# Accesso agli account e responsabilità — Il dossier Steam Canonical: https://phishdestroy.io/steam_dossier/it/investigation_part2 Language: it Author: PhishDestroy Team Publisher: PhishDestroy > Automazione pubblica. Assistenza esternalizzata. E sono i cittadini a farne le spese. IL DOSSIER SU STEAM / II # Il tuo account. Il loro accesso. *Chi risponde?* Automazione pubblica. Assistenza esternalizzata. E sono i cittadini a farne le spese. Segui l’evoluzione delle infrastrutture, le perdite segnalate e i documenti alla base delle richieste di risarcimento. Parte I — Pubblicazioni precedenti: [Steam Smascherata una truffa API ↗](https://phishdestroy.io/steam-api-scam-exposed) [Valve Profitti derivanti da conti rubati ↗](https://phishdestroy.io/valve-profits-from-stolen-accounts) [Informazioni in tempo reale: Monitoraggio del mercato nero ↗](https://phishdestroy.io/live-intel/?category=steam) [Avvocati specializzati in GDPR – Indagini sulle violazioni ↗](https://phishdestroy.medium.com/my-dog-vs-elite-gdpr-lawyers-the-valve-data-breach-nobody-is-talking-about-f6f7683d813d) [archiviato 2026-08-21 ↗](https://web.archive.org/web/20260821155801/https://phishdestroy.medium.com/my-dog-vs-elite-gdpr-lawyers-the-valve-data-breach-nobody-is-talking-about-f6f7683d813d) [Kit di strumenti per le violazioni dei dati ↗](https://github.com/phishdestroy/taylor-wessing-data-breach-toolkit) IPFS: **steamdestroy.eth** IPFS: **valve.xmr** [Mappare l'infrastruttura ↘](https://phishdestroy.io/steam_dossier/it/investigation_part2#automation-map) ALLEGATO 01 / SORVEGLIANZA DEL MERCATO SOMBRIO IN TEMPO REALE **550,000+** Steam account attualmente in vendita su FSB Market (nome anonimizzato; il nome originale non è indicato qui) proprio in questo momento 550,000+ INVENTARIO IN TEMPO REALE · 231,829 NEL CORPUS STORICO RACCOLTO (198,320 REGISTRI DI STEALER) La principale piattaforma sotterranea per la gestione degli account Steam dirottati, `FSB Market` (altri nomi associati non divulgati), autentica sia gli acquirenti che i venditori utilizzando l'OpenID ufficiale Valve Steam (`openid.realm = https://FSB Market`). In ogni momento, oltre mezzo milione di account rubati e compromessi (log di stealer provenienti da RedLine/Lumma, dati raccolti tramite phishing, credential stuffing) vengono messi in vendita a pochi centesimi ($0.50–$2.00). Né `FSB Market` né `il forum associato` è bloccato dal filtro dei link di Valve. Si tratta del bacino industriale che alimenta i 63.06% account bot a pagamento che Valve banna senza fornire assistenza alla vittima. [Dati in tempo reale: monitoraggio del mercato sommerso (oltre 550.000 utenti attivi) ↗](https://phishdestroy.io/live-intel/?category=steam) · [Apri record di acquisizione ↗](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/lzt.market.json) · [Apri traccia del filtro dei collegamenti ↗](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-evidence-lzt.json) Oltre 550.000 IN DIRETTA 01 / UN ECOSISTEMA CON GLI AUTORI ## L'automazione ha *una traccia cartacea.* Progetti denominati. Funzionalità pubblicate. Traccia un tool fino alla relativa documentazione, quindi esamina le relazioni tra sviluppatori raccolte. **252** ARCHIVI RACCOLTI **3,320** PROFILI SU GITHUB **4,214** PROFILO – COPPIE DI ARCHIVI Valve infrastrutture Biblioteche comunitarie Applicazioni riutilizzabili Le linee indicano integrazioni o dipendenze documentate. Seleziona un nodo per visualizzarne i dettagli. Cosa evidenzia il grafico degli sviluppatori Il grafico illustra le relazioni pubblicate tra contributori e autori di fork relative a progetti specifici