yang disediakan oleh Sumber 1**
Pengguna yang larangan permanennya memicu audit ini bukanlah subjek dari audit tersebut. Apakah larangan tersebut beralasan atau tidak, tidak dibahas di sini, dan dokumen ini tidak membela maupun membantahnya. Akun tersebut bukanlah intinya. Yang penting adalah materi: **Sumber 1** — Pemilik akun yang diblokir, yang menerima surat-menyurat di bawah ini dari penasihat hukum Valve sebagai subjek data dalam permohonan GDPR-nya sendiri — telah meneruskan surat-menyurat tersebut beserta berkas perkara yang menyertainya, disertai hak untuk memeriksanya secara terbuka. Namanya dirahasiakan; dokumen-dokumen tersebut diidentifikasi berdasarkan tanggal, metadata pembuat, dan hash.

Korespondensi tersebut dikirim sebagai tanggapan atas permintaan berdasarkan GDPR/DSAR. Dalam prosesnya, penasihat hukum Valve mencantumkan sebuah pernyataan dalam catatan resmi, yang ditandatangani, yang menjelaskan suatu kemampuan yang sebelumnya telah disampaikan oleh Tim Dukungan Steam kepada para pengguna sebagai hal yang secara teknis tidak mungkin dilakukan. Paragraf yang dikutip di bawah ini adalah pernyataan tersebut.

Analisis lebih lanjut yang dilakukan para penulis terhadap ekstrak log yang dihasilkan adalah **tidak dimuat dalam berkas ini** masih menunggu hasil tinjauan independen. Temuan ini tidak dijadikan acuan oleh bagian lain mana pun dalam penyelidikan ini.

Pengakuan yang tercatat: telemetri tingkat perangkat yang berkelanjutan 

Dalam paragraf 1.9 surat yang dikaitkan dengan penasihat hukum Valve, para pengacara Valve menyatakan: *"Antara tahun 2019 dan 2023, akun ini sebagian besar diakses melalui perangkat yang juga digunakan untuk masuk ke puluhan akun Steam yang dicuri."*

**Faktanya:** Valve Penasihat hukum di sini menjelaskan korelasi pada tingkat perangkat di seluruh akun selama empat tahun. Steam Tim dukungan telah memberi tahu para korban pencurian bahwa melacak barang yang dicuri atau menghubungkan akun dengan perangkat secara teknis tidak memungkinkan. Steam Guard Otorisasi perangkat telah didokumentasikan secara publik, sehingga keberadaan catatan per perangkat itu sendiri bukanlah hal baru; yang baru adalah konfirmasi tertulis dari penasihat hukum bahwa catatan-catatan tersebut disimpan dan dikorelasikan di seluruh akun selama periode bertahun-tahun.

**Mengapa hal ini penting:** Korelasi yang dapat menghubungkan satu perangkat dengan puluhan akun yang dibajak selama empat tahun termasuk dalam kategori catatan yang sama yang menurut pihak Dukungan tidak dapat digunakan untuk para korban. Catatan dari kelas tersebut berpotensi mengidentifikasi akun dan perangkat dalam rantai pencurian dan penjualan kembali. Catatan apa saja yang ada, berapa lama disimpan, dan atas dasar apa data tersebut tidak diungkapkan kepada subjek data merupakan pertanyaan yang harus dijawab oleh otoritas pengawas.

Sumber: surat dari penasihat hukum Valve tertanggal 1 Oktober 2025, paragraf 1.9, beserta lampiran PDF-nya yang berjumlah 830 halaman · diterima oleh Sumber 1 sebagai tanggapan atas permohonan berdasarkan Pasal 15 GDPR · nilai SHA-256 dari lampiran tersebut tercatat dalam [disclosure-audit.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/regulatory-review/disclosure-audit.json) · Surat tersebut tidak dicantumkan; nama akun dan data pihak ketiga dihilangkan.

Status: buka

Bahan-bahan sumber tersedia melalui arsip bukti.

Lampiran B — Berkas PDF yang dihasilkan · pemeriksaan penyuntingan 

## Pengeditan pada file PDF yang dihasilkan bersifat kosmetik: teks yang disamarkan tetap dapat diekstraksi

Pihak kuasa hukum Valve menanggapi permohonan akses berdasarkan GDPR dengan lampiran setebal 830 halaman, di mana bagian yang disensor ditutupi dengan cat di atas teks alih-alih dihapus. **902,270 karakter berada di bawah garis-garis hitam dan langsung muncul menggunakan alat ekstraksi teks** — termasuk pengenal pihak ketiga yang seharusnya disembunyikan oleh batang-batang tersebut. Di sini hanya dipublikasikan jumlah agregat; tidak ada konten yang tercakup yang disalin, dan lampiran itu sendiri tidak dipublikasikan.

1. Hasil pemeriksaan geometri 

Tanggapan berdasarkan Pasal 15 GDPR tertanggal **1 Oktober 2025** dilengkapi dengan lampiran PDF setebal 830 halaman (metadata pembuat Aspose.PDF untuk .NET, dibuat dan diubah pada tanggal yang sama). Para penulis melakukan pemeriksaan geometri pada tingkat halaman: untuk setiap halaman, persegi panjang buram berwarna hampir hitam yang digambar di atas lapisan teks diidentifikasi, dan karakter yang dapat diekstraksi yang berada di bawahnya dihitung.

Diukur berdasarkan berkas yang dihasilkan

902,270

Karakter-karakter tersebut masih dapat diekstraksi dari bawah bilah hitam

Dihitung, bukan diperkirakan. Ini adalah jumlah karakter yang tercakup — bukan jumlah korban, kasus identifikasi ulang, atau insiden.

830 / 830

Halaman yang terpengaruh — setiap halaman

986

Persegi panjang di atas teks yang dapat diekstraksi

1,329

Jumlah persegi panjang hitam buram

Garis-garis hitam tersebut digambar di atas lapisan teks; garis-garis tersebut tidak menghapusnya. Teks yang berada di bawah garis-garis tersebut dapat diekstraksi menggunakan alat PDF standar. Hanya jumlah agregat yang dipublikasikan; tidak ada konten yang disembunyikan yang dicantumkan di sini.

Demonstrasi Forensik: Pemisahan Lapisan

ASPOSE.PDF UNTUK .NET: MODEL TAMPILAN LAPISAN VEKTOR (LAMPIRAN HAL. 412)

Laporan yang diajukan terhadap akun: [LOGIN: redacted_user_667]

Alasan yang disampaikan oleh pengguna: [TEKS: "Pengguna melaporkan adanya barang ganda dalam inventaris dan praktik perdagangan yang tidak etis..."]

Latar depan: <path fill="#000" /> Kelemahan: Aliran UTF-8 yang mendasarinya tetap utuh

Sumber: Lampiran PDF dari surat penasihat tanggal 1 Oktober 2025 (830 halaman, metadata dari Aspose.PDF for .NET) · dihitung oleh para penulis, metode, dan jumlah per halaman dalam [disclosure-audit.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/regulatory-review/disclosure-audit.json) · Nilai SHA-256 dari lampiran yang tercantum dalam berkas yang sama · lampiran itu sendiri tidak dipublikasikan.

2. Mengapa hal ini penting bagi tanggapan subjek data 

**Pengacara Valve mengirimkan berkas ini kepada subjek data sebagai tanggapan atas permohonan untuk mendapatkan catatan milik orang tersebut.** Garis-garis yang ada di sana hanya bersifat kosmetik: teks di bawahnya tidak pernah dihapus, sehingga pengenal pihak ketiga yang disembunyikan dengan garis-garis tersebut tetap diteruskan kepada penerima bersama dengan berkas tersebut. Penyensoran yang dapat dihilangkan dengan alat ekstraksi teks tidak menyembunyikan apa pun, dan hal itu juga membuat penerima tidak dapat menentukan bagian mana yang diungkapkan dan bagian mana yang tidak.

