# O Dossiê Steam: regras, percursos e responsabilização

Canonical: https://phishdestroy.io/steam_dossier/pt/index
Language: pt
Author: PhishDestroy Team
Publisher: PhishDestroy

> A Valve define as restrições. O Steam fornece a infraestrutura.

PhishDestroy II · Secção 1 — Resumo do processo Steam / Case File 001

# As suas regras. *O seu sistema.*

A Valve define as restrições. O Steam fornece a infraestrutura.

Seis conclusões, cada uma delas associada a um registo público datado. As secções detalhadas seguem a mesma ordem: registo técnico (Parte A), regras e registo de aplicação (Parte B), quadros jurídicos (Parte C) e, por fim, os anexos com as provas principais.

[Ler o resumo →](https://phishdestroy.io/steam_dossier/pt/index#briefing-section)[Provas · EN ↗](https://phishdestroy.io/steam_dossier/steam_evidence_archive)

Investigação / Provas 03 · Provas

[01 A questão central / aplicação seletiva da lei ## Um único conjunto de regras. Aplicação desigual. O registo revela que os serviços comerciais utilizam identidades Steam, inventários, bots e transferências como infraestrutura operacional. A SSA proíbe a exploração comercial e a automatização sem autorização. Read the rule & 2016 record ↗](https://phishdestroy.io/steam_dossier/pt/index#enforcement-standard) [02 Parte A — Ficha técnica · Secção 3 ## O site está bloqueado. A rota de início de sessão não está. 26 domínios principais bloqueados. O proxy de autenticação por trás de cada um deles e há quanto tempo está ativo. Hosts de autenticação em domínios separados: as evidências do Link Filter ↗](https://phishdestroy.io/steam_dossier/pt/index#proxy-bypass-explainer) [03 Secção 2 — Carta aberta ## Carta aberta à Comissão de Jogos de Azar do Estado de Washington Dez dias transformaram-se em dez anos. A pergunta formulada pela Comissão em 2016 à Valve não foi respondida com um registo por operador; esta carta solicita que o processo seja reaberto. Carta aberta à Comissão de Jogos de Azar do Estado de Washington ↗](https://phishdestroy.io/steam_dossier/pt/index#wsgc-public-address)

[01 / INVESTIGAÇÃO **Índice →**](https://phishdestroy.io/steam_dossier/pt/index#briefing-section)[02 / PROVAS **Provas · EN ↗**](https://phishdestroy.io/steam_dossier/steam_evidence_archive)[03 / EXPLORAR **Explorar · EN ↗**](https://phishdestroy.io/steam_dossier/output_steam_network/index.html)

O DOSSIÊ DA STEAM / II

## Autenticação por terceiros, Aplicação da lei e *Acesso aos dados*

O estudo forense definitivo sobre as lacunas estruturais, os mecanismos de contorno de proxies, a aplicação seletiva da lei e os desafios regulamentares que rodeiam o ecossistema da API Web Steam.

[Open account access subsection](https://phishdestroy.io/steam_dossier/pt/investigation_part2)

Secção 1 — Resumo do processo 

## A regra. O recorde. As questões por responder.

Contexto e limites da fonte

Seis conclusões, cada uma delas associada a um registo público datado. As secções detalhadas seguem a mesma ordem: registo técnico (Parte A), regras e registo de aplicação (Parte B), quadros jurídicos (Parte C) e, por fim, os anexos com as provas principais.

Seis conclusões. Cada uma delas associa uma regra escrita a um registo datado e a uma questão que as provas podem permitir avaliar.

1. Hosts de autenticação de domínios separados — 44 rotas · 26 pares divididos 

Os registos do cadastro de desempregados **44 plataformas que se autenticam através de um domínio registável independente**. Existem mais cinco percursos em fase de verificação, à espera de uma data de RDAP; a sua inclusão elevaria o total para 47. Estes percursos estão excluídos do número 44 e do quadro de idades. — **27 com um ficheiro de evidências publicado por rota** e 17 adicionados a partir da recolha manual, listados separadamente. Em **26 pares de filtros divididos** o domínio principal é **BLOQUEADO** no Filtro de Ligações Steam, ao passo que o proxy que contém o seu nome de utilizador não está. Não se trata de domínios temporários: o csgogem.com está bloqueado, enquanto `api.csgem.com`, o servidor com o nome de utilizador Steam, está registado desde março de 2014 — **12 anos e 6 meses**. Valve recebe esse nome de anfitrião em cada pedido OpenID e apresenta-o ao utilizador na sua própria página de início de sessão. Tabela completa, idades por rota e origem na Secção 3.

[Siga o percurso →](https://phishdestroy.io/steam_dossier/pt/index#proxy-bypass-explainer)

2. 2016: o mecanismo foi designado e o prazo foi definido 

Em 13 de julho de 2016, Valve descreveu publicamente como os sites de jogos de azar utilizavam Steam o OpenID e contas de negociação automatizadas, e as notificações do seu advogado, datadas de 20 de julho de 2016, estabeleceram um prazo de dez dias. Desde então, não foi publicado qualquer registo de aplicação da medida por operador. Dez anos após o estabelecimento desse prazo, o mesmo mecanismo mencionado está a ser utilizado em servidores de autenticação de domínios separados que não apresentaram qualquer bloqueio do Link Filter em 2026-09-21.

[Leia a carta aberta dirigida ao WSGC →](https://phishdestroy.io/steam_dossier/pt/index#wsgc-public-address)

3. Correlação de dispositivos, em papel timbrado do advogado 

Na correspondência aqui reproduzida, o advogado de Valve descreveu uma correlação ao nível do dispositivo que associa um dispositivo a várias contas — uma funcionalidade que o Apoio ao Cliente de Steam tinha anteriormente informado aos utilizadores que não era tecnicamente possível. A questão em aberto é saber que registos ao nível do dispositivo a Valve mantém e com base em que critérios é negado o acesso aos mesmos aos titulares das contas.

[Leia o memorando →](https://phishdestroy.io/steam_dossier/pt/index#official-memorandum)

4. Duas respostas de acesso. Uma recusou o acesso aos dados, a outra divulgou-os. 

**Outubro de 2025:** O advogado de Valve respondeu a um pedido ao abrigo do artigo 15.º com um apêndice de 830 páginas, em que as partes censuradas foram pintadas sobre o texto, em vez de serem removidas — **902,270 caracteres** revelar informações com uma ferramenta de extração padrão, incluindo os identificadores de terceiros que as barras se destinavam a ocultar. O n.º 4 do artigo 15.º é a razão pela qual essas barras existem. **Setembro de 2026:** O ticket HT-2YBP-F7JP-D4VB foi encerrado ao fim de três dias com uma ligação para a página de autoatendimento «Dados da Conta» — sem dados, sem indicação de fundamento jurídico. O prazo de um mês previsto no n.º 3 do artigo 12.º ainda não tinha expirado à data da publicação; a objeção diz respeito ao conteúdo.

[Leia a verificação da redação →](https://phishdestroy.io/steam_dossier/pt/index#academic-response)[Ler o registo do bilhete →](https://phishdestroy.io/steam_dossier/pt/index#gdpr-live-case)

5. O mercado acima do teto de Steam 

Steam limita a cotação de uma empresa na bolsa a cerca de **$1,800**. Em cinco mercados, numa análise pontual com data específica (23 de setembro de 2026), **248 categorias de artigos CS2** seem ter preços superiores a esse limite por parte de dois ou mais deles, de forma independente, e **todos os 248 estão ausentes de Steam**; um Dragon Lore novo de fábrica custa a partir de **$10,941** em 389 cópias listadas nas cinco plataformas (o valor relativo apenas ao CSFloat na Secção 13, proveniente do instantâneo de 20 de setembro, é de $10,623.95 em 62 ofertas). A venda a esses preços requer uma plataforma externa, enquanto a transferência de artigos continua a ser feita a Steam.

[Acompanha a cotação e a transferência →](https://phishdestroy.io/steam_dossier/pt/index#market-gap-section)

6. A regra é explícita; a pista de auditoria não é 

O Contrato de Subscrição reserva o Steam para uso pessoal e não comercial, proíbe a exploração comercial, salvo nos casos expressamente permitidos, proíbe scripts e bots e permite o encerramento da conta. O Valve aplicou essa disposição aos operadores de jogos de azar em 2016. Por outro lado, de acordo com a conta de engenharia da CSFloat, Valve encerrou `IEconItems_730/GetPlayerItems` em 2017, foi retirado o acesso público aos IDs dos itens originais (não foi encontrado nenhum registo de alterações Valve).

[Coloque a regra ao lado da rede →](https://phishdestroy.io/steam_dossier/pt/index#enforcement-standard)

[2016 / Pedido por escrito **10 dias** Prazo indicado nas notificações de julho de 2016 do advogado Valve aos sites de jogos de azar. Carta aberta à WSGC: Secção 2.](https://phishdestroy.io/steam_dossier/pt/index#wsgc-public-address) [2017 / Registo de auditoria público **Acesso por identificação encerrado** O CSFloat regista a perda dos IDs originais dos itens.](https://phishdestroy.io/steam_dossier/pt/index#evidence-blackout) [Correspondência com os advogados **Correlação de dispositivos** Um dispositivo associado a dezenas de contas roubadas.](https://phishdestroy.io/steam_dossier/pt/index#official-memorandum) [Registo de percursos **Bloqueado, mas continua a iniciar sessão** **A regra:** A declaração de Valve de 2016 proíbe a exploração de um negócio de jogos de azar no OpenID Steam. **O registo:** O Filtro de Links contém 26 domínios principais, enquanto o servidor que aloja o login Steam de cada um deles está em funcionamento — o do csgogem.com já está em funcionamento há 12 anos e 6 meses.](https://phishdestroy.io/steam_dossier/pt/index#proxy-bypass-explainer)

Secção 2 — Carta aberta 

## Carta aberta à Comissão de Jogos de Azar do Estado de Washington

Dez dias transformaram-se em dez anos. A pergunta formulada pela Comissão em 2016 à Valve não foi respondida com um registo por operador; esta carta solicita que o processo seja reaberto.

COMUNICADO PÚBLICO · COMISSÃO DE JOGOS DE AZAR DO ESTADO DE WASHINGTON

### Dez dias transformaram-se em dez anos. *Reabra o registo.*

À Comissão de Jogos de Azar do Estado de Washington:

Em 2016, o diretor David Trujillo solicitou à Valve que apresentasse as medidas que tinha tomado para impedir a utilização de skins Steam em jogos de azar. O então presidente Chris Stearns e a Comissão enfrentaram uma indústria assente em itens emitidos por Valve e transferências de Steam. Desde então, ambos deixaram os seus cargos na Comissão. A questão que colocaram à Valve continua em aberto.

O conselheiro jurídico da Valve, Karl Quackenbush, concedeu aos operadores de jogos de azar um prazo de dez dias para cessarem a utilização comercial das contas da Steam. Na sua resposta de outubro à vossa Comissão, a Valve negou ter facilitado jogos de azar, afirmou ter enviado cartas de cessação e desistência a mais de quarenta sites e referiu ter desativado as contas associadas. Defendeu ainda a manutenção do serviço de transações Steam e do OpenID, uma vez que esses serviços beneficiavam os clientes e os criadores de jogos. **Isso foi uma demonstração de controlo. Merece ser posta à prova, não deferência.**

Na nossa avaliação, a resposta da Valve não demonstrou que as medidas de aplicação da lei por ela escolhidas correspondessem à dimensão da rede que descreveu. Uma carta de ameaça enviada a um operador não é o mesmo que um bloqueio permanente das contas Steam, da infraestrutura de transações e das vias de autenticação que permitem o funcionamento do negócio. As estimativas divulgadas apontam para [Só o CS:GO Lounge registou mais de $1 mil milhões em volume de apostas em 2016](https://dotesports.com/counter-strike/news/csgo-lounge-billion-bets-3896); trata-se de uma estimativa externa das apostas, não da receita Valve, e a operação original de apostas «skin» do site acabou por ser encerrada. A dimensão do fenómeno tornou essencial uma aplicação da lei verificável.

Hoje, o próprio Valve [Contrato de Subscrição](https://store.steampowered.com/agreement/?l=english) [arquivado 2026-09-21 ↗](https://web.archive.org/web/20260921022032/https://store.steampowered.com/agreement/?l=english) restringe a exploração comercial, salvo nos casos em que tal seja expressamente permitido, e proíbe separadamente formas específicas de automatização. O nosso [registo de percursos desatualizado](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit.json) registos que indicam os servidores de resposta OpenID para serviços externos; `openid.realm` e `openid.return_to` são campos enviados para Steam, e não segredos que lhe são ocultados. Os nossos [Verificações do filtro de links](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-all-results.json) apresenta casos em que um endereço principal foi alvo de um aviso, mas um host de início de sessão associado não o foi. Um resultado de filtragem, por si só, não pode provar que Valve permitiu um início de sessão ou que um determinado bot contornou o bloqueio de uma conta. **Isto prova, de facto, que um aviso na página inicial não pode ser considerado uma resposta completa no que diz respeito ao acesso.**

A existência de funções úteis e legais de comércio Steam e do OpenID também não permite determinar se os operadores proibidos foram efetivamente excluídos. As próprias regras de Valve permitem exceções expressas. Se a Valve se basear nessa distinção, a Comissão deverá solicitar-lhe que identifique a autorização, os controlos de contas e os critérios de aplicação aplicáveis às empresas comerciais de skins, bem como as utilizações específicas não relacionadas com jogos de azar que invocou em 2016. A mera possibilidade de utilização lícita não constitui resposta à utilização proibida documentada.

Solicitamos à Comissão que reexamine o seu processo de 2016 e exija um relatório por operador: quais as contas Steam e os bots de negociação que foram desativados após os avisos de dez dias; se as contas relacionadas ou os servidores de retorno foram monitorizados; quais os operadores que posteriormente recuperaram o acesso; que isenções foram concedidas; e que registos corroboram a declaração de Valve à Comissão. Divulgue tudo o que a lei permitir que o público consulte. Compare esses registos com as rotas atuais e com as intervenções posteriores de Valve, incluindo [OPSkins em 2018](https://blog.counter-strike.net/expresstrade/) [arquivado 2026-03-07 ↗](https://web.archive.org/web/20260307161538/https://blog.counter-strike.net/expresstrade/).

**O aviso estabeleceu um prazo de dez dias em julho de 2016; dez anos são tempo suficiente para determinar se tal foi levado a cabo.** A Comissão deveria comparar o relatório de 2016 de Valve com as infraestruturas que ainda hoje são visíveis.

A investigação do Dossier Steam · Declaração pública, 20 de setembro de 2026

[Comunicação da Comissão de 2016 ↗](https://wsgc.wa.gov/news/2016/washington-state-gambling-commission-orders-valve-stop-skins-gambling) [arquivado 2026-05-20 ↗](https://web.archive.org/web/20260520012601/https://wsgc.wa.gov/news/2016/washington-state-gambling-commission-orders-valve-stop-skins-gambling) · [Resposta de Valve de 2016 (cópia do documento) ↗](https://fr.scribd.com/document/328063293/Valve-s-Oct-18th-response-to-Washington-State-Gambling-Commission-s-cease-and-desist) · [Declaração de Valve sobre o OpenID de 2016 ↗](https://store.steampowered.com/oldnews/22883) [arquivado 2026-09-21 ↗](https://web.archive.org/web/20260921021947/https://store.steampowered.com/oldnews/22883) · [Acordo atual Steam ↗](https://store.steampowered.com/agreement/?l=english) [arquivado 2026-09-21 ↗](https://web.archive.org/web/20260921022032/https://store.steampowered.com/agreement/?l=english) · Cronologia do intercâmbio de 2016: [Secção 11 →](https://phishdestroy.io/steam_dossier/pt/index#case-study-section)

Parte A — Ficha técnica · Secção 3 

## O site está bloqueado. A rota de início de sessão não está.

**26 domínios principais bloqueados. O proxy de autenticação por trás de cada um deles e há quanto tempo está ativo.** Estes servidores de autenticação separados não são endereços secundários acidentais — cada um deles é um **proxy de autenticação para Steam**, situando-se entre a plataforma e o ponto final OpenID do Valve e transmitindo os dados de início de sessão que o domínio bloqueado já não pode transmitir abertamente. O Valve colocou a porta de entrada no Link Filter. O início de sessão continuou a ser efetuado através do proxy: o csgogem.com está bloqueado, e `api.csgem.com` está registado desde março de 2014 — **doze anos e meio**. Em cada um desses dias, esse servidor enviou o seu próprio nome de servidor para o ponto de extremidade OpenID do Valve, e o Steam apresentou-o imediatamente ao utilizador na página de início de sessão. **Valve é o tronco por onde todas estas rotas passam; não é necessário que as encontre.** É isso que esta secção avalia: não se existe ou não um aviso, mas durante quantos anos o percurso a jusante do aviso permanece aberto. Existem 44 percursos de domínio separado no registo, 27 dos quais com um ficheiro de evidências publicado para cada percurso — conforme a tabela abaixo. Analise um exemplo e, em seguida, avalie todos eles.

### Figura 3.1 — As duas rotas, representadas graficamente.

Uma plataforma, um utilizador, dois pedidos a sair do mesmo navegador. O Filtro de Links do Valve atua em ambos. Bloqueia aquele que contém um link e permite a passagem daquele que contém os dados de início de sessão. Tudo o que é medido nesta secção corresponde à contagem do tempo durante o qual a rota inferior permanece aberta.

Deslize o diagrama para o lado →

Link publicado em Steam — interrompido Pedido de início de sessão — passes Cheques guardados de 19 e 21 de setembro de 2026

**Ambas as solicitações são visíveis para Valve, mas apenas uma é processada.** O Filtro de Ligações é uma lista Valve, verificada por um serviço Valve. O pedido OpenID transmite o próprio nome do anfitrião de autenticação para o ponto final de Valve, que o apresenta imediatamente na página de início de sessão. O nome do anfitrião consta do pedido de qualquer forma — o que difere é se é feita alguma ação com ele.

**Uma plataforma. Dois percursos diferentes.** ROLLBIT / OBSERVAÇÕES GUARDADAS

**01** VERIFICAÇÃO DO FILTRO DE LIGAÇÃO

DESTINO**rollbit.com** O domínio principal da plataforma

FILTRO STEAM LINK**Verifica o link** Um sistema independente de aviso de destino

RESULTADO GUARDADO**Link bloqueado** 19 e 21 de setembro de 2026

**02** O PERCURSO DE ENTRADA OBSERVADO

NA PLATAFORMA**Iniciar sessão com Steam** A plataforma inicia um pedido OpenID

HOST DE AUTENTICAÇÃO SEPARADO**rbsnin.com** Não existe nenhum bloco «Filtro de links» na verificação guardada

STEAM**Formulário de início de sessão apresentado** O anfitrião solicitado aparece no aviso de Steam

**Começa pelo destino.** rollbit.com é o domínio principal da plataforma. Esta primeira etapa mostra a verificação do «Link Filter» guardada, e não um percurso completo do utilizador.

**Um bloco visível.** O Filtro de Links do Steam apresentou a mensagem «Link bloqueado!» para o domínio principal. A resposta em bruto foi guardada.

**A autenticação utiliza outro percurso.** A ação «Iniciar sessão com Steam» da plataforma inicia um pedido OpenID utilizando um servidor de autenticação independente.

**Um nome de anfitrião diferente.** O rbsnin.com não apresentou qualquer bloqueio do Filtro de Links a 21 de setembro de 2026 — no mesmo dia, na mesma verificação não autenticada, em que o rollbit.com apresentou um. Registado três dias antes, a 18 de setembro de 2026.

**O pedido atinge Steam.** O percurso observado conduziu ao formulário de início de sessão do Steam. Os autores não concluíram o início de sessão. O bloqueio da ligação ao domínio principal não impediu este percurso observado até ao formulário.

Verifique as notas de captura originais, a data de registo e os detalhes do protocolo

Como funciona a aplicação da medida Valve'

Domínio principal: bloqueado

Utilizador

→ 

rollbit.com
(domínio principal)

↓

FILTRO DO STEAM LINK — BLOQUEADO 

«Link bloqueado!» — sinalizado como potencialmente malicioso

O rollbit.com devolveu um bloqueio do Filtro de Links nos valores 2026-09-19 e 2026-09-21 (verificação sem autenticação; HTML não processado e SHA-256 guardados). Um registo visível e auditável.

O que acontece, na realidade — autenticação

Servidor de autenticação: não bloqueado

Utilizador

→ 

rollbit.com
"Iniciar sessão com Steam"

↓

Reencaminhar através de um servidor de autenticação separado: 
`rbsnin.com` Filtro de links: LIMPO 

registado 2026-09-18T09:34:52Z (Verisign RDAP)

↓

Steam aviso na página de início de sessão (2026-09-20): 
`"Note that rbsnin.com is not affiliated with Steam or Valve"`

Steam apresenta este aviso a partir do openid.realm do pedido que recebeu.

↓

Steam formulário de início de sessão disponibilizado num servidor distinto 
O processo de início de sessão não foi concluído pelos autores; o fluxo foi observado até ao formulário Steam.

O Valve recebe o nome de host «return_to / realm» em cada um desses pedidos. O rbsnin.com não devolveu qualquer bloqueio do Link Filter no 2026-09-21.

A pedido

Na qualidade de fornecedor OpenID, Steam recebe o nome de host de autenticação em cada pedido de autenticação: este chega aos próprios servidores de Valve no `openid.return_to` e `openid.realm` parâmetros.

Enviado pelo site

O host de autenticação não é detetado através da análise — a plataforma envia-o como Steam em cada pedido. Nos termos do OpenID 2.0, §9.1 `return_to` é formalmente opcional, mas sem ele o Steam não consegue apresentar o resultado do início de sessão; por isso, para que o início de sessão Steam funcione, é efetivamente necessário. O Steam chega mesmo a apresentar o nome do anfitrião ao utilizador ("*O <host> não está associado ao Steam nem ao Valve*").

14 anos

é a idade do servidor de autenticação mais antigo que ainda mantém Steam inícios de sessão na verificação 2026-09-21 (dota2.net, registado há 2011-10-29); o mais recente tem três dias (rbsnin.com). **Não interprete o valor «0 hosts de autenticação bloqueados» como se fosse a conclusão.** Um host de autenticação bloqueado interromperia completamente a funcionalidade «Iniciar sessão com Steam» da plataforma; por isso, um registo criado a partir de inícios de sessão bem-sucedidos só pode conter hosts que nunca tenham sido bloqueados. O número que tem significado não é o número de bloqueios — é o número de anos que o domínio principal permaneceu no Filtro de Links enquanto o login ao seu lado continuou a funcionar.

Hosts de autenticação com domínios separados: data de registo vs. domínio principal (30 rotas: as 25 resolvidas na auditoria do navegador 2026-09-21, mais 5 adicionadas em 2026-09-22)

| Plataforma | Filtro de links: principal | Servidor de autenticação | Filtro de ligações: host de autenticação | Servidor de autenticação registado | Fonte da observação | Dossiê de provas |
| --- | --- | --- | --- | --- | --- | --- |
| Rollbit rollbit.com · reg. 2014-11-08 | BLOQUEADO 2026-09-19, 2026-09-21 · [Wayback 2026-09-21](https://web.archive.org/web/20260921022628/https://steamcommunity.com/linkfilter/?url=https:%2F%2Frollbit.com) | `rbsnin.com` | LIMPO 2026-09-21 · [HTML bruto](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/rbsnin.com.20260921T021120Z.html) (não há cópia de arquivo do Wayback) | 2026-09-18 09:34:52Z, Verisign RDAP | Steam aviso na página de início de sessão, 2026-09-20 | [rollbit.com.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/rollbit.com.json) |
| Skin.Club skin.club · reg. 2017-09-04 | BLOQUEADO 2026-09-19, 2026-09-21 · [Wayback 2026-09-21](https://web.archive.org/web/20260921022740/https://steamcommunity.com/linkfilter/?url=https:%2F%2Fskin.club) | `sc-auth.net` | LIMPO 2026-09-21 · [Wayback 2026-09-21](https://web.archive.org/web/20260921022842/https://steamcommunity.com/linkfilter/?url=https:%2F%2Fsc-auth.net) | 2019-04-02 RDAP | Steam aviso na página de início de sessão | [skin.club.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/skin.club.json) |
| Howl.GG howl.gg · reg. 2017-03-16 | BLOQUEADO 2026-09-18, 19-09, 21-09 · [Wayback 2026-09-21](https://web.archive.org/web/20260921022603/https://steamcommunity.com/linkfilter/?url=https:%2F%2Fhowl.gg) | `howl.uno` | LIMPO 2026-09-21 · [Wayback 2026-09-21](https://web.archive.org/web/20260921022636/https://steamcommunity.com/linkfilter/?url=https:%2F%2Fhowl.uno) | 2026-08-11 RDAP | Captura em tempo real do navegador + URL OpenID fornecida | [howl.gg.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/howl.gg.json) |
| Duelbits duelbits.com · reg. 2020-02-03 | BLOQUEADO 2026-09-21 · [Wayback 2026-09-21](https://web.archive.org/web/20260921022840/https://steamcommunity.com/linkfilter/?url=https:%2F%2Fduelbits.com) | `switchflips.com` | LIMPO 2026-09-21 · [Wayback 2026-09-21](https://web.archive.org/web/20260921022901/https://steamcommunity.com/linkfilter/?url=https:%2F%2Fswitchflips.com) | 2020-04-21 RDAP | URL do OpenID fornecida | [duelbits.com.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/duelbits.com.json) |
| CSGOFast csgofast.com · reg. 2015-03-27 | BLOQUEADO 2026-09-19, 2026-09-21 · [Wayback 2026-09-21](https://web.archive.org/web/20260921022758/https://steamcommunity.com/linkfilter/?url=https:%2F%2Fcsgofast.com) | `steam-login.authtofast.com` | LIMPO authtofast.com, 2026-09-21 · [Wayback 2026-09-21](https://web.archive.org/web/20260921022847/https://steamcommunity.com/linkfilter/?url=https:%2F%2Fauthtofast.com) | 2026-06-30 authtofast.com, RDAP | Captura em tempo real do navegador + URL do OpenID fornecido | [csgofast.com.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/csgofast.com.json) |
| Farmskins farmskins.com · reg. 2016-03-23 | BLOQUEADO 2026-09-19, 2026-09-21 · [HTML bruto](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/farmskins.com.20260921T025840Z.html) | `steam.kobal.cc` | LIMPO 2026-09-19, 2026-09-21 · [HTML bruto](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/steam.kobal.cc.20260921T025844Z.html) | 2017-01-07 kobal.cc, RDAP | Captura em tempo real do navegador + URL do OpenID fornecido | [farmskins.com.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/farmskins.com.json) |
| CobaltLab cobaltlab.tech | BLOQUEADO 2026-09-21 · [HTML bruto](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/cobaltlab.tech.20260921T041604Z.html) | `cobaltauth.com` | LIMPO 2026-09-21 · [HTML bruto](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/cobaltauth.com.20260921T041608Z.html) | 2025-01-07 RDAP | URL do OpenID fornecida | [cobaltlab.tech.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/cobaltlab.tech.json) |
| CSGO.NET csgo.net · reg. 2012-07-22 | BLOQUEADO 2026-09-21 · [HTML bruto](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/csgo.net.20260921T041619Z.html) | `cn2.easylot.net` | LIMPO 2026-09-21 · [HTML bruto](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/cn2.easylot.net.20260921T041623Z.html) | 2016-09-03 easylot.net, RDAP | Captura em tempo real do navegador | [csgo.net.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/csgo.net.json) |
| GGDrop ggdrop.com | BLOQUEADO 2026-09-21 · [HTML bruto](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/ggdrop.com.20260921T041637Z.html) | `ggauth.com` | LIMPO 2026-09-21 · [HTML bruto](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/ggauth.com.20260921T041641Z.html) | 2023-05-03 RDAP | URL do OpenID fornecida | [ggdrop.com.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/ggdrop.com.json) |
| RustChance rustchance.com | BLOQUEADO 2026-09-21 · [HTML bruto](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/rustchance.com.20260921T041703Z.html) | `hgfuihd.com` | LIMPO 2026-09-21 · [HTML bruto](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/hgfuihd.com.20260921T041706Z.html) | 2019-01-27 RDAP | URL do OpenID fornecida | [rustchance.com.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/rustchance.com.json) |
| Skin.Fans skin.fans | BLOQUEADO 2026-09-21 · [HTML bruto](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/skin.fans.20260921T041710Z.html) | `auth.skinfans.com` | LIMPO 2026-09-21 · [HTML bruto](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/auth.skinfans.com.20260921T041713Z.html) | 2018-07-16 skinfans.com, RDAP | URL do OpenID fornecida | [skin.fans.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/skin.fans.json) |
| Skinport skinport.com · reg. 2018-09-05 | BLOQUEADO 2026-09-21 · [HTML bruto](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/skinport.com.20260921T041724Z.html) | `skinport.app` | LIMPO 2026-09-21 · [HTML bruto](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/skinport.app.20260921T041728Z.html) | 2020-06-20 RDAP | Captura em tempo real do navegador + URL OpenID fornecida | [skinport.com.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/skinport.com.json) |
| Skins.Cash skins.cash | BLOQUEADO 2026-09-21 · [HTML bruto](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/skins.cash.20260921T041731Z.html) | `skinscash.live` | LIMPO 2026-09-21 · [HTML bruto](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/skinscash.live.20260921T041735Z.html) | 2019-12-05 RDAP | URL do OpenID fornecida | [skins.cash.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/skins.cash.json) |
| TF2Hunt tf2hunt.com · reg. 2018-01-13 | BLOQUEADO 2026-09-21 · [HTML bruto](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/tf2hunt.com.20260921T041739Z.html) | `rstspcl.com` | LIMPO 2026-09-21 · [HTML bruto](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/rstspcl.com.20260921T041742Z.html) | 2020-08-08 RDAP | Captura em tempo real do navegador + URL do OpenID fornecido | [tf2hunt.com.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/tf2hunt.com.json) |
| CSGOGem csgogem.com · reg. 2016-10-16 | BLOQUEADO 2026-09-22 · [HTML bruto](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/csgogem.com.20260922T192355Z.html) | `api.csgem.com` csgem.com — domínio registável independente | LIMPO 2026-09-22 · [HTML bruto](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/api.csgem.com.20260922T192358Z.html) | 2014-03-08 csgem.com, RDAP — o mais antigo do registo | Recolha manual + Captura através do Filtro de Links | [linkfilter-2026-09-22.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-2026-09-22.json) |
| Gamdom gamdom.com · reg. 2016-07-29 | BLOQUEADO 2026-09-22 · [HTML bruto](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/gamdom.com.20260922T192326Z.html) | `login.gambldom.com` gambldom.com — falta apenas uma letra para ser a marca | LIMPO 2026-09-22 · [HTML bruto](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/login.gambldom.com.20260922T192330Z.html) | 2017-09-24 gambldom.com, RDAP | Recolha manual + Captura através do filtro de links | [linkfilter-2026-09-22.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-2026-09-22.json) |
| 12CS 12cs.fail · reg. 2026-03-24 | BLOQUEADO 2026-09-22 · [HTML bruto](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/12cs.fail.20260922T192347Z.html) | `fail.games` | LIMPO 2026-09-22 · [HTML bruto](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/fail.games.20260922T192351Z.html) | 2021-08-24 fail.games, RDAP | Recolha manual + Captura através do Filtro de Links | [linkfilter-2026-09-22.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-2026-09-22.json) |
| CSGOEmpire csgoempire.com · reg. 2015-06-10 | LIMPO 2026-09-19, 2026-09-21 · [Wayback 2026-09-21](https://web.archive.org/web/20260921022953/https://steamcommunity.com/linkfilter/?url=https:%2F%2Fcsgoempire.com) | `csgoempirelogin4.com` um dos dez domínios numerados de login1 a 10 | LIMPO 2026-09-21 · [Wayback 2026-09-21](https://web.archive.org/web/20260921022947/https://steamcommunity.com/linkfilter/?url=https:%2F%2Fcsgoempirelogin4.com) | 2020-07-20 05:49:17Z, Verisign RDAP | Captura em tempo real do navegador | [csgoempire.com.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/csgoempire.com.json) |
| CS.MONEY cs.money | LIMPO 2026-09-21 · [HTML bruto](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/cs.money.20260921T021131Z.html) | `auth.dota.trade` | LIMPO 2026-09-21 · [HTML bruto](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/auth.dota.trade.20260921T021134Z.html) | 2016-07-15 dota.trade, RDAP | Steam aviso na página de início de sessão | [cs.money.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/cs.money.json) |
| CSFloat csfloat.com · reg. 2021-07-11 | LIMPO 2026-09-21 · [HTML bruto](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/csfloat.com.20260921T041612Z.html) | `csgofloat.com` domínio da antiga marca do operador; domínio registável independente, não constitui um indicador de evasão | LIMPO 2026-09-21 · [HTML bruto](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/csgofloat.com.20260921T041615Z.html) | 2015-09-29 RDAP | Captura em tempo real do navegador | [csfloat.com.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/csfloat.com.json) |
| G4Skins g4skins.com | LIMPO 2026-09-21 · [HTML bruto](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/g4skins.com.20260921T041630Z.html) | `auth.g4s.to` | LIMPO 2026-09-21 · [HTML bruto](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/auth.g4s.to.20260921T041634Z.html) | 2021-05-30 g4s.to, RDAP | URL do OpenID fornecido | [g4skins.com.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/g4skins.com.json) |
| Juice.GG juice.gg | LIMPO 2026-09-21 · [HTML bruto](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/juice.gg.20260921T041644Z.html) | `letmeinjuice.com` | LIMPO 2026-09-21 · [HTML bruto](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/letmeinjuice.com.20260921T041648Z.html) | 2024-04-15 RDAP | URL do OpenID fornecida | [juice.gg.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/juice.gg.json) |
| Market.CSGO market.csgo.com | LIMPO 2026-09-21 · [HTML bruto](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/market.csgo.com.20260921T041652Z.html) | `dota2.net` | LIMPO 2026-09-21 · [HTML bruto](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/dota2.net.20260921T041655Z.html) | 2011-10-29 RDAP | Captura em tempo real do navegador + URL OpenID fornecida | [market.csgo.com.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/market.csgo.com.json) |
| Rust.TM rust.tm | LIMPO 2026-09-21 · [HTML bruto](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/rust.tm.20260921T041659Z.html) | `dota2.net` | LIMPO 2026-09-21 · [HTML bruto](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/dota2.net.20260921T041655Z.html) | 2011-10-29 RDAP | URL do OpenID fornecida | [rust.tm.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/rust.tm.json) |
| CSGOLounge csgolounge.com · reg. 2013-08-14 | LIMPO 2026-09-22 · [HTML bruto](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/csgolounge.com.20260922T192333Z.html) | `dota2.net` terceiro front-end neste servidor de autenticação | LIMPO 2026-09-22 · [HTML bruto](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/dota2.net.20260922T192340Z.html) | 2011-10-29 dota2.net, RDAP | Recolha manual + Captura com o filtro de links | [linkfilter-2026-09-22.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-2026-09-22.json) |
| Dota2Lounge dota2lounge.com · reg. 2012-08-10 | LIMPO 2026-09-22 · [HTML bruto](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/dota2lounge.com.20260922T192337Z.html) | `dota2.net` quarto front-end neste servidor de autenticação | LIMPO 2026-09-22 · [HTML bruto](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/dota2.net.20260922T192340Z.html) | 2011-10-29 dota2.net, RDAP | Recolha manual + Captura através do filtro de links | [linkfilter-2026-09-22.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-2026-09-22.json) |
| SkinBaron skinbaron.de | LIMPO 2026-09-21 · [HTML bruto](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/skinbaron.de.20260921T041717Z.html) | `skinbaron.com` mesma marca, TLD diferente | LIMPO 2026-09-21 · [HTML puro](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/skinbaron.com.20260921T041721Z.html) | 2015-12-22 RDAP | URL do OpenID fornecido | [skinbaron.de.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/skinbaron.de.json) |
| TF2Royal tf2royal.com · reg. 2022-08-17 | LIMPO 2026-09-21 · [HTML bruto](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/tf2royal.com.20260921T041746Z.html) | `tf2auth.com` | LIMPO 2026-09-21 · [HTML bruto](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/tf2auth.com.20260921T041750Z.html) | 2021-07-27 RDAP | Captura em tempo real do navegador + URL OpenID fornecida | [tf2royal.com.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/tf2royal.com.json) |
| Tradeit tradeit.gg | LIMPO 2026-09-21 · [HTML bruto](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/tradeit.gg.20260921T041753Z.html) | `connect-tradeit.com` | LIMPO 2026-09-21 · [HTML bruto](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/connect-tradeit.com.20260921T041757Z.html) | 2022-02-23 RDAP | URL do OpenID fornecida | [tradeit.gg.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/tradeit.gg.json) |
| Atualizador upgrader.pro | LIMPO 2026-09-21 · [HTML bruto](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/upgrader.pro.20260921T041801Z.html) | `upgauth.space` | LIMPO 2026-09-21 · [HTML bruto](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/upgauth.space.20260921T041804Z.html) | 2026-08-14 RDAP | URL do OpenID fornecida | [upgrader.pro.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/upgrader.pro.json) |

Fonte: steamcommunity.com/linkfilter, GET sem autenticação, 2026-09-21, 53 hosts, intervalo de 3 s; [steam_tos_assets/linkfilter-recheck-2026-09-21.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-recheck-2026-09-21.json); HTML sem formatação em `steam_tos_assets/linkfilter-raw/`. Datas de inscrição: RDAP, [steam_tos_assets/domain-registration.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/domain-registration.json). · Verificação antecipada de 2026-09-19 em [linkfilter-all-results.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-all-results.json) · registos de percursos em [auth-route-audit.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit.json) · Instantâneos do Wayback Machine das páginas do Link Filter, 2026-09-21, listadas em [wayback-snapshots.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/wayback-snapshots.json) (não existe nenhum instantâneo para rbsnin.com; o ficheiro bruto local é o único registo).