e profili GitHub. Si tratta di dati pubblici: fork dei repository, elenchi dei contributi, associazioni tra profili. La domanda è: cosa richiede di chiarire la traccia documentale delle capacità pubblicate e delle relazioni tra sviluppatori Valve, non cosa abbia inventato questa indagine. Gli hash dei sorgenti sono salvati nel [mappa della provenienza](https://phishdestroy.io/steam_dossier/steam_tos_assets/automation-map.json). [Esplora l'intera rete ↗](https://phishdestroy.io/steam_dossier/it/output_steam_network/network.html)[Dati di origine del repository ↓](https://phishdestroy.io/steam_dossier/output_steam_network/raw_data.json) 02 / CREDENZIALI DIVERSE. POTERI DIVERSI. ## Quale tasto *Di cosa stiamo parlando?* Per giocare non è necessario che il giocatore fornisca una chiave API Web personale. È proprio questa la distinzione al centro della presente indagine. 01 / ACCOUNT UTENTE ### Chiave API Web personale `steamcommunity.com/dev/apikey` Emanate da un account utente per le chiamate API autorizzate. La creazione, la visibilità, la revoca delle chiavi e il rilevamento degli abusi rientrano nelle questioni relative alla sicurezza dell'account. 02 / BACKEND DEL GIOCO ### Chiave API Web dell'editore I partner di Steamworks utilizzano le credenziali dell'editore per le operazioni di backend supportate, compresi i servizi relativi ai giochi. La chiave personale di un giocatore è una credenziale diversa. 03 / IDENTITÀ E SESSIONE ### OpenID / token di sessione OpenID conferma l'identità a un sito web. Un token di sessione o di aggiornamento Steam ha uno scopo diverso. Questi meccanismi non dovrebbero essere presentati come un'unica “chiave API” intercambiabile. Valve documenta sia le chiavi Web API degli utenti che quelle degli editori. L'intera Web API non è quindi separata da Steamworks. [Documentazione sulla chiave API ↗](https://partner.steamgames.com/doc/webapi_overview/auth) [archiviato 2026-09-15 ↗](https://web.archive.org/web/20260915025812/https://partner.steamgames.com/doc/webapi_overview/auth) · [Autenticazione durante la sessione di gioco ↗](https://partner.steamgames.com/doc/webapi/ISteamUserAuth) [archiviato 2026-08-29 ↗](https://web.archive.org/web/20260829124950/https://partner.steamgames.com/doc/webapi/ISteamUserAuth) DOCUMENTATO DALL'AUTORE DELLO STRUMENTO / MARZO 2024 ### L'automazione può utilizzare più di una chiave API. Il wiki di Trade Offer Manager descrive l'utilizzo di un token di accesso di sessione per alcune parti dell'API Web quando non esiste una chiave API separata. Descrive inoltre la procedura di conferma tramite dispositivo mobile per la creazione della chiave a partire dalla fine del 2023. Il responsabile della manutenzione afferma che l'uso del token in questo modo non è supportato da Valve; si tratta di un'affermazione contenuta nella documentazione ormai superata, non di un test di bypass effettivamente eseguito. [Esamina la spiegazione del responsabile della manutenzione ↗](https://github.com/DoctorMcKay/node-steam-tradeoffer-manager/wiki/Access-Tokens) [archiviato 2026-09-24 ↗](https://web.archive.org/web/20260924181824/https://github.com/DoctorMcKay/node-steam-tradeoffer-manager/wiki/Access-Tokens) IL LATO UMANO / UN PERCORSO ILLUSTRATIVO DEL PHISHING ## Sto ancora giocando. *Già reso pubblico.* Un messaggio da un amico. Una richiesta di voto. Una pagina di ringraziamento. Per l’utente, l’operazione è terminata. Una sessione compromessa può protrarsi oltre quel momento. SULLO SCHERMO DEL GIOCATORE IL RACCONTO DI UN AMICO FUORI DALLA VISTA ### Acquisizione del token della sessione silenziosa **La sicurezza dell'account è la priorità assoluta prima di vendere qualsiasi articolo.