Pasal 15 ayat (4) adalah alasan mengapa pembatasan-pembatasan tersebut ada: hak untuk memperoleh salinan tidak boleh merugikan hak dan kebebasan orang lain. Itulah kewajiban yang tidak dipenuhi oleh produksi ini. Apakah hal ini dikategorikan sebagai pelanggaran data pribadi berdasarkan Pasal 4 ayat (12) merupakan kewenangan otoritas pengawas untuk menentukannya; pengungkapan itu sendiri dapat diukur dalam berkas, dan dapat direproduksi oleh siapa pun yang memiliki byte yang sama — SHA-256 telah dipublikasikan, sedangkan lampirannya tidak.

**Yang ada di balik jeruji itu bukanlah nomor rekening.** Itu adalah kumpulan laporan pengguna yang diajukan terhadap pemohon, beserta nama-nama pembuatnya: Steam kali login yang, karena suatu akun login jarang hanya digunakan pada Steam, mengidentifikasi orang di baliknya — **menurut perhitungan para penulis, lebih dari 60% pengguna yang disebutkan dalam dokumen tersebut dapat diidentifikasi sepenuhnya** — beserta teks mentah yang belum disunting dari apa yang mereka tulis. Teks tersebut berisi ancaman pembunuhan dan hinaan yang ditujukan kepada kebangsaan pemohon. Beberapa orang yang teridentifikasi tersebut masih di bawah umur. **Pihak produksi menyerahkan daftar nama-nama wartawan kepada orang yang telah mereka laporkan**, yang merupakan kerugian tepat yang dimaksudkan untuk dicegah oleh Pasal 15 ayat (4).

**Urutan karakter di sekitar berkas tersebut sama pentingnya dengan isinya.** Permohonan tersebut awalnya ditanggapi dengan permintaan bukti identitas tambahan, dengan alasan bahwa alamat email alias pemohon tidak mencantumkan namanya; akun tersebut diblokir secara permanen selama penundaan yang terjadi setelahnya. Surat yang akhirnya mengirimkan data tersebut, lebih dari enam minggu setelah batas waktu satu bulan sesuai Pasal 12(3), mengancam penerima dengan tuntutan pidana dan menahan sisa datanya sendiri hingga ia menjelaskan aktivitas akunnya kepada penasihat hukum. Pengungkapan tersebut juga menjawab dua pertanyaan yang belum dijawab Valve di depan umum: catatan yang dihasilkan menunjukkan adanya penghubungan akun yang sudah terjadi sejak tahun 2019, serta telemetri internal dengan kedalaman yang belum pernah dijelaskan oleh Valve.

**Ruang lingkup bagian ini:** Pengamatan di sini terbatas pada mekanisme penyuntingan, yang diukur berdasarkan berkas yang dihasilkan. Analisis lebih lanjut yang dilakukan para penulis terhadap catatan log yang dihasilkan ditunda hingga dilakukan tinjauan independen dan tidak dijadikan acuan di bagian lain dalam dokumen ini.

Bukti: surat kuasa tanggal 1 Oktober 2025 beserta lampiran PDF-nya (SHA-256 tercatat dalam berkas audit); [Pengukuran PDF pada tingkat halaman dan metodenya ↗](https://phishdestroy.io/steam_dossier/steam_tos_assets/regulatory-review/disclosure-audit.json). Urutan permohonan, penolakan pada halaman 8, dan deskripsi catatan yang terungkap dijelaskan secara lengkap dalam keterangan PhishDestroy, [“Anjingku vs. Pengacara Ahli GDPR”, 17 Agustus 2026 ↗](https://phishdestroy.medium.com/my-dog-vs-elite-gdpr-lawyers-the-valve-data-breach-nobody-is-talking-about-f6f7683d813d) [diarsipkan 2026-08-21 ↗](https://web.archive.org/web/20260821155801/https://phishdestroy.medium.com/my-dog-vs-elite-gdpr-lawyers-the-valve-data-breach-nobody-is-talking-about-f6f7683d813d). Nama akun dan data pihak ketiga tidak dicantumkan di sini; tidak ada informasi yang tertutupi oleh garis-garis tersebut yang ditampilkan.

> **Pada halaman 8 surat pengantar tersebut, sebagian permohonan ditolak, dan alasannya dijelaskan secara tertulis:** Informasi yang lebih rinci tidak dapat diberikan karena pertimbangan perlindungan data pribadi pengguna lain di platform Steam… — jawaban yang lebih rinci tidak mungkin diberikan, karena data pribadi pengguna Steam lainnya harus dilindungi. Lampiran setebal 830 halaman itu terdapat dalam paket yang sama. Yang disamarkan bukanlah nomor akun: melainkan laporan yang diajukan terhadap pemohon, dengan nama penulisnya disebutkan, serta pesan mentah yang belum disunting terlampir. Pemegang akun telah meminta Valve, melalui penasihat hukumnya, untuk berkasnya sendiri; namun yang dapat ia peroleh dari berkas tersebut justru berkas milik orang lain. Tidak ada satu pun dalam lampiran ini yang bergantung pada siapa yang menggambar kotak-kotak tersebut. Yang ditetapkan di sini adalah bahwa perlindungan Valve yang diajukan sebagai dasar penahanan informasi tersebut adalah perlindungan yang gagal dipenuhi oleh penyerahan dokumen ini sendiri, dalam amplop yang sama, pada hari yang sama.

Lampiran C — Lampiran-lampiran 

## Bukti-bukti dalam Surat-surat Dukungan dan Hukum

Format catatan arsip, serta tautan ke dua bukti yang telah dibahas secara lengkap di bagian lain dalam berkas ini, sehingga tidak perlu diulang di sini. Setiap keterangan gambar menjelaskan apa yang ditampilkan dalam gambar tersebut dan apa yang tidak.

Di mana bukti-bukti lainnya diperdebatkan 

Bukti A: Pemberitahuan bulan Juli 2016 (rekonstruksi) Telah dirender

Ditampilkan secara langsung, bukan sebagai tangkapan layar, di [Bagian 11 — pemberitahuan bulan Juli 2016](https://phishdestroy.io/steam_dossier/id/index#valve-demand-letter). Rekonstruksi berdasarkan teks yang dilaporkan oleh media pada tanggal 21 Juli 2016; bukan salinan pindaian dari dokumen aslinya.

Lampiran B: Tiket GDPR HT-2YBP-F7JP-D4VB Ditutup pada 19 September 2026

Dua tangkapan layar yang disimpan, nilai hash SHA-256-nya, serta analisis lengkapnya terdapat di [Bagian 18 — kasus GDPR yang sedang berlangsung](https://phishdestroy.io/steam_dossier/id/index#gdpr-live-case). Diajukan pada 16 September 2026; ditutup dengan tautan ke halaman Data Akun, tanpa data dan tanpa dasar hukum yang disebutkan sebagai alasan penolakan.

Lampiran C: Arsip bukti (contoh catatan) Ditampilkan

Contoh catatan yang disimpan dari arsip yang dapat dicari yang berisi postingan publik di GitHub, Reddit, dan postingan ulasan; setiap klaim dalam arsip tersebut memiliki sumber rujukannya masing-masing dan perlu diuji kebenarannya secara terpisah.

Image: [Exhibit C: Example of a saved archive record](https://phishdestroy.io/steam_dossier/steam_tos_assets/archive-record.png)

Bukti C · Contoh catatan yang disimpan dalam arsip bukti (isu GitHub publik sebagaimana disimpan dalam build 2026-09-17). Hanya menggambarkan format catatan. · File: [archive-record.png](https://phishdestroy.io/steam_dossier/steam_tos_assets/archive-record.png) · SHA-256 `329abcc434407981fc8d203201f80ec650c61de70a88fcfbb69860aebf8e5613` ([screenshot-manifest.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/screenshot-manifest.json)).

Lampiran D — Pengumpulan sumber 

## Catatan primer yang dipilih

Enam catatan dari arsip — tiga masalah GitHub di pelacak Valve dan tiga akun Reddit yang berisi hasil dukungan yang diperdebatkan. Setiap sumber tetap dilampirkan pada klaim tersebut, teks yang disimpan, dan pertanyaan yang muncul darinya.

1 / 6

Pilih catatan sumber 

GH-01 / GITHUB Buka dalam build yang telah disimpan

### Kunci perangkat keras, yang diminta pada tahun 2016

ValveSoftware / steam-for-linux · #4521 · 2016-06-27

Seorang pengguna meminta Valve untuk mendukung kunci perangkat keras U2F sebagai faktor kedua alternatif. Masalah yang telah disimpan tersebut memiliki label “Permintaan Fitur” dan “Telah Ditinjau”, dengan statusnya tercatat sebagai “terbuka”.