Datas de inscrição: RDAP (`steam_tos_assets/domain-registry/`). A «URL OpenID fornecida» define os parâmetros do pedido, não um início de sessão concluído. Os autores não concluíram qualquer início de sessão em nenhuma plataforma. Um domínio separado não constitui, por si só, prova de evasão. Nem «0 hosts de autenticação bloqueados» é uma conclusão independente: bloquear um interromperia o processo de início de sessão Steam dessa plataforma, pelo que um registo compilado a partir de inícios de sessão válidos não pode conter um host de autenticação bloqueado. A observação que tem peso é o emparelhamento e a sua duração — um domínio principal no Filtro de Ligações ao lado de um domínio de início de sessão que está ativo há anos. Esta tabela contém 30 linhas: 25 das 27 rotas com um ficheiro de evidência por rota, mais cinco adicionadas em 2026-09-22 cuja divisão no Filtro de Ligações é capturada em [linkfilter-2026-09-22.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-2026-09-22.json) apesar de o domínio em si ter sido recolhido manualmente — as suas linhas indicam isso na coluna «fonte». As duas rotas de ficheiros de evidência que não aparecem são skinsnipe.com (host de autenticação `pricing.tradeupspy.com`, registado 2020-03-11) e csgobig.com (host de autorização `letmeinbig.com`, registado 2023-01-20); ambos devolveram «BLOCKED main / CLEAN auth host» na verificação de 2026-09-22, registado com SHA-256 em [linkfilter-2026-09-22c.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-2026-09-22c.json), mas o código HTML bruto desse lote não consta do conjunto publicado, pelo que são aqui referidos pelo nome, em vez de lhes ser atribuída uma linha, como acontece com todas as outras linhas desta tabela. As restantes 12 rotas recolhidas manualmente no registo são identificadas como tal em [master_registry.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/master_registry.json) sob `realm_src: user`.

Auditoria Empírica Primária · Intervalo de datas plurianual 

### A armadilha do panorama geral: o filtro de links é apenas uma fachada de conformidade, não um escudo

Nos navegadores de computador, os utilizadores estão protegidos por defesas externas: o Google Safe Browsing e o Microsoft SmartScreen interceptam tentativas de phishing conhecidas, exibindo avisos vermelhos em ecrã inteiro. **No modo «Big Picture» do Steam, na sobreposição do jogo (Shift+Tab) e no Deck Steam (SteamOS), essas defesas não existem.** O navegador incorporado não suporta quaisquer extensões, desativa os mecanismos externos de Navegação Segura e deixa o utilizador com exatamente uma barreira de defesa: o Valve's `linkfilter` intersticial.

Deslize para comparar os quatro resultados →

92.5%

2025–2026: phishing de última geração **aprovado sem ressalvas** (37/40)

77.5%

Phishing da era CS2 2023–2024 **aprovado sem ressalvas** (31/40)

70.0%

Phishing de legados de 2021–2022 **aprovado sem ressalvas** (28/40)

7 / 7

redes de jogo bloqueadas (controlo positivo)

Auditoria longitudinal plurianual: 120 domínios de phishing «Pure Steam» testados em tempo real (24 de setembro de 2026)

Para verificar se o filtro do Valve é simplesmente lento a detetar novas ameaças ou se é fundamentalmente incapaz de as detetar, realizámos uma auditoria **120 domínios de phishing confirmados específicos do Steam** em três coortes históricas, em comparação com `steamcommunity.com/linkfilter`:

- **1.ª Turma: 2021–2022 (Oferta de Troca Clássica e Itens Oferecidos) — 70.0% Aprovação com nota máxima (28/40).** Mesmo 4 a 5 anos depois de terem sido registados por organismos de vigilância da comunidade, 7 em cada 10 servidores de phishing antigos continuam acessíveis, sem qualquer bloqueio.

- **Cohorte 2: 2023–2024 (CS2 Beta: entusiasmo exagerado e pedidos de apoio falsos) — 77.5% Aprovação sem falhas (31/40).** Campanhas que se fazem passar por lançamentos do Counter-Strike 2 e apelos falsos da comunidade (por exemplo, `cs2-steam.com`, `appealsteamcommunity.help`) passam diretamente.

- **3.ª turma: 2025–2026 (Implementações em edge sem servidor e clones de favicons) — 92.5% Aprovação com nota máxima (37/40).** Kits modernos de phishing implementados no EdgeOne, no Vercel e no Cloudflare Pages (por exemplo, `steamgifter.online`, `steam-dp4lt5b8fnez.edgeone.dev`) passam praticamente sem qualquer obstáculo.

**Telemetria e Proteção contra Responsabilidade Civil, não Proteção.** Por que é que o Filtro de Links existe se permite a passagem de 70% para 92.5% de um caso claro de Steam phishing? Funciona como uma cláusula de isenção de responsabilidade da empresa e como um sensor de telemetria de cliques de saída. Ao apresentar uma mensagem educada *«Estás a sair Steam»* aviso com um botão verde clicável «Continuar», Valve atribui a responsabilidade legal à vítima ao abrigo do Steam Acordo de Subscrição (*«o utilizador navegou voluntariamente para fora de Steam»*). O Valve recolhe os dados de telemetria do clique, mas não bloqueia o roubo.

**A prova do hash do favicon: zero ingestão de feeds de ameaças.** As plataformas independentes de inteligência sobre ameaças (urlscan.io, Shodan, Censys) identificam kits de phishing ativos Steam através de uma simples pesquisa pelo hash do favicon oficial de Steam (`page.favicon.hash:9f890a9debcdfccc339149a7943be9aff9e4c9203c2fa37d5671a5b2c88503ad NOT domain:*.steampowered.com`). Esta verificação automática básica identifica grupos de phishing ativos em segundos. O Valve não sincroniza com fontes externas, não realiza a deteção de ameaças com base em hash e só intervém manualmente quando obrigado pelas entidades reguladoras (a decisão de 2016 da WSGC relativa ao jogo) ou para proteger as suas cadeias de domínios registadas como marcas comerciais.

**Elementos de prova de auditoria primários:** Auditoria longitudinal plurianual de 120 domínios: [auditoria-longitudinal-de-phishing-no-Steam.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/longitudinal-steam-phishing-audit.json) · 100 amostras específicas de phishing Steam: [linkfilter-steam-phishing-100.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-steam-phishing-100.json) · Auditoria abrangente à alimentação (n=250): [linkfilter-coverage-2026-09-22.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-coverage-2026-09-22.json).

CSGOEmpire — registo em lote de dez domínios de autenticação numerados 

Em **2020-07-20** dez domínios numerados, `csgoempirelogin1.com` através de `csgoempirelogin10.com`, foram registados. Estão arquivados os carimbos de data e hora RDAP da Verisign para todos os dez: login1 05:49:06Z, login5 05:49:08Z, login2 05:49:11Z, login3 05:49:14Z, login4 05:49:17Z, login6 05:49:20Z, login7 05:49:23Z, login8 05:49:26Z, login9 05:49:28Z — **nove domínios em 22 segundos** — e o login10 às 05:56:03Z, sete minutos depois. O intervalo entre os registos é consistente com uma única operação em massa do registrador.

O padrão é consistente com os anfitriões de recurso alternativo pré-configurados; apenas `login4` foi observado numa solicitação OpenID em tempo real. Tanto o csgoempire.com como o csgoempirelogin4.com apresentaram o resultado «CLEAN» no Filtro de Links em 2026-09-21; o CSGOEmpire não figurava entre os sites mencionados nas notícias da imprensa relativas aos avisos de julho de 2016.

# DNS — todos os 10 ativos (setembro de 2026)

OK csgoempirelogin1.com 172.67.129.43

OK csgoempirelogin2.com 172.67.175.168

OK csgoempirelogin3.com 188.114.96.3

OK csgoempirelogin4.com 188.114.96.11 ← no tráfego OpenID

OK csgoempirelogin5.com 172.67.160.194

OK csgoempirelogin6–10.com IPs da Cloudflare

NXDOMAIN: csgoempirelogin11.com

Todos os 10 registados 2020-07-20; todos os 10 com carimbo de data/hora RDAP (steam_tos_assets/domain-registry/csgoempireloginN.com.rdap.json)

Conclusão para as entidades reguladoras 

### Um domínio principal bloqueado, em conjunto com um host de autenticação desbloqueado, deixa a rota de início de sessão aberta — e esta permanece aberta durante anos.

O bloco «Link Filter» no domínio principal é um registo público e verificável. O host de autenticação transporta o tráfego «Iniciar sessão com Steam» e aparece nos próprios parâmetros de pedido OpenID de Valve. Em verificações cruzadas em 2026-09-21 e 2026-09-22, em 26 pares separados pelo filtro, o domínio principal devolveu um bloqueio do Filtro de Ligação, enquanto o proxy que transportava o seu início de sessão não devolveu nenhum. O registo acima mede a outra metade disso: estes anfitriões não são domínios descartáveis de curta duração. Vários estavam registados há mais de uma década à data da verificação, e cada um desses dias corresponde a um dia em que Valve recebeu o nome de anfitrião nos seus próprios parâmetros de pedido. O Valve não publicou qualquer registo de aplicação de medidas por operador, pelo que não é possível determinar, a partir de dados públicos, se foram aplicadas quaisquer outras medidas a estes anfitriões.

12 anos e 6 meses

O site csgogem.com está bloqueado no Filtro de Links.
O seu servidor de início de sessão `api.csgem.com` tem sido
está registado desde 2014-03-08 e não está.

Resumo em linguagem simples — Para entidades reguladoras e tribunais (expandir)

Resumo em linguagem simples — destinado às entidades reguladoras

### Contexto: O que é o Steam e por que é importante neste contexto

A Steam é uma plataforma de software operada pela Valve Corporation (Bellevue, Washington, EUA). O Steam funciona como um fornecedor de identidade digital: os sites de jogos de azar e jogos na Internet utilizam um sistema denominado «Iniciar sessão com o Steam» — um botão que permite a um site verificar se um visitante possui uma conta Steam válida. Isto é semelhante ao «Iniciar sessão com o Google» ou à verificação de um cartão de identidade emitido pelo Estado: o site redireciona o utilizador para os servidores da Steam, a Steam confirma a sua identidade e a Steam redireciona-o de volta para o site. **O Valve gere o sistema de autenticação. Cada início de sessão efetuado através da opção «Iniciar sessão com o Steam» passa pelos servidores do próprio Valve.**

### O que o Valve fez: O bloqueio de domínios

Em julho de 2016, na sequência da pressão mediática e jurídica relativa aos jogos de azar com «skin», o advogado da Valve enviou notificações a cerca de 23 sites de jogos de azar identificados (segundo notícias da imprensa de 21 de julho de 2016); em outubro de 2016, a Valve informou a Comissão de Jogos de Azar do Estado de Washington de que tinha contactado mais de quarenta sites. Alguns domínios de jogos de azar aparecem na **Steam Filtro de links** — uma lista que faz com que qualquer ligação para esses conteúdos publicada no Steam (no chat, numa página de perfil, na loja) exiba uma página de aviso: *"Link bloqueado!"* O Filtro de Ligação é a única medida de imposição cujo efeito pode ser observado a partir do exterior de Valve.

**Exemplo:** Um link para `rollbit.com` No interior de Steam é apresentada a página de aviso do Link Filter (opções 2026-09-19 e 2026-09-21 selecionadas). Em teoria, o site de jogos de azar está bloqueado.

### O que é um domínio proxy

A **O host de autenticação de domínio separado é um proxy de autenticação**: um segundo endereço de site, num domínio registável diferente, que o mesmo operador coloca entre os seus utilizadores e Steam com o único objetivo de realizar o passo «Iniciar sessão com Steam». Este endereço funciona como proxy para o início de sessão. O utilizador pensa que está a iniciar sessão na plataforma; o pedido que chega a Valve contém o nome de anfitrião do proxy, e não o da plataforma. Normalmente, não tem qualquer ligação visível publicamente ao site de jogos de azar, e é o endereço que recebe os utilizadores de volta depois de Steam confirmar a sua identidade.

**Exemplo:** A Rollbit opera ao abrigo de `rollbit.com`, que o Filtro de Ligação bloqueia. No caso da autenticação Steam, o fluxo observado em 2026-09-20 utilizava um endereço distinto: `rbsnin.com`, registado como 2026-09-18. Este endereço devolveu **sem bloco «Filtro de links»** em 2026-09-21. O site de jogos de azar continuou a funcionar, e o seu fluxo de início de sessão Steam passou pelo servidor desbloqueado.

### O ponto crítico: o host de autenticação é enviado para Steam em todas as solicitações

O Valve não precisa de efetuar uma análise ou rastreio para saber quais os servidores de autenticação que estão a ser utilizados. O Steam é o **Provedor de identidade OpenID** para estes sites, e cada clique em «Iniciar sessão com Steam» envia um pedido GET para os próprios servidores de Valve, contendo o nome de anfitrião de autenticação em texto simples. Nos termos do OpenID 2.0 §9.1, o `return_to` O campo é formalmente opcional, mas sem ele o Steam não consegue apresentar o resultado do início de sessão; por isso, para que o início de sessão com o Steam funcione, é efetivamente obrigatório. O próprio Steam apresenta o nome do anfitrião na página de início de sessão ("*<host> não está associado a Steam nem a Valve*").

— Formato do pedido Steam recebido (host, tal como observado para o Rollbit em 2026-09-20): —

OBTER steamcommunity.com/openid/login

&openid.mode= checkid_setup

&openid.return_to= https://rbsnin.com/… ← efetivamente necessário; aparece no registo de Valve

&openid.realm= https://rbsnin.com ← declarado pelo próprio site; apresentado na página de início de sessão do Steam

Se o site utilizar verificação servidor a servidor (check_authentication), o registo do Valve também regista o IP do servidor da plataforma e a rede de alojamento.

A extração do nome do anfitrião desta solicitação é uma operação padrão. O registo de aplicação — indicando em que anfitriões foram tomadas medidas, em quais não foram e com base em que critérios — existe apenas na infraestrutura da Valve e não foi publicado.

### O que isto demonstra

**1. O bloco «Link Filter» atua sobre os links, e não sobre os inícios de sessão.** Bloquear o domínio principal (por exemplo, `rollbit.com`) apresenta um aviso aos utilizadores que clicam em links para esse site dentro do Steam. Isso não impede o funcionamento do site, nem a utilização do próprio serviço OpenID do Valve através de um endereço diferente.

**2. Os servidores de autenticação testados não estavam bloqueados.** A tabela acima apresenta os anfitriões de autenticação de domínios separados registados entre 2011 e setembro de 2026, muitos dos quais anos após os avisos de julho de 2016. Em 26 pares, o domínio principal devolveu um bloqueio do Link Filter e o proxy que transportava o seu login não o fez (verificações não autenticadas, 2026-09-21 e 2026-09-22; respostas em bruto e SHA-256 guardadas). Esse proxy deixaria de funcionar no dia em que Valve o recusasse, razão pela qual o que importa aqui é o tempo durante o qual esteve em funcionamento, e não se está ou não na lista. O Valve recebe estes nomes de host nas suas próprias solicitações OpenID. Não é possível determinar, a partir de dados públicos, se foi aplicada alguma medida além do Filtro de Ligação, uma vez que o Valve não publicou qualquer registo de aplicação por operador.

**3. Os sites continuaram a efetuar a autenticação através da infraestrutura do Valve.** «Iniciar sessão com Steam» é um serviço do Valve; cada autenticação efetuada através deste serviço constitui um pedido que o Valve recebe e processa. O Valve também obtém receitas com as chaves de caso, e o Mercado Comunitário Steam cobra uma taxa combinada de cerca de 15% nas transações concluídas dentro do Mercado (não nas transações externas). A ação «Filtro de Ligação» criou um registo público; não interrompeu a relação de autenticação.

Será que o bloqueio teria funcionado?

Por analogia: quando o registador de domínios gratuito Freenom encerrou as suas atividades em 2023, as campanhas de phishing que dependiam dos seus domínios foram interrompidas. A continuidade operacional depende da estabilidade da infraestrutura.

A mesma lógica aplica-se aqui. Se um host de autenticação fosse rejeitado no processamento do OpenID do Steam, a função «Iniciar sessão com Steam» da plataforma deixaria de funcionar até que um novo host fosse registado, os certificados emitidos e o DNS propagado. Durante esse período: tempo de inatividade.

**A rotação não torna o bloqueio inútil.** Isso faz com que o bloqueio se torne um custo operacional. Uma vez que os novos hosts aparecem nos registos de pedidos do próprio Valve aquando da primeira utilização, uma resposta pode demorar o tempo que demorou essa primeira utilização.

**O registo em lote é, por si só, um sinal:** Os registos «login1» a «login10» do CSGOEmpire foram registados em 2020-07-20, nove deles num intervalo de 22 segundos (Verisign RDAP). Uma resposta não tem de ser domínio a domínio; uma série sequencial proveniente de uma única sessão de um registador pode ser identificada como uma série.

Os registos públicos não revelam qualquer tentativa de bloquear servidores de autenticação que tenha sido contornada pela rotação.
Mostra os principais domínios bloqueados enquanto o proxy responsável por cada início de sessão continuava a funcionar — 26 pares a partir de 2026-09-22, sendo que o host de autenticação mais antigo foi registado há 12 anos e 6 meses — e não há qualquer registo publicado de medidas coercivas por parte de qualquer operador.
A questão que se coloca ao regulador é, portanto: que medidas de aplicação da lei, se é que houve alguma, aplicou Valve aos servidores de autenticação que recebe nas suas próprias solicitações OpenID?

O que Valve fez — e por que razão não interrompeu o percurso de autenticação

A tabela abaixo relaciona cada ação Valve documentada publicamente, indicando se afetou ou não o ponto de entrada de autenticação do OpenID. A conclusão não é que «Valve não tenha feito nada» — é que nenhuma das ações documentadas publicamente afetou o ponto por onde os inícios de sessão nas plataformas de jogo passam pelos servidores de Valve.

| Data | Valve Ação | Afectados `openid.return_to` caminho? |
| --- | --- | --- |
| Julho de 2016 | Declaração pública de 13 de julho de 2016; notificações dos advogados a cerca de 23 locais identificados (imprensa, 21 de julho de 2016); mais de 40 locais contactados, de acordo com a carta de Valve enviada à WSGC em outubro de 2016 | Não. As notificações e o Filtro de Ligações atuam sobre os operadores e as ligações; o caminho do pedido OpenID não foi alterado. |
| 2017 | Encerramento de `IEconItems_730/GetPlayerItems` (de acordo com a conta de engenharia do CSFloat; não foi encontrado nenhum registo de alterações Valve) | Não. A visibilidade do histórico dos itens públicos foi afetada. A autenticação OpenID não sofreu alterações. |
| 2018-03-29 | Anunciado o bloqueio de trocas de 7 dias no CS:GO (blog.counter-strike.net) | Não. A movimentação dos itens ficou mais lenta; o caminho da solicitação OpenID não foi alterado. |
| 2022-05-10 | Os pontos finais de cancelamento de transações foram removidos da API Web pública (detetado pelo utilizador; sem registo de alterações Valve — node-steam-tradeoffer-manager #325) | Não. A ferramenta de troca de ofertas foi encerrada; a autenticação OpenID não sofreu alterações. |
| 2023-12-04 | A criação de chaves API requer agora uma confirmação através do telemóvel (steamcommunity.com/dev/apikey; sem registo de alterações) | Não. O ponto final da chave foi protegido; os anfitriões de autenticação aqui referidos não foram afetados. |
| 2026-09-19 / 21-09 | Steam Estado do filtro de ligações, tal como observado pelos autores | Os 14 domínios principais devolveram um bloqueio na verificação de segurança 2026-09-21 guardada — 26 pares divididos no registo por 2026-09-22 — enquanto o proxy responsável por cada início de sessão continuava a funcionar. |

Fontes: Valve comunicado de 13 de julho de 2016 ([store.steampowered.com/oldnews/22883](https://store.steampowered.com/oldnews/22883), [arquivado 2026-09-21](https://web.archive.org/web/20260921021947/https://store.steampowered.com/oldnews/22883)) · Relatório técnico da CSFloat sobre o encerramento de 2017 ([blog.csfloat.com](https://blog.csfloat.com/how-floatdb-tracks-items/), [arquivado 2026-09-21](https://web.archive.org/web/20260921022415/https://blog.csfloat.com/how-floatdb-tracks-items/)) · Estado do filtro de ligações: [linkfilter-recheck-2026-09-21.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-recheck-2026-09-21.json).

Esta conclusão pode ser refutada por um único caso publicado em que Valve tenha recusado um pedido de OpenID porque `openid.return_to` apontava para um servidor de autorização de jogos de azar. Não foi encontrada qualquer instância desse tipo nos registos públicos.

Os dois registos mais recentes de «auth-host»

**howl.uno** foi registado em 2026-08-11 (RDAP), 41 dias antes de 2026-09-21; o howl.gg devolveu um bloqueio do Link Filter em 2026-09-18, 2026-09-19 e 2026-09-21. Não está esclarecido se o bloqueio antecedeu o registo.

**rbsnin.com** foi registado em 2026-09-18T09:34:52Z (Verisign RDAP) e foi observado no fluxo de início de sessão Steam do Rollbit em 2026-09-20 através do aviso na própria página de início de sessão de Steam; O rollbit.com devolveu um bloqueio do Link Filter em 2026-09-19 e 2026-09-21, ao passo que o rbsnin.com não o fez.

Cada host da tabela acima é enviado para os servidores de autenticação do Valve como `openid.realm` em cada tentativa de início de sessão.

Dados completos por rota e resultados do Link Filter: a tabela na Secção 3 acima; resultados brutos em [linkfilter-recheck-2026-09-21.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-recheck-2026-09-21.json) e [linkfilter-all-results.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-all-results.json).

Metodologia — Como foram estabelecidas as contagens de rotas e de filtros de ligações

1. Resolução de domínios

A auditoria 2026-09-21 concluiu a análise de 78 das 189 plataformas solicitadas: **33 autenticam-se no seu próprio nome de anfitrião e 20 no seu próprio subdomínio — autenticação direta, e nenhuma delas é contabilizada como rotas de domínios distintos.** Os restantes **25. autenticar através de um domínio registável independente**, distribuídos por 24 nomes de domínio distintos (o dota2.net é partilhado pelo market.csgo.com e pelo rust.tm): 10 identificados através da captura em tempo real do navegador, 3 através do aviso na própria página de início de sessão do Steam e 12 através de um URL OpenID fornecido. O registo em tempo real ([master_registry.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/master_registry.json), 2026-09-22) alarga isso a **44 rotas de domínios distintos**: 26 pares com divisão de filtro (domínio principal BLOCKED, host de autenticação CLEAN), além de 18 rotas adicionais sem divisão do domínio principal. Das 44, **27 manter um ficheiro de comprovativos por percurso**; os restantes 17 foram recolhidos manualmente e estão marcados `realm_src: user` no registo. Cinco desses dezassete — csgogogem.com, gamdom.com, 12cs.fail, csgolounge.com e dota2lounge.com — foram adicionados em 2026-09-22 com uma captura do Link Filter de ambos os hosts (HTML bruto + SHA-256 em [linkfilter-2026-09-22.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-2026-09-22.json)), pelo que a divisão em si fica evidente, apesar de o domínio ter sido recolhido manualmente; estas aparecem na tabela acima, juntamente com as rotas do ficheiro de evidências. `tfauth.com` (tf2easy.com) foi removido do registo às 2026-09-22: tal como no caso de arena.fragnet.net, não há nada que permita verificar a sua ligação ao site de origem. O número pode ser calculado a partir dos dados publicados [auth-route-audit.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit.json) (série de 2026-09-21) segundo uma regra: uma plataforma só conta quando o seu host OpenID Steam observado se encontra num domínio registável diferente do da própria plataforma.

2. Steam Estado do filtro de ligações

Testado através de `steamcommunity.com/linkfilter/?url=https://[domain]`, sem autenticação, em 2026-09-19 e 2026-09-21; HTML bruto guardado com SHA-256. O estado foi registado separadamente para o domínio principal e para o anfitrião de autenticação. Um classificador distingue o aviso genérico «Está a sair de Steam» (CLEAN) da página «Link bloqueado! ... sinalizado como potencialmente malicioso» (BLOCKED); um controlo do google.com confirma que os dois não são confundidos. Uma variante anterior e autenticada deste teste foi descartada depois de ter devolvido «bloqueado» para todos os domínios, incluindo esse controlo — o que se deveu a um cookie de sessão inválido no script de teste, e não a um resultado real.

3. Observação do anfitrião de autenticação

Captura em tempo real: um navegador Playwright acedeu ao fluxo de início de sessão de cada plataforma e o `openid.return_to` O nome do anfitrião foi obtido a partir do pedido intercetado. Aviso na página de início de sessão: o nome do anfitrião foi obtido a partir do próprio " de Steam's "*O <host> não está associado ao Steam nem ao Valve*" texto, que Steam representa a partir de `openid.realm` (rbsnin.com, sc-auth.net, auth.dota.trade). URL fornecida: uma URL de login Steam fornecida aos autores; esta define os parâmetros do pedido, não um login concluído. Não foi concluído qualquer login em nenhuma plataforma.

4. Abrangência — o que não foi resolvido e por que é importante

Das 189 plataformas, **A 110 não apresentou nenhum percurso definido** e um não era aplicável (189 − 78 − 1). Este dossiê não contabiliza nenhum deles. A repartição dos 110, a partir do ficheiro de auditoria: 22 desafios de bot, 14 tempos de espera esgotados, 12 erros HTTP e 10 erros de navegação — o observador não conseguiu aceder ao fluxo de início de sessão, embora a maioria destes sítios abra normalmente num navegador comum; 20 não apresentavam qualquer controlo de início de sessão na página de destino; 16 chegaram a um fluxo de início de sessão que não pôde ser resolvido para um host; 11 domínios não foram resolvidos no DNS; 5 ficaram bloqueados numa página de consentimento. A tabela abaixo divide esses mesmos 110 de forma diferente: os 11 que não foram resolvidos no DNS estão listados separadamente como *Removido · NXDOMAIN*, e a única entrada não aplicável junta-se às restantes. 189 plataformas auditadas, 11 removidas devido a um NXDOMAIN definitivo em ambos os resolvers, **178 mantidos** ([platform-audit.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/platform-audit.json), [platforms-removed.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/platforms-removed.json)). **137 domínios de autenticação que o livro-razão tinha adivinhado com base no padrão de nomenclatura foram eliminados dos dados em 2026-09-19 — nunca foram observados e, por conseguinte, nunca constituíram prova.** Três das suposições foram contrariadas pelos URLs OpenID fornecidos: buff.163.com, gamerpay.gg e csgoluck.com efetuam a autenticação diretamente, ao contrário do que se supunha (buffauthproxy.163.com, gamerpayredirect.io e lucklogin.app). As remoções estão listadas no ficheiro de auditoria publicado.

O número 25 é um limite mínimo, não um limite máximo. Entre as 78 plataformas que foram resolvidas, 25 utilizaram um domínio separado e 53 não. Essa proporção não permite tirar quaisquer conclusões sobre as 110 não resolvidas, e nenhuma projeção a partir dela aparece em qualquer parte deste dossiê. Cada uma delas pode ser resolvida por uma pessoa que abra o site e clique em «Iniciar sessão com Steam»: o nome de host de autenticação encontra-se no URL da página Steam que é carregada.

**O objetivo desta secção:** Um observador independente precisa de um navegador e de muita paciência para identificar 189 plataformas, tendo conseguido identificar 78. O Valve requer uma consulta à base de dados. Todas as plataformas que utilizam «Iniciar sessão com Steam» — quer estejam identificadas, quer não — enviam `openid.realm` para o ponto final de autenticação de Valve em cada início de sessão. A lacuna nesta tabela deve-se ao facto de os autores se encontrarem fora do sistema. Não existe no caso de Valve.

Os nomes de domínio dos hosts proxy observados encontram-se em [auth-route-audit.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit.json). Datas de registo do domínio provenientes do RDAP (Verisign) / IP2WHOIS. Resultados do filtro de links em [linkfilter-all-results.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-all-results.json).