** L'utente non aveva intenzione di creare credenziali per l'automazione né di delegare il controllo. Il fatto di accedere nuovamente al gioco non costituisce una prova che l'account sia sicuro. Valve conserva i registri delle sessioni, il registro di creazione delle chiavi API e i dati di correlazione dei dispositivi. La vittima, invece, no. Questa asimmetria costituisce il problema della responsabilità. Accesso alle sessioni e tipi di credenziali Una chiave API e una sessione di accesso sono credenziali distinte con funzionalità diverse. La revoca di una chiave non interrompe una sessione attiva. La documentazione di Valve descrive entrambe; Valve conserva i registri che mostrerebbero quale credenziale fosse attiva al momento di qualsiasi azione contestata. La richiesta riguarda la divulgazione di tale registrazione — non un'ipotesi formulata dall’indagine. [Documentazione del responsabile sulla gestione dei token ↗](https://github.com/DoctorMcKay/node-steam-tradeoffer-manager/wiki/Access-Tokens) [archiviato 2026-09-24 ↗](https://web.archive.org/web/20260924181824/https://github.com/DoctorMcKay/node-steam-tradeoffer-manager/wiki/Access-Tokens) · [Valve documentazione di riferimento ↗](https://partner.steamgames.com/doc/webapi_overview/auth) [archiviato 2026-09-15 ↗](https://web.archive.org/web/20260915025812/https://partner.steamgames.com/doc/webapi_overview/auth) 03 / IL MERCATO UFFICIALE HA UN LIMITE MASSIMO ## L'oggetto potrebbe essere raro. *Il limite rimane.* Un prezzo superiore al limite massimo di quotazione non può essere realizzato tramite un'unica quotazione sul Mercato Comunitario a tale prezzo pieno. PREZZO DI VENDITA INDICATIVO $5,000Modifica il prezzo richiesto per l'articolo $100 $20,000 Si tratta di un esempio del limite pubblicato, non di una valutazione né di una raccomandazione di negoziazione. LIMITE DI QUOTAZIONE **≈ $1,800** TAPPO DEL PORTAFOGLI **≈ $2,000** I fondi presenti nel portafoglio non possono essere prelevati su un conto bancario. Queste limitazioni generano una domanda che viene soddisfatta dai mercati di skin di terze parti: una domanda generata dai limiti di quotazione e di saldo del portafoglio, mentre le regole di Valve impediscono agli operatori commerciali di soddisfarla. [Limiti di mercato di Steam ↗](https://help.steampowered.com/en/faqs/view/61F0-72B7-9A18-C70B) [archiviato 2026-09-21 ↗](https://web.archive.org/web/20260921022227/https://help.steampowered.com/en/faqs/view/61F0-72B7-9A18-C70B) 04 / ALL’INTERNO DEL CONFINE DI SOSTEGNO ## Responsabili del trattamento dei dati. *Responsabile dell'accesso.* L'informativa sulla privacy di Valve prevede espressamente la condivisione dei dati personali con fornitori di assistenza di terze parti, nella misura necessaria a garantire l'assistenza. IL GIOCATORE **Conto e prove** VALVOLA **Processo di recupero** FORNITORE DI ASSISTENZA **Accesso delegato** [Informativa sulla privacy §5.2 ↗](https://store.steampowered.com/privacy_agreement/) · La politica interna di Valve autorizza l’accesso da parte di terzi a fini di assistenza. Le questioni ancora aperte sono: quali autorizzazioni sono state concesse, quali registri di controllo esistono e cosa è successo quando si presume che l’accesso sia stato utilizzato in modo improprio. 