> Saya meminta agar Steam mendukung dongle USB U2F sebagai alternatif.
> 
> [Kutipan dari isu GitHub ↗](https://github.com/ValveSoftware/steam-for-linux/issues/4521)

Catatan tertulis

Sebuah permintaan yang sudah kadaluwarsa mengenai langkah pengamanan tambahan untuk akun, yang dipublikasikan di sistem pelacakan masalah milik Valve dan diberi label "telah ditinjau".

Tuntutan akuntabilitas

Publikasikan keputusan produk, tanggal tanggapan, dan perlindungan yang diberikan setelah peninjauan.

[Membaca catatan yang telah disimpan](https://phishdestroy.io/steam_dossier/id/steam_evidence_archive?source=GitHub&record=484)[Buka GitHub ↗](https://github.com/ValveSoftware/steam-for-linux/issues/4521)

[Dalam dokumen ini: Langkah-langkah pengamanan akun →](https://phishdestroy.io/steam_dossier/id/index#consent-analysis) Arsip #484 · build 2026-09-17

GH-02 / GITHUB Buka dalam build yang telah disimpan

### Laporan kecelakaan tanpa opsi penolakan yang efektif

ValveSoftware / steam-for-linux · #6459 · 2019-08-18

Reporter tersebut menjelaskan kasus klien Steam pada tanggal 12 Agustus 2019 di Ubuntu 16. Ia menyebutkan bahwa penonaktifan tujuan crash-upload tidak bertahan setelah sistem di-restart, dan menyertakan konfigurasi yang bersangkutan.

> Jika saya menonaktifkan `ServerURL`, pengaturannya akan ditimpa setiap kali sistem di-reboot.
> 
> [Kutipan dari isu GitHub ↗](https://github.com/ValveSoftware/steam-for-linux/issues/6459) [diarsipkan 2026-04-19 ↗](https://web.archive.org/web/20260419051343/https://github.com/ValveSoftware/steam-for-linux/issues/6459)

Catatan tertulis

Keluhan privasi spesifik yang mencantumkan tanggal klien, sistem operasi, dan cuplikan konfigurasi. Masalah yang telah disimpan tersebut masih dalam status terbuka.

Tuntutan akuntabilitas

Identifikasi penyelidikan, build yang terdampak, dan perubahan yang membuat opsi penolakan tersebut berlaku.

[Membaca catatan yang telah disimpan](https://phishdestroy.io/steam_dossier/id/steam_evidence_archive?source=GitHub&record=467)[Buka GitHub ↗](https://github.com/ValveSoftware/steam-for-linux/issues/6459) [diarsipkan 2026-04-19 ↗](https://web.archive.org/web/20260419051343/https://github.com/ValveSoftware/steam-for-linux/issues/6459)

[Dalam berkas ini: Ajukan permohonan untuk mendapatkan dokumen pendukung →](https://phishdestroy.io/steam_dossier/id/index#dsar-playbook) Arsip #467 · build 2026-09-17

GH-03 / GITHUB Buka dalam build yang telah disimpan

### Tindakan penyalahgunaan tiket otentikasi dilaporkan ke Valve

ValveSoftware / Source-1-Games · #3857 · 2022-02-26

Penulis menuduh bahwa pengoperasian server menyimpan Steam tiket otentikasi setelah para pemain terputus dari koneksi dan menggunakan daftar server yang menyesatkan. Postingan tersebut meminta Valve untuk menanggapi perilaku tersebut.

> Membuat server mereka tampak ramai.
> 
> [Kutipan dari isu GitHub ↗](https://github.com/ValveSoftware/Source-1-Games/issues/3857)

Catatan tertulis

Sebuah laporan pelecehan yang diajukan secara publik di pelacak Valve pada tanggal 26 Februari 2022. Status tersimpannya adalah 'terbuka'; laporan tersebut memuat tautan ke tangkapan layar.

Tuntutan akuntabilitas

Susunlah hasil investigasi dan catatan tindakan mitigasi terkait penyalahgunaan tiket otentikasi yang dilaporkan.

[Membaca catatan yang telah disimpan](https://phishdestroy.io/steam_dossier/id/steam_evidence_archive?source=GitHub&record=768)[Buka GitHub ↗](https://github.com/ValveSoftware/Source-1-Games/issues/3857)

[Dalam dokumen ini: Cakupan kumpulan data →](https://phishdestroy.io/steam_dossier/id/index#evidence-base) Arsip #768 · build 2026-09-17

RD-01 / REDDIT Profil Penulis

### 44 transaksi pembelian di Pasar yang menjadi sengketa

r/DotA2 · nama pengguna penulis dirahasiakan · 2022-07-07

Penulis melaporkan 44 transaksi pembelian tanpa izin di Market pada tanggal 6 Juli 2022 dan kerugian sekitar $500+. Ia menyebutkan bahwa otentikasi dua faktor telah diaktifkan dan menjelaskan bahwa pihak dukungan pelanggan terus-menerus mengirimkan balasan yang menggunakan templat.

> Ini sudah tiket kedua yang saya ajukan, namun saya masih belum menerima balasan dari Steam yang bukan sekadar salinan-tempel templat otomatis.
> 
> [Kutipan dari postingan Reddit ↗](https://www.reddit.com/r/DotA2/comments/vt76ov/funds_stolen_through_steam_market_disappointed/) [diarsipkan 2025-03-20 ↗](https://web.archive.org/web/20250320082450/https://www.reddit.com/r/DotA2/comments/vt76ov/funds_stolen_through_steam_market_disappointed/)

Catatan tertulis

Catatan yang sudah lama mengenai pembelian yang dipermasalahkan, lengkap dengan tautan ke tangkapan layar transaksi dan tanggapan dari tim dukungan. Jumlah dan kejadian yang disebutkan merupakan laporan dari penulis.

Tuntutan akuntabilitas

Selaraskan pembelian yang dipermasalahkan dengan catatan transaksi dan sesi. Jelaskan bukti yang mendasari keputusan tim dukungan.

[Membaca catatan yang telah disimpan](https://phishdestroy.io/steam_dossier/id/steam_evidence_archive?source=Reddit&record=4533)[Buka Reddit ↗](https://www.reddit.com/r/DotA2/comments/vt76ov/funds_stolen_through_steam_market_disappointed/) [diarsipkan 2025-03-20 ↗](https://web.archive.org/web/20250320082450/https://www.reddit.com/r/DotA2/comments/vt76ov/funds_stolen_through_steam_market_disappointed/)

[Dalam dokumen ini: Dukungan dan penegakan →](https://phishdestroy.io/steam_dossier/id/index#enforcement-standard) Arsip #4,533 · build 2026-09-17

RD-02 / REDDIT Profil Penulis

### Larangan permanen dan penutupan jalur banding

r/ohnePixel · nama pengguna penulis dirahasiakan · 2024-12-09

Penulis membantah adanya larangan permanen dan menyatakan bahwa alasan larangan tersebut didasarkan pada dugaan transfer akun serta laporan dari komunitas. Ia menjelaskan mengenai tiket yang telah ditutup dan rencananya untuk meminta data pribadinya.

> Saya telah menjelaskan situasi saya dan meminta penjelasan lebih lanjut, tetapi mereka tetap pada keputusan mereka dan menutup tiket-tiket saya.
> 
> [Kutipan dari postingan Reddit ↗](https://www.reddit.com/r/ohnePixel/comments/1hahqx2/permanently_banned_steam_account_without_a_clear/)

Catatan tertulis

Sebuah catatan permohonan yang disimpan, termasuk alasan-alasan yang menurut penulis mendukung permohonan tersebut serta tautan ke empat gambar. Tanggal posting diambil dari ekspor data dukungan yang dipilih.

Tuntutan akuntabilitas

Identifikasi bukti-bukti yang mendukung larangan permanen tersebut serta mekanisme peninjauan yang tersedia untuk menggugatnya. Penutupan proses banding tidak menjelaskan alasan di balik keputusan tersebut.