Uma analogia para maior clareza

Imagine que uma empresa de táxis licenciada é informada pelas entidades reguladoras de que já não pode operar a partir da sua morada registada na Main Street. A empresa retira o letreiro da Main Street. A remoção desse letreiro é documentada. No entanto, a mesma empresa abre uma morada na Side Street — registada sob um nome diferente — e continua a operar a partir daí. As autoridades reguladoras gerem o sistema central de despacho que todos os táxis de ambos os endereços utilizam. Cada pedido de viagem indica «recolha na Rua Lateral». As autoridades reguladoras nunca revogam a licença da Rua Lateral. **A remoção do letreiro da Main Street foi a única medida coerciva que teve lugar. A empresa de táxis nunca deixou de funcionar.**

Parte A — Ficha técnica · Secção 3.1 

### No interior de Steam, a lista de Valve é a única lista.

Um link clicado no cliente Steam, na sobreposição no jogo ou no modo Big Picture não abre no navegador do utilizador. É apresentado no próprio navegador incorporado do Steam — onde não estão presentes as camadas de aviso que um navegador aplicaria. **O Filtro de Ligações não é apenas uma das várias medidas de segurança. É a única medida de segurança.**

**Num navegador normal** Três camadas independentes

- **Navegação Segura do Google** Um anúncio intersticial de página inteira para servidores incluídos nas listas de phishing e malware do Google, atualizado continuamente e independentemente do site que está a ser visitado.

- **A extensão antivírus para o navegador** A maioria dos produtos para terminais de consumidores inclui um complemento de navegador que verifica o destino em relação à lista de reputação do próprio fornecedor.

- **Inspeção HTTPS nos terminais** Quando o produto realiza a inspeção TLS, o conteúdo da página é analisado antes de chegar ao utilizador.

**No cliente Steam, sobreposição e Big Picture** Uma camada

- **Navegação Segura do Google** Não está presente. A verificação requer chaves da API do Google que não estão disponibilizadas nas compilações incorporadas do Chromium; quando estas não existem, a própria documentação de conceção do Chromium indica que o manipulador do Safe Browsing simplesmente nunca é adicionado à cadeia de pedidos.

- **A extensão antivírus para o navegador** Não está presente. O motor de renderização do Steam não é o navegador do utilizador e não carrega nenhuma extensão do perfil do navegador do utilizador, pelo que nenhum complemento é executado na página.

- **Inspeção HTTPS nos terminais** Depende do produto. O tráfego termina no interior de um processo Valve com código assinado, em vez de num navegador reconhecido, e vários produtos de ponto final isentam as aplicações assinadas da inspeção TLS.

- **O Filtro de Ligações Steam** A lista de bloqueios do próprio Valve, consultada quando um link sai do ecossistema Steam. Esta é a única verificação que é efetuada — e a tabela acima regista o resultado obtido para os anfitriões de autenticação documentados nesta secção.

Um teste que qualquer leitor pode realizar; se falhar, a conclusão deixa de se verificar

Abra um dos URLs de teste do «Navegação Segura» publicados pelo Google (`testsafebrowsing.appspot.com`) no Chrome: aparece um anúncio intersticial vermelho em ecrã inteiro. Abra o mesmo URL a partir de uma mensagem de chat Steam, de forma a que seja apresentado no cliente Steam ou na sobreposição: não aparece nenhum anúncio intersticial. O único aviso que o Steam pode apresentar é a sua própria página do Filtro de Links, e apenas para os anfitriões que constam da lista do Valve.

O próprio recorde de Valve no programa de recompensas por erros **Essa questão da «uma camada» já foi contornada anteriormente — no próprio álbum do Valve**

Se o Filtro de Ligações for a única verificação executada no cliente, os seus próprios modos de falha não são uma questão secundária. Dois relatórios no programa HackerOne da Valve, ambos aceites, ambos resolvidos e ambos entretanto divulgados na íntegra:

- [#291750](https://hackerone.com/reports/291750) [arquivado 2025-11-16 ↗](https://web.archive.org/web/20251116185046/https://hackerone.com/reports/291750) Open Redirect · medium

### Contornar a proteção do filtro de ligações

Comunicado a 19 de novembro de 2017, resolvido e divulgado a 9 de maio de 2018. A própria prova de conceito do relatório: substituir o ponto final ideográfico `。` (`%E3%80%82`) para o ponto num nome de anfitrião — É possível contornar o bloqueio. O conteúdo intersticial a que esta secção se refere não apareceu.

- [#1079561](https://hackerone.com/reports/1079561) [arquivado 2026-09-24 ↗](https://web.archive.org/web/20260924181830/https://hackerone.com/reports/1079561) Divulgação de informação · elevada

### O navegador Big Picture divulga cookies de início de sessão e revela informações confidenciais (o que pode levar à apropriação de contas)

Comunicado a 15 de janeiro de 2021, resolvido e divulgado a 21 de setembro de 2021. A classificação de gravidade atribuída pelo próprio Valve é elevada e o título indica a consequência. O registo divulgado inclui o título, a classificação e as datas; a descrição técnica não consta do conteúdo publicado, pelo que nada mais é aqui citado a partir dela.

**Esta é a interpretação dos autores, não uma conclusão de nenhum dos relatórios:** Os dois situam-se de cada lado do mesmo portão. Um é o aviso que não aparece antes de o destino ser aberto; o outro é a sessão que abandona o cliente assim que uma página é aberta no seu interior. A sequência que se segue a uma sessão roubada — chave registada sem aviso prévio, a transação real cancelada, uma cópia enviada para um clone — é o padrão descrito em [Secção 5](https://phishdestroy.io/steam_dossier/pt/index#vulnerability-profile) para [Secção 8](https://phishdestroy.io/steam_dossier/pt/index#consent-analysis). Ambos os relatórios estão encerrados; nenhum deles é considerado uma vulnerabilidade ativa. O que eles demonstram é mais específico e suficiente: a única camada remanescente tem um historial documentado de ter sido contornada, segundo os próprios registos de Valve.

Fonte: o registo de divulgação da HackerOne relativo a cada relatório, consultado em 2026-09-22 — número, título, equipa, vulnerabilidade, gravidade, datas do relatório e da divulgação e estado, tal como publicado pela HackerOne. Registo da consulta: [hackerone-reports.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/hackerone-reports.json). Aqui não é indicado qualquer valor de recompensa; não consta nenhum nos registos divulgados que foram consultados.

Observação no terreno · PhishDestroy **As deteções que normalmente põem fim a uma campanha não puseram fim a estas**

Vimos os servidores de phishing a continuarem a atrair tráfego enquanto transportavam **20 ou mais deteções de fornecedores**. Quando enviada pela Web ou por e-mail, uma campanha nesse estado morre em poucos dias — tanto o navegador como o antivírus agem de acordo com esses veredictos. No Steam, nenhum dos dois o faz. Os veredictos sempre existiram. Nada no cliente chegou a perguntar.

### O que isto significa para um menor que tenha um antivírus instalado

Ele não ignora nenhum aviso nem desativa nada. Chega uma mensagem no Steam — uma faca grátis, um voto para a equipa de um amigo — e a página abre-se no Steam. Ele nunca abre um navegador, por isso o navegador nunca o protege. O seu antivírus está a funcionar e pode já ter classificado esse domínio como malicioso; mas nunca lhe é perguntado. **Já existem todos os avisos que poderiam tê-lo impedido. Nenhum deles chega até ele.** Ele acredita que nunca saiu de Steam, e de facto não saiu.

A oferta gratuita não é uma invenção do phisher — os itens gratuitos Valve são a forma como os sites de skins e de jogos de azar fazem publicidade, e é precisamente por isso que a mensagem parece normal. Reclamações: [o arquivo de execução](https://phishdestroy.io/steam_dossier/pt/steam_enforcement_evidence#support-records). Dados relativos à idade e às crianças: [Secção 17](https://phishdestroy.io/steam_dossier/pt/index#minors-protection).

Fontes: O Steam apresenta o conteúdo da Web através do Chromium Embedded Framework no `steamwebhelper` processo — ver [Análise técnica da DARKNAVY de 27 de junho de 2024 ↗](https://www.darknavy.org/blog/exploiting_steam_usual_and_unusual_ways_in_the_cef_framework/) e do próprio Valve [Steam Fórum Beta do Cliente ↗](https://steamcommunity.com/groups/SteamClientBeta/discussions/0/3365901765276206401/) [arquivado 2025-08-04 ↗](https://web.archive.org/web/20250804051514/https://steamcommunity.com/groups/SteamClientBeta/discussions/0/3365901765276206401/). Não se baseia em nenhuma versão do CEF: o Chromium incorporado não é o Chrome e não inclui nenhum dos serviços da Google do Chrome. Navegação segura sem chaves de API: [Documento de conceção do Chromium ↗](https://www.chromium.org/developers/design-documents/safebrowsing/) [arquivado 2026-08-21 ↗](https://web.archive.org/web/20260821101616/https://www.chromium.org/developers/design-documents/safebrowsing/), [Chaves API do Chromium ↗](https://www.chromium.org/developers/how-tos/api-keys/) [arquivado 2026-08-30 ↗](https://web.archive.org/web/20260830122831/https://www.chromium.org/developers/how-tos/api-keys/) («Muitas das APIs do Google utilizadas pelo Chrome são específicas do Google e não se destinam a ser utilizadas em produtos derivados»), e o mesmo efeito noutras compilações sem chave — [Barril de cerveja artesanal n.º 193814 ↗](https://github.com/Homebrew/homebrew-cask/issues/193814). URLs de teste: [testsafebrowsing.appspot.com ↗](https://testsafebrowsing.appspot.com/).

Parte A — Ficha técnica · Secção 4 

## Um ponto final foi encerrado. O rastreio público perdeu uma chave.

Contexto e limites da fonte

Steam introduziu alterações que removeram a visibilidade pública dos IDs de ativos dos artigos e restringiram o acesso ao inventário através da API. O efeito: tornou-se impossível localizar um artigo específico através do seu ID de ativo original a partir de dados públicos. O que se segue é o que era possível antes, o que deixou de ser possível depois e o que isso custa a uma vítima que tenta provar para onde foi a sua propriedade. A data é 2017, de acordo com a conta de engenharia da CSFloat; não foi localizado qualquer registo de alterações da versão Valve. A sequência — cerca de um ano após a declaração sobre jogos de azar de julho de 2016 — constitui o objeto da investigação, não uma conclusão. Os registos dos itens permanecem nos sistemas do Valve; os investigadores externos perderam o acesso à cadeia de IDs originais, enquanto os identificadores float, seed e paint permitem apenas uma correspondência parcial.

**Aplica-se a regra Valve:** Steam O apoio ao cliente não recupera os itens que saíram da sua conta, e cabe-lhe a si provar o que aconteceu. **O registo:** Em 2017, o Valve encerrou o ponto final que transportava os IDs originais dos itens. Antes disso, qualquer pessoa podia seguir o rasto de uma skin roubada desde a conta da vítima até um bot de um mercado virtual. Depois disso, ninguém fora do Valve consegue fazê-lo. **A prova que é solicitada à vítima é a prova que foi desativada** — e ainda existe, dentro de Valve.

### A Era Pré-Apagão

Historicamente, cada item virtual gerado no Steam possuía um identificador globalmente único e imutável ID do ativo . As bases de dados OSINT de terceiros poderiam indexar esses IDs. Se um utilizador tivesse um item roubado, os investigadores poderiam rastrear o percurso desse ativo específico à medida que este passava da conta intermédia do ladrão para as contas de armazenamento de um mercado online ou de um site de jogos de azar.

ANTES: qualquer pessoa podia rastrear um item desde a conta da vítima, passando por contas intermédias, até um bot de armazenamento de um mercado ou de um casino, utilizando dados públicos.

### Após a alteração

De acordo com a conta de engenharia da CSFloat, o Valve encerrou o ponto final em 2017 e os IDs originais dos itens deixaram de estar disponíveis para terceiros. Não foi encontrada qualquer declaração Valve sobre o motivo desta alteração. No mesmo período, também não foi identificada qualquer ação pública contra as contas de bots comerciais que movimentavam itens em grande escala.

Seja qual for a razão, essa alteração rompeu a cadeia de custódia pública. Uma vítima já não consegue reproduzir a cadeia de identificação original a partir de dados públicos para demonstrar que um determinado artigo roubado foi vendido através de um mercado ou casino específico. Os registos dos artigos ainda existem nos sistemas da Valve; o público, os investigadores e as autoridades policiais que trabalham com dados públicos não têm acesso a eles.

DEPOIS: já não é possível rastrear um item específico através do seu ID de ativo original a partir de dados públicos. A cadeia de custódia do ID original de um item transferido após 2017 existe apenas dentro da infraestrutura da Valve; nenhum registo desse tipo foi divulgado publicamente. Os identificadores «float», «seed» e «paint» permitem apenas uma correspondência parcial e probabilística.

IEconItems_730

OBTER `/IEconItems_730/GetPlayerItems/v1/`

Carga útil rastreável (antes da correção)

`"id": "14892281934" ,`

`"original_id": "11829910211" ,`

Estado: A vítima pode rastrear o percurso do item através das contas de bot.

Carga útil ofuscada (após a aplicação da correção)

Atual

`"id": "HIDDEN_BY_PRIVACY_SETTINGS" ,`

`"original_id": "NULL" ,`

Estado: as entidades externas já não conseguem rastrear a origem de um item através do ID de ativo original a partir de dados públicos.

**Impacto nas provas:** Após a alteração, os dados públicos necessários para rastrear um item específico através do seu ID de ativo original, desde a conta de uma vítima até um bot de um mercado ou de um casino, deixaram de estar disponíveis. Os registos internos ainda existem em Valve; uma vítima, um investigador ou um perito que trabalhe a partir de dados públicos não consegue reproduzir a cadeia do ID original (os identificadores float, seed e paint permitem apenas uma correspondência parcial).

Fonte: Relatório da CSFloat Engineering sobre o encerramento, em 2017, de `IEconItems_730/GetPlayerItems` — [blog.csfloat.com/how-floatdb-tracks-items](https://blog.csfloat.com/how-floatdb-tracks-items/) ([arquivado 2026-09-21](https://web.archive.org/web/20260921022415/https://blog.csfloat.com/how-floatdb-tracks-items/)) · os dados apresentados servem apenas para ilustrar a forma do campo, não representando respostas efetivamente capturadas · não foi encontrado qualquer registo de alterações Valve para o encerramento.

Parte A — Ficha técnica · Secção 5 

## Uma sessão. Mais acesso do que o utilizador percebe.

Limites de contexto e de fonte

A arquitetura da chave API do Valve, tal como se apresentava antes das alterações de 2023, afastava-se dos padrões de referência do setor (OWASP ASVS, NIST SP 800-63B) e constitui o mecanismo descrito nas queixas automatizadas de roubo de inventário preservadas no arquivo de provas (Secções 6–8).

**Aplicou-se a regra Valve:** o titular da conta criou a chave, aceitou os termos e é responsável pela perda — essa é a resposta que consta nas recusas arquivadas. **O registo:** Até dezembro de 2023, bastava um cookie de sessão roubado para registar essa chave. Sem palavra-passe. Sem Steam Guard. Sem qualquer notificação à pessoa a quem pertencia a conta. **O utilizador não criou a chave, não a conseguia ver e foi-lhe dito que a tinha criado.** A confirmação por telemóvel foi adicionada em 2023-12-04 — cerca de sete anos após a declaração de 2016 e aproximadamente seis anos após os painéis de fraudes que o arquivo conserva. Esses anos não foram pagos por Valve. Foram pagos pelas contas que, entretanto, foram esvaziadas, sendo algumas delas de crianças.

OWASP ASVS 2.8 / NIST SP 800-63B GRAU DE GRAVIDADE: CRÍTICO

### 1. Autenticação reforçada insuficiente

Steam permitia a geração de chaves API com privilégios elevados e de longa duração utilizando apenas um cookie de sessão. Não era necessária qualquer autenticação de dois fatores (Steam Guard) nem qualquer desafio de autenticação reforçada ao configurar ou modificar uma chave API de programador, pelo que a confirmação móvel Steam Guard — o único segundo fator que o Steam oferece — não protegia esta etapa. (Um segundo fator de hardware foi solicitado no próprio sistema de acompanhamento do Valve em 2016 e a questão continua em aberto: Apêndice D, GH-01.)

Estado: sem correção até 2023. Permitia que um script que contivesse um cookie roubado registasse uma chave sem qualquer interação do utilizador.

OWASP A01:2021 / Princípio do privilégio mínimo GRAU DE GRAVIDADE: CRÍTICO

### 2. Ausência do princípio do privilégio mínimo

A API Web Steam não dispunha de quaisquer âmbitos de autorização baseados em funções. Uma chave de API de programador emitida para o estado do inventário em «só leitura» possuía permissões completas de «gravação» — incluindo a capacidade de manipular transações existentes, iniciar novas transações, registar webhooks e recusar transações pendentes válidas.

Estado: falha de conceção sistémica. Uma chave = controlo total de leitura/gravação do inventário e das transações da conta.

OWASP A07:2021 / Sessões GRAVIDADE: ELEVADA

### 3. Gestão de sessões com falhas

Os utilizadores relataram que as sessões web sequestradas provenientes de intervalos de IP de servidores de alojamento continuavam ativas. A prática habitual consiste em encerrar as sessões em caso de anomalias geográficas e de alteração de palavra-passe; os relatos dos utilizadores recolhidos no arquivo descrevem sessões que permaneceram ativas após uma alteração de palavra-passe.

Estado: comportamento relatado (queixas de utilizadores no arquivo). As sessões podiam gerar chaves API sem necessidade de reautenticação.

O bloqueio ao nível do domínio era tecnicamente viável VIÁBILIDADE DA APLICAÇÃO DA LEI

### 4. O bloqueio de hosts de autenticação ao nível do domínio era tecnicamente viável

Valve já gere uma lista de domínios (o «Link Filter») e já recebe todos os nomes de host de autenticação nas suas próprias solicitações OpenID. Os dois mecanismos não estão ligados de forma alguma visível do exterior: a partir de 2026-09-22, em 26 pares, o domínio principal estava no filtro, enquanto o proxy que transportava o seu login não estava.

Ligar estes dois elementos é uma tarefa simples de engenharia: leia o `openid.realm` obter o nome do anfitrião de cada pedido recebido, compará-lo com uma lista e recusar ou assinalar o pedido. A ilustração à direita mostra a estrutura dessa rotina. Recusar o anfitrião de autenticação — em vez de apenas a página inicial pública — interromperia o passo «Iniciar sessão com Steam», do qual estas plataformas dependem.

Não há provas públicas que indiquem que o Valve realize essa verificação. A taxa combinada do Mercado Comunitário Steam, de cerca de 15%, aplica-se às vendas realizadas no interior do Mercado; não é cobrada nas transações externas destas plataformas.

block_auth_hosts.py ILUSTRAÇÃO

// Ler o host Steam que já está a receber — não é necessário efetuar a verificação

def on_openid_request(request):

host = parse_openid_realm(request)

se anfitrião em domínios_bloqueados:

recusar (pedido)

**Nota:** Pseudocódigo apenas a título ilustrativo. Ambas as partes já existem em Valve — o nome de host do autorizaador surge na solicitação e a lista de domínios corresponde ao Filtro de Ligações. Não há qualquer registo público que explique por que razão não estão ligados.

Secção 5.1 — As normas não foram retiradas de circulação 

### O Valve compila de acordo com estas regras todos os dias. Aqui, não conseguiu compilar de acordo com elas.

A Steam está disponível na App Store e no Google Play, efetua vendas através dos principais processadores de pagamentos com cartão e utiliza APIs de terceiros, tal como qualquer outra grande plataforma. Cada uma dessas relações implica um requisito de segurança publicado e datado que a Valve tem de cumprir para continuar a operar. Compare as datas desses requisitos com as datas em que a própria API Web da Steam adquiriu as mesmas proteções. **Nada do que se segue é uma norma privada, um memorando interno ou um segredo comercial: cada linha é um documento público com uma data de publicação.**

Requisitos de segurança externos publicados, com as respetivas datas, comparados com a data em que a API Web Steam adquiriu o controlo equivalente

| A norma publicada e a data em que entrou em vigor | A API Web Steam sobre a mesma questão |
| --- | --- |
| **Autorização com âmbito específico** OAuth 2.0 — RFC 6749, Outubro de 2012. A secção 3.3 define `scope` Assim, um cliente recebe apenas o acesso que solicita. Desde então, tem sido a configuração predefinida de todas as principais APIs de plataformas. | **Os âmbitos granulares surgiram em 16 de janeiro de 2026.** Antes disso, uma única chave da API Web Steam concedia acesso total de leitura e escrita às transações da conta, independentemente do motivo pelo qual tivesse sido emitida. **Treze anos e três meses** após a especificação que define o controlo. |
| **Uma chave não é uma autorização** Documentação do Google Cloud: Uma chave API padrão não autentica um principal, e no caso das APIs que criam ou gerem recursos, Não utilize chaves de autorização em ambiente de produção. | **A chave da API Web Steam era exatamente isso.** Uma cadeia de caracteres ao portador, emitida para uma conta, suficiente por si só para consultar o inventário, cancelar uma transação pendente e enviar uma nova. Nenhum mandante foi autenticado no momento da utilização. |
| **Autenticação multifatorial no acesso privilegiado** PCI DSS 3.2, requisito 8.3 — obrigatório a partir de 1 de fevereiro de 2018 para todos os acessos administrativos não efetuados através da consola e todos os acessos remotos ao ambiente de dados dos titulares de cartões. A Apple passou então a exigir a autenticação de dois fatores para todos os titulares de contas do Programa de Desenvolvedores a partir de 27 de fevereiro de 2019: Os programadores com a função de «Titular da conta» num programa para programadores terão de ativar a autenticação de dois fatores para iniciar sessão. | **Foi necessário um segundo fator para criar uma chave API a partir de 4 de dezembro de 2023.** Até então, bastava um cookie de sessão roubado, sem qualquer aviso no telemóvel do titular da conta nem qualquer notificação posterior. **Quatro anos e nove meses** depois de a Apple ter obrigado a própria Valve a utilizar uma autenticação de dois fatores apenas para iniciar sessão num portal de programadores. |
| **Ciclo de vida e revogação das credenciais** A Twitch exige que todas as aplicações de terceiros: A sua aplicação deve validar o token OAuth no momento do arranque e, posteriormente, a cada hora, e afirma que realiza auditorias às aplicações que não o fazem. A sua API v5 antiga foi definitivamente retirada de serviço em 28 de fevereiro de 2022 de acordo com um horário publicado. | **Não existe qualquer registo publicado sobre o ciclo de vida da chave.** A alteração de 2023 protegeu o ponto final de criação. Nenhuma declaração Valve associada a essa alteração aborda as chaves já registadas, e não foi publicado qualquer registo de alterações a acompanhar a mesma. Não é possível determinar, a partir dos dados públicos, se as chaves criadas antes dessa alteração foram invalidadas — o que é precisamente a questão que um titular de dados precisaria de ver esclarecida para saber se uma chave criada na sua conta há vários anos ainda está ativa. |

Referência arquitetónica // Token Architecture 

#### Âmbitos detalhados do GitHub vs Valve Steam API Web

Valve programadores gerem diariamente software de código aberto no GitHub utilizando tokens granulares com o mínimo de privilégios. Compare isso com a chave monolítica emitida para 130 milhões de Steam jogadores.

Token de granularidade elevada do GitHub

Utilizado por Valve no GitHub

Token de granularidade fina com isolamento por âmbito e aplicação obrigatória do ciclo de vida.

Acesso ao repositório: Apenas repositórios selecionados (1 repositório)

Conceder permissões: Apenas leitura [✓]

Código e Segredos: Sem acesso [✕]

Data de validade: 30 dias (TTL obrigatório)

Registo de auditorias: IP, User-Agent e data e hora

**Situação de segurança:** O token de privilégios mínimos limita os danos a um único recurso de leitura apenas.

! Valve Steam Chave da API Web

Distribuído a 130 milhões de utilizadores

Uma única cadeia de caracteres principal de 32 caracteres que confere autoridade total ou nenhuma autoridade em matéria de transações e inventário.

Acesso à conta: CONTA COMPLETA (Monolítica)

Gestão de transações: Ler, Cancelar, Recusar [!]

Âmbitos granulares: NENHUM (Chegou em 2026, com 13 anos de atraso)

Data de validade: NUNCA (Válido por tempo indeterminado)

Registo de auditorias: NENHUM (O utilizador não tem qualquer histórico de IP)

**Vulnerabilidade:** A chave roubada permite a interceção silenciosa de todas as ofertas comerciais enviadas.

A norma aplicada numa única direção 

Suponha que um fornecedor Valve — um prestador de serviços na nuvem, um processador de pagamentos, uma CDN — tenha deixado um ponto de acesso de credenciais sem um segundo fator de autenticação e que, meses mais tarde, os próprios dados corporativos de Valve tenham sido divulgados através de uma chave gerada nesse ponto de acesso. Será que Valve aceitaria que a culpa recaiu sobre quem clicou na ligação? As recusas arquivadas e preservadas neste dossiê respondem à questão inversa para o utilizador: a posição assumida é que o titular da conta criou a chave e arca com a perda. **Essa mesma arquitetura é descrita como uma falha do fornecedor num sentido e uma responsabilidade do utilizador no outro.** O que se passa, na realidade, não é uma questão técnica, nem é algo que esta investigação possa resolver — cabe a um tribunal ou a uma autoridade de supervisão decidir.

Ilustração, não prova — a norma interpretada de forma contrária 

- Um processador de pagamentos que permitia que um script de terceiros gerasse uma credencial de transação com privilégios totais a partir apenas de um cookie do navegador, sem qualquer aviso ao titular da conta.

- Um fornecedor de identidade que colmatou a falha através da qual os seus tokens foram emitidos e não publicou qualquer informação sobre os tokens já emitidos.

- Um banco que respondeu a uma transferência contestada, observando que a credencial utilizada estava registada na própria conta do cliente, e encerrou o processo.

Nenhuma destas observações se pretende ser uma conclusão sobre qualquer empresa específica. Trata-se das mesmas decisões de conceção, transpostas para um contexto em que a resposta das autoridades de supervisão está bem documentada — que é precisamente a comparação que se pede a uma entidade reguladora que faça.

**O que consta do processo:** os controlos ausentes da API Web Steam eram públicos, desatualizados e, em vários casos, constituíam condições Valve que a empresa tinha de cumprir para continuar a comercializar os seus próprios produtos. O intervalo entre cada norma e a alteração equivalente Steam é mensurável e está definido acima. **O que isso não esclarece é o motivo.** Não foi encontrada qualquer justificação para nenhum destes intervalos Valve, nem se pressupõe aqui qualquer justificação; esse registo encontra-se no Valve e não foi publicado.

Fontes, todas elas documentos públicos: OAuth 2.0 — [RFC 6749, outubro de 2012 ↗](https://datatracker.ietf.org/doc/rfc6749/) · Google Cloud — [Documentação sobre chaves API ↗](https://docs.cloud.google.com/docs/authentication/api-keys) · Requisito 8.3 da norma PCI DSS 3.2 — [Guia de recursos do PCI SSC ↗](https://listings.pcisecuritystandards.org/pdfs/PCI_DSS_Resource_Guide_(003).pdf) · Apple — [Requisito de autenticação de dois fatores a entrar em vigor para os titulares de contas, 20 de fevereiro de 2019 ↗](https://developer.apple.com/news/?id=02202019a) [arquivado 2025-05-06 ↗](https://web.archive.org/web/20250506070026/https://developer.apple.com/news/?id=02202019a) · Twitch — [requisito de validação do token ↗](https://dev.twitch.tv/docs/authentication/validate-tokens/) e o [Aviso de encerramento da v5 ↗](https://discuss.dev.twitch.com/t/legacy-twitch-api-v5-i-e-kraken-shutdown-reminder-february-28-2022/36589) [arquivado 2025-01-27 ↗](https://web.archive.org/web/20250127085635/https://discuss.dev.twitch.com/t/legacy-twitch-api-v5-i-e-kraken-shutdown-reminder-february-28-2022/36589). As datas do Steam são as que constam no registo de atualizações desta secção; as entradas de 2023 e 2026 são as que o Valve lançou sem um registo de alterações. Consultado em 2026-09-22.

Registo de atualizações do próprio Valve — datado, proveniente de fontes públicas

| Data | Valve alteração | Já foi anunciado? | O que fechou | Atraso: mecanismo público → corrigido | Fonte |
| --- | --- | --- | --- | --- | --- |
| 2026-09-01 | Sinalização automática de conversas suspeitas | Sim | Links/padrões perigosos nas conversas em grupo | — | [notícias ↗](https://store.steampowered.com/news/posts/?enddate=1788390000) |
| 2026-01-16 | Âmbitos granulares da API Web do Steamworks | Sim | Âmbitos de privilégios mínimos para chaves de programador | — | [anúncio ↗](https://steamcommunity.com/groups/steamworks/announcements/detail/4123547285514022851) |
| 2025-07-15 | Proteção de negociação CS2 e janela de reversão | Sim | **Nada.** Não se trata de uma correção de segurança que resolva a causa principal. O acesso à recuperação de contas por parte do apoio técnico permanece inalterado. O desencadeamento da reversão implica um bloqueio automático de transações durante 30 dias ([Skinvault ↗](https://skinvault.gg/blog/cs2-trade-protection-explained/)), enquanto o choque nas transações à vista provocou uma queda de $104M (-25%) na capitalização de mercado nas últimas 24 horas ([CSMarketCap ↗](https://csmarketcap.com/blog/market-insights/from-boom-to-bust-cs2s-trade-protection-impact)). Em 2026, os temporizadores passaram a ser aplicados individualmente a cada artigo ([Skin.land ↗](https://skin.land/blog/steam-changes-cs2-trade-ban-logic-timing/)). | — | [Perguntas frequentes ↗](https://help.steampowered.com/faqs/view/3041-A87A-E5F6-B6AC) |
| 2025-05-14 | Comunicado sobre a segurança da conta | Sim | Orientações sobre Stealer / sequestro de sessão | — | [anúncio ↗](https://steamcommunity.com/ogg/593110/announcements/detail/533224478739530146) |
| 2024-10-02 | CS2 «The Armory» — 7 dias de espera | Sim | Suspensão das transações/do mercado de itens do Armory | — | [anúncio ↗](https://steamcommunity.com/games/CSGO/announcements/detail/4447966961421256740) |
| 2024-09-18 | Restrição comercial relativa ao início de sessão num novo dispositivo | Sim | Bloqueio de transações de 2 a 7 dias em dispositivos novos | — | [Perguntas frequentes ↗](https://help.steampowered.com/faqs/view/3041-A87A-E5F6-B6AC) |
| 2024-02-14 | Suspensão da alteração do nome e do avatar do perfil | Sim | Período de espera de 2 a 4 horas para as transações após a mudança de nome | — | [publicação ↗](https://steamcommunity.com/discussions/forum/1/4202490424033360096/) |
| 2023-12-04 | Confirmação por telemóvel para chaves API | Sem registo de alterações | Registo silencioso de chaves apenas através de cookies | ≈6 anos após os painéis da época de 2017 | [página de desenvolvimento ↗](https://steamcommunity.com/dev/apikey) |
| 2023-10-24 | Autenticação multifatorial por SMS para publicações de compilações de jogos | Sim | Publicação de compilações no Steamworks | — | [anúncio ↗](https://steamcommunity.com/groups/steamworks/announcements/detail/3734103130194459461) |
| 2023-07-12 | Aviso sobre o conteúdo da biografia personalizada | Sim | Links de phishing nas biografias | — | [fórum ↗](https://steamcommunity.com/discussions/forum/1/3807266184852932971/) |
| 2023-01-25 | Perfil {LIGAÇÃO REMOVIDA} e tempo de recarga | Sim | Links no texto do perfil | — | [Perguntas frequentes ↗](https://help.steampowered.com/faqs/view/225C-C51E-B8F0-55B2) |
| 2022-10-24 | Reestruturação do processo de início de sessão e truncamento de cookies | Sem registo de alterações | Sessões roubadas infinitas | — (Migração de tokens do IAuthenticationService) | [notícias ↗](https://store.steampowered.com/news/group/4/view/3314112260640237775) |
| 2022-10-12 | Aplicação móvel 3.0: início de sessão por QR | Sim | Painel de revogação da autorização da sessão | — | [notícias ↗](https://store.steampowered.com/news/group/4/view/3314112260640237775) |
| 2022-05-10 | Pontos finais de cancelamento de transações removidos | Sem registo de alterações | Troca de oferta (cancelar e reenviar) | ≈5 anos após os painéis da época de 2017 | [edição n.º 325 ↗](https://github.com/DoctorMcKay/node-steam-tradeoffer-manager/issues/325) |
| 2020-05-25 | Bloqueio de trocas de 7 dias no Dota 2 | Sim | Revenda rápida de artigos | — | [blog ↗](https://blog.dota2.com/2020/05/trading-cooldown/) |
| 2018-03-29 | Bloqueio de trocas de 7 dias no CS:GO | Sim | Lavagem instantânea de bots | ≈20 meses após a declaração de julho de 2016 | [blog ↗](https://blog.counter-strike.net/index.php/2018/03/20308/) [arquivado 2025-02-26 ↗](https://web.archive.org/web/20250226114333/https://blog.counter-strike.net/index.php/2018/03/20308/) |

Fontes: as publicações Valve indicadas nos links, as páginas de ajuda e os issues do GitHub, conforme as datas indicadas. Três correções decisivas foram lançadas sem registo de alterações (maio de 2022, outubro de 2022, dezembro de 2023) e foram detetadas pelos utilizadores, não tendo sido anunciadas por Valve — essa assimetria faz parte do registo de aplicação. Os atrasos são calculados apenas nos casos em que a própria datação do dossiê (declaração de julho de 2016; painéis de fraude da época de 2017) fornece o ponto de partida; «—» significa que não foi estabelecido aqui qualquer ponto de partida.