2015 ### La bilancia era a disposizione del pubblico Valve ha ammesso che si sono verificati numerosi casi di furto di account e ha illustrato le misure di protezione adottate. [Valve pubblicazione ↗](https://store.steampowered.com/oldnews/19618) [archiviato 2026-08-09 ↗](https://web.archive.org/web/20260809125516/https://store.steampowered.com/oldnews/19618) 2015 ### Valve ha affidato il servizio a terzi — e lo ha dichiarato apertamente Valve dispone di un piccolo team interno Steam di Support Leadership e lo ha dichiarato *"ha ingaggiato un paio di aziende diverse"* per gestire l'assistenza (Erik Johnson, Valve, a Kotaku); la sezione 5.2 della sua informativa sulla privacy autorizza l'accesso a tali terze parti ai dati degli utenti. **Quale appaltatore dispone dell’accesso per il recupero dei conti? Valve non lo ha mai rivelato** — Nella discussione della comunità vengono citati fornitori come Concentrix, ma nessuno di essi è stato Valve-confermato. Il servizio esternalizzato era già operativo anni prima di entrambe le ammissioni riportate di seguito. [Kotaku: Valve sul suo supporto ↗](https://kotaku.com/valve-explains-why-steam-customer-service-is-still-terr-1736988223) [archiviato 2025-07-11 ↗](https://web.archive.org/web/20250711004653/https://kotaku.com/valve-explains-why-steam-customer-service-is-still-terr-1736988223) 2023 ### La prima ammissione La squadra di CS:GO di Valve si assume per iscritto la responsabilità per la compromissione di un account avvenuta attraverso la propria procedura di richiesta di assistenza e annulla gli scambi. [Apri il caso di outsourcing ↓](https://phishdestroy.io/steam_dossier/it/investigation_part2#outsourcing-case) 2025 ### La seconda ammissione 33 mesi dopo, Steam Support scrive che un tecnico "non ha seguito la nostra procedura, con il risultato che il tuo account è stato ripristinato a nome di qualcun altro". Stesso canale. Stesso risultato. [Dexerto, 14 novembre 2025 ↗](https://www.dexerto.com/counter-strike-2/valve-saves-hacked-cs2-player-threatened-with-ransom-over-300000-of-rare-stickers-3283135/) FASCICOLO DEL CASO / HFB E LE ACCUSE DI OUTSOURCING ### L'accesso avveniva tramite Steam Support stesso. *Valve lo ha dichiarato per iscritto.* Nella risposta dell'assistenza riportata da Dexerto, la squadra di CS:GO di Valve si assume la responsabilità della compromissione di un account **attraverso la procedura di richiesta di assistenza** — il proprio canale, non una pagina di phishing e non l’utente. Gli articoli sono stati recuperati e le transazioni annullate, il che rappresenta il rimedio che Valve dice alle altre vittime non esistere. Il magazzino di HFB è stato segnalato a **$2,000,000+** il giorno stesso e **$3,000,000+** nel seguito; **Anche Qkss ha perso $1,000,000+ allo stesso modo e non ha ottenuto nulla**. RISPOSTA DEL SERVIZIO ASSISTENZA / RIPRODOTTO DA DEXERTO · 21 FEB 2023 > “compromesso a seguito di una richiesta di assistenza, di cui il team di CS:GO si assume la responsabilità” [Leggi l'articolo e il messaggio riportato ↗](https://www.dexerto.com/csgo/csgo-skins-worth-millions-allegedly-stolen-with-help-from-steam-support-staff-2066939/) [archiviato 2025-08-18 ↗](https://web.archive.org/web/20250818113925/https://www.dexerto.com/csgo/csgo-skins-worth-millions-allegedly-stolen-with-help-from-steam-support-staff-2066939/) 01 / QUALE VALVOLA È STATA AMMESSA #### Il canale di assistenza dedicato era la via d’accesso La risposta riguarda l’account compromesso e la revoca delle relative operazioni. Valve le ha revocate — quindi le operazioni erano reversibili. Il ticket originale autenticato non è presente in questa raccolta. 