[Membaca catatan yang telah disimpan](https://phishdestroy.io/steam_dossier/id/steam_evidence_archive?source=Reddit&record=4766)[Buka Reddit ↗](https://www.reddit.com/r/ohnePixel/comments/1hahqx2/permanently_banned_steam_account_without_a_clear/)

[Dalam berkas ini: Minta dokumen pendukungnya →](https://phishdestroy.io/steam_dossier/id/index#dsar-playbook) Arsip #4,766 · build 2026-09-17

RD-03 / REDDIT Profil Penulis

### Reset pemulihan dan kerugian yang dilaporkan sebesar $10,000

r/legaladvice · nama pengguna penulis dirahasiakan · 2025-05-09

Penulis menuduh bahwa tim dukungan mereset kredensial dan menonaktifkan perlindungan akun setelah seseorang mengajukan tiket pemulihan. Mereka melaporkan adanya kerugian sebesar sekitar US$10,000 dari akun yang tidak aktif.

> Steam Layanan Dukungan telah mereset kata sandi saya dan menonaktifkan semua pengaturan keamanan akun saya.
> 
> [Kutipan dari postingan Reddit ↗](https://www.reddit.com/r/legaladvice/comments/1kipjde/got_10k_stollen_from_steam_inventory_due_to_steam/)

Catatan tertulis

Sebuah tuduhan yang masih tersimpan mengenai proses pemulihan yang mengabaikan mekanisme pengamanan akun. Postingan yang disimpan tersebut mencatat apa yang, menurut penulis, disampaikan oleh tim dukungan kepada mereka.

Tuntutan akuntabilitas

Identifikasi siapa yang mengizinkan proses reset tersebut, bukti kepemilikan yang mereka terima, serta catatan aksesnya. Pemulihan akun merupakan bagian dari kontrol sistem keamanan Valve.

[Membaca catatan yang telah disimpan](https://phishdestroy.io/steam_dossier/id/steam_evidence_archive?source=Reddit&record=4592)[Buka Reddit ↗](https://www.reddit.com/r/legaladvice/comments/1kipjde/got_10k_stollen_from_steam_inventory_due_to_steam/)

[Dalam berkas ini: Minta dokumen pendukungnya →](https://phishdestroy.io/steam_dossier/id/index#dsar-playbook) Arsip #4,592 · build 2026-09-17

Enam catatan terpilih. Deskripsi di GitHub menjelaskan hasil build yang disimpan. Postingan di Reddit menyimpan keterangan dari para penulisnya.

[Unduh keenam rekaman tersebut ↓](https://phishdestroy.io/steam_dossier/steam_tos_assets/selected-evidence-records.json)

Build yang dapat dicari ini berisi **16,319 catatan yang berbeda**: 393 Trustpilot, 5,635 Reddit, 2,395 GitHub, 276 catatan web, dan 7,620 catatan wiki. Beberapa catatan dapat berkaitan dengan peristiwa yang sama. Ekspor utama terpisah yang terdiri dari 40,448 baris memiliki cakupan yang berbeda.

[Telusuri arsip lengkap ↗](https://phishdestroy.io/steam_dossier/id/steam_evidence_archive) · [Buat manifes ↗](https://phishdestroy.io/steam_dossier/steam_tos_assets/archive_manifest.json) · [Cakupan dan jumlah dataset →](https://phishdestroy.io/steam_dossier/id/index#evidence-base)

Lampiran E — Studi kasus 

## ArchiSteamFarm dan klausul otomatisasi

Sebuah alat open-source untuk mengumpulkan kartu yang, menurut FAQ-nya sendiri, dijalankan pada jutaan akun, bertentangan dengan klausul Perjanjian Pelanggan (§ 4.C) yang melarang penggunaan otomatisasi. Mekanisme — apa yang harus dibeli oleh sebuah farm dari Valve sebelum dapat menghasilkan apa pun, mengapa setiap cara mencairkan dana dari kartu melanggar lisensi, catatan penegakan aturan, dan siapa yang memoderasi ekonomi kartu — dijelaskan secara lengkap dalam [Lampiran V ↗](https://phishdestroy.io/steam_dossier/id/card_economy).

Perjanjian Pelanggan Steam, Pasal 4.C, menyatakan:

"Anda dilarang menggunakan skrip, bot, makro, atau sistem lain yang tidak dikendalikan oleh manusia ('Otomatisasi') dalam bentuk apa pun untuk berinteraksi dengan Konten dan Layanan di Steam dengan cara apa pun." — [Steam Perjanjian Pelanggan § 4.C (versi saat ini) ↗](https://store.steampowered.com/subscriber_agreement/) [diarsipkan 2026-09-18 ↗](https://web.archive.org/web/20260918014700/https://store.steampowered.com/subscriber_agreement/)

**Valve menegakkan klausul ini. Ia sangat mahir dalam hal itu.** Pertanyaan yang Sering Diajukan (FAQ) tentang **ArchiSteamFarm (ASF)** — sebuah alat sumber terbuka yang, menurut dokumentasinya sendiri, berjalan di **lebih dari beberapa juta akun Steam** Sejak rilis pertamanya lebih dari 11 tahun yang lalu — menampilkan tiga Steam pesan dukungan yang secara permanen memblokir pengguna yang mengoperasikan jaringan bot. Valve menemukan jaringan-jaringan tersebut, mengidentifikasinya, dan menonaktifkannya. Oleh karena itu, pertanyaan yang relevan bukanlah apakah Valve mampu mendeteksi otomatisasi dalam skala besar.

Situs resmi proyek tersebut [ArchiSteamFarm Pertanyaan yang Sering Diajukan](https://github.com/JustArchiNET/ArchiSteamFarm/wiki/FAQ) secara langsung membahas risiko larangan tersebut:

"Hal ini sangat tidak mungkin mengingat ASF telah digunakan di lebih dari beberapa juta akun Steam sejak pertama kali dirilis lebih dari 11 tahun yang lalu — namun tetap saja ada kemungkinan, terlepas dari seberapa besar kemungkinannya."

"Valve secara jelas mengakui adanya 'Steam para pemalas', seperti yang disebutkan di sini, jadi menurut saya, saya cukup yakin bahwa jika mereka tidak setuju dengan keberadaan mereka, mereka pasti sudah mengambil tindakan alih-alih hanya menyoroti bahwa hal itu bisa menimbulkan masalah VAC." **Kata kuncinya di sini adalah Steam idler, misalnya ASF, dan bukan idler game.**"

— ArchiSteamFarm Pertanyaan yang Sering Diajukan (FAQ), JustArchiNET. [Sumber: Wiki GitHub ↗](https://github.com/JustArchiNET/ArchiSteamFarm/wiki/FAQ) · telah diverifikasi secara verbatim 2026-09-22

Pertanyaan yang sama dalam bagian FAQ menjawab "Apakah ada yang diblokir karena hal itu?" dengan **Ya**, dan mengutip apa yang ditulis oleh Steam Support kepada tiga di antara mereka:

1,000+ bot · dilarang bertransaksi 
*"Sepertinya akun ini digunakan untuk mengelola jaringan akun bot. Penggunaan bot merupakan pelanggaran terhadap Perjanjian Pelanggan Steam."*

170+ bot · diblokir selamanya, Obral Musim Dingin 2017 
*"Akun ini digunakan untuk mengumpulkan kartu koleksi secara ilegal di Steam, serta kegiatan terkait lainnya—tidak hanya kegiatan komersial. Akun tersebut telah diblokir secara permanen dan Tim Dukungan Steam tidak dapat memberikan bantuan lebih lanjut terkait masalah ini."*

120+ bot · diblokir secara permanen 
*"Akun ini dan akun-akun lainnya digunakan untuk membanjiri infrastruktur jaringan kami, yang merupakan pelanggaran terhadap Steam tata tertib daring."*

— Steam Pesan dukungan yang dimuat dalam ArchiSteamFarm FAQ, bagian "Apakah ada yang diblokir karena hal itu?". [Sumber ↗](https://github.com/JustArchiNET/ArchiSteamFarm/wiki/FAQ) · telah diverifikasi secara verbatim 2026-09-22