Parte A — Ficha técnica · Secção 6 

## Simulador Interativo de Explorações e Desvio de Controlo

Contexto e limites da fonte

Uma reconstrução do percurso desde a mensagem de phishing até ao registo da chave no lado do servidor e à troca da transação. Antes de 2023, uma chave de API Web registada numa conta podia consultar o seu inventário, cancelar uma oferta de transação pendente e criar uma nova, sem que fosse apresentado ao titular da conta qualquer ecrã de confirmação da transação para qualquer uma dessas ações. Trata-se da ausência do princípio do privilégio mínimo (OWASP A01:2021). Os tempos apresentados nesta simulação são meramente ilustrativos e não constituem medições em tempo real da plataforma atual.

Siga passo a passo a simulação do sequestro. Cada fase mostra o que o titular da conta vê e, ao lado, a chamada Steam que recebe nesse mesmo momento. **Cada uma dessas chamadas é devidamente autenticada.** Nada nesta sequência precisa que a autenticação do Steam falhe — é necessário que a chave que este emite não tenha âmbito (OWASP A01:2021).

**O que o jogador vê. O que muda por trás disso.** SIMULADOR DE PERCORSO

01 / A ISCA DO CHAT**Um amigo pede para votar** A vítima recebe uma mensagem com um link.

02 / O INÍCIO DE SESSÃO**Um portal de sósias** A vítima introduz as credenciais de início de sessão.

03 / O ACESSO**Criação da API da Web Silenciosa** O atacante regista uma chave de programador.

04 / A MUDANÇA**Comércio legítimo trocado** O bot «Clone» duplica o destinatário-alvo.

05 / CONFIRMAÇÃO**Cópia aprovada** Foi aprovada uma oferta errada no telemóvel.

**Fase A: Entrada de phishing.** O atacante invade a conta de um amigo e utiliza-a para enviar um link enganador, convidando a vítima a votar ou a integrar uma equipa de torneio.

**A armadilha do phishing.** Pensando que está a iniciar sessão de forma segura no Steam, a vítima introduz as credenciais e os códigos Steam Guard. O servidor de phishing captura estes dados e o ativo `steamLoginSecure` cookie de sessão.

**Fase B: Registo de «Silent Key».** Utilizando o cookie de sessão roubado, o servidor do atacante envia um pedido POST para o ponto final de registo de chaves, a fim de registar uma chave Web API de programador principal. Historicamente (antes de 2023), isto não exigia qualquer aprovação ou notificação secundária Steam Guard.

**Fase C: Troca automática de transações.** O script do atacante faz consultas `IEconService/GetTradeOffers`. Quando a vítima inicia uma transação legítima, o script cancela-a imediatamente e utiliza um bot clonado para enviar uma oferta idêntica, com o mesmo nome e avatar, ao destinatário.

**A exploração foi concluída.** Ao esperar uma notificação no telemóvel relativa à sua transação original, a vítima aprova a transação de substituição. Trata-se de uma simulação forense integrada que demonstra como a ausência do princípio do privilégio mínimo (OWASP A01:2021) permite o sequestro automatizado de ativos em menos de um segundo.

O mesmo passo, visto da perspetiva da rede Reconstrução do padrão anterior a 2023 · formas ilustrativas de chamadas

**Atacante** Envia o link a partir de uma conta na qual a vítima já confia.

**Vítima** Lê uma mensagem de um amigo, não de um desconhecido.

**Steam vê** Uma mensagem de chat entre duas contas que são amigas.

```
Channel Steam chat / Steam group invite
Payload a link to an external host
No Steam API call is made at this stage. Nothing in this step is anomalous to the platform.
```

**Por que é que funciona:** O saldo em questão pertence à conta do amigo que foi comprometida, e não ao atacante.

**Vítima** Introduz a palavra-passe e o código Steam Guard numa página que se assemelha à original.

**Servidor do atacante** Regista as credenciais e o cookie de sessão resultante.

**Steam vê** Um início de sessão bem-sucedido que cumpriu os requisitos da autenticação de dois fatores.

```
Captured steamLoginSecure = <session cookie>
Captured Steam Guard code (single use, already spent)
From this point the attacker holds an authenticated session. The second factor has been used, not bypassed.
```

**Por que é que funciona:** A autenticação de dois fatores protege o momento do início de sessão. Não protege o que a sessão resultante pode fazer posteriormente.

**Servidor do atacante** Regista uma chave de API Web de programador na conta da vítima.

**Vítima** Não recebe qualquer mensagem nem qualquer notificação.

**Steam vê** Uma sessão autenticada utilizando um ponto de extremidade documentado.

```
POST steamcommunity.com/dev/ajaxregisterkey
Cookie: steamLoginSecure=<stolen session>
Body: agreeToTerms=agreed&domain=localhost
A script has no real domain to give, so it sends localhost — the value found on the account in Section 18. Pre-2023 this needed no password, no Steam Guard, no notification, and the key came with no scope limit. Mobile confirmation was added 2023-12-04, without a changelog.
```

**Esta é a etapa estrutural.** Um cookie de sessão é convertido numa credencial duradoura com privilégios totais — a falha registada na Secção 5 como OWASP ASVS 2.8 e A01:2021.

**Script do atacante** Verifica se existem ofertas de troca, cancela a oferta real e envia uma cópia.

**Vítima** Acabou de iniciar uma transação válida e está à espera de a confirmar.

**Steam vê** Chamadas de API válidas que incluam uma chave válida emitida para essa conta.

```
GET IEconService/GetTradeOffers/v1 ← polled
POST IEconService/CancelTradeOffer/v1 ← voids the real offer
POST new offer from a clone bot (matching name and avatar)
Every call is correctly authenticated. Nothing in the sequence requires a defect in Steam's authentication to succeed.
```

**Por que é que funciona:** A chave não tinha um âmbito de acesso apenas de leitura, pelo que uma credencial para consultar o inventário também podia cancelar e criar transações.

**Vítima** Aprova a notificação no telemóvel que era esperada para a transação original.

**Atacante** Recebe os artigos na conta clonada.

**Steam vê** Uma transferência confirmada pelo titular da conta num dispositivo registado.

```
Confirmation genuine — made by the account holder
Recipient the clone bot, not the intended counterparty
The confirmation is authentic. The offer it confirms is not the one the user initiated.
```

**O registo que ficou para trás:** uma transação aprovada pelo utilizador. Esse é o registo que o Steam Suporte consulta quando a reclamação chega, e a razão pela qual as reclamações arquivadas foram encerradas como erro do utilizador. As reclamações encontram-se em [o arquivo de execução](https://phishdestroy.io/steam_dossier/pt/steam_enforcement_evidence#support-records).

Parte A — Ficha técnica · Secção 7 

## Os pontos finais subjacentes à sequência.

Contexto e limites da fonte

Estes são os Steam pontos finais da API Web que os scripts de sequestro identificados utilizaram para interceptar transações sem passar pelas etapas de confirmação do lado do navegador.

Quatro pontos finais documentados são suficientes para realizar toda a tarefa. Nenhum deles apresenta falhas, nem é necessário explorá-los — basta que uma chave válida os chame e Steam responda. **A chave foi a única coisa que o atacante teve de roubar.**

IEconService / GetTradeOffers / v1 SONDAGEM

Utilizado para monitorizar as ofertas de negociação da conta. Os scripts consultam este ponto de extremidade repetidamente com a chave API comprometida; este devolve os detalhes das ofertas de negociação recém-criadas, pendentes ou modificadas. Os intervalos de consulta não são medidos aqui.

**Vetor de ameaça:** Apresenta os números de identificação das ofertas comerciais pendentes e os detalhes do perfil do destinatário.

IEconService / CancelTradeOffer / v1 INTERAÇÃO

Utilizado para invalidar programaticamente a oferta de transação legítima do utilizador. Antes de 2023, não existia qualquer autenticação reforçada a proteger a chave, pelo que um servidor automatizado podia cancelar uma oferta assim que esta fosse detetada, sem qualquer aviso prévio ao titular da conta.

**Vetor de ameaça:** Anula a transação antes de o titular da conta concluir a confirmação através do telemóvel.

ISteamUser / GetPlayerSummaries / v2 RECON

Consulta para obter o nome do perfil, o URL da imagem do avatar e o nível do destinatário legítimo da transação. Isto permite que o script adapte uma conta clonada previamente preparada para que corresponda. Não é medido qualquer tempo nesta etapa.

**Vetor de ameaça:** Fornece os dados necessários para se fazer passar pelo destinatário pretendido.

/dev/ajaxregisterkey CRIAÇÃO

O ponto final de registo do Steam para chaves. Historicamente, qualquer sessão ativa de cookies do navegador (`steamLoginSecure`) podia registar uma chave sem uma confirmação do Steam Guard no dispositivo móvel e sem qualquer notificação ao titular da conta.

**Vetor de ameaça:** Uma credencial persistente criada por um script, sem que o titular da conta se aperceba.

Parte A — Registo técnico · Secção 8 · Artigo 7.º do RGPD 

## Uma caixa assinalada. De quem é essa ação?

Contexto e limites da fonte

Ao recusar o reembolso, Steam As respostas do Apoio ao Cliente guardadas no arquivo defendem que o titular da conta criou a chave API e, ao assinalar a caixa, aceitou os termos.

A resposta do serviço de apoio atribui a chave ao titular da conta. A questão é saber se o registo permite determinar quem o criou efetivamente.

No padrão de roubo de chaves API observado, no entanto, a vítima nunca viu nem acedeu à página de criação da chave API. O campo de consentimento é enviado por um script que executa um POST «headless» com o cookie de sessão roubado.

Nos termos do artigo 7.º e do n.º 11 do artigo 4.º do RGPD, o consentimento deve constituir uma manifestação de vontade livre, específica, informada e inequívoca do titular dos dados. A posição dos autores é que um campo de aceitação de termos submetido por um script malicioso com um cookie roubado, sem que seja apresentada qualquer página ao titular da conta, não pode corresponder a essa definição. Cabe à autoridade de controlo determinar se isso se verifica.

Análise forense de cargas úteis: registo de chaves

PUBLICAÇÃO https://steamcommunity.com/dev/ajaxregisterkey

// Carga útil do pedido (injetada através de um script de sequestro)

{

"agreeToTerms": "concordado" , <-- inserido automaticamente, sem intervenção humana

"domínio": "localhost" , ← não validado — aceita-se qualquer valor, incluindo «localhost»

"sessionid": "8f0d8ef763ab2140bf89de2a"

}

**A questão para a autoridade de supervisão:** no caso de o titular da conta nunca ter clicado no campo de consentimento, se a aceitação dos termos registada na conta cumpre o requisito previsto no artigo 7.º de uma indicação livre, específica, informada e inequívoca da vontade do titular dos dados e se o Steam Apoio pode basear-se nisso para recusar uma reclamação.

Fonte: formato do pedido de registo da chave, tal como reconstruído a partir do ponto de acesso público e dos relatórios de sequestro conservados no arquivo de provas ([versão pesquisável de 2026-09-17](https://phishdestroy.io/steam_dossier/pt/steam_evidence_archive)) · o identificador de sessão apresentado é um marcador de lugar, não um valor capturado.

Autópsia forense · O vetor de substituição comercial 

### Como o Valve conseguiu finalmente neutralizar a «substituição comercial» — e por que razão foram necessários 7 anos de soluções alternativas

Há quase uma década que o **«Substituição da chave da API» (ou «Golpe MitM da API»)** foi o modelo de roubo de contas mais lucrativo no Steam, desviando centenas de milhões de dólares em skins de jogadores desprevenidos. O Valve não erradicou a falha corrigindo a arquitetura vulnerável da API; em vez disso, o Valve passou sete anos a implementar quatro barreiras de atrito em toda a plataforma que prejudicaram a liquidez do comércio da comunidade, sem resolver a causa principal.

1. A Morte por Mimetismo

#### Tempo de espera para avatar e nome (fevereiro de 2024)

A fraude exigia uma imitação em frações de segundo: o bot fraudulento interceptava uma transação a enviar e extraía o avatar/nome do destinatário através de `ISteamUser`, e clonou o perfil em 200 ms. A 14 de fevereiro de 2024, Valve implementou discretamente uma medida obrigatória **Tempo de espera de 2 a 4 horas para a troca (Erro 34)** imediatamente após qualquer alteração do nome do perfil ou do avatar. Um bot já não pode clonar um destinatário em tempo real sem ficar impedido de realizar transações.

2. A Morte Económica

#### Inversão de tendência de 7 dias no CS2 (julho de 2025)

Valve introduziu medidas unilaterais **Reversões de posições** para itens do Counter-Strike. Qualquer skin trocada fica marcada como «Protegida contra trocas» durante sete dias. Se uma vítima descobrir uma substituição, basta clicar em «Anular transação» no Suporte Steam, e a skin é imediatamente devolvida ao seu inventário, ao mesmo tempo que o destinatário fica bloqueado. Como o bloqueio de transação de 7 dias impede que os burlões transfiram o item para um site de resgate, o roubo torna-se inviável.

3. A morte do «Silent Key»

#### Notificação push obrigatória para a API (dezembro de 2023)

Historicamente, um cookie de sessão roubado permitia que scripts maliciosos executassem um pedido POST em segundo plano e sem interface gráfica para `/dev/ajaxregisterkey` sem notificar a vítima. A 4 de dezembro de 2023, a Valve impôs a obrigatoriedade de uma confirmação explícita por notificação push na aplicação móvel Steam para gerar uma chave de API Web, eliminando o fornecimento silencioso de chaves em segundo plano.

4. Avisos no aplicativo móvel

#### Banners com a data de criação e o nome da conta (2022–2024)

Valve reformulou a janela modal de confirmação na versão móvel para apresentar o parceiro comercial **Steam tempo de existência da conta (data de criação)**, nível Steam e um aviso explícito em âmbar: *«Este utilizador alterou recentemente o nome do seu perfil»*, quebrando a ilusão visual para as vítimas mais atentas.

As três falhas na solução de remendo de Valve: por que é que os burlões simplesmente mudaram de alvo

**1. A lacuna legal relativa à exclusão de jogos (Dota 2 e TF2)** 

As «Trade Reversals» foram implementadas exclusivamente para o Counter-Strike 2. **Os itens do Dota 2 e do Team Fortress 2 continuam completamente desprotegidos** devido às complexidades da criação e da encaixe de gemas. Os itens de nível elevado que valem milhares de dólares (Dragonclaw Hooks, Golden Baby Roshans, Unusual TF2 burning flames) não têm qualquer período de reversão. Os burlões limitaram-se a redirecionar a interceção automatizada da API para os negociantes de Dota 2 e TF2, onde o Suporte Steam aplica rigorosamente a sua política de 2016 de «não restabelecimento de itens».

**2. O reservatório «Zombie Key» (Sem prazo de validade)** 

Enquanto o Valve adicionou a autenticação de dois fatores (2FA) por notificações push no telemóvel para gerar *novo* chaves em dezembro de 2023, **Valve chaves API legadas existentes nunca foram revogadas, caducaram ou foram eliminadas**. Milhões de contas ativas que geraram chaves (ou cujas chaves foram criadas silenciosamente por phishing/malware antes de dezembro de 2023) ainda possuem credenciais ativas com **prazo de validade zero (sem TTL) e tempo de espera de inatividade zero**. Os autores de ameaças mantêm enormes bases de dados históricas destas chaves persistentes, continuando a consultar `IEconService` sem perturbações.

**3. A sanção imposta à vítima: suspensão das transações durante 30 dias** 

Mesmo no CS2, o Valve penaliza o jogador que foi alvo de uma fraude: clicar em «Anular transação» no Steam Suporte inflige automaticamente uma **proibição obrigatória de negociação e de acesso ao Mercado Comunitário durante 30 dias na conta da vítima**. Valve aplica ao utilizador uma suspensão de um mês da plataforma como medida dissuasora contra anulações «frívolas», desencorajando as vítimas de anularem transações relativas a artigos líquidos de menor valor.

O escândalo regulatório central: sete anos de soluções alternativas contra um único âmbito de API 

Por que é que a Valve passou sete anos a criar restrições às transações, períodos de espera nas contas e bloqueios reversíveis às transações — perturbando toda a economia do jogo e fazendo desaparecer $104M em capitalização de mercado — em vez de implementar a solução padrão do setor?

Conforme comprovado pelo lançamento oficial do Valve no Steamworks, a 16 de janeiro de 2026 (Anúncio [#493839547938902179 ↗](https://steamcommunity.com/groups/steamworks/announcements/detail/493839547938902179)), Valve já construído **Grupos de permissões granulares (Geral, Microtransações, Economia, Dados de vendas)** e **Lista de endereços IP autorizados** para chaves de editor corporativas. A Valve já dispunha da solução técnica há anos. Uma única caixa de seleção visível para o utilizador—*«Impedir que esta chave da API Web aceda ao IEconService (Gestão de Transações)»* ou uma lista de endereços IP domésticos autorizados — teria erradicado o esquema de substituição de transações em 2018, sem quaisquer danos colaterais económicos. A Valve recusou-se a conceder aos jogadores regulares a proteção que criou para os seus parceiros empresariais.

Parte B — Regulamentos e histórico de aplicação · Secção 9 

## O seu regulamento. As plataformas registadas.

Limites de contexto e de fonte

Este registo mapeia as cláusulas explícitas do **Steam Acordo de Subscrição (SSA)** e **Steam Conduta online (SOC)** orientações dirigidas diretamente contra entidades comerciais ativas e de grande dimensão.

**A regra:** sem fins comerciais, sem jogos de azar, sem bots — e a Steam Support invoca essas cláusulas quando se recusa a devolver os artigos de uma vítima. **O registo:** as mesmas cláusulas, à primeira vista, abrangem as plataformas comerciais constantes deste registo, que funcionam com Steam identidades, Steam bots e Steam transferências. **A cláusula é aplicada à pessoa que perdeu as peles e não, segundo qualquer registo publicado, às empresas que as transportaram.**

Nas reclamações arquivadas, o Apoio Steam refere o «Proibida a utilização comercial» e "Sem automatização/bots" cláusulas quando se recusam a restituir bens às vítimas de fraude com chaves API. As mesmas cláusulas aplicam-se, à primeira vista, às plataformas comerciais registadas neste dossiê, que realizam a autenticação através de Steam OpenID e movimentam bens através de contas automatizadas Steam. Não se estima aqui qualquer valor de receitas a nível do mercado (ver as estatísticas de aplicação da lei abaixo). O que o registo mostra é a regra aplicada a contas individuais nos casos arquivados e a ausência de registos publicados de aplicação da lei por operador para as plataformas. É essa assimetria que esta secção documenta.

A questão central / aplicação seletiva da lei Regras → Escala → Responsabilização

### Um único conjunto de regras. Aplicação desigual.

O registo revela que os serviços comerciais utilizam identidades Steam, inventários, bots e transferências como infraestrutura operacional. A SSA proíbe a exploração comercial e a automatização sem autorização. As queixas arquivadas mostram que essa regra se aplicava a contas individuais, enquanto o registo público não apresenta um registo equivalente, operador a operador, para as plataformas aqui documentadas. Publique a regra, as provas e a decisão de aplicação da lei para cada uma delas.

**189** sites abrangidos pela auditoria

**44** rotas de domínios separados no registo ativo — 27 com um ficheiro de provas publicado, 17 recolhidas manualmente. Só a auditoria de 189 sites resolveu 25 delas; o registo acrescenta as rotas recolhidas manualmente.

**12 anos e 6 meses** O site csgogem.com foi bloqueado no Filtro de Links; `api.csgem.com` registado em 2014-03-08 e nunca bloqueado — um dos 26 pares deste tipo até 2026-09-22

**Sem total verificado** estimativa de receitas a nível do mercado excluída

Steam Conduta online 

> «…não deve realizar, nem tentar realizar, nenhuma das seguintes ações no Steam: […] Envolver-se em atividades comerciais. Exemplos desse tipo de comportamento proibido incluem: publicar anúncios; organizar concursos; **jogos de azar**; comprar ou vender contas Steam; vender conteúdos, cartões-presente ou outros artigos; e mendigar."

[store.steampowered.com/online_conduct ↗](https://store.steampowered.com/online_conduct) [arquivado 2026-09-21 ↗](https://web.archive.org/web/20260921022120/https://store.steampowered.com/online_conduct)

SSA § 2.G — Utilização comercial 

> «…[não pode] explorar o Conteúdo e os Serviços, nem qualquer parte dos mesmos, para quaisquer fins comerciais, salvo nos casos expressamente permitidos noutra parte do presente Acordo…»

As notificações de Valve de 2016, tal como relatado, invocavam a licença pessoal e não comercial. Nenhum operador apresentou, para que conste, uma autorização Valve. [store.steampowered.com/subscriber_agreement ↗](https://store.steampowered.com/subscriber_agreement/) [arquivado 2026-09-18 ↗](https://web.archive.org/web/20260918014700/https://store.steampowered.com/subscriber_agreement/)

Steam Termos de Utilização da API Web 

> «Não é permitido utilizar a API Web Steam nem os Dados Steam de forma alguma que viole o Contrato de Assinante Steam.»

As plataformas de venda de skins de terceiros funcionam através de contas automatizadas que utilizam a API Steam. O texto da regra não prevê qualquer exceção para a escala comercial. [steamcommunity.com/dev/apiterms ↗](https://steamcommunity.com/dev/apiterms) [arquivado 2026-09-21 ↗](https://web.archive.org/web/20260921022210/https://steamcommunity.com/dev/apiterms)

SSA § 4.C 

#### Automação

Os scripts, os bots e a interação não humana estão restringidos. O livro-razão regista transações efetuadas por bots, redes de contas e encaminhamento automatizado em escala comercial.

[Inspecionar o registos marcados com esta cláusula](https://phishdestroy.io/steam_dossier/pt/index#legal-ledger-workspace-section)

SSA § 2.G 

#### Utilização comercial

A exploração comercial requer autorização expressa. Compare os modelos de negócio documentados, a sua escala e quaisquer autorizações ou medidas de aplicação divulgadas.

[Inspecionar o registos marcados com esta cláusula](https://phishdestroy.io/steam_dossier/pt/index#legal-ledger-workspace-section)

SSA § 3.A 

#### VPN e ocultação da localização

O disfarce da localização da residência através de um proxy IP pode levar ao cancelamento do serviço. Os servidores de autenticação em domínios distintos requerem uma análise à parte: é necessário determinar o que está a ser disfarçado e qual a regra que se aplica.

[Verificar as informações relativas ao host de autenticação](https://phishdestroy.io/steam_dossier/pt/index#proxy-bypass-explainer)

Steam Ajuda / Política de URLs 

#### Ocultação de links

Steam proíbe os encurtadores de links e as ferramentas que ocultam os destinos dos links. Um domínio de autenticação separado — `rbsnin.com` no fluxo de início de sessão do Rollbit, `auth.dota.trade` no CS.MONEY — levanta a questão semelhante de saber se o destino apresentado ao verificador OpenID do Steam identifica o site em funcionamento.

[Política de URLs do Valve ↗](https://help.steampowered.com/en/faqs/view/628C-E332-BD8C-4D36)

Referências às regras: [Steam Contrato de Subscrição, revisão de 10 de setembro de 2026](https://store.steampowered.com/subscriber_agreement/) [arquivado 2026-09-18 ↗](https://web.archive.org/web/20260918014700/https://store.steampowered.com/subscriber_agreement/) · [Steam Termos de Utilização da API Web](https://steamcommunity.com/dev/apiterms) [arquivado 2026-09-21 ↗](https://web.archive.org/web/20260921022210/https://steamcommunity.com/dev/apiterms) · [Steam Política de URLs (ofuscação de links)](https://help.steampowered.com/en/faqs/view/628C-E332-BD8C-4D36). Os números referem-se aos registos e às etiquetas deste dossiê; não correspondem a um recenseamento das infrações julgadas.

O défice de confiança 

#### Quem analisa a decisão quando o apoio encerra o processo?

As reclamações arquivadas referem-se a sanções permanentes, reclamações sem resposta e recusas em restituir artigos roubados. Compare esses relatos com o histórico real dos bilhetes, as soluções disponíveis e os registos de acesso à conta. Uma explicação genérica relativa a phishing não permite determinar quem iniciou uma reposição ou criou uma chave API.

[Leia as reclamações registadas ↗](https://phishdestroy.io/steam_dossier/pt/steam_enforcement_evidence#support-records)[Solicitar os registos subjacentes →](https://phishdestroy.io/steam_dossier/pt/index#dsar-playbook)[Gráfico de relações do moderador →](https://phishdestroy.io/steam_dossier/pt/social_graph)

Parte B — Regulamentos e histórico de aplicação · Secção 10 

## Uma API de automatização. Uma regra contra a automatização.

Contexto e limites da fonte

A questão que esta secção coloca é como conciliar estes dois aspetos: quais as utilizações da API que são autorizadas, por quem e com base em que critérios publicados. Não se estima aqui o número de utilizadores comerciais autorizados da API, nem tal número está implícito na ausência de uma lista publicada — a ausência é a conclusão, não um número subjacente. As mensagens de apoio Steam citadas acima são reproduzidas pelo projeto ArchiSteamFarm na sua própria secção de perguntas frequentes (verificadas literalmente 2026-09-22); não se trata de Valve publicações, e as contas para as quais foram enviadas não são identificadas.

**A regra (SSA § 4.C):** sem scripts, sem bots, sem sistemas não humanos no Steam. **O registo:** Valve disponibiliza uma API REST sem interface de utilizador cujo único objetivo é a automatização entre servidores e fornece a chave a qualquer conta. **Os utilizadores são banidos por utilizarem automação; a interface de automação é um produto da própria Valve.** Nunca foi divulgado quais são as utilizações comerciais autorizadas.

### A falácia do «desenvolvedor de jogos»

SDK do Steamworks (autêntico) 

Utilizado por estúdios de jogos legítimos para integrar conquistas, sistema de emparelhamento e tabelas de classificação nos seus clientes de jogo. Requer uma integração complexa em C++ e a adesão como parceiro oficial.

Steam API Web (A lacuna) 

Uma arquitetura JSON/REST sem cabeçalho concebida para servidores web externos. No padrão «hijack» aqui documentado, é utilizada para ler inventários e manipular transações ponto a ponto a partir de servidores remotos; as suas utilizações legítimas não estão catalogadas neste dossiê.

A quem se destina a chave Um utilizador comum Steam não necessita, no próprio cliente, de uma chave de API Web; a página da chave encontra-se numa URL destinada a programadores e a sua finalidade, conforme documentado, é o acesso externo, do lado do servidor. As queixas arquivadas relativas a usurpação de contas descrevem vítimas que não sabiam da existência da página até que uma chave tivesse sido registada na sua conta.

#### A contradição da automatização

O § 4.C da SSA dispõe o seguinte: «Não é permitido utilizar qualquer tipo de scripts, bots, macros ou outros sistemas não controlados por seres humanos («Automação») para interagir com os Conteúdos e Serviços no Steam, de forma alguma.» No entanto, os pontos finais da API Web (como `CancelTradeOffer`) não requerem qualquer interface de utilizador humana nem captcha e contornam totalmente o cliente Steam. A API foi concebida para a automatização entre servidores; a regra proíbe a automatização por parte dos utilizadores; a distinção entre as duas não é divulgada.

#### Uma posição do lado do servidor no fluxo comercial

Uma chave de API Web permite que um servidor de terceiros execute operações na conta sem o cliente Steam. No padrão de «hijack», esse servidor situa-se entre o titular da conta e o servidor de operações.

- → Não é apresentado qualquer ecrã de confirmação de transação para as ações da tecla.

- → Permite a recolha de dados em segundo plano (GetTradeOffers).

- → Cancela e reemite ofertas sem a intervenção do utilizador.

Valve criou a interface, proibiu a automatização por parte dos utilizadores nas suas regras e não publicou quaisquer critérios que definam quais as utilizações comerciais autorizadas.

Parte B — Regulamentos e histórico de aplicação · Secção 11 

## Foram exigidos dez dias. Dez anos para prestar contas.

Contexto e limites da fonte

A 20 de julho de 2016, o conselheiro jurídico da Valve concedeu aos operadores de jogos de azar um prazo de 10 dias. Dez anos depois (à data do instantâneo do dossiê, 2026-09-21), pelo menos uma plataforma mencionada nas notícias da imprensa sobre esse aviso, a CSGOFast, continua em funcionamento com um servidor de autenticação num domínio separado. O texto é reconstruído abaixo a partir de notícias da imprensa de 21 de julho de 2016; a reconstrução não é uma digitalização. O registo de aplicação da lei a que a notificação se referia não foi publicado. A carta aberta à Comissão é [Secção 2](https://phishdestroy.io/steam_dossier/pt/index#wsgc-public-address).

Leia o aviso de julho de 2016, que se encontra ao lado das observações posteriores. O que ainda falta é um registo de cumprimento por operador.

Uma semana antes — 13 de julho de 2016, em público 

Em [13 de julho de 2016](https://store.steampowered.com/oldnews/22883) [arquivado 2026-09-21 ↗](https://web.archive.org/web/20260921021947/https://store.steampowered.com/oldnews/22883), Valve descreveu como os sites de jogos de azar utilizavam Steam: o OpenID para a identificação de contas e contas automatizadas para transações. Valve afirmou que a utilização desses mecanismos para gerir um negócio de jogos de azar violava a sua API e os acordos de utilizador. **Tanto a descrição do mecanismo como a proibição constam da própria declaração datada de Valve.** No 2026-09-21, os anfitriões de autenticação de domínios separados testados não apresentaram qualquer bloqueio do Filtro de Ligações, e o Valve não publicou qualquer registo de aplicação por operador.

### VALVE CORPORATION

Bellevue, WA

**DATA:** Julho de 2016 (noticiado pela imprensa a 21 de julho de 2016)

**DE:** Karl Quackenbush, Diretor Jurídico

**RE:** Ordem de cessação e abstenção — utilização comercial de contas Steam

**NOTA:** Reconstrução do texto apresentado; não se trata de uma digitalização

«Estamos cientes de que está a operar um dos sites de jogos de azar abaixo indicados. Está a utilizar Steam contas para exercer esta atividade. Nos termos do Steam Contrato de Assinante, os serviços Steam e Steam estão licenciados exclusivamente para utilização pessoal e não comercial.»

«Deve cessar imediatamente e abster-se de continuar a utilizar as suas contas Steam para quaisquer fins comerciais. Caso não o faça, no prazo de dez (10) dias , «a Valve recorrerá a todas as medidas legais disponíveis, incluindo, sem limitação, o encerramento das suas contas.»

Reconstrução do texto do aviso de julho de 2016, elaborada pelos autores com base em notícias da imprensa de 21 de julho de 2016 

Karl Quackenbush

Diretor Jurídico, Valve Corp.

Cronologia Julho de 2016 – Setembro de 2026

Prazo indicado no aviso:

10 dias

Julho de 2016

Tempo decorrido desde o aviso:

3,715 dias

Contagem fixa desde 20 de julho de 2016 até ao instantâneo do dossiê de 21 de setembro de 2026; não se trata de um valor em tempo real

Registo de execução publicado:

Nenhum

Não foi encontrada qualquer registo, por operador, de rescisões ou bloqueios

◀ **Dias 0–10** — o prazo, em proporção **Dia 3715** — a imagem instantânea ▶

- 20 de julho de 2016**Foi emitida uma notificação de dez dias***Dia 0*

- 17 de fevereiro de 2024**Aplicam-se as obrigações previstas na DSA***Dia 2,768*

- 25 de fevereiro de 2026**Anunciada queixa do Procurador-Geral de Nova Iorque***Dia 3,507*

- 21 de setembro de 2026**Visão geral do dossiê***Dia 3715*

Dez anos depois, **CSGOFast** — mencionado nas notícias da imprensa relativas aos avisos de 2016 — está operacional: o site csgofast.com apresentou um bloqueio do Link Filter nos endereços 2026-09-19 e 2026-09-21, enquanto o seu host de autenticação `steam-login.authtofast.com` (registado 2026-06-30) não o fez.

Registo completo e datado das alterações de segurança do Valve: [Cronologia da segurança →](https://phishdestroy.io/steam_dossier/pt/security_timeline) · O historial de Washington e o critério de aplicação: [abaixo](https://phishdestroy.io/steam_dossier/pt/index#washington-record-heading)

**O que consta nos autos:** O aviso de 2016 estabeleceu um prazo de 10 dias; a Valve já geria uma lista de domínios (o Link Filter) e recebia os nomes de anfitrião autorizados nas suas próprias solicitações OpenID; não foi publicado qualquer registo de aplicação por operador. Relatórios da comunidade descrevem uma ação de 2018 contra um mercado (SkinJar), mas esses relatórios não foram verificados e não são considerados neste contexto.