02 / COSA NON HANNO RISOLTO I LICENZIAMENTI #### Quella stessa porta si riaprì nel novembre del 2025 L'appaltatore ha licenziato l'intero personale di assistenza Steam — come riportato da Mzkshow tramite Dexerto, e non in seguito a una dichiarazione ufficiale dell'azienda Valve. Trentatré mesi dopo, Steam Support ha scritto a un altro esattore che «un tecnico dell’assistenza che ha gestito la richiesta di aiuto non ha seguito la nostra procedura, il che ha portato al ripristino del suo account a nome di qualcun altro». Frase tratta dallo stesso Valve, riguardo allo stesso canale. [Il secondo ricovero, 14 novembre 2025 ↗](https://www.dexerto.com/counter-strike-2/valve-saves-hacked-cs2-player-threatened-with-ransom-over-300000-of-rare-stickers-3283135/) 03 / CHE COS'È OPEN #### Valve non ha mai indicato il nome dell'appaltatore Né l’appaltatore né la sede sono indicati in queste fonti. Non si tratta di una lacuna nella cronaca, bensì di un’informazione che Valve non ha rivelato riguardo a chi avesse accesso agli account degli utenti. [Resoconto contemporaneo del caso ↗](https://lis-skins.com/ru/blog/krupneisaia-mosenniceskaia-sxema-v-istorii-steam/) Tre domande a cui Valve non ha risposto: chi potrebbe impedire il recupero dell’account, cosa è emerso dalla verifica degli accessi e cosa è cambiato in seguito. Accuse successive contenute nell’archivio dei documenti di supporto conservato Due post su Reddit del 2024 riportano ulteriori indagini di Mzkshow: un caso di revoca del ban VAC del luglio 2024 e un caso di inventario $13,000 del dicembre 2024. Si tratta di incidenti segnalati separatamente. La questione della responsabilità in entrambi i casi è identica: chi aveva accesso con privilegi di sovrascrittura, cosa è emerso dall’audit e cosa è cambiato. [14 luglio 2024 · recupero segnalato / caso di VAC-ban ↗](https://www.reddit.com/r/cs2/comments/1e38jo4/stealing_accounts_and_removing_vac_bans_a_new/)[2 dicembre 2024 · segnalato $13,000 caso di inventario ↗](https://www.reddit.com/r/cs2/comments/1h53qp3/steam_support_is_stealing_accounts_again/) [archiviato 2025-08-05 ↗](https://web.archive.org/web/20250805141942/https://www.reddit.com/r/cs2/comments/1h53qp3/steam_support_is_stealing_accounts_again/)[Due post conservati, righe sorgente e hash ↓](https://phishdestroy.io/steam_dossier/steam_tos_assets/outsourcing-archive-records.json) 05 / SEGUI LA PERDITA ## Ogni importo *ci vuole una custodia.* Dieci casi, da giugno 2022 a marzo 2026. Ogni importo corrisponde al dato pubblicato dalla fonte indicata — **$6,300,000**, **$2,000,000+**, **$1,000,000+**, **≈$320,000**, **≈$300,000**, scendendo fino a 288 €. Valve conserva il registro delle transazioni, il registro delle sessioni e la traccia di controllo dell'assistenza per ciascuna di esse, ma non ne ha prodotto nessuno. Le attribuzioni e gli importi rimangono quelli riportati da ciascuna fonte. Valve conserva i registri delle transazioni, i registri delle sessioni e la traccia di audit di supporto per ciascuno di questi casi. È necessario presentarli. Un post di Reddit archiviato non risolve la questione: sono i registri di Valve a farlo. LA COLLEZIONE / DOPO AVER VERIFICATO ## 231,829 conti in vendita. *Valve contiene i registri relativi a ciascuno di essi.* **354 → 201** ### Dati di Trustpilot Sono state rimosse 153 righe duplicate. Gli URL delle recensioni individuali non sono stati conservati nell'esportazione. **231,829** ### Steam elenchi di account 33,509 classificato come "autoregistrato"; 198,320 con l'etichetta "stealer" del collezionista. Gli annunci non costituiscono vendite concluse. [Verifica della raccolta ↓](https://phishdestroy.io/steam_dossier/steam_tos_assets/part2-quality-review.json)[Cerca nell'archivio sorgente ↗](https://phishdestroy.io/steam_dossier/it/steam_evidence_archive)