**Letakkan kedua catatan tersebut berdampingan.** Seorang pengguna pribadi yang menggunakan 1,000 bot pertanian teridentifikasi, diberi tahu bahwa "penggunaan bot merupakan pelanggaran terhadap Steam Perjanjian Pelanggan", dan diblokir secara permanen. Platform-platform komersial dalam dokumen ini mengoperasikan akun otomatis Steam sebagai bisnis inti mereka, dalam skala yang jauh lebih besar, dan melakukan otentikasi melalui OpenID milik Valve pada setiap login — dan tidak ada catatan penegakan aturan per operator yang telah dipublikasikan untuk salah satu dari mereka. **Klausul tersebut berlaku. Pertanyaannya adalah kepada siapa klausul tersebut ditujukan.**

ASF tidak dituduh melakukan apa pun di sini, dan penafsirannya terhadap posisi Valve adalah pendapatnya sendiri — penulisnya dengan jelas menyatakan bahwa "ASF tidak diberi wewenang oleh Valve". Alat ini digunakan di sini sebagai alat ukur: alat ini menunjukkan bahwa Valve mendeteksi jaringan bot, menyebutkannya secara tertulis, dan memblokirnya secara permanen. Valve dapat menutup pertanyaan ini dalam satu kalimat dengan mempublikasikan otomatisasi komersial mana yang diizinkannya, serta catatan per operator mengenai tindakan apa yang telah dilakukannya terhadap sisanya.

Dampak kegiatan "card farming" terhadap pendapatan Valve

Kartu perdagangan yang diperoleh melalui farming dijual di Pasar Komunitas Steam, yang mengenakan biaya gabungan sekitar 15% untuk setiap transaksi yang diselesaikan di dalam Pasar tersebut; akun tersebut harus telah membelanjakan $5.00 USD pada Steam sebelum dapat menerima kartu sama sekali; dan untuk mendapatkan kartu, pemain harus memiliki game tersebut atau melakukan pembelian dalam game. Tidak ada perkiraan angka pendapatan agregat di sini — skala operasional hanya dinyatakan sebagaimana tercantum dalam FAQ ASF. FAQ tersebut juga mencatat Valve hal yang membedakan *"Steam orang yang menganggur"* (mengumpulkan kartu) dari *"para pemain yang hanya bersantai-santai"*; lihat [Pertanyaan Umum (FAQ) ASF ↗](https://github.com/JustArchiNET/ArchiSteamFarm/wiki/FAQ). Mekanisme tersebut dijelaskan secara lengkap dalam [Lampiran V — skala](https://phishdestroy.io/steam_dossier/id/card_economy#scale) dan [perangkap untuk penggunaan komersial](https://phishdestroy.io/steam_dossier/id/card_economy#licence).

Subjek ArchiSteamFarm — pengumpulan kartu otomatis

Skala yang dinyatakan Jutaan akun (menurut FAQ ASF — jumlah akun aktif yang pasti belum diverifikasi)

Dihitung, bukan dikutip 10,880,610 jumlah entri API di grup Steam milik ASF sendiri (5,360,499 tanpa batasan, seperti yang ditampilkan oleh Steam) — angka “jutaan” dalam FAQ bukanlah sebuah cerita, melainkan jumlah entri. 88.97% tidak memberlakukan Steam larangan apa pun. [Data sensus larangan menyeluruh ↗](https://phishdestroy.io/steam_dossier/id/enforcement_audit)

Informasi yang tercantum dalam dokumentasi alat tersebut sendiri 

- ASF masuk ke akun secara headless dan membiarkan game dalam keadaan idle untuk mendapatkan kartu tanpa menjalankan klien Steam (sesuai dokumentasi proyek).

- Bagian FAQ tersebut berpendapat bahwa Valve mengetahui adanya "Steam orang yang hanya menganggur" dan bahwa "jika mereka tidak setuju dengan hal itu, mereka pasti sudah mengambil tindakan".

- Tidak ada laporan penegakan hukum yang ditargetkan selama lebih dari 11 tahun (menurut FAQ); penjualan kartu yang dihasilkan di dalam Community Market dikenakan biaya gabungan sebesar 15% dari Steam.

- Bagian FAQ menyebutkan batas maksimum yang direkomendasikan sebanyak sepuluh akun per operator dan mengaitkannya dengan Valve: "Rekomendasi ini didasarkan pada pedoman internal Valve, serta saran dari kami sendiri." Tidak ada pedoman semacam itu yang diterbitkan oleh Valve.

- Batas teknis, sesuai dengan FAQ yang sama: "Anda dapat menjalankan hingga 100–200 bot dengan satu alamat IP dan satu instance ASF."

- Waktu bermain yang dimanipulasi dicatat oleh Valve — "biasanya diperbarui setiap 30 menit sekali" — dan § 4.C mencantumkan "Memalsukan statistik permainan (misalnya, memanipulasi jumlah kemenangan atau kekalahan, XP, waktu bermain)" sebagai tindakan yang dilarang.

Sumber 

[Wiki FAQ Resmi JustArchi ASF ↗](https://github.com/JustArchiNET/ArchiSteamFarm/wiki/FAQ) [ArchiSteamFarm repositori ↗](https://github.com/JustArchiNET/ArchiSteamFarm) [diarsipkan 2026-09-24 ↗](https://web.archive.org/web/20260924181709/https://github.com/JustArchiNET/ArchiSteamFarm)

Klausul otomatisasi tersebut sangat jelas; FAQ ASF telah menyatakan selama bertahun-tahun bahwa alat tersebut beroperasi pada jutaan akun; belum ada laporan mengenai tindakan penegakan hukum yang ditargetkan terhadapnya. Perbedaan antara aturan dan penerapannya tercatat dalam data; alasan di balik hal tersebut tidak dijelaskan di sini.

[Pameran lengkap Ekonomi kartu: prosesnya, skalanya, lisensinya, dan siapa yang mengawasinya ↗ Apa yang harus dibeli sebuah peternakan dari Valve sebelum dapat memproduksi satu kartu pun; dua baris pada § 4.C yang mendefinisikan pertanian kartu berdasarkan dampaknya; mengapa setiap cara mencairkan kartu melanggar lisensi Valve yang ditulis sementara Valve mengenakan biaya di pintu masuk; catatan penegakan aturan termasuk gelombang VAC pada Juni 2025 dan pemblokiran berantai berdasarkan nomor telepon yang sama; serta karyawan Valve dan moderator komunitas yang ditemukan mengelola layanan perdagangan kartu dan daftar pemblokiran di sekitar Steam.](https://phishdestroy.io/steam_dossier/id/card_economy) [Sensus larangan Kami tidak bertanya kepada Valve seberapa luas lahan pertanian itu. Kami menghitungnya sendiri. ↗ 10,880,610 jumlah akun (terbatas dan tidak terbatas) yang dibaca dari grup Steam milik ArchiSteamFarm, yang secara otomatis dimasuki oleh perangkat lunak saat pertama kali dijalankan kecuali pengguna mencabut centang pada pengaturan bergabung dengan grup (mencakup baik bot farm komersial maupun pemain biasa yang membiarkan pengaturan default tetap aktif). 88.97% tidak memiliki larangan Steam dalam bentuk apa pun; dari 11% yang memilikinya, 99.8% adalah larangan komunitas yang bersifat kosmetik dan tidak pernah menghentikan aktivitas perdagangan. Setelah dicocokkan dengan SteamRep, 67.77% dari penipu yang terdaftar bebas dari sanksi begitu pemblokiran anti-cheat dikesampingkan. Dengan rincian tanggal pendaftaran, lokasi geografis, dan tingkat kelangsungan — skala sebenarnya, diukur, bukan sekadar diceritakan.](https://phishdestroy.io/steam_dossier/id/enforcement_audit)

Lampiran F — Buku besar operasional 

## Pilih sebuah aturan. Periksa catatan yang sesuai.

Konteks & batasan sumber

Pilih salah satu klausul dalam Perjanjian Pelanggan atau Aturan Perilaku Daring; daftar tersebut mencantumkan platform-platform yang tercatat dan diberi label di bawah klausul tersebut, beserta domain utamanya, host otentikasi yang dinyatakan, serta hasil Filter Tautan yang tersimpan. Daftar ini menjelaskan cakupan catatan dalam penyelidikan ini, bukan merupakan temuan pelanggaran terhadap platform mana pun.