CSGOFAST / A ROTA DE AUTENTICAÇÃO GUARDADA 

### Siga o anfitrião de retorno indicado.

Os links dos registos de percursos guardados `csgofast.com` para `steam-login.authtofast.com`. O nome de anfitrião específico é incluído no pedido OpenID Steam. Isso proporciona aos investigadores um endereço concreto para comparar com os registos de filtragem e aplicação de medidas do Valve.

[Analise o percurso do CSGOFast e a sua origem ↗](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/csgofast.com.json) · [Comparar resultados guardados Steam Filtro de links ↗](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-all-results.json)

REGISTO PÚBLICO / WASHINGTON · 2016 → 2026 

### Dois prazos. Uma norma de aplicação sem resposta.

**20 de julho**

#### Valve concede aos sites de jogos de azar um prazo de 10 dias

A notificação do seu advogado advertia que a utilização comercial continuada das contas Steam poderia levar à rescisão do contrato.

**27 de setembro**

#### Washington pressiona Valve

A Comissão de Jogos de Azar do estado exigiu provas das medidas tomadas para impedir as transferências de «skins» para fins de jogo e estabeleceu o prazo de 14 de outubro para a apresentação de uma resposta.

**17 de outubro**

#### Valve rejeita a acusação

Valve respondeu após o prazo, contestou que facilitasse o jogo, afirmou ter desativado as contas associadas e declarou que não pretendia desativar as transações e o OpenID para todos. Pelo menos uma plataforma mencionada nas notícias da imprensa sobre as notificações de julho (CSGOFast) continuava em funcionamento uma década depois. Ambos os factos só se podem verificar se o operador tiver substituído as contas desativadas; o registo que comprovaria isso ainda não foi publicado. A WSGC deveria solicitar à Valve que esclarecesse esta contradição.

**2026**

#### As rotas observadas em setembro de 2026

O registo de rotas indica 44 plataformas que se autenticam através de servidores de autenticação de domínios distintos, incluindo o CSGOFast, utilizando o OpenID e os mecanismos de transação Valve descritos em 2016. O registo de medidas coercivas que indicaria quais os operadores que foram bloqueados ainda não foi apresentado.

INFORMAÇÃO DA PRÓPRIA COMISSÃO · 30 DE JANEIRO DE 2018 

#### Dezoito meses após a resposta da Valve, a entidade reguladora continuava a considerá-lo uma intenção.

Ao informar a sua própria assembleia legislativa na audiência pública sobre o projeto de lei HB 2881, a Comissão descreveu a declaração de julho de 2016 nas suas próprias palavras: Valve **"anunciou a sua intenção de tomar medidas severas contra a utilização da sua plataforma para facilitar as apostas com skins."** Nessa mesma página consta o impacto que esse anúncio teve nas previsões para o setor — *«consequentemente,»* a previsão para o mercado de apostas com skin em 2020 foi revista de **$19.7 mil milhões** para **$670 milhões**, uma redução de cerca de 97 por cento, apenas com base no anúncio. A previsão foi alterada. O registo de fiscalização por operador que justificaria essa medida ainda não foi publicado.

Os dados de mercado são estimativas da Narus Advisors / Eilers & Krejcik Gaming reproduzidas no documento informativo da Comissão, não constituindo conclusões da própria Comissão; o mesmo documento estima que as apostas com «skins» em 2016 ascenderam a cerca de $5 mil milhões, dos quais aproximadamente $3 mil milhões em sites do tipo casino. Recuperado em 2026-09-22, SHA-256 `c507c9025f93da0aadaf395c4d8882f25973211c318ee8e9b6f18a5b3755e050`.

A posição pública de Valve em 2016 e a infraestrutura atualmente observável podem ser comparadas. A questão é saber se as medidas de fiscalização atingiram as contas e as rotas utilizadas pelos operadores proibidos. **Um prazo de pré-aviso de dez dias não constitui prova de que o pré-aviso tenha sido notificado a todos os operadores nele mencionados.** A ação da OPSkins de 2018 é a única intervenção documentada contra um operador identificado; tendo em conta que foram verificadas 189 plataformas e que não foram publicados registos por operador, uma única ação documentada não demonstra um padrão de aplicação da lei.

[Aviso de 2016 da Comissão de Jogos de Azar de Washington ↗](https://wsgc.wa.gov/news/2016/washington-state-gambling-commission-orders-valve-stop-skins-gambling) [arquivado 2026-05-20 ↗](https://web.archive.org/web/20260520012601/https://wsgc.wa.gov/news/2016/washington-state-gambling-commission-orders-valve-stop-skins-gambling) · [Resposta de Valve de 17 de outubro de 2016 (cópia do documento) ↗](https://fr.scribd.com/document/328063293/Valve-s-Oct-18th-response-to-Washington-State-Gambling-Commission-s-cease-and-desist) · [Sessão informativa do WSGC à Assembleia Legislativa, 30 de janeiro de 2018 (cópia local, 4 pp.) ↗](https://phishdestroy.io/steam_dossier/steam_tos_assets/wsgc-skins-gambling-briefing-2018.pdf) · [o mesmo ficheiro em wsgc.wa.gov ↗](https://wsgc.wa.gov/sites/default/files/2023-10/Skins%20Gambling.pdf) · [registo de recuperação e hash ↗](https://phishdestroy.io/steam_dossier/steam_tos_assets/wsgc-briefing-manifest.json) · [A ação do Valve no OPSkins de 2018 ↗](https://blog.counter-strike.net/expresstrade/) [arquivado 2026-03-07 ↗](https://web.archive.org/web/20260307161538/https://blog.counter-strike.net/expresstrade/) · [Auditoria à rota atual ↗](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit.json)

Auditoria Forense Longitudinal · Alvos da ordem de cessação e desistência de 2016 

### A Década do Aviso Prévio de 10 Dias: Auditoria Forense de Sobrevivência dos 23 Locais Identificados

Nos dias 19 e 20 de julho de 2016, Valve o Conselheiro Geral Karl Quackenbush emitiu notificações formais de cessação e abstenção a 23 plataformas de jogos de azar com «skins», ordenando-lhes que cessassem a utilização comercial de Steam contas no âmbito de **10 dias** sob ameaça de encerramento da conta e de ação judicial. Mais de 3,700 dias depois, uma auditoria empírica revela o verdadeiro padrão de aplicação das medidas: vários operadores nunca cessaram as suas atividades, outros continuaram a operar até seis anos após o prazo, e o ecossistema multimilionário continuou a tirar partido da arquitetura OpenID da Valve.

5+ AO VIVO

Definitivamente em funcionamento em 2026 (CSGOBig, CSGO500, CSGOFast, etc.)

6 ANOS

Período mais longo entre o aviso e o encerramento (CSGOatse ativo até 2022)

$5.01B

Volume de apostas em «skin» em 2016 (Narus / Eilers & Krejcik)

Mais de 200

Sites de apostas online em pleno funcionamento no auge do mercado

Os Titãs Sobreviventes · Plano Financeiro e de Tráfego para 2024–2026 

#### Desde avisos com 10 dias de antecedência até conglomerados offshore: o volume de negócios de vários mil milhões de dólares

Em vez de eliminar as apostas com skin, os avisos de Valve de 2016 catalisaram uma evolução do setor. Os operadores que sobreviveram reestruturaram-se como entidades empresariais offshore (Curaçao, Belize, Chipre), foram pioneiros no comércio Peer-to-Peer (P2P) para contornar as proibições de bots e, atualmente, processam mais de **10 milhões de visitas mensais ao site** e **milhares de milhões de dólares em volume anual de apostas** ao mesmo tempo que se continua a autenticar através de Steam:

| Plataforma / Domínio | Aviso de julho de 2016 | Resultado da execução e situação de sobrevivência | Verificação registada / Links principais |
| --- | --- | --- | --- |
| CSGOBig csgobig.com | Aviso com 10 dias de antecedência (julho de 2016) | AINDA VIVO EM 2026 Temporariamente suspenso, relançado; autenticação através de letmeinbig.com e csgobiglogin.com | [X: @csgobig ↗](https://x.com/csgobig) · [FB: csgobigofficial ↗](https://www.facebook.com/csgobigofficial/) |
| CSGO500 csgo500.com / 500.casino | Aviso com 10 dias de antecedência (julho de 2016) | AINDA VIVO EM 2026 Rebrandizado como 500 Casino (licença de Curaçao n.º 8048/JAZ2014-037), com um volume de negócios mensal de vários milhões | [Plataforma ao vivo (500.casino) ↗](https://500.casino) |
| CSGOFast csgofast.com | Aviso com 10 dias de antecedência (julho de 2016) | AINDA VIVO EM 2026 A operar ativamente a roleta, o «crash» e o jackpot através do site steam-login.authtofast.com | [Auditoria de Autenticação de Dossiers ↗](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/csgofast.com.json) |
| CSGOLounge / Dota2Lounge csgolounge.com / dota2lounge.com | Aviso com 10 dias de antecedência (julho de 2016) | AINDA VIVO EM 2026 Focou-se nas apostas em moedas de e-sports e em criptomoedas; manteve o funcionamento contínuo | [Plataforma ao vivo ↗](https://csgolounge.com) |
| CSGOCasino csgocasino.net / csgocasino.gg | Aviso com 10 dias de antecedência (julho de 2016) | LIVE VIA SUCCESSOR (2026) O domínio foi redirecionado; o portal sucessor ativo funciona em csgocasino.gg | [Domínio sucessor ↗](https://csgocasino.gg/) |
| CSGOatse csgoatse.com | Aviso com 10 dias de antecedência (julho de 2016) | SOBREVIVEU 6 ANOS (EM ATIVIDADE ATÉ 2022) As operações de jogo continuaram a funcionar em pleno durante seis anos, após o ultimato de 10 dias de Valve | [X: @CSGOatsecom (Ativo até 2022) ↗](https://x.com/CSGOatsecom) |
| CSGOSweep csgosweep.com | Aviso com 10 dias de antecedência (julho de 2016) | SOBREVIVEU ATÉ DEZEMBRO DE 2017 Manteve-se em funcionamento ao público durante 17 meses após o prazo | [X: Situação do CSGOSweep – dezembro de 2017 ↗](https://x.com/CSGOSweep/status/937420902538543106) |
| CSGOWild csgowild.com | Aviso com 10 dias de antecedência (julho de 2016) | SOBREVIVEU ATÉ DEZEMBRO DE 2017 Promovido por influenciadores de renome; esteve em funcionamento durante 1,5 anos após a notificação de cessação e abstenção, antes da migração para as criptomoedas | [X: @Wild (Ativo em dezembro de 2017) ↗](https://x.com/Wild) |
| CSGOPot csgopot.com | Aviso com 10 dias de antecedência (julho de 2016) | SOBREVIVEU ATÉ SETEMBRO DE 2017 Operou apostas com jackpots de valor elevado 14 meses após a notificação | [X: @csgopot (Ativo em setembro de 2017) ↗](https://x.com/csgopot) |
| CSGODiamonds csgodiamonds.com | Aviso com 10 dias de antecedência (julho de 2016) | SOBREVIVEU ATÉ MEADOS DE 2017 Continuou até 2017, apesar de se ter admitido a manipulação de resultados a favor de streamers patrocinados | [X: @csgodiamondscom (2017) ↗](https://x.com/csgodiamondscom) |
| CSGOLotto csgolotto.com | Aviso com 10 dias de antecedência (julho de 2016) | ENCERRADO EM JULHO DE 2016 Encerrou a atividade na sequência de um escândalo público; alvo de uma ordem de consentimento da FTC federal | [Acordo de Consentimento da FTC (Processo n.º C-4632) ↗](https://search.ftc.gov/legal-library/browse/cases-proceedings/162-3184-csgolotto-trevor-martin-thomas-cassell-matter) |
| CSGODouble csgodouble.com | Aviso com 10 dias de antecedência (julho de 2016) | ENCERRADO EM JULHO DE 2016 Encerramento voluntário imediatamente após a publicação da notificação de cessação e desistência | [X: @CSGODouble (Encerrado em julho de 2016) ↗](https://x.com/CSGODouble) |
| CSGOMassive csgomassive.com | Aviso com 10 dias de antecedência (julho de 2016) | ENCERRADO EM 2016 Cessou as suas atividades ao público no final de 2016 | [X: @csgo_massive ↗](https://x.com/csgo_massive) |
| CSGOStrong csgostrong.com | Aviso com 10 dias de antecedência (julho de 2016) | ENCERRADO EM 2016 Cessou a sua atividade pública em 2016 | [FB: csgostrongfree ↗](https://www.facebook.com/csgostrongfree/) |
| Skins2 skins2.com | Aviso com 10 dias de antecedência (julho de 2016) | ENCERRADO EM 2016 Cessou a sua atividade pública em 2016 | [FB: CSNCOM ↗](https://www.facebook.com/CSNCOM/) |

| Plataforma | Tráfego mensal (visitas) | Volume de negócios estimado / Volume | Entidade jurídica e jurisdição | Principais medidas regulatórias e modelo |
| --- | --- | --- | --- | --- |
| CSGOEmpire csgoempire.com | 2,3 milhões — 9,0 milhões / mês Duração média de 6+ minutos; 80% direto | $1.5B — $2.5B Volume de negócios anual >1,000,000 transações de skins P2P por mês; $6.4M volume de ordens ativas e líquidas | Moonrail Limited B.V. (Curaçao n.º 148182) Pagamentos: JHOLT LTD (Chipre); Fundador: «Monarch» (Ossi Ketola) | Pioneira no comércio P2P de artigos sem comissões; licenciada em Curaçao sob a licença OGL/2024/1183/0869 |
| CSGORoll csgoroll.com | 2,74 milhões — 3,5 milhões / mês Duração média de 9m 23s; taxa de rejeição de 16% | $1.0B — $2.0B Volume de negócios anual Receita anual da empresa estimada entre $100M e $200M, proveniente da vantagem da casa | Feral Holdings Limited Com sede na Cidade de Belize, em Belize (N.º de registo 171519) | Proibido pela ACMA australiana (maio de 2023); patrocinou a equipa de nível 1 G2 Esports, que contava com jogadores menores de idade |
| 500 Casino (CSGO500) 500.casino / csgo500.com | 220 mil — 425 mil / mês ~105 mil visitantes únicos por mês | $100k / semana ($5.2M/ano) em Royales Requisito de aposta para grandes apostadores: $400 de aposta por $1 de rakeback | Perfect Storm B.V. (Curaçao n.º 150536) Licença da Comissão de Controlo do Jogo de Curaçao n.º OGL/2024/1354/0882 | Proibida pela Spelinspektionen sueca (novembro de 2023) por se dirigir a jogadores suecos sem licença |
| CSGOBig csgobig.com | ~169,600 / mês Duração média: 19m 12s; Primárias nos EUA | Volume anual de vários milhões Caixas misteriosas, roleta e batalhas de caixas | Funciona através de encaminhamento por proxy auxiliar letmeinbig.com (reg. 2023) e csgobiglogin.com | O Target da C&D de julho de 2016 foi relançado com uma arquitetura de autenticação por proxy |
| CSGOFast csgofast.com | ~150 mil — 250 mil / mês Público global multilingue | Volume anual de vários milhões Roleta de alta velocidade e jogos «crash» | Entidades operacionais offshore Rotas Steam autenticação através de steam-login.authtofast.com | Alvo da C&D de julho de 2016; nunca interrompeu as suas atividades; em funcionamento em 2026 |
| CSGOPolygon csgopolygon.com / plg.bet | ~300 mil — 500 mil / mês O domínio da CEI e da Europa de Leste | Volume anual de vários milhões Criptomoedas e roleta de skins, apostas em jogos | Meta da segunda fase (outubro de 2016) Focou-se nas criptomoedas com o domínio espelho plg.bet | Sobreviveu a uma década inteira; continua a liquidar skins através de APIs de terceiros |

A Segunda Onda: Por que é que a notificação de cessação e abstenção da Valve visou mais de 43 sites no total

Em 17 de outubro de 2016, o representante legal da Valve informou formalmente à Comissão de Jogos de Azar do Estado de Washington que, na sequência das 23 notificações iniciais de 19 de julho, a Valve tinha enviado cartas de cessação e desistência a **mais de 20 sites adicionais de apostas com skins** (elevando o total oficial para mais de 43). Esta segunda vaga tornou-se necessária porque a lista inicial omitiu, inexplicavelmente, os maiores e mais famosos centros de jogo do mundo:

- **CSGOJackpot.com:** A empresa pioneira no ramo dos «jackpots» de pele, que movimentou centenas de milhões antes de encerrar as portas sob a ameaça de uma acusação federal.

- **CSGOShuffle.com:** O site que esteve no centro do escândalo de streaming de julho de 2016, onde o streamer da Twitch PhantomL0rd detinha secretamente 33% da empresa e foi desmascarado por manipular as probabilidades com fundos da própria empresa.

- **O macroecossistema (mais de 200 operadores):** De acordo com um estudo do setor realizado pela Narus Advisors e pela Eilers & Krejcik Gaming, em 2016 estavam em funcionamento mais de 200 sites distintos de apostas com «skins», que geraram $5.01 mil milhões em volume de apostas proveniente de 3,03 milhões de jogadores ativos. As 43 cartas da Valve abrangeram menos de 20% do mercado ativo.

Investigações oficiais do Governo e das entidades reguladoras sobre o «Steam Skin Gambling»

O fenómeno do jogo «skin gambling» está documentado em várias investigações oficiais, ações de fiscalização e documentos de posição do governo:

**1. Comissão de Jogos de Azar do Estado de Washington (WSGC) (2016–2018)** 

Emitida uma notificação formal de cessação e abstenção em 5 de outubro de 2016; publicado um resumo legislativo em 30 de janeiro de 2018, no qual se documenta que as «skins» são equivalentes a dinheiro e se reporta o volume de apostas com «skins» de $5.0B.

[Relatório Legislativo do WSGC em PDF (Cópia local) ↗](https://phishdestroy.io/steam_dossier/steam_tos_assets/wsgc-skins-gambling-briefing-2018.pdf)

**2. Comissão Federal do Comércio dos EUA (FTC) (setembro de 2017, Processo n.º C-4632)** 

Primeira ação regulatória federal contra os proprietários da CSGOLotto, Trevor Martin e Thomas Cassell, por práticas enganosas e controlo não divulgado da plataforma no âmbito das apostas com «skins».

[Decisão e Ordem de Consentimento da FTC ↗](https://search.ftc.gov/legal-library/browse/cases-proceedings/162-3184-csgolotto-trevor-martin-thomas-cassell-matter)

**3. Documento de posição da Comissão de Jogos do Reino Unido (UKGC) e auditorias relativas aos jovens** 

O inquérito de 2018 da Gambling Commission concluiu que 3% dos jovens de 11 a 16 anos disseram já ter apostado com itens do jogo (skins).

[Repositório de Investigação da UKGC ↗](https://www.gamblingcommission.gov.uk/news/article/gambling-commission-publishes-new-report-on-children-and-gambling-trends)
[UKGC policy on virtual currencies ↗](https://www.gamblingcommission.gov.uk/licensees-and-businesses/guide/page/digital-and-virtual-currencies)

**4. Inquérito do Senado australiano sobre o Ambiente e as Comunicações (2018)** 

Relatório do Parlamento Federal sobre *«Microtransações em jogos para itens aleatórios»*, avaliando a mecânica das caixas de saque do Valve, os levantamentos de fundos no mercado secundário e a evasão regulamentar.

[Inquérito do Parlamento da Austrália ↗](https://www.aph.gov.au/Parliamentary_Business/Committees/Senate/Environment_and_Communications/Gamingmicro-transactions/Report)

A procura pendente 

**Publicar o registo das medidas aplicadas: quais as contas de jogo e os bots que foram desativados, quais os servidores de retorno que foram restringidos e quais os serviços comerciais que receberam autorização. Uma proibição pública e um aviso na página inicial não comprovam que a operação subjacente tenha sido interrompida.**

Parte B — Regulamentos e registo de aplicação · Secção 12 

## O nome do anfitrião já consta no pedido.

Limites de contexto e de fonte

O Valve já mantém uma lista de domínios (o «Link Filter») e já recebe o nome de host de autenticação em cada pedido OpenID. O pseudocódigo abaixo mostra a estrutura lógica da ligação entre os dois. Não há provas públicas de que o Valve o faça.

Valve já mantém uma lista de domínios bloqueados. Valve já recebe o host de início de sessão em cada pedido OpenID. **Não é preciso construir nada — basta unir as duas partes.** Trata-se de uma pesquisa de nome de anfitrião numa lista que o Valve mantém por si próprio. O pseudocódigo abaixo é apenas uma ilustração, não sendo a implementação do Valve.

forensic_autoban.py

# PSEUDOCÓDIGO ILUSTRATIVO — Valve.block_domain() e flag_session_as_mitm() não são chamadas reais à API. Isto demonstra a estrutura lógica de uma medida de mitigação que o Valve poderia implementar contra domínios de autenticação por proxy, e não o funcionamento interno real do Valve.

# Ilustração: o formato lógico de uma verificação da solicitação OpenID recebida

def audit_openid_request (pedido):

blocked_origins = base de dados. obter_plataformas_na_lista_negra ()

proxy_domain = request.params. obter ( 'openid.realm' )

target_redirect = request.params. obter ( 'openid.return_to' )

# Lógica: Se o proxy redirecionar para um site bloqueado, bloquear o proxy.

para site em origens_bloqueadas:

se site em target_redirect:

Valve. bloquear_domínio (proxy_domain)

Valve. flag_session_as_mitm (request.session)

# Resultado: o pedido de início de sessão para esse anfitrião foi recusado

Observação: 
Quando um domínio principal já se encontra no Filtro de Links (por exemplo, howl.gg, bloqueado 2026-09-18/19/21) e o seu anfitrião de autenticação (howl.uno) aparece no pedido OpenID proveniente do botão de início de sessão desse site, a associação é observável para Valve a partir dos seus próprios dados de pedido. A verificação pode ser automatizada; a sua execução, não.

### Precedentes documentados e relatados

A Valve já interveio contra um operador terceiro pelo menos uma vez, segundo consta dos registos: em 2018, revogou o acesso da OPSkins ao sistema ExpressTrade ([Anúncio de Valve ↗](https://blog.counter-strike.net/expresstrade/) [arquivado 2026-03-07 ↗](https://web.archive.org/web/20260307161538/https://blog.counter-strike.net/expresstrade/)). Relatórios da comunidade de 2018 também descrevem uma plataforma de comércio (SkinJar) que perdeu o acesso; esses relatórios não foram verificados e o mecanismo é deduzido a partir do resultado, e não de um processo divulgado.

O que o precedente estabelece: 

Valve pode bloquear o acesso de um operador terceiro sempre que assim o decidir. O CSGOFast, mencionado em notícias da imprensa relativas aos avisos de julho de 2016, estava a operar no 2026-09-21 com um host de autenticação registado no 2026-06-30 que não apresentava qualquer bloqueio do Link Filter. Não há qualquer critério publicado que explique por que razão um operador foi bloqueado e outros não.

### O que a data de registo indica e o que não indica

A data de registo de um host de autenticação constitui o limite mínimo para a data em que o host poderia ter aparecido pela primeira vez numa solicitação OpenID; não implica, contudo, uma utilização contínua. `sc-auth.net`, por exemplo, foi registado em 2019-04-02 (RDAP) e foi observado no fluxo de início de sessão Steam do Skin.Club em setembro de 2026; o que aconteceu entre essas duas datas não consta dos registos públicos.

### Auditoria comparativa: normas de conformidade da API

| Dimensão da aplicação da lei | Regras da API do GitHub | Steam API Web (Valve) |
| --- | --- | --- |
| 1. Neutralidade em matéria de conformidade | Regras publicadas e uniformes. Os limites de taxa documentados (por exemplo, 5,000 chamadas/hora para utilizadores autenticados, 15,000/hora para organizações do GitHub Enterprise Cloud) e as políticas de utilização aceitável publicadas aplicam-se a todas as contas. | Não existem critérios publicados. As contas individuais são encerradas ao abrigo das cláusulas relativas à automatização e à utilização comercial (queixas arquivadas), embora não tenha sido publicado qualquer registo de medidas coercivas por operador no que diz respeito às plataformas comerciais. |
| 2. Abuso do OpenID / Proxy de Autenticação | As políticas publicadas pelo GitHub permitem que as aplicações e os tokens OAuth sejam suspensos ou revogados em caso de abuso, e a sua documentação descreve a revogação automática de tokens expostos (resumo da documentação do GitHub elaborado pelos autores). | Os servidores de autenticação de domínios separados observados nos fluxos OpenID Steam (por exemplo, rbsnin.com, howl.uno, sc-auth.net) não apresentaram qualquer bloqueio do Filtro de Links no 2026-09-21, ao passo que os seus domínios principais sim. |
| 3. Monetização do abuso | O GitHub não cobra qualquer comissão sobre transações realizadas por meio de automação de terceiros; o seu modelo de receitas baseia-se nas subscrições e nas listagens no mercado. | O Valve vende as chaves das caixas que dão origem aos itens, e o Mercado da Comunidade cobra uma taxa combinada de cerca de 15% sobre as vendas concluídas no próprio Mercado. Não se estima aqui qualquer valor relativo às receitas atribuíveis a plataformas de terceiros. |
| 4. Duração dos ciclos de evasão | Os IDs de clientes OAuth suspensos deixam de funcionar em toda a plataforma no momento da suspensão; a documentação não indica um prazo para a ação e não se pressupõe qualquer prazo neste contexto. | Os servidores de autenticação de domínios separados com datas de registo entre 2011 e setembro de 2026 não apresentaram qualquer bloqueio do Filtro de Links nas verificações de 2026-09-19 e 2026-09-21. A data de registo constitui um limite inferior para a utilização possível, não sendo prova de utilização contínua. |

Fontes: Coluna do GitHub — Documentação publicada pelo GitHub sobre limites de taxa da API e políticas da plataforma (resumo dos autores, não citado) · Coluna Steam — Verificações do filtro de ligações em 2026-09-19 e 2026-09-21 ([linkfilter-recheck-2026-09-21.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-recheck-2026-09-21.json)), registo RDAP ([registo-de-domínios.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/domain-registration.json)) e as reclamações de apoio ao cliente arquivadas ([arquivo de provas](https://phishdestroy.io/steam_dossier/pt/steam_evidence_archive)).

Parte B — Regulamentos e histórico de aplicação · Artigo 13.º 

## A diferença de preço «off-Steam»

O artigo encontra-se num inventário Steam; a venda realiza-se noutro local. Uma AWP Dragon Lore nova de fábrica tinha **62 ofertas ativas no CSFloat**; o preço mais baixo pedido **$10,623.95**. O próprio mercado de Steam não pode apresentar um preço de venda superior a aproximadamente $1,800. Para vender pelo preço mais elevado observado, um proprietário precisa de um comprador ou de uma plataforma de mercado fora de Steam. O artigo e a sua transferência continuam a depender de Steam.

Contexto e limites da fonte

Nesta secção, aparecem três categorias diferentes, que não são intercambiáveis. **245** é o número de categorias de nomes de artigos CS2 cuja oferta ativa mais barata excedeu $1,800 apenas no CSFloat, a 20 de setembro de 2026. **241** é esse mesmo conjunto, excluindo as quatro categorias fixadas no limite superior $100,000 do CSFloat, que é o painel com base no qual se calcula o limite inferior $13.63M. **248** trata-se de um panorama diferente: categorias cujos preços ultrapassavam o limite máximo em duas ou mais das cinco plataformas de negociação, a 23 de setembro de 2026. As plataformas de negociação sobrepõem-se, pelo que os valores de diferentes plataformas nunca devem ser somados. Todos os valores aqui apresentados correspondem a preços de venda solicitados, não a vendas concluídas, e nenhum deles representa receitas, volume de negócios ou lucro — nem para o Valve nem para qualquer outra entidade. Os valores apresentados pelo PriceEmpire são estimativas arredondadas publicadas por esse site, e o seu cartão Steam abrange itens de outros Steam jogos, pelo que os âmbitos da comparação não são idênticos.

**Um artigo. Dois sistemas de preços.** ACOMPANHE O REGISTO

STEAM**Sobre $1,800** Limite máximo de listagens no Mercado Comunitário publicado

CATÁLOGO GUARDADO**$10,623.95** AWP Dragon Lore nova de fábrica – pedir preço

A DEPENDÊNCIA**Ainda é um artigo Steam** O inventário e a transferência permanecem em Steam

Steam limita o preço de venda anunciado. Um vendedor pode aceitar um valor inferior, mas não pode anunciar o preço pedido de cinco dígitos observado nesse mercado.

O catálogo CSFloat guardado apresenta 62 ofertas. Trata-se de um preço pedido, não de uma prova de que a venda tenha sido concluída.

Nesse caso, o vendedor precisa de um local ou comprador fora do Steam. O artigo continua a depender do inventário e do sistema de transferência do Steam.

01 / ARTIGO **Valve inventário do jogo**Item do CS2 ou do Dota 2 guardado em Steam

02 / TETO **Sobre $1,800 em Steam**Preço máximo por um anúncio no Market

03 / PERGUNTA EXTERNA **$10,623.95 para «Dragon Lore»**A oferta mais barata de CSFloat no instantâneo datado

04 / ENTREGA **Steam permanece na cadeia**A titularidade e a transferência de artigos dependem desse sistema

**245 categorias CS2 no CSFloat.****166 categorias de CS2 e 3 de Dota 2 no Skinport.**

Cada valor refere-se às categorias de nomes de artigos cuja oferta ativa mais barata se situava estritamente acima de $1,800 a 20 de setembro de 2026. As plataformas de comércio eletrónico sobrepõem-se; os seus valores não devem ser somados. Uma oferta não equivale a uma venda concluída.

[Verificar o registo ao nível do artigo →](https://phishdestroy.io/steam_dossier/pt/elite_skins#register)

API CSFLOAT DIRETA / INSTANTÂNEO DATADO **$13.63M**

Valor mínimo agregado solicitado em **241 categorias de artigos** e **3,395 ofertas ativas**. Calculado como o preço de venda mais baixo de cada categoria multiplicado pelo número de ofertas correspondentes. Quatro categorias fixadas no limite máximo de $100,000 do CSFloat são excluídas deste painel conservador.

### O que o valor em dólares revela

Estas ofertas representam, pelo menos, **$13,631,888.25** nos preços de venda anunciados para este subconjunto limitado do CSFloat. Ao incluir as quatro categorias com preço máximo, obtém-se **$14,231,888.25**. Isto é um *limite mínimo para pedidos ativos*, e não as vendas concluídas, o volume de negócios, o lucro ou todo o mercado do CS2.

[Recalcular a partir do instantâneo CSFloat de 245 linhas ↗](https://phishdestroy.io/steam_dossier/steam_tos_assets/csfloat-catalogue.json)

PRICEEMPIRE / VALOR DE COTAÇÃO **Steam: n.º 15 de 39**

### Muitos locais indicam um valor em dólares superior a Steam.

UUSkins 

**$133.8M**

YouPin898 

**$127.5M**

Buff.163 

**$104M**

Moon.Market 

**$100.3M**

White.Market 

**$89.6M**

Buff.Market 

**$86.7M**

Steam 

**$31M**

Os seis maiores valores apresentados e Steam. O PriceEmpire arredonda estes valores; Steam mostra **$31M**. Catorze locais listados estão à frente deste, de acordo com os valores em dólares apresentados.

PRICEEMPIRE / NÚMERO DE OFERTAS **Steam: n.º 1 de 39**

### Steam continua a liderar em número de ofertas.

Steam 

**32,2 milhões**

YouPin898 

**5,9 milhões**

C5Game 

**4,6 milhões**

HaloSkins 

**4,4 milhões**

Skinport 

**3,8 milhões**

Steam mostra **32,2 milhões** ofertas. O número de ofertas e o valor total pedido respondem a questões diferentes; muitos anúncios com preços baixos podem dominar o número total.

Fonte: [Comparação pública do PriceEmpire ↗](https://pricempire.com/cs2-marketplaces) [arquivado 2026-09-21 ↗](https://web.archive.org/web/20260921022459/https://pricempire.com/cs2-marketplaces), captado às 2026-09-20 19:03 UTC; [extração datada de 39 linhas ↗](https://phishdestroy.io/steam_dossier/steam_tos_assets/priceempire-marketplaces.json). Os números apresentados são estimativas arredondadas e o inventário pode sobrepor-se entre locais. A ficha do Steam também descreve itens de outros jogos Steam, pelo que os âmbitos não são idênticos. Os valores indicados referem-se aos preços de venda, e não às vendas nem às receitas.