Pilih sebuah klausa untuk melihat platform yang ditandai, host otentikasi, dan hasil Filter Tautan yang telah disimpan. Buka setiap sumber untuk menguji perbandingannya.

Lampiran G — Dari templat penolakan hingga catatan aslinya 

## Panduan DSAR: ajukan permintaan bukti

Gunakan Pasal 15 GDPR untuk meminta data pribadi yang berkaitan dengan pembuatan kunci API, pemulihan akun, dan akses layanan dukungan. Catatan yang disimpan dapat digunakan untuk mengetahui siapa yang memulai suatu tindakan dan apa yang menjadi dasar keputusan platform tersebut.

- 01 

### Jaga garis waktu Anda.

Simpan pemberitahuan akun, tiket, ID transaksi, dan tanggal dalam UTC. Amankan akun dan tinjau opsi pemulihan yang berlaku untuk game dan transaksi tersebut.

[Steam Informasi Perlindungan Perdagangan ↗](https://help.steampowered.com/en/faqs/view/365F-4BEE-2AE2-7BDD)

- 02 

### Ajukan permohonan untuk mendapatkan data yang disimpan.

Mintalah informasi mengenai cap waktu, alamat IP sumber, peristiwa penting dalam siklus hidup kunci, konfirmasi keamanan, dan tindakan pemulihan yang berkaitan dengan akun. Sertakan juga peristiwa akses dukungan serta penerima data tersebut jika informasi tersebut relevan bagi Anda.

- 03 

### Simpanlah catatan pengiriman tersebut.

Gunakan jalur kontak privasi Valve. Waktu tanggapan biasanya adalah satu bulan; jika diperlukan perpanjangan hingga dua bulan lagi, hal tersebut harus dijelaskan dalam jangka waktu satu bulan pertama tersebut.

[Valve jalur kontak privasi ↗](https://store.steampowered.com/privacy_agreement/#8) [diarsipkan 2026-09-21 ↗](https://web.archive.org/web/20260921021648/https://store.steampowered.com/privacy_agreement/)

- 04 

### Bandingkan tanggapannya.

Selaraskan catatan dengan garis waktu Anda. Tanyakan alasan di balik hal-hal yang terlewatkan, lalu gunakan jalur pengaduan melalui pihak berwenang yang berwenang jika diperlukan. Simpan tanggapan tersebut persis seperti yang diterima.

Ruang Lingkup / Pasal 15 

Akses ini mencakup data pribadi yang disimpan, termasuk data dalam log. Akses ini tidak menjamin ketersediaan setiap dokumen internal, catatan yang direkonstruksi, atau data yang belum disunting mengenai pihak lain. Mintalah salinan yang dapat dipahami serta dasar dari setiap pembatasan yang diterapkan.

[Pedoman akses EDPB, § 2, § 4–6 ↗](https://www.edpb.europa.eu/system/files/2023-04/edpb_guidelines_202201_data_subject_rights_access_v2_en.pdf) · [Pasal 12, 15, dan 77 GDPR ↗](https://eur-lex.europa.eu/eli/reg/2016/679/oj/eng) [diarsipkan 2026-09-20 ↗](https://web.archive.org/web/20260920024236/https://eur-lex.europa.eu/eli/reg/2016/679/oj/eng)

Permohonan Akses oleh Subjek Data GDPR / Pasal 15

### Keamanan akun & riwayat akses

Ganti kolom yang diberi tanda kurung sebelum mengirimkan.

```
To: Valve Privacy Team
Subject: Article 15 GDPR request — account security records

Account / SteamID: [YOUR ACCOUNT IDENTIFIER]
Relevant period (UTC): [START] to [END]
Related support tickets: [TICKET REFERENCES]

I request a copy of the personal data concerning me that you retain for this period, including:

1. API-key registration, confirmation, use and revocation events, with available timestamps, source IP addresses, registered domains, device or user-agent information and non-secret key identifiers.

2. Recorded account-recovery actions, password/email/phone changes, Steam Guard removals or resets, confirmation events and the account-related evidence relied on to authorize those actions.

3. Personal data in support-access and administrative-action logs concerning my account, including available dates, purposes, actions and the support entity involved, subject to applicable rights of others.

4. Account-related records used to determine any sanction, and available records of my complaints, reviews and responses.

Please also provide the applicable processing purposes, categories, recipients, retention periods or criteria, and available information about sources where data were not obtained from me.

Where processing relies on my consent, please provide the retained record of the consent relied upon and the wording presented at that time.

Please provide an intelligible electronic copy with time zones and field definitions. Please do not include active credentials or secret tokens. If any requested data are not held, please say so. For any withheld data, please identify the scope and legal basis of the restriction and provide the remainder.

Please acknowledge receipt and respond within the applicable Article 12 period, explaining any necessary extension. I also ask you to preserve relevant existing records while this request is handled.

Name: [YOUR NAME]
Date: [DATE]
```

[Unduh berkas .txt](https://phishdestroy.io/steam_dossier/steam_tos_assets/dsar-request-template.txt)

Apa saja yang dapat diwujudkan oleh alamat IP pusat data 

### Perbedaan merupakan bukti yang perlu diselidiki.

Permintaan kunci API yang berasal dari jaringan pusat data, seperti dalam contoh penyedia layanan hosting yang diangkat dalam penyelidikan ini, dapat menjadi relevan jika dibandingkan dengan catatan login, konfirmasi, dan riwayat aktivitas pengguna. Alamat IP saja tidak cukup untuk mengidentifikasi pelaku atau secara otomatis menembus setiap sistem pertahanan. Bukti bahwa pelaku jahatlah yang menyediakan persetujuan yang tercatat dapat menantang keabsahan persetujuan tersebut; dasar hukum lain dan masalah pertanggungjawaban memerlukan analisis terpisah.

[Lihat pengaduan terkait larangan dan GDPR yang telah disimpan →](https://phishdestroy.io/steam_dossier/id/steam_enforcement_evidence#support-records)

Lampiran H — Analisis arsip Wayback Machine · Statistik dukungan yang telah dipublikasikan 

## Volume dukungan. Waktu respons yang dipublikasikan.

Konteks & batasan sumber

Valve mempublikasikan statistik dukungan harian di `store.steampowered.com/stats/support`. Arsip Wayback Machine menyimpan cuplikan historis halaman ini dari tahun 2018 hingga 2026. Rasio volume terhadap jumlah staf yang tersirat dari angka-angka ini tidak sejalan dengan proses peninjauan manual per tiket pada waktu respons yang dipublikasikan.

Bandingkan angka-angka dukungan yang diarsipkan oleh Valve di seluruh cuplikan yang disimpan. Metodologi ini menjelaskan hal-hal apa saja yang dapat dan tidak dapat diukur oleh angka-angka tersebut.

Volume terhadap waktu respons yang dipublikasikan (2018 → 2026)

### Dua antrean di satu loket layanan pelanggan, seperti yang terlihat pada 21 tangkapan layar yang telah diarsipkan.

Valve mempublikasikan data dukungan langsung di `store.steampowered.com/stats/support`. Setiap titik di bawah ini merupakan batas bawah Valve itu sendiri yang tercetak pada halaman tersebut pada hari ketika Internet Archive menyimpannya — bukan perkiraan dari kami. Kedua deret tersebut merupakan besaran yang sama dalam satuan yang sama, sehingga keduanya berada pada satu sumbu dan dapat dibandingkan secara langsung.

**Permohonan pengembalian dana** — uang Valve yang dimiliki **Keamanan & pemulihan akun** — akun yang telah hilang

**49–55 menit** Batas bawah pengembalian dana pada setiap pencatatan dari Februari 2018 hingga Agustus 2026. Selama delapan setengah tahun, perubahannya kurang dari enam menit, sementara volume pengembalian dana harian berubah hingga sembilan kali lipat.

**2,4 jam → 8,7 jam** Batas bawah pemulihan akun berada di sekitar 2,4 jam dalam setiap pengukuran hingga Desember 2022, kecuali satu pengukuran. Dalam tiga pengukuran tahun 2026, Valve mencatat angka 10,9 jam, 5,8 jam, dan 8,7 jam.

**×2,8 → ×13** Seberapa lambat proses pemulihan dibandingkan dengan pengembalian dana, berdasarkan angka yang dipublikasikan oleh Valve sendiri. Prosesnya stabil selama lima tahun, lalu selisihnya semakin melebar — antrean yang prosesnya semakin lambat adalah antrean di mana pengguna, bukan Valve, yang menanggung kerugian.

Sumber: 21 salinan arsip Wayback Machine dari [store.steampowered.com/stats/support](https://web.archive.org/web/20260810154631/https://store.steampowered.com/stats/support), 2018-02-03 hingga 2026-08-10; ekstraksi di `VALVE_EVIDENCE_PACK/databases/steam_support_stats_history.json`. Perhatikan batas-batas yang ditunjukkan pada grafik: grafik tersebut menggambarkan *lebih rendah* batas atas rentang Valve hasil cetak. Batas atas yang dipublikasikan lebih buruk pada kedua baris — waktu pengembalian berkisar antara 1,5 jam hingga 1,5 hari, sedangkan waktu pemulihan berkisar antara 7,0 jam hingga 3,6 hari. Dua tangkapan layar diarsipkan dalam edisi terjemahan dari halaman Valve yang sama — 2018-11-03 dalam bahasa Ceko, 2020-03-25 dalam bahasa Prancis — dan ditandai dengan (cs) dan (fr) dalam tabel; angka-angka tersebut ditampilkan di sini dengan kata-kata satuan yang telah diterjemahkan dan angka-angka sesuai yang diterbitkan, sedangkan string sumber secara verbatim disimpan dalam berkas ekstraksi. Setiap penangkapan data mempublikasikan waktu respons untuk kedua antrian, dan tidak ada titik pada kedua garis tersebut yang diinterpolasi. Angka pemulihan tunggal selama 15 menit sebesar 2020-10-21 ditandai pada grafik dan dibiarkan apa adanya: angka tersebut hanya muncul dalam satu penangkapan data dan tidak ada penangkapan data lain yang nilainya berada dalam satu orde besar darinya. Tidak ada data yang tercatat antara 2022-12-08 dan 2026-02-01; celah 38 bulan dalam catatan tersebut diarsir, dan tidak ada garis yang digambar melintasi celah tersebut. Angka-angka ini menggambarkan waktu respons yang dipublikasikan. Angka-angka tersebut tidak menunjukkan apa yang terjadi di dalam sebuah tiket, dan Valve belum mempublikasikan jumlah staf yang dapat digunakan sebagai patokan untuk menafsirkannya.

Buka setiap tangkapan layar sebagai tabel

Setiap tangkapan layar yang diarsipkan, sebagaimana telah dipublikasikan

| Pengambilan | Pengembalian dana / hari | Tanggapan terkait pengembalian dana | Pemulihan / hari | Tindakan pemulihan |
| --- | --- | --- | --- | --- |
| 2018-02-03 | 98,788 | 50,12 menit hingga 1,52 jam | 25,662 | 2,51 jam hingga 1,80 hari |
| 2018-05-07 | 60,494 | 53,83 menit hingga 1,47 hari | 24,226 | 2,45 jam hingga 2,22 hari |
| 2018-08-02 | 69,084 | 50,27 menit hingga 1,59 jam | 28,953 | 2,44 jam hingga 22,17 jam |
| 2018-11-03 (cs) | 63,410 | 49,28 menit hingga 1,54 jam | 33,910 | 2,42 jam hingga 1,31 hari |
| 2019-02-01 | 76,305 | 50,13 menit hingga 1,52 jam | 35,164 | 2,44 jam hingga 2,04 hari |
| 2019-05-18 | 78,951 | 51,03 menit hingga 3,12 jam | 27,514 | 2,46 jam hingga 20,39 jam |
| 2019-09-07 | 78,941 | 50,65 menit hingga 1,66 jam | 28,812 | 2,42 jam hingga 13,59 jam |
| 2019-12-13 | 69,589 | 50,77 menit hingga 1,55 jam | 25,322 | 2,45 jam hingga 1,13 hari |
| 2020-03-25 (fr) | 139,278 | 49,45 menit hingga 1,53 jam | 32,302 | 2,48 jam hingga 3,62 hari |
| 2020-06-26 | 278,504 | 48,98 menit hingga 2,29 jam | 20,343 | 2,39 jam hingga 6,99 jam |
| 2020-10-21 | 107,633 | 50,80 menit hingga 1,54 jam | 20,688 | 15,33 menit hingga 8,62 jam |
| 2021-03-20 | 158,956 | 50,80 menit hingga 1,64 jam | 25,760 | 2,34 jam hingga 11,62 jam |
| 2021-06-26 | 547,907 | 51,93 menit hingga 6,73 jam | 29,728 | 2,40 jam hingga 15,63 jam |
| 2021-10-10 | 170,103 | 51,88 menit hingga 3,25 jam | 23,989 | 2,39 jam hingga 13,05 jam |
| 2022-01-31 | 354,386 | 53,65 menit hingga 8,09 jam | 24,391 | 2,42 jam hingga 15,29 jam |
| 2022-05-09 | 172,555 | 51,83 menit hingga 1,65 jam | 23,289 | 2,41 jam hingga 16,90 jam |
| 2022-09-05 | 153,453 | 53,67 menit hingga 4,15 jam | 23,594 | 2,45 jam hingga 1,22 hari |
| 2022-12-08 | 181,075 | 54,83 menit hingga 6,67 jam | 27,111 | 2,46 jam hingga 18,89 jam |
| 2026-02-01 | 317,762 | 50,30 menit hingga 1,52 jam | 47,197 | Pukul 10.91 hingga pukul 21.30 |
| 2026-05-09 | 246,776 | 50,12 menit hingga 1,52 jam | 35,264 | 5,81 jam hingga 15,60 jam |
| 2026-08-10 | 373,244 | 52,05 menit hingga 2,07 jam | 45,319 | 8,73 jam hingga 16,52 jam |

PENGAMATAN UTAMA:

Di seluruh **21 salinan dari Wayback** dengan rentang dari 2018-02-03 hingga 2026-08-10, pengajuan pengembalian dana harian berkisar antara **60,494** (Mei 2018) hingga **547,907** (Juni 2021) — a **Selisih 9,1×**. Angka untuk tahun 2026 adalah 373,244 (+278% dibandingkan dengan data pada Februari 2018).

Selama sembilan tahun yang sama itu, batas bawah yang dipublikasikan untuk waktu respons pengembalian dana tidak pernah keluar dari **49–55 menit** band: pergerakan total kurang dari enam menit, sementara beban kerja di baliknya meningkat sembilan kali lipat.

Jika seseorang membaca setiap tiket selama 5 detik saja, maka memproses 373,244 tiket per hari (saat ini) akan memakan waktu **22 agen yang bekerja 24 jam sehari, 7 hari seminggu** hanya untuk membukanya dan menutupnya; pada puncaknya (547,907, Juni 2021), angkanya naik menjadi 32.

Jika waktu respons yang dipublikasikan mencerminkan waktu penanganan per tiket (~52 menit/tiket), jumlah staf yang dibutuhkan secara bersamaan diperkirakan sebesar **13,500 agen** pada volume saat ini dan ~20,000 pada puncaknya. Belum ditemukan data yang bersumber mengenai jumlah staf pendukung Valve; angka tersebut tidak diperhitungkan di sini.

Berikut ini: rasio volume terhadap jumlah staf tidak sesuai dengan proses peninjauan manual per tiket pada waktu respons yang dipublikasikan. Angka-angka tersebut sesuai dengan proses tahap awal yang sebagian besar otomatis; proporsi yang ditinjau secara manual tidak dipublikasikan.

Mengapa hal ini penting bagi kepatuhan terhadap GDPR 

Pasal 22 GDPR melarang pengambilan keputusan terhadap individu yang sepenuhnya dilakukan secara otomatis dan menimbulkan dampak hukum yang signifikan, tanpa memberikan hak atas peninjauan oleh manusia atas permintaan. Jika keputusan dukungan Steam (penutupan tiket, tindakan terhadap akun, penolakan permintaan data) dibuat sepenuhnya oleh skrip otomatis, setiap keputusan semacam itu yang “secara signifikan memengaruhi” pengguna dapat melanggar Pasal 22.