**42**

OUTRA FONTE / STEAMANALYST 

### O ecossistema comercial está à vista de todos.

[Diretório do mercado da SteamAnalyst](https://www.steamanalyst.com/marketplace) [arquivado 2026-07-19 ↗](https://web.archive.org/web/20260719014552/https://www.steamanalyst.com/marketplace) apresenta uma lista de 42 plataformas de comércio do CS2 de terceiros, juntamente com o Steam, com dados recentes sobre preços para 32 das 43 entradas. O PriceEmpire lista 39 plataformas de acordo com os seus próprios critérios de inclusão. Empresas identificadas, ofertas públicas, preços visíveis: esta economia está aberta à inspeção.

O LIMITE É O MECANISMO: A PROMOÇÃO PERDE FORÇA, MAS O ARTIGO NÃO. 

Em cinco mercados abrangidos por uma única imagem captada ao abrigo de uma licença, **248 categorias de artigos CS2 têm preços fixados de forma independente acima do limite máximo de listagem de aproximadamente $1,800 do Steam por duas ou mais dessas categorias — e todas elas estão ausentes do Steam**. O mesmo instantâneo agrupou todo o catálogo por preço: o mercado de Valve tem 95.3% das categorias de artigos abaixo do seu limite máximo e 1.9% das que estão acima dele. A redução não reflete uma queda na procura; corresponde exatamente à regra publicada. Vender a esses preços requer um comprador externo ou uma plataforma de comércio, enquanto o Steam continua a controlar o inventário e a transferência — a transação sai do balcão de pagamento do Valve e a entrega permanece na infraestrutura do Valve.

[Steam Perguntas frequentes sobre o mercado ↗](https://help.steampowered.com/en/faqs/view/61F0-72B7-9A18-C70B)[arquivado 2026-09-21 ↗](https://web.archive.org/web/20260921022227/https://help.steampowered.com/en/faqs/view/61F0-72B7-9A18-C70B)[Steam Contrato de Subscrição ↗](https://store.steampowered.com/agreement/?l=english)[arquivado 2026-09-21 ↗](https://web.archive.org/web/20260921022032/https://store.steampowered.com/agreement/?l=english)[Conjunto de dados do atlas de cinco mercados ↗](https://phishdestroy.io/steam_dossier/steam_tos_assets/cs2sh-atlas.json)[Manifesto de proveniência ↗](https://phishdestroy.io/steam_dossier/steam_tos_assets/cs2sh-manifest.json)[Instantâneo anterior do CSFloat ↗](https://phishdestroy.io/steam_dossier/steam_tos_assets/csfloat-catalogue.json)[Visão geral do Skinport ↗](https://phishdestroy.io/steam_dossier/steam_tos_assets/skinport-floor-over-cap.json)[PriceEmpire ↗](https://pricempire.com/cs2-marketplaces) [arquivado 2026-09-21 ↗](https://web.archive.org/web/20260921022459/https://pricempire.com/cs2-marketplaces)[SteamAnalyst ↗](https://www.steamanalyst.com/marketplace) [arquivado 2026-07-19 ↗](https://web.archive.org/web/20260719014552/https://www.steamanalyst.com/marketplace)[Registo de diferenças de preços ↗](https://phishdestroy.io/steam_dossier/pt/elite_skins)[Atlas da escala de preços ↗](https://phishdestroy.io/steam_dossier/pt/skin_atlas)

Parte C — Quadros jurídicos

Parte C — Quadros jurídicos · Secção 14 · Acesso do pessoal 

## Quem pode reiniciar as medidas de segurança?

Contexto e limites da fonte

A segurança da conta depende também das pessoas que podem recuperar uma conta, consultar registos privados ou redefinir as suas medidas de segurança. A investigação deve acompanhar essas ações privilegiadas com o mesmo rigor com que acompanha o uso indevido da API.

A recuperação de contas confere a um agente de apoio o poder de retirar uma conta ao seu titular. **Valve confirmou por escrito, por duas vezes — em fevereiro de 2023 e em novembro de 2025 — que este poder foi utilizado para atribuir contas às pessoas erradas.** Com um intervalo de trinta e três meses, através do mesmo canal. Abaixo: o valor desse acesso, seis casos comprovados e o registo Valve que se aplica a cada um deles e que não foi divulgado a ninguém.

Testemunho preservado / 9 de maio de 2025 

### Um código de recuperação que desativou a segurança da conta e uma perda declarada de $10,000

Um utilizador no arquivo de apoio recolhido relata que o Steam Apoio redefiniu a palavra-passe e desativou a proteção da conta depois de outra pessoa ter enviado um pedido de recuperação. O autor afirma que a conta estava inativa há anos, continha itens desde 2016–2017 e tinha Steam Guard, um telemóvel associado e códigos de recuperação guardados.

> "Steam O serviço de apoio ao cliente concedeu acesso à minha conta a outra pessoa."

Alegação na primeira pessoa, registada em `steam_support_tickets_MEGA.json`, registo n.º 110. [Ler a publicação completa capturada ↗](https://phishdestroy.io/steam_dossier/pt/steam_enforcement_evidence#case-support-recovery)

Isto não se trata de azar de um único utilizador. A mesma via — um pedido de ajuda que transfere uma conta para quem fornecer os dados mais antigos — é o procedimento documentado para todos os casos constantes do registo abaixo, e Valve já o confirmou por escrito por duas vezes.

**O proprietário não tem como ganhar essa discussão.** A recuperação pede a primeira chave de CD, o primeiro e-mail, o primeiro cartão, o primeiro número de telefone. Esses dados encontram-se na base de dados do Valve, e o acesso da equipa de apoio consulta-os — segundo consta, remontando a quinze anos. Uma pessoa que tenha uma cópia do seu ficheiro irá sempre revelar mais do seu histórico do que você próprio. Os alvos foram escolhidos de forma a corresponderem aos critérios: inativos há anos, de elevado valor e, muitas vezes, comprados em segunda mão, pelo que o detentor nunca soube a chave original. Posteriormente, as contas foram completamente eliminadas, interrompendo o rasto do histórico de itens que a comunidade utiliza para localizar uma skin — uma eliminação que um utilizador comum não pode efetuar sem o período de espera padrão.

Privilégio mínimo / OWASP A01 

Os privilégios de recuperação devem ser limitados à tarefa em questão, sujeitos a revisão independente e registados. Verifique quem pode redefinir credenciais, remover Steam Guard, consultar registos de faturação ou exportar dados da conta. [Orientações da OWASP sobre controlo de acesso ↗](https://top10.owasp.org/2025/A01_2025-Broken_Access_Control/) [arquivado 2026-09-20 ↗](https://web.archive.org/web/20260920212535/https://top10.owasp.org/2025/A01_2025-Broken_Access_Control/)

Acesso a um amplo apoio Risco relacionado com o âmbito de acesso

### Para além do inventário.

Se o acesso amplo for utilizado de forma abusiva, a telemetria privada pode tornar-se uma ferramenta para a criação de perfis, o phishing direcionado e a vigilância. As potenciais vítimas incluem utilizadores comuns, militares, figuras públicas e as suas famílias. Trata-se de um modelo de ameaça; as permissões exatas requerem registos de controlo de acesso.

01 Histórico e localização do endereço IP

Os registos de IP podem revelar o histórico de rede e a localização aproximada. Por si só, não permitem determinar movimentos físicos precisos.

02 Identificação de dispositivos

Os identificadores de dispositivos, quando recolhidos e acessíveis, podem associar sessões e contas.

03 Telemetria de atividade

Os registos de data e hora de início de sessão e os registos de sessão podem revelar hábitos, incluindo atividades que não são visíveis num perfil público.

04 Comunicações e contactos

O acesso a mensagens guardadas ou a informações de contacto aumentaria as possibilidades de criação de perfis e de engenharia social.

05 Revelação da identidade

Os registos originais de e-mail, telefone e pagamentos podem associar uma conta pseudónima a uma pessoa.

06 Revenda de dados e responsabilização

As listas de alvos exportadas podem servir de base para esquemas fraudulentos direcionados. Identifique o autor, o local de acesso, os destinatários e as transferências; o local, por si só, não determina nem o acesso nem a imunidade jurídica.

Valve descreve o registo de endereços IP, as informações sobre os dispositivos, os registos de pagamentos e os prestadores de serviços de assistência externos na sua [Política de Privacidade, artigos 3.º e 5.º, n.º 2](https://store.steampowered.com/privacy_agreement/) [arquivado 2026-09-21 ↗](https://web.archive.org/web/20260921021648/https://store.steampowered.com/privacy_agreement/). A política autoriza o acesso de terceiros — a pista de auditoria que indicaria qual o contratante que acedeu a que categoria, quando e ao abrigo de que autorização não foi divulgada.

Secção 14.1 · o registo · junho de 2022 → novembro de 2025 · todas as figuras com indicação da fonte 

### Valve abriu a porta duas vezes, com trinta e três meses de intervalo. A porta nunca se fechou.

Foram relatados seis casos em que as contas foram usurpadas através do próprio canal de pedidos de ajuda do Steam, ou através das credenciais que esse canal protege. Cada montante corresponde ao valor publicado pela fonte citada, e cada fonte é identificada. Dois dos seis casos foram resolvidos com a restituição total dos montantes. A diferença entre estes casos e os restantes não residia no que aconteceu — residia em quem estava a observar.

Valve, por escrito — fevereiro de 2023 «Os itens em questão foram removidos da tua conta porque foram recebidos de uma conta que foi comprometida através de um pedido de assistência, pelo que a equipa do CS:GO assume a responsabilidade. Anulámos as trocas e removemos esses itens de todas as contas que os receberam.»Steam Resposta de apoio a um destinatário dos artigos da HFB, reproduzida por [Dexerto, 21 de fevereiro de 2023 ↗](https://www.dexerto.com/csgo/csgo-skins-worth-millions-allegedly-stolen-with-help-from-steam-support-staff-2066939/) [arquivado 2025-08-18 ↗](https://web.archive.org/web/20250818113925/https://www.dexerto.com/csgo/csgo-skins-worth-millions-allegedly-stolen-with-help-from-steam-support-staff-2066939/)

Valve, de novo por escrito — novembro de 2025 · 33 meses depois «Um técnico de apoio que tratou do pedido de ajuda não seguiu o nosso procedimento, o que fez com que a sua conta fosse restaurada para outra pessoa. Peço desculpa por este erro.»Steam Resposta do Suporte ao utilizador Hawkeye337, citada em [Dexerto, 14 de novembro de 2025 ↗](https://www.dexerto.com/counter-strike-2/valve-saves-hacked-cs2-player-threatened-with-ransom-over-300000-of-rare-stickers-3283135/)

Casos de filtragem:

Restituição: 100% viral vs 0% não viral

- 21 de junho de 2022 

**HFB — o maior inventário do jogo** $2,000,000+ *· elevado para $3,000,000+ no acompanhamento de fevereiro de 2023* 

Sete «Dragon Lores» da AWP de coleção e o Karambit «Blue Gem» n.º 1; só essa faca está avaliada em cerca de **$1.26 milhões**. A conta estava inativa há três anos, mas o autenticador móvel continuava ativo; mesmo assim, o endereço de e-mail e a palavra-passe foram alterados através do processo de recuperação do apoio ao cliente.

**O dinheiro esgotou-se antes dos artigos.** Segundo notícias **$200,000+** Parte do produto da venda já tinha sido levantada através do market.csgo.com — uma plataforma de comércio que efetua pagamentos em dinheiro e criptomoedas. Ao anular uma transação, a skin é devolvida. O dinheiro que já tenha sido depositado não é devolvido.

**E a correção deixou de funcionar.** Um comprador transferiu o seu «Souvenir Dragon Lore» para uma unidade de armazenamento no jogo. O script de reversão do Valve não conseguiu ver o interior do seu próprio contentor, pelo que emitiu uma nova cópia ao proprietário e deixou a cópia oculta tal como estava — o Valve duplicou um **$130,000** artigo ao tentar anular um roubo. Foi detetado através da comparação dos IDs dos artigos e de denúncias da comunidade, tendo sido eliminado um mês depois, em julho de 2022. O comprador foi reembolsado pela BUFF, e não pela Valve. Uma correção de emergência tão precária como esta não é um mecanismo de controlo; é o que uma plataforma faz quando não tem controlo.

[Dexerto, 21 de junho de 2022 ↗](https://www.dexerto.com/csgo/over-2-million-in-csgo-skins-stolen-from-hacked-steam-account-1853092/) [arquivado 2022-07-02 ↗](https://web.archive.org/web/20220702042821/https://www.dexerto.com/csgo/over-2-million-in-csgo-skins-stolen-from-hacked-steam-account-1853092/) · [Kaspersky ↗](https://www.kaspersky.com/blog/cs-go-two-million-usd-inventory-hack/44697/) · valor do levantamento por [Esportfire, 22 de junho de 2022 ↗](https://esportfire.com/article/the-2-million-usd-csgo-hack-22062022) [arquivado 2026-05-15 ↗](https://web.archive.org/web/20260515110250/https://esportfire.com/article/the-2-million-usd-csgo-hack-22062022), aí atribuído a várias fontes do Twitter · duplicação e eliminação de acordo com [Esportsbetting, 14 de julho de 2022 ↗](https://esportsbetting.com/valve-deletes-130000-stolen-dragon-lore/)

**Restaurado***As transações foram revertidas. Os artigos foram retirados dos inventários das pessoas que os tinham comprado pelo preço total.*

- 14 de agosto de 2022 

**CS.Money — os bots da própria plataforma** $6,300,000 *· 19,000+ skins · primeira estimativa $1.6M* 

Os atacantes apoderaram-se dos ficheiros do autenticador móvel dos bots de negociação da plataforma e esvaziaram-nos, tendo depois enviado parte do saque a negociadores conhecidos para confundir as pistas. Investigadores da comunidade mapearam **55 contas de atacantes em poucas horas** e publicou-os.

O Valve não alterou nada. A razão apresentada foi que um site de terceiros se encontra fora do Steam — o mesmo Steam cujo inventário, API comercial e sistema de contas foram alvo do roubo de ponta a ponta.

[Esportfire, 14 de agosto de 2022 ↗](https://esportfire.com/article/the-biggest-hack-in-csgo-history-csmoney-14082022) [arquivado 2025-11-15 ↗](https://web.archive.org/web/20251115173120/https://esportfire.com/article/the-biggest-hack-in-csgo-history-csmoney-14082022)

**Recusado***Não houve reversão. O prejuízo ficou a cargo da plataforma e dos seus utilizadores.*

- Relatado
21 de fevereiro de 2023 

**Qkss — a mesma porta, o mesmo ator** $1,000,000+ 

Foi comunicado que foi tratado da mesma forma que o HFB, pelo mesmo interveniente, através do mesmo pedido de assistência técnica. O HFB foi resolvido na totalidade oito meses antes. O Qkss não.

**Um caminho. Duas respostas.** Nada no registo publicado distingue os dois casos, exceto a dimensão da audiência.

[Dexerto, 21 de fevereiro de 2023 ↗](https://www.dexerto.com/csgo/csgo-skins-worth-millions-allegedly-stolen-with-help-from-steam-support-staff-2066939/) [arquivado 2025-08-18 ↗](https://web.archive.org/web/20250818113925/https://www.dexerto.com/csgo/csgo-skins-worth-millions-allegedly-stolen-with-help-from-steam-support-staff-2066939/)

**Recusado***Não foi restaurado.*

- Relatado
Fevereiro de 2023 

**A própria operação com informação privilegiada — um ano dessa prática** ≈ $320,000 *· refere-se a um período de cerca de um ano, não a uma avaliação de existências* 

O acesso da equipa de apoio permitiu consultar o histórico da conta até **15 anos** — a primeira chave do CD, o primeiro e-mail, o primeiro cartão. São exatamente essas as provas exigidas pelo processo de recuperação, e é por isso que quem detém a base de dados sai sempre a ganhar na discussão com quem detém a conta.

O blogueiro Mzkshow revelou como o operador interno «Steam Help» e o seu colaborador «Alexander» tinham como alvo contas inativas que possuíam mais de $100k em skins. Uma M4A4 Howl roubada, com os holos «iBUYPOWER» e «Titan Katowice 2014», foi vendida por **$35,000** e acabou por envolver Valerii «b1t» Vakhovskyi, da NAVI, que não tinha como saber. Após a intervenção de Valve, a empresa contratada despediu toda a sua equipa de apoio ao cliente, composta por Steam pessoas.

[VKPlay ↗](https://vkplay.ru/media/news/bloger-rasskazal-kak-podderzhka-steam-vorovala-akkaunty-igrokov/) · [Lis-Skins ↗](https://lis-skins.com/ru/blog/krupneisaia-mosenniceskaia-sxema-v-istorii-steam/) · [Escorenews (RU) ↗](https://escorenews.com/ru/csgo/news/44056-sotrudniki-podderjki-steam-zanimalis-krajey-skinov-s-akkauntov-za-god-oni-zarabotali-svyshe-300-tysyach-dollarov) · [Dexerto (EN) ↗](https://www.dexerto.com/csgo/csgo-skins-worth-millions-allegedly-stolen-with-help-from-steam-support-staff-2066939/)

**Sem registo***Valve nunca divulgou quantas contas foram afetadas nem informou as pessoas afetadas.*

- Relatado
2 de dezembro de 2024 

**«Matvey» — após os despedimentos** $13,000 

Foi concedida a recuperação a alguém que forneceu dados da conta que o próprio titular não conseguiu confirmar. Dois anos depois de a empresa contratada ter encerrado o seu serviço de apoio Steam, o mesmo procedimento produziu o mesmo resultado.

[Publicação arquivada, 2 de dezembro de 2024 ↗](https://www.reddit.com/r/cs2/comments/1h53qp3/steam_support_is_stealing_accounts_again/) [arquivado 2025-08-05 ↗](https://web.archive.org/web/20250805141942/https://www.reddit.com/r/cs2/comments/1h53qp3/steam_support_is_stealing_accounts_again/) · [linhas de código-fonte e hashes ↓](https://phishdestroy.io/steam_dossier/steam_tos_assets/outsourcing-archive-records.json)

**Recusado***Não foi restaurado.*

- 13 de novembro de 2025 

**Hawkeye337 (Mark Spurlock) — e a segunda confissão** ≈ $300,000–$500,000 *· coleção completa de hologramas de Katowice 2014* 

O agressor exigiu **1 bitcoin** e começou a transferir a coleção para os Negevs para a destruir. Steam A resposta por escrito do Apoio ao Cliente corresponde à segunda admissão acima: um técnico tratou do pedido de ajuda, não seguiu o processo e passou a conta a outra pessoa.

**O que provocou a correção foi o feed.** Poucas horas depois de as publicações com a etiqueta Valve terem sido publicadas no X, a conta foi recuperada e todos os autocolantes foram repostos. O Qkss não tinha esse público.

[Skin.club ↗](https://community.skin.club/en/news/collector-has-steam-inventory-returned-after-bold-hack) · [Dexerto ↗](https://www.dexerto.com/counter-strike-2/valve-saves-hacked-cs2-player-threatened-with-ransom-over-300000-of-rare-stickers-3283135/) · [Esportfire ↗](https://esportfire.com/article/300k-scam-full-katowice-2014-holo-collection-hacked) [arquivado 2025-12-17 ↗](https://web.archive.org/web/20251217072445/https://esportfire.com/article/300k-scam-full-katowice-2014-holo-collection-hacked)

**Restaurado***A notícia foi desmentida poucas horas depois de se ter tornado viral.*

#### O que o registo revela e que nenhum caso isolado revela.

**O percurso nunca foi encerrado.** A primeira admissão data de fevereiro de 2023 e a segunda, de novembro de 2025 — **com trinta e três meses de diferença**, com o despedimento em massa da empresa contratada, um caso de recorrência documentado e uma violação da plataforma no valor de $6.3 milhões entretanto. Contando a partir do primeiro roubo registado neste livro-razão, o canal permaneceu aberto durante **três anos e cinco meses**. Independentemente do que tenha sido corrigido em 2023, o pedido de ajuda continuou a ser encaminhado para a pessoa errada em novembro de 2025 — segundo as próprias palavras de Valve.

**A restituição teve em conta a atenção, e não o dano.** Restaurado: o maior inventário do jogo e o colecionador cujo tópico se tornou tendência. Recusado: $1,000,000, $6,300,000, $13,000. Valve nunca publicou a regra a que se aplica, porque uma regra publicada teria de explicar essas três.

**Ninguém foi informado.** Nem os utilizadores cujos históricos de conta foram extraídos da base de dados, nem uma autoridade de supervisão, nem o mercado que adquiriu os artigos de boa-fé e viu esses artigos serem-lhe retirados. Não há qualquer aviso de violação, nem relatório de incidente, nem contagem das contas afetadas — **e os rendimentos que ficaram em dinheiro**, através de plataformas de comércio que pagam em dinheiro e criptomoedas. Não é possível efetuar uma reversão de transação para seguir o dinheiro que sai de Steam.

Valve contém o registo de auditoria de suporte, o registo de tickets de recuperação e o registo de transações para cada linha acima. Nada disso foi apresentado. [Pede a tua própria cópia →](https://phishdestroy.io/steam_dossier/pt/index#dsar-playbook)

A questão do NDA 

### A confidencialidade deve ser acompanhada de responsabilidade técnica.

Compare os acordos de confidencialidade com as autorizações efetivas, os controlos de exportação, as aprovações de reinicialização e os registos de acesso. Uma resposta pré-definida não pode resolver uma alegação de que o próprio processo de recuperação foi objeto de abuso.

Artigos 28.º, 32.º a 34.º do RGPD 

O artigo 33.º concede ao responsável pelo tratamento 72 horas para notificar a autoridade de controlo de uma violação de dados pessoais; o artigo 34.º exige que as pessoas afetadas sejam informadas quando o risco para elas for elevado. A Valve confirmou por escrito, por duas vezes, que o seu canal de apoio entregou contas às pessoas erradas — incluindo o histórico das contas, os registos de faturação e tudo o resto. **Não foi publicada qualquer notificação ao abrigo de nenhum desses artigos, e nenhum utilizador afetado comunicou ter recebido alguma.** [Leia o regulamento ↗](https://eur-lex.europa.eu/eli/reg/2016/679/oj/eng) [arquivado 2026-09-20 ↗](https://web.archive.org/web/20260920024236/https://eur-lex.europa.eu/eli/reg/2016/679/oj/eng)

[Inclua o acesso ao apoio na sua solicitação →](https://phishdestroy.io/steam_dossier/pt/index#dsar-playbook)

Parte C — Quadros jurídicos · Secção 15 · Escala comercial 

## Segue o rasto do dinheiro. Separa as transações.

Contexto e limites da fonte

A questão da utilização comercial torna-se mais premente quando os fluxos de dinheiro são separados. As transferências de itens por terceiros, as vendas principais da Valve e os levantamentos externos de dinheiro são transações diferentes.

O artigo pertence a Valve. O stock é de Valve. A transferência é executada nos servidores de Valve. **Apenas o pagamento é efetuado noutro local** — que é o passo que determina se alguém é um prestador de serviços de transferência de fundos, e o único passo Valve que não é aplicado.

O mecanismo de receitas 

### Onde o dinheiro realmente circula.

Três percursos / economia de um único item

- 01 / Conta **Inventário de utilizadores**

Artigos em espera em Steam

- 02 / Transferência **Comércio P2P**

Utilizador ↔ bot ou utilizador ↔ utilizador

- 03 / Liquidação **Plataforma externa**

Saldo do site ou pagamento de Steam

**CirculaçãoO motor económico vai além do valor da transferência**

Steam fornece a infraestrutura de inventário e transferência utilizada pelos mercados externos. O argumento económico da investigação é que a liquidez da revenda e a procura recorrente sustentam as despesas com caixas, chaves e artigos de substituição, com comissões sobre as vendas subsequentes no Mercado Comunitário. Uma transferência P2P direta não implica qualquer comissão do Mercado Comunitário; esse facto contabilístico não resolve a questão do benefício mais alargado. Valve mantém o controlo sobre o acesso às contas e as restrições de negociação em todas as fases.

- 01 / Procura secundária **Liquidez e valor de revenda**

Comércio externo e procura de jogos de azar

- 02 / Despesas primárias **Chaves, estojos e cápsulas**

Compras a partir de Valve, quando disponíveis

- 03 / Receitas **Receitas da venda primária**

Mais comissões sobre as vendas efetivas no mercado

**5% + 10%Steam + comissão CS2 sobre as vendas no Mercado Comunitário**

Conclusão económica da investigação: os mercados de revenda de bens líquidos podem incentivar o consumo de artigos novos. O conhecido 15% combina as taxas de comissão do mercado, sujeitas a valores mínimos e arredondamentos; não se trata de uma taxa aplicada a todas as transações comerciais externas.

[Tabela de preços do Mercado Comunitário de Valve ↗](https://help.steampowered.com/en/faqs/view/61F0-72B7-9A18-C70B) [arquivado 2026-09-21 ↗](https://web.archive.org/web/20260921022227/https://help.steampowered.com/en/faqs/view/61F0-72B7-9A18-C70B). A 25 de fevereiro de 2026 [O Procurador-Geral de Nova Iorque intentou uma ação](https://ag.ny.gov/press-release/2026/attorney-general-james-sues-game-developer-promoting-illegal-gambling-through) [arquivado 2026-09-01 ↗](https://web.archive.org/web/20260901015430/https://ag.ny.gov/press-release/2026/attorney-general-james-sues-game-developer-promoting-illegal-gambling-through) alegando que as «loot boxes» pagas estão relacionadas com a revenda externa por dinheiro e com os malefícios do jogo — a mesma relação que este dossiê documenta do ponto de vista da infraestrutura técnica. Essa queixa é uma alegação, não uma conclusão; é aqui citada porque uma agência estatal de aplicação da lei colocou em Valve uma questão adjacente à que este dossiê coloca: onde está o registo de aplicação da lei que corresponde às declarações públicas?

- 01 / Entrada **Depósito em criptomoedas**

Registos de serviços externos e carteiras

- 02 / Conversão **Equilíbrio → skins**

Artigos entregues através de Steam transações

- 03 / Saída **Venda externa de moeda fiduciária**

Vendedor, comprador e prestador de serviços de pagamento

**KYC?Identificar o controlo em cada transferência**

Esta é a via a seguir, e não um serviço de conversão de dinheiro através da API nativa Steam. Verifique os documentos de identificação, a custódia, os IDs das transações e os destinatários dos pagamentos junto de cada operador externo antes de autorizar um levantamento sem KYC.

Estados Unidos / Lei do Sigilo Bancário 

### Classifique a atividade e, em seguida, a obrigação.

A FinCEN avalia a transmissão de fundos com base nas atividades desenvolvidas por uma empresa. A aceitação e a transferência de moeda virtual convertível podem dar origem a obrigações no âmbito dos serviços monetários, sujeitas às definições e exceções aplicáveis. A Carteira Steam da Valve aceita fundos e converte-os em itens do jogo; esses itens são depois liquidados através de operadores terceiros em troca de moeda real. O item e a sua transferência decorrem na infraestrutura da Valve; o levantamento de fundos não, e se alguma parte desse ciclo corresponde às definições de transferência de fundos é uma questão de classificação a cargo da FinCEN, não uma conclusão aqui tirada.

[FinCEN FIN-2019-G001, §§ 1–2, 5.1 ↗](https://www.fincen.gov/sites/default/files/2019-05/FinCEN%20CVC%20Guidance%20FINAL.pdf) [arquivado 2025-07-11 ↗](https://web.archive.org/web/20250711185007/https://www.fincen.gov/sites/default/files/2019-05/FinCEN%20CVC%20Guidance%20FINAL.pdf)

União Europeia / branqueamento de capitais 

### Acompanhar os rendimentos, os conhecimentos e a assistência.

A Diretiva (UE) 2018/1673 abrange a lavagem de dinheiro intencional e a participação envolvendo rendimentos de atividade criminosa. A questão que se coloca na investigação é o que a Valve sabia sobre os operadores que utilizavam a sua infraestrutura de negociação e OpenID após 13 de julho de 2016, quando descreveu publicamente essa utilização, e o que fez a esse respeito. A Valve não publicou qualquer registo de medidas coercivas por operador; seria esse registo, e não este dossiê, que responderia à questão.

[Quadro jurídico penal da UE ↗](https://eur-lex.europa.eu/legal-content/EN/LSU/?uri=CELEX:32018L1673)

**Terminologia da AMLD6:** A diretiva em matéria de direito penal acima referida é distinta da Diretiva (UE) 2024/1640, também designada por AMLD6. Esta última tem um prazo geral de transposição fixado para 10 de julho de 2027, com exceções específicas. [Artigo 78.º ↗](https://eur-lex.europa.eu/eli/dir/2024/1640/oj/eng) [arquivado 2026-08-30 ↗](https://web.archive.org/web/20260830153004/https://eur-lex.europa.eu/eli/dir/2024/1640/oj/eng)

Parte C — Quadros jurídicos · Secção 16 · Notificação, resposta, responsabilidade 

## A Lei dos Serviços Digitais: registar o conhecimento

Contexto e limites da fonte

Dois elementos de uma notificação ao abrigo do artigo 16.º são da responsabilidade do remetente e não fazem parte deste dossiê: os dados do próprio remetente e uma declaração de boa-fé de que a informação é exata. Tudo o resto que o artigo exige — a explicação fundamentada e a localização eletrónica exata — está definido na Secção 3 e no registo de percursos, com respostas guardadas e hashes, para que qualquer parte possa apresentá-la. Existem ainda duas restrições adicionais à própria lei: a perda da isenção de alojamento não implica, por si só, a responsabilidade ao abrigo de qualquer outra lei, e o valor «0» previsto no n.º 3 do artigo 52.º constitui um limite máximo legal, não uma sanção aplicada contra «1».

Nos termos da DSA, um prestador de serviços de alojamento mantém a sua isenção de responsabilidade apenas até ter conhecimento específico e não tomar medidas. **Este dossiê constitui esse aviso.** Indica os anfitriões, as datas, as respostas guardadas e os hashes. A partir da publicação, a questão já não é se Valve sabia — é o que Valve fez a seguir.

01 Julho de 2016 / a exposição «The Dossier» 

### Um prazo de dez dias.

O aviso acima reproduzido constitui o ponto de partida histórico para a comparação das medidas de execução no âmbito da investigação.

02 17 de fevereiro de 2024 / candidatura geral 

### A janela temporal do DSA.

Distinguir a conduta histórica da conduta durante o período em que se aplicam as obrigações relevantes da DSA.

03 Dez anos / instantâneo do dossiê original 

### A duração requer um registo de notificações.

O tempo decorrido desde julho de 2016 (ver Secção 11) é um indicador do processo. Não se trata de dez anos de violações comprovadas da DSA. Associe cada notificação a um elemento específico, à legislação aplicável, à prova de entrega e à resposta.

N.º 3 do artigo 52.º / limite máximo previsto na lei **6 %**

### do volume de negócios anual a nível mundial

Multas máximas por incumprimento das obrigações previstas na DSA, com base no exercício financeiro anterior do prestador. Trata-se de um limite máximo legal, não de uma sanção aplicada contra Valve.

Artigos 6.º, 8.º e 16.º / o critério jurídico 

No que diz respeito aos serviços de alojamento em linha relevantes, o conhecimento específico e a falta de ação atempada podem implicar a perda da isenção de responsabilidade relativa ao alojamento. Uma notificação suficientemente precisa pode comprovar o conhecimento do conteúdo em questão. A DSA não impõe qualquer obrigação geral de monitorização; a perda da isenção, por si só, não implica a responsabilidade ao abrigo de outra lei.

[DSA: Artigos 6.º, 8.º, 16.º, 52.º, 53.º, 93.º e considerando 17 ↗](https://eur-lex.europa.eu/eli/reg/2022/2065/oj/eng) [arquivado 2026-09-20 ↗](https://web.archive.org/web/20260920080125/https://eur-lex.europa.eu/eli/reg/2022/2065/oj/eng)

[Analisar reclamações arquivadas ↗](https://phishdestroy.io/steam_dossier/pt/steam_enforcement_evidence#support-records)[Criar a cronologia da conta →](https://phishdestroy.io/steam_dossier/pt/index#dsar-playbook)[Análise jurídica e económica completa →](https://phishdestroy.io/steam_dossier/pt/legal_analysis)

Parte C — Quadros jurídicos · Secção 17 · Identidade, idade, acesso comercial 

## Menores: um login com Steam não constitui uma verificação da idade

Contexto e limites da fonte

Não constam dados de menores em nenhuma parte deste dossiê, nem foram recolhidos quaisquer dados: os autores não se registaram, não depositaram dados nem iniciaram sessão em nenhuma das plataformas mencionadas. Qualquer pessoa que se baseie nesta secção deve manter confidenciais as provas que envolvam crianças e suprimir os detalhes identificativos das provas apresentadas publicamente. A COPPA é aqui citada como uma lei de privacidade infantil com as suas próprias condições de âmbito de aplicação — público-alvo, conhecimento efetivo, dados pessoais recolhidos — e não como uma regra geral relativa à idade mínima para jogar; a queixa de Nova Iorque de 2026 é uma alegação por parte de uma autoridade estadual, não uma conclusão.