Tiket **HT-2YBP-F7JP-D4VB** (Bagian 18) ditutup setelah tiga hari dengan rujukan berdasarkan templat dan tanpa pembahasan mengenai dasar hukum yang disebutkan. Apakah ada pihak yang meninjaunya tidak dapat ditentukan dari tiket tersebut; hal itu merupakan pertanyaan yang dapat diajukan oleh otoritas pengawas kepada Valve berdasarkan Pasal 22 dan Pasal 15 ayat (1) huruf h.

Sumber: Tangkapan layar Wayback Machine dari store.steampowered.com/stats/support (2018-02-03, 2021-06-26, 2026-08-10) — data diekstraksi ke VALVE_EVIDENCE_PACK/databases/steam_support_stats_history.json (21 snapshot, 2018–2026). Catatan: waktu respons "~52 menit" adalah batas bawah kategori pengembalian dana; respons keamanan akun berkisar antara 2,4–16,5 jam di seluruh snapshot yang sama. 2021-06-26 adalah puncak sepanjang masa (547,907 permintaan pengembalian dana), bukan titik tengah yang monoton — volumenya melonjak ~6× pada 2020–2021, kemudian turun sebagian sebelum pulih menjadi 373 ribu pada 2026.

Lampiran I — Cakupan kumpulan data · jumlah yang dapat direproduksi 

## Hitung jumlah catatan. Periksa cakupannya.

Konteks & batasan sumber

Hitunglah jumlah catatan, lalu periksa kebenaran klaim tersebut: setiap angka di bawah ini dapat dihitung ulang berdasarkan file yang telah dipublikasikan.

Periksa kumpulan data yang mendasarinya, ulangi perhitungan jumlahnya, dan bedakan baris sumber dari kejadian unik.

Berkas CSV utama berisi **40,448 baris**. Di antaranya, **36,516** berasal dari saluran phishing Discord-AntiScam. Sisanya **3,932** Data tersebut mencakup GitHub, ulasan, hasil pencarian, materi forum, dan sumber-sumber lainnya, sehingga menyediakan indeks yang komprehensif mengenai topik-topik yang dilaporkan oleh komunitas serta laporan keamanan.

Dalam berkas CSV tersebut, 1,690 baris dikategorikan di bawah label kumpulan "Unpatched Security Exploit", yang mewakili masalah pengguna di masa lalu dan pengungkapan kerentanan. Untuk melacak laporan-laporan ini, diperlukan peninjauan terhadap garis waktu rilis versi spesifik setiap utas serta riwayat patch publiknya.

Arsip yang dapat dicari 16,319-record merupakan versi terpisah yang telah dikurasi dengan manifestnya sendiri, yang dirancang untuk penelusuran lokal yang akurat terhadap klaim pengguna dan laporan insiden tertentu.

> Untuk membangun jejak audit yang andal, setiap catatan yang dilaporkan pengguna harus diverifikasi berdasarkan jadwal pengembangan yang terdokumentasi dan riwayat log patch.

Catatan koleksi Bagian II yang terpisah **231,829 ID daftar unik**, termasuk 33,509 dalam kategori pendaftaran otomatis dan 198,320 yang ditandai sebagai transfer yang belum diverifikasi. Nilai SHA-256 berkas masukan sesuai dengan pengukuran yang disimpan. Jumlah-jumlah ini menggambarkan upaya pencatatan dan transfer yang teramati, bukan nilai transaksi yang telah diselesaikan atau total pencurian yang terverifikasi, sehingga menyoroti perlunya catatan utama platform untuk mengukur dampak ekonomi yang tepat. [Daftar ukuran dan hash ↗](https://phishdestroy.io/steam_dossier/steam_tos_assets/part2-measurements.json)

[Menguasai CSV ↗](https://phishdestroy.io/steam_dossier/VALVE_EVIDENCE_PACK/databases/TOTAL_VALVE_SCANDALS_MASTER_DB.csv) · [Daftar isi arsip yang dapat dicari ↗](https://phishdestroy.io/steam_dossier/steam_tos_assets/archive_manifest.json) · [Periksa catatan sumber ↗](https://phishdestroy.io/steam_dossier/id/steam_evidence_archive)

Lampiran J — Tentang penyelidikan ini 

## Valve tidak mempublikasikan catatan penegakan hukum. *Kami sudah membuatnya.*

Independen. Nirlaba. Dibuat semata-mata berdasarkan data publik. Telah diajukan kepada otoritas pengawas.

**88.97%** armada otomatisasi tetap tidak terpengaruh — tidak ada larangan apa pun

**67.77%** dari 51,732 penipu yang telah divonis bebas

**$26.8M+** batas minimum pengeluaran di toko oleh armada yang tidak terbatas

**3.6%** domain perjudian yang diblokir oleh Filter Tautan Valve

**8 tahun** insiden keamanan yang tercatat

**Apa ini.** Sebuah laporan forensik mengenai platform Steam milik Valve Corporation — catatan penegakan hukumnya, ekonomi "card-farming"-nya, kerangka hukumnya, serta infrastruktur otentikasi yang digunakan oleh operator perjudian melalui relai OpenID milik Steam. Setiap angka dapat diverifikasi dari dua sumber: API publik milik Valve sendiri dan kumpulan data yang diterbitkan bersamaan dengan penyelidikan ini.

**Untuk siapa.** Otoritas pengatur yang memiliki yurisdiksi atas Valve — otoritas pengawas GDPR untuk Belanda, FinCEN, SEC, Koordinator Layanan Digital (DSA), UOKiK, serta lembaga penegak hukum mana pun yang menyelidiki aliran keuangan yang terkait dengan Steam. Juga bagi jurnalis, peneliti, dan setiap pengguna yang mengalami pemblokiran akun permanen, penolakan pengembalian dana, atau kehilangan inventaris, serta diberitahu bahwa tidak ada jalur banding.

**Tuntutan tunggal.** Valve menyimpan data ini dengan akurasi penuh — termasuk alasan pemblokiran, ruang ID lengkap, dan secara real-time. Sistem ini mampu memproses setiap kueri dalam berkas ini dalam hitungan detik dan telah memilih untuk tidak mempublikasikan satupun dari data tersebut. Pertanyaan bagi setiap otoritas yang berwenang sangatlah sederhana: *Kenapa tidak?*

**Apa yang tidak diklaim oleh para penulis.** Tidak ada proses login ke Steam yang berhasil diselesaikan di platform pihak ketiga mana pun selama pekerjaan ini. URL OpenID yang disediakan menentukan parameter permintaan, bukan proses login yang berhasil. Domain terdaftar yang terpisah tidak dapat dijadikan bukti pengelakan. Tanggal pendaftaran merupakan batas bawah kapan sebuah host pertama kali dapat muncul dalam permintaan OpenID; tanggal tersebut tidak membuktikan penggunaan yang berkelanjutan. Para penulis tidak menyatakan apa yang diketahui atau dimaksudkan oleh Valve: setiap pernyataan mengenai Valve terkait dengan dokumen publik bertanggal atau pengamatan bertanggal. Jika suatu klaim tidak dapat didukung oleh dokumen sumber, klaim tersebut telah dihapus.

Tentang Kami 

PhishDestroy — penyelidik independen. Tidak terafiliasi dengan Valve Corporation atau platform mana pun yang disebutkan di sini. Satu akun Steam digunakan semata-mata untuk mendokumentasikan permintaan GDPR dalam Bagian 18.

Pernyataan Penafian Hukum 

Penyelidikan demi kepentingan umum yang bersifat non-komersial dan terdesentralisasi. Semua data disediakan "apa adanya" tanpa jaminan apa pun. Publikasi ini bukanlah putusan pengadilan.

DOMAIN UMUM

Perizinan 

Semua hak diserahkan kepada umat manusia. Diperbolehkan untuk mereproduksi, mengadaptasi, dan menerbitkan — tidak perlu mencantumkan sumber. Akses dari wilayah yang diatur oleh OFAC: dilarang. [Lisensi lengkap & penafian →](https://phishdestroy.io/steam_dossier/id/license_disclaimer)