«Iniciar sessão com Steam» comprova que existe uma conta. **Isso não prova nada em relação à idade** — e, nestes sites, é a única barreira entre uma criança e um depósito. Leia isto com [Secção 3.1](https://phishdestroy.io/steam_dossier/pt/index#inside-steam-filter): no cliente Steam, o aviso que um navegador apresentaria nunca é exibido, pelo que a criança nunca o vê.

O que o OpenID Steam oferece **Identidade da conta**

Um SteamID verificado utilizado para iniciar sessão ou associar uma conta.

O que o operador deve determinar **Condições de elegibilidade para participar**

Idade, jurisdição e quaisquer verificações de identidade necessárias.

Base técnica: [Documentação do Steamworks OpenID ↗](https://partner.steamgames.com/doc/features/auth#website) [arquivado 2026-09-21 ↗](https://web.archive.org/web/20260921022335/https://partner.steamgames.com/doc/features/auth). A confirmação da identidade documentada não constitui uma certificação de que o utilizador possa jogar legalmente.

COPPA / crianças com menos de 13 anos 

### Identifique o operador e os dados.

A COPPA aplica-se aos serviços abrangidos destinados a crianças e aos serviços que tenham conhecimento efetivo de que recolhem dados pessoais de crianças com menos de 13 anos. Trata-se de uma lei relativa à privacidade das crianças, não de uma regra universal sobre a idade mínima para jogar. Defina o público-alvo, os dados pessoais recolhidos, o conhecimento e o processo de consentimento parental.

[FTC: Requisitos da COPPA ↗](https://www.ftc.gov/legal-library/browse/rules/childrens-online-privacy-protection-rule-coppa) [arquivado 2026-09-21 ↗](https://web.archive.org/web/20260921070051/https://www.ftc.gov/legal-library/browse/rules/childrens-online-privacy-protection-rule-coppa)

As provas a preservar 

### Registe o percurso desde o início de sessão até ao depósito.

Manter o sistema de verificação da idade do site, o texto relativo ao registo, os termos de elegibilidade, o processo de pagamento e o histórico de reclamações. Avaliar cada operador separadamente. Manter a confidencialidade de quaisquer provas que envolvam uma criança e ocultar os dados identificativos das provas apresentadas publicamente.

Um registo de aplicação da lei relacionado é o [Anúncio da queixa em Nova Iorque de 2026](https://ag.ny.gov/press-release/2026/attorney-general-james-sues-game-developer-promoting-illegal-gambling-through) [arquivado 2026-09-01 ↗](https://web.archive.org/web/20260901015430/https://ag.ny.gov/press-release/2026/attorney-general-james-sues-game-developer-promoting-illegal-gambling-through), que alega que as caixas de recompensas pagas causam danos aos jovens utilizadores. Não se trata de uma conclusão ao abrigo da COPPA.

Parte C — Quadros jurídicos · Secção 18 · Pedido ao abrigo do artigo 15.º do RGPD 

## O pedido. A resposta. A comparação que falta.

Ele pediu quatro coisas, uma delas o registo que revelaria quem tinha introduzido uma chave API na sua conta. **Três dias depois, o ticket foi encerrado com um link para uma página que não contém nenhuma dessas informações** — e a frase utilizada para concluir o texto é contestada pelos próprios advogados de Valve.

De quem é esta conta · Origem e limites

**Estas imagens não são do PhishDestroy.** Provêm de um titular de conta Steam comum — um dos inquiridos num breve inquérito realizado por este projeto, que apresentou ele próprio o pedido e forneceu as capturas de ecrã. A conta é dele, o ticket é dele e a correspondência decorre entre ele e o Apoio ao Cliente Steam. Este projeto não apresentou o pedido, não possui qualquer conta na plataforma e não é parte neste ticket.

A 16 de setembro de 2026, apresentou um pedido de acesso aos dados pessoais ao abrigo do artigo 15.º do RGPD/CCPA, solicitando especificamente os registos de registo de chaves API, o histórico de inícios de sessão com endereços IP, o histórico de autorização de dispositivos e o histórico de transações. A 17 de setembro, o agente «Logen» encaminhou-o para a página de autoatendimento «Dados da Conta». A 18 de setembro, afirmou que as categorias solicitadas não constavam dessa página e pediu que o caso fosse encaminhado para a Equipa de Privacidade ou para o Encarregado da Proteção de Dados (DPO). A 19 de setembro, o agente «Kal» encerrou o ticket com o mesmo encaminhamento. Ambas as capturas de ecrã encontram-se abaixo (e-mail do requerente ocultado; SHA-256 em `steam_tos_assets/screenshot-manifest.json`).

Ele é o requerente ideal por uma razão simples: **esta conta possui uma chave da API Web Steam que ele não criou, registada em `localhost`**. **Não se sabe quando foi criada** — nem para ele, nem a partir de nada que Valve lhe tenha disponibilizado, porque o único registo que permitiria datá-lo é o registo de registo da chave API, que é precisamente a categoria que o encerramento ocultou. A chave não é nova: é anterior ao momento em que ele tomou conhecimento da mesma, num intervalo que não consegue medir, pela mesma razão.

Outros titulares de contas estão a apresentar o mesmo pedido. Qualquer resposta que chegar será adicionada aqui nos mesmos termos que estas duas — número do ticket, data de captura, SHA-256, identidade do requerente ocultada — quer aceite as categorias, quer as recuse.

Este projeto não se pronuncia sobre o motivo pelo qual o ticket foi encerrado. Não foi indicado qualquer motivo no próprio ticket, nem se infere qualquer motivo neste contexto.

**O pedido. A resposta. A comparação.** ACOMPANHE O REGISTO

O PEDIDO**Categorias específicas** Registos de chaves API, inícios de sessão, dispositivos e transações

A RESPOSTA**Referência aos dados da conta** Verificar a troca de suporte

O TESTE**O que foi fornecido?** Comparar cada categoria solicitada

Leia o pedido arquivado para ver quais as categorias que o titular da conta solicitou.

A resposta guardada remete para os Dados da Conta. As capturas de ecrã mostram o texto e o resultado do ticket.

Ele solicitou quatro categorias específicas. A página «Dados da Conta» para a qual foi encaminhado corresponde à própria exportação de autoatendimento do Valve, e este projeto não pode enumerar o seu conteúdo para a conta de outra pessoa — pelo que não é publicada aqui qualquer comparação completa, categoria a categoria. O que consta do registo é a sua declaração de 18 de setembro, segundo a qual as categorias não existiam, e o encerramento do caso, em 19 de setembro, que repetiu o encaminhamento sem abordar essa questão.

Ecrã 1/2 — Pedido (16 de setembro) e primeira resposta, agente «Logen» (17 de setembro)

Image: [GDPR ticket HT-2YBP-F7JP-D4VB — request and first response](https://phishdestroy.io/steam_dossier/steam_tos_assets/gdpr-ticket-1.png)

Fonte: help.steampowered.com, pedido de assistência HT-2YBP-F7JP-D4VB · capturado entre 16 e 17 de setembro de 2026 · e-mail do requerente ocultado 2026-09-21 · Ficheiro: [gdpr-ticket-1.png](https://phishdestroy.io/steam_dossier/steam_tos_assets/gdpr-ticket-1.png) · SHA-256 `da940c731ab9869d226e9d06ccc8a1b393738766b7b0c445a56662623e025a66` ([screenshot-manifest.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/screenshot-manifest.json)).

Ecrã 2/2 — Pedido de escalamento (18 de setembro) e encerramento, agente «Kal» (19 de setembro)

Image: [GDPR ticket HT-2YBP-F7JP-D4VB — escalation request and closure](https://phishdestroy.io/steam_dossier/steam_tos_assets/gdpr-ticket-2.png)

Fonte: help.steampowered.com, pedido de assistência HT-2YBP-F7JP-D4VB · capturado em 18–19 de setembro de 2026 · Ficheiro: [gdpr-ticket-2.png](https://phishdestroy.io/steam_dossier/steam_tos_assets/gdpr-ticket-2.png) · SHA-256 `44844ea7b251f7fd7d79f87ee1578a846606a97b9659d3a53b322120c422219b` ([screenshot-manifest.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/screenshot-manifest.json)).

Resposta final, 19 de setembro (textual):

«Os dados Steam que a plataforma guarda já se encontram na página «Dados da Conta». Uma vez que não há mais informações Steam que o Apoio ao Cliente possa fornecer, **Este pedido será encerrado.**"

Não foram fornecidos dados · não foi indicada qualquer base jurídica para a recusa · não foi apresentado qualquer resultado do recurso

**Essa frase é falsa, e são os próprios advogados de Valve que o provam.** A carta do advogado de 1 de outubro de 2025, no parágrafo 1.9, descreve uma correlação ao nível do dispositivo que associa um dispositivo a dezenas de contas ([Apêndice A](https://phishdestroy.io/steam_dossier/pt/index#official-memorandum)). A mesma resposta incluía 830 páginas de registos arquivados ([Anexo B](https://phishdestroy.io/steam_dossier/pt/index#academic-response)). Nada disso consta na página «Dados da conta».

Por que é que esta conta solicitou o registo da chave API?

Ele não escolheu essas quatro categorias ao acaso. O `localhost` A chave da sua conta é **o indício de um script, e não de uma pessoa a introduzir um domínio real na página do programador** ([Secção 5](https://phishdestroy.io/steam_dossier/pt/index#vulnerability-profile), [Secção 6](https://phishdestroy.io/steam_dossier/pt/index#hijack-simulation)). O único registo que indica quem o criou e de onde provém é o registo de registo da chave API. Foi isso que ele pediu em primeiro lugar. Foi isso que a empresa se recusou a divulgar.

Fonte: o titular da conta, durante o inquérito deste projeto. As capturas de ecrã dos bilhetes acima foram encriptadas; a página da chave não foi publicada.

Avaliação · PhishDestroy

Encerrar um ticket com a questão ainda em aberto não é um acidente neste caso. É o desfecho normal. Nós defendemos [16,319 registos de reclamações e de assistência mantidos](https://phishdestroy.io/steam_dossier/pt/steam_evidence_archive) e [354 trocas de suporte sem duplicados](https://phishdestroy.io/steam_dossier/pt/steam_enforcement_evidence#support-records) extraídos deles. Este bilhete é um exemplo datado e exaustivamente documentado da forma que assumem.

Ticket de assistência — Arquivado HT-2YBP-F7JP-D4VB

Tipo de pedido Artigo 15.º do RGPD – Pedido de acesso aos dados pessoais (DSAR)

Estado do bilhete ENCERRADO A 19 DE SETEMBRO DE 2026 — NÃO FORAM FORNECIDOS DADOS

Agentes na bolsa «Logen» (17 de setembro), «Kal» (19 de setembro)

Arquivado 16 de setembro de 2026

Dados solicitados Quem registou a chave da API Web associada a esta conta e a partir de que endereço IP / dispositivo / data e hora

Base jurídica invocada Artigo 15.º do RGPD — direito de acesso aos dados pessoais

**O quadro jurídico:** O n.º 3 do artigo 12.º concede ao responsável pelo tratamento um prazo de um mês a contar da receção (prorrogável mediante justificação). Esse prazo ainda não tinha expirado à data da publicação, e este dossiê não alega qualquer incumprimento do prazo. A objeção diz respeito ao mérito: a resposta final remete para uma página de autoatendimento, mas não demonstra que as quatro categorias de dados mencionadas tenham sido apresentadas; além disso, caso o responsável pelo tratamento se recuse a agir, o n.º 4 do artigo 12.º exige que este indique os motivos e as vias de reclamação. Nenhum destes elementos consta da resposta final.

Por que é que estes dados específicos são importantes? 

O registo de eventos da chave da API Web é o registo que indica se um terceiro registou uma chave utilizando um cookie de sessão roubado — o mecanismo descrito nas queixas de roubo de inventário preservadas no arquivo deste dossiê. A divulgação de quem registou uma chave API, a partir de que endereço IP e em que momento, permitiria:

- Permitir que a vítima compare o endereço IP de criação da API com o seu próprio histórico de inícios de sessão

- Revelar endereços IP de centros de dados associados a infraestruturas conhecidas de phishing e de bots de jogos de azar

- Apresentar provas que possam ser utilizadas em processos civis ou criminais contra o autor

- Indicar se o titular da conta foi notificado quando a chave foi criada

**O que consta dos autos:** A Valve mantém registos ao nível do dispositivo e de correlação de contas — a carta do seu advogado, datada de 1 de outubro de 2025, descreve-os (ver Apêndice A, Memorando de Provas — Fonte 1). No pedido HT-2YBP-F7JP-D4VB, a mesma categoria de registos foi solicitada pelo titular dos dados e o pedido foi encerrado com um encaminhamento para uma página de autoatendimento que, segundo o titular dos dados, não os continha. A legalidade dessa recusa é uma questão da competência da autoridade de controlo; o efeito é que a pessoa a quem os dados dizem respeito não os recebe.

A troca de mensagens — quatro mensagens, três dias

Dois agentes de apoio da Steam responderam utilizando os nomes próprios indicados no ticket: «Logen», a 17 de setembro, e «Kal», a 19 de setembro. Ambos encaminharam o requerente para a página «Dados da Conta». Nada no ticket indica se o pedido chegou à Equipa de Privacidade ou ao Responsável pela Proteção de Dados de Valve, e o dossiê não especifica quem são os agentes, quais são as suas funções nem como o ticket foi encaminhado.

16 de setembro

Pedido ao abrigo do artigo 15.º apresentado com quatro categorias de dados especificadas

17–18 de setembro

Consulta aos dados da conta; o requerente solicita que o caso seja encaminhado ao Encarregado da Proteção de Dados

19 de setembro

O pedido de assistência foi encerrado com a mesma referência; sem dados, sem fundamento indicado

O que o artigo 15.º do RGPD confere explicitamente ao titular dos dados 

Art. 15.º, n.º 1, alínea a) Finalidades do tratamento — por que razão a Valve conserva os dados

Art. 15.º, n.º 1, alínea b) Categorias de dados — o que Valve contém

Art. 15.º, n.º 1, alínea c) Destinatários ou categorias de destinatários — **quem recebeu os dados (por exemplo, o titular da chave API)**

Art. 15.º, n.º 1, alínea d) Período de retenção ou critérios para o determinar

Art. 15.º, n.º 3 Uma cópia dos dados pessoais que estão a ser tratados — ou seja, o próprio registo da chave API

ART. 12.º, n.º 3 Resposta necessária no prazo de **um mês** a partir da data de receção; qualquer prorrogação deve ser comunicada no prazo desse mês. O prazo ainda não tinha expirado à data da publicação. **Art. 12.º, n.º 4:** Se o responsável pelo tratamento não tomar medidas, deve explicar os motivos e informar o titular dos dados sobre as vias de reclamação.

Procedimento de reclamação regulamentar — para qualquer utilizador 

Qualquer utilizador que tenha apresentado um pedido ao abrigo do artigo 15.º do RGPD à Valve e não tenha recebido uma resposta em conformidade (ou uma recusa padrão sem dados) pode apresentar uma reclamação junto da autoridade de controlo do seu Estado-Membro da UE/EEE. O estabelecimento da Valve na UE é a Valve GmbH, em Hamburgo, pelo que a autoridade de controlo principal para reclamações transfronteiriças é a **Autoridade de Proteção de Dados e Liberdade de Informação de Hamburgo (HmbBfDI)**. (O representante previsto no artigo 27.º da Valve também se encontra em Hamburgo; o endereço de um representante não determina, por si só, a autoridade competente.) Também é possível apresentar uma queixa junto da autoridade do próprio Estado-Membro do queixoso, nos termos do artigo 77.º.

[Formulário de reclamação da HmbBfDI ↗](https://datenschutz.hamburg.de/beschwerde) [Texto do RGPD (art. 12.º, 15.º e 77.º) ↗](https://eur-lex.europa.eu/eli/reg/2016/679/oj/eng) [arquivado 2026-09-20 ↗](https://web.archive.org/web/20260920024236/https://eur-lex.europa.eu/eli/reg/2016/679/oj/eng) [Orientações do EDPB ↗](https://edpb.europa.eu)

Referência do ticket para qualquer reclamação: **HT-2YBP-F7JP-D4VB** — conservado neste dossiê como um caso documentado.

Um caso documentado 

### Os registos existem; o titular dos dados não os recebeu.

O advogado de Valve descreveu os registos de correlação ao nível do dispositivo numa carta datada de 1 de outubro de 2025. Em 19 de setembro de 2026, um pedido ao abrigo do artigo 15.º relativo à mesma categoria de registos foi arquivado com uma referência a uma página de autoatendimento que, segundo o requerente, não os continha, sem que fosse indicada qualquer base jurídica. O ticket HT-2YBP-F7JP-D4VB é um exemplo documentado; se isso reflete uma prática mais generalizada é uma questão que cabe à autoridade de controlo, que pode solicitar à Valve os seus registos de tratamento.

Artigos 12.º, 15.º e 77.º do RGPD / Autoridade de controlo 

Uma reclamação ao abrigo dos artigos 12.º e 15.º pode ser apresentada diretamente junto da autoridade de controlo competente, sem custos (artigo 77.º). A autoridade pode impor medidas corretivas, incluindo ordens para dar cumprimento ao pedido de acesso, e coimas nos termos do artigo 83.º, n.º 5, alínea b), por violações dos direitos dos titulares dos dados. A conservação da referência original do bilhete e de qualquer resposta Valve (ou a sua ausência) reforça a reclamação.

[Ver o modelo do DSAR →](https://phishdestroy.io/steam_dossier/pt/index#dsar-playbook)

Parte C — Quadros jurídicos · Secção 19 · Direito dos contratos 

## O Acordo de Assinatura em relação à própria arquitetura da plataforma

Limites de contexto e de fonte

Os autores não são advogados e nada do que aqui se apresenta constitui aconselhamento jurídico. A SSA é citada a partir da revisão de 10 de setembro de 2026; uma revisão diferente pode apresentar uma redação diferente, e a numeração das cláusulas tem variado ao longo das revisões — verifique a cláusula na versão que regulava a conduta em questão. Os argumentos relativos aos artigos 25.º e 32.º indicam o que o regulamento exige, e não que uma autoridade de controlo tenha constatado uma infração. Os valores apresentados no Argumento 1 respeitam os limites de âmbito estabelecidos na secção 13.

Três das disposições centrais da SSA entram em conflito com a forma como a plataforma está concebida: a proibição de utilização comercial, face a um limite máximo de preço no «Market» que empurra as vendas de elevado valor para fora da plataforma; a cláusula de responsabilidade do utilizador relativa às chaves API, em contraposição a um ponto de extremidade de chaves que, antes de 2023, não exigia autenticação de dois fatores; e a formulação relativa à aplicação da lei, em contraposição a um registo público que não indica qualquer aplicação por operador. Se estas contradições afetam a aplicabilidade da lei é uma questão a decidir por um tribunal; esta secção expõe os factos que um tribunal teria perante si.

Argumento 1 / Arquitetura da capitalização de mercado 

### O limite máximo do mercado e a proibição de utilização comercial

O Mercado Comunitário Steam tem um limite máximo de listagem de cerca de $1,800. Em cinco mercados, numa imagem instantânea desatualizada (23 de setembro de 2026), 248 categorias de artigos CS2 apresentam preços, determinados de forma independente, superiores a esse limite máximo em dois ou mais desses mercados; tais artigos **não podem ser vendidos a esses preços na própria plataforma da Valve**. Os proprietários que pretendem esses preços recorrem a mercados de terceiros, que funcionam com contas Steam e a API Steam — cuja utilização é classificada pela SSA como comercial, salvo se expressamente autorizado.

Os artigos excedem o limite máximo do Mercado → os mercados de terceiros preenchem a lacuna → esses mercados utilizam contas Steam e a API Steam → a SSA proíbe a utilização comercial sem autorização → não foi publicado qualquer registo de autorizações. A taxa combinada do Mercado Comunitário, de cerca de 15%, aplica-se apenas às vendas concluídas no interior do Mercado, e não a estas transações externas.

Argumento 2 / Arquitetura de segurança da chave API 

### A vulnerabilidade da chave API como uma questão de conceção da plataforma, e não como negligência do utilizador

Antes de 2023, o endpoint de criação de chaves API do Steam aceitava um pedido POST com um sessionid roubado e gerava uma credencial com privilégios elevados **sem confirmação por e-mail, sem autenticação de dois fatores ou sem verificação por dispositivo**. As queixas relativas ao sequestro de API recolhidas nesta investigação seguem um padrão: script do atacante, cookie de sessão roubado, criação silenciosa de chaves, interceção de transações (a carga útil do pedido é apresentada na Secção 8).

O artigo 25.º do RGPD (proteção de dados desde a conceção) e o artigo 32.º (segurança do tratamento) exigem medidas técnicas adequadas ao risco. A emissão de uma credencial suscetível de interceção comercial sem um segundo fator de autenticação ou notificação ao titular é uma questão de conceção que cabe ao responsável pelo tratamento. A questão de saber se a cláusula do SSA que atribui a responsabilidade ao utilizador pode ser invocada neste contexto é da competência do tribunal e da autoridade de controlo.

Argumento 3 / Visibilidade em tempo real 

### Valve recebe o nome de host de autenticação em cada início de sessão

O nome de host de autenticação chega ao ponto final OpenID de Valve em texto simples em `openid.return_to` e `openid.realm` (a estrutura do pedido é apresentada na Secção 3). A sua extração é uma operação padrão. A partir de 2026-09-22, em 26 pares, o domínio principal estava incluído no Filtro de Ligações, enquanto o anfitrião que apresentava o seu Steam não estava. O Valve não publicou qualquer registo de aplicação por operador, pelo que não é possível determinar, a partir de dados públicos, se alguma medida além do Filtro de Ligação foi aplicada a estes anfitriões.

Quem suporta os custos 

### O padrão observado nas queixas arquivadas

Nas reclamações analisadas, a resposta do Steam Support a uma alegação de apropriação indevida de uma chave API segue sempre o mesmo padrão: recusar a restauração, referir a responsabilidade do utilizador pela conta e pela sua chave API e encerrar o ticket. Neste dossiê não é apresentada qualquer estimativa do número total de contas afetadas nem do valor perdido; não foi identificada qualquer fonte para esses dados.

A questão não é se os utilizadores individuais cometeram erros. A questão é quem é responsável por uma arquitetura que, até 2023, permitiu que um pedido POST com um cookie roubado criasse uma credencial de negociação com privilégios elevados, sem qualquer notificação e sem autenticação de dois fatores.

O SSA enquanto documento vs. o SSA enquanto contrato 

### Um tribunal que analisasse este processo não interpretaria a SSA isoladamente.

Analisaria esse documento em conjunto com a carta do advogado de outubro de 2025, que descreve a correlação ao nível do dispositivo, as datas de registo do host de autenticação, os carimbos de data e hora do registo em lote, a carga útil do pedido da chave API e os dez anos decorridos entre os avisos de julho de 2016 e as plataformas que ainda estavam em funcionamento em setembro de 2026. É esse o registo que Valve teria de abordar.

SSA em relação ao processo / pontos-chave 

- «Sem fins comerciais» — o limite máximo do Mercado empurra as vendas de elevado valor para mercados comerciais de terceiros

- «Os utilizadores são responsáveis pelas chaves API» — não haverá autenticação de dois fatores no ponto de acesso das chaves antes de 2023

- «Tomamos medidas contra os infratores» — não são publicados registos de medidas tomadas por operador desde julho de 2016

- «Aceitou os termos» — no padrão de sequestro, a aceitação é enviada por um script, e não pelo titular da conta

Conclusão · O que os autos demonstram e o que solicitamos 

## As conclusões. Os registos que solicitamos.

Contexto e limites da fonte

Cada conclusão abaixo está associada a um registo público datado nas secções acima. Os pedidos são dirigidos às autoridades que podem obrigar a única coisa a que esta investigação não tem acesso: os próprios registos de aplicação da lei, acesso e tratamento de dados da Valve.

Cada pedido surge na sequência de uma conclusão datada. As autoridades podem solicitar registos que esta investigação baseada em fontes públicas não pode exigir.

O que os registos públicos comprovam 

- 44 plataformas ativas são autenticadas através de um domínio registável separado — 27 com um ficheiro de evidência publicado por rota, 17 provenientes de recolha manual e listadas separadamente. Em 2026-09-22, 26 pares tinham o domínio principal bloqueado no Filtro de Ligações Steam, enquanto o servidor que alojava o seu login não estava — csgogem.com bloqueado, `api.csgem.com` registado desde março de 2014. O Steam recebe esse nome de anfitrião em `openid.realm` e `openid.return_to` a cada vez que iniciar sessão. [Secção 3](https://phishdestroy.io/steam_dossier/pt/index#proxy-bypass-explainer)

- Em 13 de julho de 2016, Valve divulgou publicamente o nome do mecanismo e proibiu-o, tendo as notificações do seu advogado, datadas de 20 de julho de 2016, estabelecido um prazo de dez dias. Não foi publicado qualquer registo de aplicação da lei por operador nos dez anos que se seguiram a esse prazo. [Secção 11](https://phishdestroy.io/steam_dossier/pt/index#case-study-section)

- O ponto final da chave da API Web Steam emitia uma credencial com privilégios elevados e capacidade de efetuar transações com base apenas num cookie de sessão, sem qualquer fator de autenticação secundário, até 2023. [Secção 5](https://phishdestroy.io/steam_dossier/pt/index#vulnerability-profile)

- Um pedido ao abrigo do artigo 15.º do RGPD (ticket HT-2YBP-F7JP-D4VB) foi encerrado ao fim de três dias com um link para o serviço de autoatendimento e sem quaisquer dados. [Secção 18](https://phishdestroy.io/steam_dossier/pt/index#gdpr-live-case)

O que pedimos a cada autoridade 

Comissão de Jogos de Azar do Estado de Washington

Reabra o ficheiro de 2016. Solicite um relatório, operador a operador, indicando quais as contas, bots e hosts de resposta que foram desativados após os avisos de dez dias e quais os operadores que posteriormente recuperaram o acesso. [Secção 2](https://phishdestroy.io/steam_dossier/pt/index#wsgc-public-address)

HmbBfDI (Hamburgo; Valve GmbH)

Verificar se a resposta ao abrigo do artigo 15.º cumpriu o dever do responsável pelo tratamento e exigir a divulgação dos registos de registo e de acesso à chave API relevantes para a identificação do autor. [Secção 18](https://phishdestroy.io/steam_dossier/pt/index#gdpr-live-case)

Coordenadores de serviços digitais da DSA

Inclua o encaminhamento do servidor de autenticação no registo como aviso e, em seguida, avalie se a resposta de Valve cumpre as suas obrigações, uma vez documentada a informação. [Secção 16](https://phishdestroy.io/steam_dossier/pt/index#dsa-accountability)

Qualquer titular de dados

Utilize o modelo do artigo 15.º para solicitar os mesmos registos para a sua própria conta; um registo arquivado permite verificar quem iniciou uma reposição ou criou uma chave. [Apêndice G](https://phishdestroy.io/steam_dossier/pt/index#dsar-playbook)

O pedido único subjacente a todos os quatro é o mesmo: publicar os registos relativos à aplicação da lei, ao acesso e ao tratamento de dados que apenas a Valve detém. Um aviso na página inicial, uma carta com prazo de dez dias e uma página de autoatendimento são manifestações de controlo. Se esse controlo foi ou não exercido é uma questão à qual o registo público não pode responder, mas a que uma entidade reguladora pode.

Anexos — provas principais e materiais de trabalho

Anexo A — Correspondência com os advogados 

## Memorando de Provas — material fornecido pela Fonte 1

Base factual e estatuto das fontes relativas à correspondência do advogado invocada nas secções 1, 18 e 19.

**Base factual e estatuto da fonte — documentos fornecidos pela Fonte 1**
O utilizador cujo banimento permanente deu origem a esta auditoria não é o alvo da mesma. A questão de saber se esse banimento foi justificado não é aqui analisada, e este dossiê não o defende nem o contesta. A conta não é o que está em causa. O que importa é o conteúdo: **Fonte 1** — o titular da conta banida, que recebeu a correspondência abaixo do advogado de Valve na qualidade de titular dos dados no âmbito do seu próprio pedido ao abrigo do RGPD — transmitiu essa correspondência e os autos do processo que a acompanhavam, juntamente com o direito de os consultar publicamente. O nome não é divulgado; os documentos são descritos por data, metadados do criador e hash.

Essa correspondência foi enviada em resposta a um pedido ao abrigo do RGPD/DSAR. No decurso da mesma, o advogado de Valve registou em ata uma declaração, devidamente assinada, na qual descrevia uma funcionalidade que o Apoio ao Cliente de Steam tinha anteriormente informado aos utilizadores não ser tecnicamente possível. O parágrafo citado abaixo corresponde a essa declaração.

A análise mais aprofundada dos autores sobre o extrato de registo produzido é **omitido deste dossiê** enquanto se aguarda uma análise independente. Não é tido em conta em nenhuma outra parte desta investigação.

A admissão registada: telemetria persistente ao nível do dispositivo 

No parágrafo 1.9 da carta atribuída ao advogado de Valve, os advogados de Valve afirmam: *«Entre 2019 e 2023, esta conta foi utilizada principalmente a partir de um dispositivo que também foi utilizado para iniciar sessão em dezenas de contas Steam roubadas.»*

**O facto:** O advogado de Valve descreve aqui a correlação ao nível do dispositivo entre contas ao longo de quatro anos. O serviço de apoio de Steam informou as vítimas de roubo de que não era tecnicamente possível localizar os artigos roubados nem associar contas a dispositivos. Steam Guard A autorização de dispositivos está documentada publicamente, pelo que a existência de registos por dispositivo não é, em si, uma novidade; o que é novo é a confirmação por escrito do advogado de que esses registos são mantidos e correlacionados entre contas ao longo de períodos de vários anos.

**Por que é que isto é importante:** A correlação que pode ligar um dispositivo a dezenas de contas pirateadas ao longo de quatro anos pertence à mesma categoria de registos que o Serviço de Apoio afirmou não poder utilizar em benefício das vítimas. Os registos dessa classe seriam capazes de identificar contas e dispositivos numa cadeia de roubo e revenda. Quais os registos que existem, durante quanto tempo são conservados e com base em que critérios são ocultados aos titulares dos dados são questões que devem ser dirigidas à autoridade de supervisão.

Fonte: carta do advogado de Valve, datada de 1 de outubro de 2025, parágrafo 1.9, e o seu anexo em PDF de 830 páginas · recebido pela Fonte 1 em resposta a um pedido ao abrigo do artigo 15.º do RGPD · SHA-256 do anexo registado em [disclosure-audit.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/regulatory-review/disclosure-audit.json) · A carta em si não é reproduzida; os nomes das contas e os dados de terceiros são omitidos.

Estado: abrir

Os materiais de referência estão disponíveis no arquivo de evidências.

Apêndice B — O ficheiro PDF gerado · verificação da expurgação 

## A censura no PDF gerado é meramente estética: o texto ocultado continua a poder ser extraído

O advogado de Valve respondeu a um pedido de acesso ao abrigo do RGPD com um anexo de 830 páginas, no qual as partes censuradas foram pintadas sobre o texto, em vez de serem removidas. **902,270 caracteres encontram-se por baixo das barras pretas e são exibidos diretamente com uma ferramenta de extração de texto** — incluindo os identificadores de terceiros que as barras tinham como objetivo ocultar. Aqui são publicadas apenas as contagens agregadas; nenhum conteúdo abrangido é reproduzido e o próprio apêndice não é publicado.

1. O que a verificação geométrica revelou 

Resposta ao abrigo do artigo 15.º do RGPD, datada de **1 de outubro de 2025** foi acompanhado por um apêndice em PDF de 830 páginas (metadados do produtor Aspose.PDF para .NET, criados e modificados na mesma data). Os autores realizaram uma verificação da geometria ao nível da página: para cada página, foram localizados retângulos opacos, quase pretos, pintados por cima da camada de texto, e foram contados os caracteres extraíveis que se encontravam por baixo deles.

Medido no ficheiro gerado

902,270

Caracteres que ainda podem ser extraídos de debaixo das barras pretas

Contados, não estimados. Trata-se de uma contagem dos personagens abrangidos — não de vítimas, reidentificações ou incidentes.

830 / 830

Páginas afetadas — todas as páginas

986

Retângulos sobre texto extraível

1,329

Total de retângulos pretos opacos

As barras pretas são sobrepostas à camada de texto; não a removem. O texto por baixo das barras pode ser extraído com ferramentas padrão de PDF. Apenas são publicadas contagens agregadas; nenhum conteúdo ocultado é reproduzido aqui.

Demonstração forense: separação de camadas

MAQUETE DE SOBREPOSIÇÃO VETORIAL DO ASPOSE.PDF PARA .NET (ANEXO, p. 412)

Denúncia apresentada contra a conta: [INÍCIO DE SESSÃO: utilizador_ocultado_667]

Motivo indicado pelo utilizador: [TEXTO: «O utilizador denuncia a existência de artigos duplicados no inventário e conduta comercial abusiva...»]

Primeiro plano: <path fill="#000" /> Falha: Fluxo UTF-8 subjacente intacto

Fonte: anexo em PDF da carta do advogado de 1 de outubro de 2025 (830 páginas, metadados do produtor Aspose.PDF para .NET) · calculado pelos autores, método e contagem por página em [disclosure-audit.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/regulatory-review/disclosure-audit.json) · O SHA-256 do apêndice registado no mesmo ficheiro · o próprio apêndice não é publicado.

2. Por que é que isto é importante para a resposta de um titular de dados 

**O advogado de Valve enviou este ficheiro a um titular de dados em resposta a um pedido relativo aos registos dessa pessoa.** As barras que o cobrem são meramente estéticas: o texto subjacente nunca foi removido, pelo que os identificadores de terceiros que as barras pretendiam ocultar foram enviados ao destinatário juntamente com o ficheiro. Uma supressão que pode ser removida com uma ferramenta de extração de texto não oculta nada e, além disso, impede o destinatário de determinar o que foi divulgado e o que não foi.

O n.º 4 do artigo 15.º é a razão pela qual essas barras existem: o direito de obter uma cópia não deve prejudicar os direitos e liberdades de terceiros. Essa é a obrigação que esta produção não cumpriu. Cabe à autoridade de controlo determinar se se trata de uma violação de dados pessoais nos termos do artigo 4.º, n.º 12; a divulgação em si é mensurável no ficheiro e reproduzível por qualquer pessoa que possua os mesmos bytes — o SHA-256 está publicado, mas o apêndice não.

**O que estava por baixo das barras não eram números de conta.** Tratava-se do conjunto de denúncias apresentadas por utilizadores contra o requerente, com os respetivos autores indicados: Steam inícios de sessão que, dado que um início de sessão raramente é utilizado apenas no Steam, identificam a pessoa por trás deles — **segundo os autores, mais de 60% dos utilizadores mencionados no documento são totalmente identificáveis** — juntamente com o texto original, sem censura, do que escreveram. Esse texto inclui ameaças de morte e insultos dirigidos à nacionalidade do requerente. Algumas das pessoas assim identificadas são menores de idade. **A produção entregou uma lista com os nomes dos jornalistas à pessoa que tinha sido alvo da reportagem**, que é precisamente o dano que o n.º 4 do artigo 15.º visa impedir.

**A ordem dos caracteres no ficheiro é tão importante quanto o seu conteúdo.** O pedido foi inicialmente recebido com uma exigência de provas adicionais de identidade, com o argumento de que o endereço de e-mail com pseudónimo do requerente não continha o seu nome; a conta foi banida permanentemente durante o atraso que se seguiu. A carta que finalmente entregou os dados, mais de seis semanas após o prazo de um mês previsto no n.º 3 do artigo 12.º, ameaçou o destinatário com um processo penal e reteve o restante dos seus próprios dados até que este explicasse a atividade da sua conta ao advogado. A divulgação também esclarece duas questões a que Valve não tinha respondido publicamente: os registos apresentados revelam ligações entre contas que remontam a 2019 e dados de telemetria interna com um nível de detalhe que Valve nunca tinha descrito.

**Âmbito desta secção:** A observação aqui apresentada limita-se aos aspetos técnicos da redação, analisados com base no ficheiro tal como foi produzido. A análise mais aprofundada dos registos produzidos, realizada pelos autores, não é divulgada enquanto se aguarda uma revisão independente e não é invocada em nenhuma outra parte deste dossiê.

Prova: carta do advogado datada de 1 de outubro de 2025 e o seu anexo em formato PDF (SHA-256 registado no ficheiro de auditoria); [Medidas e método para ficheiros PDF ao nível da página ↗](https://phishdestroy.io/steam_dossier/steam_tos_assets/regulatory-review/disclosure-audit.json). A sequência do pedido, a recusa referida na página 8 e a descrição dos registos divulgados estão descritas na íntegra no relato de PhishDestroy, [«O meu cão contra os advogados de elite especializados no RGPD», 17 de agosto de 2026 ↗](https://phishdestroy.medium.com/my-dog-vs-elite-gdpr-lawyers-the-valve-data-breach-nobody-is-talking-about-f6f7683d813d) [arquivado 2026-08-21 ↗](https://web.archive.org/web/20260821155801/https://phishdestroy.medium.com/my-dog-vs-elite-gdpr-lawyers-the-valve-data-breach-nobody-is-talking-about-f6f7683d813d). Os nomes das contas e os dados de terceiros foram omitidos aqui; nada do que está coberto pelas barras é reproduzido.

> **Na página 8 da carta de acompanhamento, parte do pedido é recusada, sendo o motivo apresentado por escrito:** Não é possível fornecer informações mais detalhadas devido à proteção dos dados pessoais dos outros utilizadores da plataforma Steam… — não é possível dar uma resposta mais detalhada, uma vez que os dados pessoais de outros Steam utilizadores têm de ser protegidos. O apêndice de 830 páginas fazia parte do mesmo pacote. O que as barras ocultavam não eram números de conta: eram as denúncias apresentadas contra o requerente, com os nomes dos autores indicados e as mensagens originais, não censuradas, em anexo. O titular da conta tinha solicitado a Valve, através do seu advogado, o seu próprio processo; o que conseguiu extrair dele eram os dados de outras pessoas. Nada neste apêndice depende de quem desenhou as caixas. O que fica estabelecido é que a proteção Valve invocada como fundamento para a recusa de divulgação é a mesma proteção que esta mesma entrega não cumpriu, no mesmo envelope, no mesmo dia.

Apêndice C — Anexos 

## Documentação de apoio e correspondência jurídica

O formato do registo de arquivo e as referências às duas peças expostas, que são analisadas em pormenor noutra parte deste dossiê, em vez de serem repetidas aqui. Cada legenda indica o que a imagem representa e o que não representa.

Onde se discutem as demais provas documentais 

Anexo A: Aviso de julho de 2016 (reconstrução) Renderizado

Apresentado em tempo real, e não como uma captura de ecrã, em [Secção 11 — o aviso de julho de 2016](https://phishdestroy.io/steam_dossier/pt/index#valve-demand-letter). Reconstituição com base no texto divulgado pela imprensa a 21 de julho de 2016; não se trata de uma digitalização do original.

Anexo B: Ticket do RGPD HT-2YBP-F7JP-D4VB Encerrado a 19 de setembro de 2026

As duas capturas de ecrã guardadas, os seus hash SHA-256 e a análise completa encontram-se em [Secção 18 — o caso em curso relativo ao RGPD](https://phishdestroy.io/steam_dossier/pt/index#gdpr-live-case). Registado a 16 de setembro de 2026; encerrado com uma ligação para a página «Dados da conta», sem dados e sem indicação do fundamento jurídico para a recusa.

Anexo C: Arquivo de provas (registo de amostra) Apresentado

Exemplo de um registo guardado do arquivo pesquisável de publicações públicas no GitHub, no Reddit e em fóruns de discussão; cada afirmação contida no arquivo inclui a sua própria atribuição e requer a sua própria verificação probatória.

Image: [Exhibit C: Example of a saved archive record](https://phishdestroy.io/steam_dossier/steam_tos_assets/archive-record.png)

Anexo C · Exemplo de um registo guardado no arquivo de provas (uma issue pública do GitHub, tal como preservada na compilação 2026-09-17). Ilustra apenas o formato do registo. · Ficheiro: [archive-record.png](https://phishdestroy.io/steam_dossier/steam_tos_assets/archive-record.png) · SHA-256 `329abcc434407981fc8d203201f80ec650c61de70a88fcfbb69860aebf8e5613` ([screenshot-manifest.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/screenshot-manifest.json)).

Apêndice D — Recolha de amostras 

## Documentos primários selecionados

Seis registos do arquivo — três issues do GitHub nos trackers de Valve e três contas do Reddit relativas a resultados de suporte contestados. Cada fonte permanece associada à alegação, ao texto guardado e à questão que esta suscita.

1 / 6

Escolha um registo de origem 

GH-01 / GITHUB Abrir na compilação guardada

### Chaves de hardware, solicitadas em 2016

ValveSoftware / steam-for-linux · n.º 4521 · 2016-06-27

Um utilizador solicitou ao Valve que suportasse chaves de hardware U2F como segundo fator de autenticação alternativo. A questão guardada tem as etiquetas «Pedido de funcionalidade» e «Revisada», estando o seu estado registado como «aberta».

> Solicito que o Steam passe a suportar a chave USB U2F como alternativa.
> 
> [Excerto da issue do GitHub ↗](https://github.com/ValveSoftware/steam-for-linux/issues/4521)

Registo documentado

Um pedido datado relativo a uma medida de segurança adicional para a conta, publicado no próprio sistema de acompanhamento de problemas do Valve e marcado como «revisto».

Exigência de responsabilização

Publique a decisão relativa ao produto, a data de resposta e a proteção concedida após a análise.

[Ler registo guardado](https://phishdestroy.io/steam_dossier/pt/steam_evidence_archive?source=GitHub&record=484)[Abrir o GitHub ↗](https://github.com/ValveSoftware/steam-for-linux/issues/4521)

[No dossiê: Medidas de segurança da conta →](https://phishdestroy.io/steam_dossier/pt/index#consent-analysis) Arquivo n.º 484 · compilação 2026-09-17

GH-02 / GITHUB Abrir na compilação guardada

### Relatórios de falhas sem uma opção de exclusão eficaz

ValveSoftware / steam-for-linux · n.º 6459 · 2019-08-18

O repórter descreve um cliente Steam de 12 de agosto de 2019 no Ubuntu 16. Afirma que a desativação do destino do «crash-upload» não se manteve após o reinício e inclui a configuração relevante.

> Se desativar o `ServerURL`, este é substituído após cada reinício.
> 
> [Excerto da issue do GitHub ↗](https://github.com/ValveSoftware/steam-for-linux/issues/6459) [arquivado 2026-04-19 ↗](https://web.archive.org/web/20260419051343/https://github.com/ValveSoftware/steam-for-linux/issues/6459)

Registo documentado

Uma reclamação específica relativa à privacidade, com a data do cliente, o sistema operativo e um excerto da configuração. O problema registado encontra-se em aberto.

Exigência de responsabilização

Identifique a investigação, as compilações afetadas e a alteração que tornou a opção de exclusão efetiva.

[Ler registo guardado](https://phishdestroy.io/steam_dossier/pt/steam_evidence_archive?source=GitHub&record=467)[Abrir o GitHub ↗](https://github.com/ValveSoftware/steam-for-linux/issues/6459) [arquivado 2026-04-19 ↗](https://web.archive.org/web/20260419051343/https://github.com/ValveSoftware/steam-for-linux/issues/6459)

[No dossiê: Solicitar os registos subjacentes →](https://phishdestroy.io/steam_dossier/pt/index#dsar-playbook) Arquivo n.º 467 · compilação 2026-09-17

GH-03 / GITHUB Abrir na compilação guardada

### Foi comunicada uma utilização abusiva de bilhetes de autenticação ao Valve

ValveSoftware / Source-1-Games · n.º 3857 · 2022-02-26

O autor alega que a operação do servidor retinha Steam bilhetes de autenticação após os jogadores se terem desligado e utilizava listas de servidores enganosas. A publicação pede a Valve que se pronuncie sobre este comportamento.

> Fazer com que os seus servidores pareçam estar cheios.
> 
> [Excerto da questão no GitHub ↗](https://github.com/ValveSoftware/Source-1-Games/issues/3857)

Registo documentado

Uma denúncia pública apresentada no sistema de acompanhamento do Valve a 26 de fevereiro de 2022. O seu estado guardado é «aberto»; a denúncia inclui links para capturas de ecrã.

Exigência de responsabilização

Apresente o resultado da investigação e o registo das medidas de mitigação relativas ao abuso do bilhete de autenticação que foi comunicado.

[Ler registo guardado](https://phishdestroy.io/steam_dossier/pt/steam_evidence_archive?source=GitHub&record=768)[Abrir o GitHub ↗](https://github.com/ValveSoftware/Source-1-Games/issues/3857)

[No dossiê: Âmbito do conjunto de dados →](https://phishdestroy.io/steam_dossier/pt/index#evidence-base) Arquivo n.º 768 · compilação 2026-09-17

RD-01 / REDDIT Perfil do autor

### 44 compras contestadas no Mercado

r/DotA2 · nome de utilizador não divulgado · 2022-07-07

O autor refere 44 compras não autorizadas no Market, realizadas a 6 de julho de 2022, e perdas da ordem de $500+. Afirma que a autenticação de dois fatores estava ativada e descreve respostas repetidas, baseadas em modelos, por parte do apoio ao cliente.

> Já é o segundo ticket que envio e ainda não recebi nenhuma resposta do Steam que não seja um modelo copiado e colado automaticamente.
> 
> [Excerto da publicação no Reddit ↗](https://www.reddit.com/r/DotA2/comments/vt76ov/funds_stolen_through_steam_market_disappointed/) [arquivado 2025-03-20 ↗](https://web.archive.org/web/20250320082450/https://www.reddit.com/r/DotA2/comments/vt76ov/funds_stolen_through_steam_market_disappointed/)

Registo documentado

Um relato datado de compras contestadas, com links para capturas de ecrã das transações e uma resposta do serviço de apoio. Os montantes e os factos referidos são da autoria do autor.

Exigência de responsabilização

Reconcilie as compras contestadas com os registos de transações e de sessões. Explique os fundamentos que estiveram na base da decisão do serviço de apoio.

[Ler registo guardado](https://phishdestroy.io/steam_dossier/pt/steam_evidence_archive?source=Reddit&record=4533)[Abrir o Reddit ↗](https://www.reddit.com/r/DotA2/comments/vt76ov/funds_stolen_through_steam_market_disappointed/) [arquivado 2025-03-20 ↗](https://web.archive.org/web/20250320082450/https://www.reddit.com/r/DotA2/comments/vt76ov/funds_stolen_through_steam_market_disappointed/)

[No dossiê: Apoio e aplicação da lei →](https://phishdestroy.io/steam_dossier/pt/index#enforcement-standard) Arquivo n.º 4,533 · compilação 2026-09-17

RD-02 / REDDIT Perfil do autor

### Uma proibição permanente e recurso encerrado

r/ohnePixel · nome de utilizador não divulgado · 2024-12-09

O autor contesta o banimento permanente e afirma que o apoio invocado se baseou em suspeitas de transferência de conta e em denúncias da comunidade. Descreve os tickets encerrados e os planos para solicitar os seus dados pessoais.

> Expliquei a minha situação e pedi mais detalhes, mas eles mantêm a sua decisão e estão a encerrar os meus tickets.
> 
> [Excerto da publicação no Reddit ↗](https://www.reddit.com/r/ohnePixel/comments/1hahqx2/permanently_banned_steam_account_without_a_clear/)

Registo documentado

Uma descrição do recurso guardada, incluindo os motivos que, segundo o autor, justificam o apoio prestado e links para quatro imagens. A data da publicação provém da exportação de dados de apoio selecionada.

Exigência de responsabilização

Identifique os elementos de prova que fundamentam a proibição permanente e os meios de recurso disponíveis para a contestar. O encerramento de um recurso não constitui uma justificação da decisão.

[Ler registo guardado](https://phishdestroy.io/steam_dossier/pt/steam_evidence_archive?source=Reddit&record=4766)[Abrir o Reddit ↗](https://www.reddit.com/r/ohnePixel/comments/1hahqx2/permanently_banned_steam_account_without_a_clear/)

[No dossiê: Solicitar os registos subjacentes →](https://phishdestroy.io/steam_dossier/pt/index#dsar-playbook) Arquivo n.º 4,766 · compilação 2026-09-17

RD-03 / REDDIT Perfil do autor

### Um reinício da recuperação e uma perda registada de $10,000

r/legaladvice · nome de utilizador não divulgado · 2025-05-09

O autor alega que o serviço de apoio redefiniu as credenciais e desativou as proteções da conta depois de outra pessoa ter enviado um pedido de recuperação. O autor refere uma perda de cerca de US$10,000 de uma conta inativa.

> Steam O serviço de apoio redefiniu a minha palavra-passe e desativou todas as medidas de segurança da minha conta.
> 
> [Excerto da publicação no Reddit ↗](https://www.reddit.com/r/legaladvice/comments/1kipjde/got_10k_stollen_from_steam_inventory_due_to_steam/)

Registo documentado

Uma alegação que foi guardada sobre o processo de recuperação ter ignorado as medidas de segurança da conta. A publicação guardada regista o que, segundo o autor, o serviço de apoio ao cliente lhe disse.

Exigência de responsabilização

Identifique quem autorizou a redefinição, os comprovativos de titularidade que foram aceites e o registo de acesso. A recuperação de conta faz parte dos controlos do sistema de segurança Valve.

[Ler registo guardado](https://phishdestroy.io/steam_dossier/pt/steam_evidence_archive?source=Reddit&record=4592)[Abrir o Reddit ↗](https://www.reddit.com/r/legaladvice/comments/1kipjde/got_10k_stollen_from_steam_inventory_due_to_steam/)

[No dossiê: Solicitar os registos subjacentes →](https://phishdestroy.io/steam_dossier/pt/index#dsar-playbook) Arquivo n.º 4,592 · compilação 2026-09-17

Seis registos selecionados. As descrições do GitHub descrevem a compilação guardada. As publicações no Reddit preservam os relatos dos autores.

[Descarregue os seis álbuns ↓](https://phishdestroy.io/steam_dossier/steam_tos_assets/selected-evidence-records.json)

A compilação pesquisável contém **16,319 registos distintos**: 393 registos no Trustpilot, 5,635 no Reddit, 2,395 no GitHub, 276 registos na Web e 7,620 na wiki. Vários registos podem referir-se ao mesmo evento. A exportação principal separada, com 40,448 linhas, tem um âmbito diferente.

[Pesquisar no arquivo completo ↗](https://phishdestroy.io/steam_dossier/pt/steam_evidence_archive) · [Criar manifesto ↗](https://phishdestroy.io/steam_dossier/steam_tos_assets/archive_manifest.json) · [Âmbito e contagens do conjunto de dados →](https://phishdestroy.io/steam_dossier/pt/index#evidence-base)

Apêndice E — Estudo de caso 

## ArchiSteamFarm e a cláusula de automatização

Uma ferramenta de código aberto para a aquisição de cartões, cujas próprias perguntas frequentes (FAQ) indicam que funciona em milhões de contas, o que contraria a cláusula do Acordo de Subscrição (§ 4.C) que proíbe a automatização. Os mecanismos — o que uma «fazenda» tem de comprar à Valve antes de poder produzir qualquer coisa, por que razão todas as formas de levantar fundos de um cartão violam a licença, o historial de aplicação das regras e quem modera a economia dos cartões — estão descritos na íntegra em [Anexo V ↗](https://phishdestroy.io/steam_dossier/pt/card_economy).

O Contrato de Assinante Steam, § 4.C, estipula:

«Não é permitido utilizar qualquer tipo de scripts, bots, macros ou outros sistemas não controlados por seres humanos («Automação») para interagir com os Conteúdos e Serviços no Steam, de forma alguma.» — [Steam Contrato de Assinante, § 4.C (em vigor) ↗](https://store.steampowered.com/subscriber_agreement/) [arquivado 2026-09-18 ↗](https://web.archive.org/web/20260918014700/https://store.steampowered.com/subscriber_agreement/)

**Valve faz cumprir esta cláusula. É muito eficaz nisso.** As perguntas frequentes sobre **ArchiSteamFarm (ASF)** — uma ferramenta de código aberto que, segundo a própria documentação, funciona em **mais de alguns milhões de contas Steam** desde o seu primeiro lançamento, há mais de 11 anos — reproduz três Steam mensagens do apoio ao utilizador que baniram permanentemente os utilizadores que geriam redes de bots. Valve descobriu as redes, identificou-as e desativou-as. A questão relevante não é, portanto, se Valve consegue detetar a automação em grande escala.

O site oficial do projeto [ArchiSteamFarm Perguntas frequentes](https://github.com/JustArchiNET/ArchiSteamFarm/wiki/FAQ) aborda diretamente o risco de uma proibição:

«Isto é extremamente improvável, tendo em conta que o ASF está a ser utilizado em mais de alguns milhões de contas Steam, desde o seu primeiro lançamento, que ocorreu há mais de 11 anos — mas continua a ser uma possibilidade, independentemente da probabilidade real.»

"Valve reconhece claramente a existência dos «Steam ociosos», tal como aqui se afirma; por isso, se me perguntassem, tenho quase a certeza de que, se não estivessem de acordo com a sua existência, já teriam tomado medidas em vez de se limitarem a salientar que estes poderiam causar problemas no que diz respeito a VAC. **A palavra-chave aqui é «jogos de inatividade» (idlers), por exemplo, o ASF, e não «jogos de inatividade».**"

— ArchiSteamFarm Perguntas frequentes, JustArchiNET. [Fonte: Wiki do GitHub ↗](https://github.com/JustArchiNET/ArchiSteamFarm/wiki/FAQ) · verificado literalmente 2026-09-22

A mesma secção de perguntas frequentes responde à pergunta «Alguém foi banido por causa disso?» com **Sim**, e reproduz o que o Steam Support escreveu a três deles:

1,000+ bots · banidos do comércio 
*«Parece que esta conta foi utilizada para gerir uma rede de contas de bots. A utilização de bots constitui uma violação do Acordo de Assinante Steam.»*

Mais de 170 bots · banidos permanentemente, Promoção de Inverno de 2017 
*«Esta conta foi utilizada para a recolha ilegal de cartões colecionáveis no Steam, bem como para atividades relacionadas, não apenas comerciais. A conta foi bloqueada definitivamente e o Apoio ao Cliente Steam não pode prestar assistência adicional sobre esta questão.»*

Mais de 120 bots · banidos permanentemente 
*«Esta e outras contas foram utilizadas para sobrecarregar a nossa infraestrutura de rede, o que constitui uma violação das regras de conduta online Steam.»*

— Steam Mensagens de apoio reproduzidas na ArchiSteamFarm secção de perguntas frequentes (FAQ), na secção «Alguém foi banido por causa disso?». [Fonte ↗](https://github.com/JustArchiNET/ArchiSteamFarm/wiki/FAQ) · verificado literalmente 2026-09-22

**Coloca os dois registos lado a lado.** Um utilizador privado com 1,000 bots de farming é identificado, informado de que «a utilização de bots constitui uma violação do Steam Acordo de Subscrição» e removido permanentemente. As plataformas comerciais incluídas neste dossiê gerem contas automatizadas Steam como atividade principal, numa escala muito superior, e autenticam-se através do próprio OpenID da Valve em cada início de sessão — e não foi publicado qualquer registo de aplicação de medidas por operador relativamente a nenhuma delas. **A cláusula funciona. A questão é a quem se destina.**

A ASF não é acusada de nada aqui, e a sua interpretação da posição de Valve é da sua exclusiva responsabilidade — o seu autor afirma claramente que «a ASF não está autorizada por Valve». A ferramenta é aqui utilizada como um instrumento de medição: mostra que Valve deteta redes de bots, identifica-as por escrito e bane-as permanentemente. Valve pode encerrar a questão numa única frase, publicando quais as automações comerciais que autoriza e o registo, por operador, das medidas tomadas relativamente às restantes.

Como a prática de «card farming» afeta as receitas da Valve

As cartas colecionáveis obtidas no jogo são vendidas no Mercado da Comunidade Steam, que cobra uma comissão total de cerca de 15% por cada venda concluída no Mercado; a conta tem de ter gasto $5.00 USD em Steam antes de poder receber qualquer cartão; e a obtenção de cartões requer a posse do jogo ou compras no jogo. Não é aqui estimada qualquer receita agregada — a escala operacional é indicada apenas tal como consta nas Perguntas Frequentes (FAQ) da ASF. As Perguntas Frequentes também registam Valve distinções *"Steam ociosos"* (coleção de cartas) de *"jogadores que ficam a perder tempo"*; consulte o [Perguntas frequentes sobre a ASF ↗](https://github.com/JustArchiNET/ArchiSteamFarm/wiki/FAQ). As regras estão descritas na íntegra em [Anexo V — a escala](https://phishdestroy.io/steam_dossier/pt/card_economy#scale) e [a armadilha da utilização comercial](https://phishdestroy.io/steam_dossier/pt/card_economy#licence).

Assunto ArchiSteamFarm — obtenção automática de cartões

Escala indicada Milhões de contas (segundo as Perguntas Frequentes da ASF — o número exato de contas ativas não foi confirmado)

Contados, não citados 10,880,610 entradas totais na API do próprio grupo Steam da ASF (5,360,499 sem restrições, conforme Steam mostra) — os «milhões» referidos nas Perguntas Frequentes não são uma história, mas sim um recenseamento. 88.97% não implicam qualquer tipo de Steam proibição. [O censo completo das proibições ↗](https://phishdestroy.io/steam_dossier/pt/enforcement_audit)

Informações divulgadas na própria documentação da ferramenta 

- O ASF inicia sessão nas contas em modo sem interface gráfica e mantém os jogos em espera para a obtenção de cartas, sem iniciar o cliente Steam (conforme a documentação do projeto).

- A secção de perguntas frequentes argumenta que o Valve está ciente da existência dos «Steam ociosos» e que «se não se sentissem à vontade com eles, já teriam feito alguma coisa».

- Não foram registadas medidas de fiscalização específicas em mais de 11 anos (segundo as Perguntas Frequentes); as vendas com cartão resultantes no Community Market implicam uma comissão combinada de Steam, no valor de cerca de 15%.

- A secção de perguntas frequentes indica um limite máximo recomendado de dez contas por operador e atribui-o a Valve: «Esta recomendação baseia-se em diretrizes internas Valve, bem como nas nossas próprias sugestões.» A Valve não publicou qualquer diretriz desse tipo.

- Limite técnico, de acordo com as mesmas perguntas frequentes: «é possível executar até 100-200 bots com um único IP e uma única instância do ASF.»

- O tempo de jogo «falsificado» é registado pelo Valve — «normalmente é atualizado a cada 30 minutos, aproximadamente» — e o § 4.C enumera «a falsificação de estatísticas de jogo (por exemplo, vitórias ou derrotas inflacionadas, XP, tempo de jogo)» como um ato proibido.

Fontes 

[Wiki oficial de perguntas frequentes da JustArchi ASF ↗](https://github.com/JustArchiNET/ArchiSteamFarm/wiki/FAQ) [ArchiSteamFarm repositório ↗](https://github.com/JustArchiNET/ArchiSteamFarm) [arquivado 2026-09-24 ↗](https://web.archive.org/web/20260924181709/https://github.com/JustArchiNET/ArchiSteamFarm)

A cláusula relativa à automatização é explícita; o FAQ da ASF afirma há anos que a ferramenta é utilizada em milhões de contas; não foram relatadas quaisquer medidas de fiscalização específicas contra a sua utilização. A discrepância entre a regra e a sua aplicação está documentada; a razão para tal não é aqui esclarecida.

[Exposição completa A economia dos cartões: o processo, a escala, a licença e quem a regula ↗ O que uma exploração agrícola tem de comprar à Valve antes de poder produzir um único cartão; as duas linhas do § 4.C que definem a «cultivação de cartões» pelos seus efeitos; por que razão todas as formas de resgatar um cartão violam a licença Valve, enquanto Valve cobra uma taxa à entrada; o registo de aplicação da lei, incluindo a onda de junho de 2025 VAC e o banimento em cadeia por número de telefone partilhado; e os Valve funcionários e moderadores da comunidade que foram encontrados a administrar os serviços de troca de cartões e da lista de banidos em torno de Steam.](https://phishdestroy.io/steam_dossier/pt/card_economy) [O recenseamento das proibições Não perguntámos ao Valve qual era a dimensão da quinta. Contámo-la. ↗ 10,880,610 contas no total (limitadas e não limitadas) lidas do próprio grupo Steam do ArchiSteamFarm, ao qual o software adere automaticamente por predefinição na primeira vez que é iniciado, a menos que o utilizador desmarque a configuração de adesão ao grupo (abrangendo tanto as «fazendas de bots» comerciais como os jogadores regulares que mantiveram a configuração predefinida ativada). 88.97% não têm qualquer tipo de banimento Steam; dos 11% que o têm, 99.8% são banimentos comunitários meramente simbólicos que nunca impedem a realização de transações. Após verificação cruzada com SteamRep, 67.77% dos burlões listados ficam em liberdade assim que os banimentos anti-batota são postos de lado. Com repartições por data de registo, localização geográfica e tempo de permanência — a verdadeira escala, medida, não narrada.](https://phishdestroy.io/steam_dossier/pt/enforcement_audit)

Apêndice F — Livro-razão de trabalho 

## Escolha uma regra. Analise os registos correspondentes.

Contexto e limites da fonte

Selecione uma cláusula do Acordo de Subscrição ou das regras de Conduta Online; o registo apresenta as plataformas registadas associadas a essa cláusula, com o respetivo domínio principal, o servidor de autenticação declarado e o resultado do Filtro de Links guardado. O registo descreve o âmbito dos registos desta investigação, não constituindo uma constatação de violação por parte de qualquer plataforma.

Selecione uma cláusula para ver as plataformas marcadas, os servidores de autenticação e os resultados guardados do Filtro de Links. Abra cada fonte para testar a comparação.

Apêndice G — De um modelo de recusa ao registo subjacente 

## Guia prático sobre o DSAR: solicitar as provas

Recorra ao artigo 15.º do RGPD para solicitar dados pessoais relacionados com a criação de chaves API, a recuperação de contas e o acesso ao apoio ao utilizador. Um registo conservado permite verificar quem iniciou uma ação e em que se baseou a plataforma.

- 01 

### Guarde a sua cronologia.

Guarde os avisos da conta, os bilhetes, os IDs das transações e as datas em UTC. Proteja a conta e analise as opções de recuperação aplicáveis ao jogo e à transação.

[Steam Informações sobre proteção comercial ↗](https://help.steampowered.com/en/faqs/view/365F-4BEE-2AE2-7BDD)

- 02 

### Solicite os seus dados arquivados.

Solicite registos de data e hora, endereços IP de origem, eventos importantes do ciclo de vida das chaves, confirmações de segurança e ações de recuperação relacionadas com a conta. Inclua eventos de acesso ao serviço de apoio e os destinatários, sempre que esses dados sejam do seu interesse.

- 03 

### Guarde o comprovativo de entrega.

Utilize o canal de contacto para questões de privacidade de Valve. O prazo normal de resposta é de um mês; qualquer prorrogação necessária até um máximo de mais dois meses deve ser justificada no decurso desse primeiro mês.

[Valve via de contacto para questões de privacidade ↗](https://store.steampowered.com/privacy_agreement/#8) [arquivado 2026-09-21 ↗](https://web.archive.org/web/20260921021648/https://store.steampowered.com/privacy_agreement/)

- 04 

### Compare a resposta.

Concilie os registos com a sua cronologia. Pergunte quais são os motivos das omissões e, se necessário, recorra à via de reclamação junto da autoridade de supervisão. Guarde a resposta exatamente tal como a recebeu.

Âmbito de aplicação / Artigo 15.º 

O direito de acesso abrange os dados pessoais conservados, incluindo os dados contidos nos registos. Não garante o acesso a todos os documentos internos, registos reconstituídos ou dados não expurgados relativos a terceiros. Solicite uma cópia legível e a justificação de qualquer restrição.

[Orientações do EDPB em matéria de acesso, §§ 2, 4–6 ↗](https://www.edpb.europa.eu/system/files/2023-04/edpb_guidelines_202201_data_subject_rights_access_v2_en.pdf) · [Artigos 12.º, 15.º e 77.º do RGPD ↗](https://eur-lex.europa.eu/eli/reg/2016/679/oj/eng) [arquivado 2026-09-20 ↗](https://web.archive.org/web/20260920024236/https://eur-lex.europa.eu/eli/reg/2016/679/oj/eng)

Pedido de acesso aos dados pessoais RGPD / Artigo 15.º

### Segurança da conta e registos de acesso

Substitua os campos entre parênteses antes de enviar.

```
To: Valve Privacy Team
Subject: Article 15 GDPR request — account security records

Account / SteamID: [YOUR ACCOUNT IDENTIFIER]
Relevant period (UTC): [START] to [END]
Related support tickets: [TICKET REFERENCES]

I request a copy of the personal data concerning me that you retain for this period, including:

1. API-key registration, confirmation, use and revocation events, with available timestamps, source IP addresses, registered domains, device or user-agent information and non-secret key identifiers.

2. Recorded account-recovery actions, password/email/phone changes, Steam Guard removals or resets, confirmation events and the account-related evidence relied on to authorize those actions.

3. Personal data in support-access and administrative-action logs concerning my account, including available dates, purposes, actions and the support entity involved, subject to applicable rights of others.

4. Account-related records used to determine any sanction, and available records of my complaints, reviews and responses.

Please also provide the applicable processing purposes, categories, recipients, retention periods or criteria, and available information about sources where data were not obtained from me.

Where processing relies on my consent, please provide the retained record of the consent relied upon and the wording presented at that time.

Please provide an intelligible electronic copy with time zones and field definitions. Please do not include active credentials or secret tokens. If any requested data are not held, please say so. For any withheld data, please identify the scope and legal basis of the restriction and provide the remainder.

Please acknowledge receipt and respond within the applicable Article 12 period, explaining any necessary extension. I also ask you to preserve relevant existing records while this request is handled.

Name: [YOUR NAME]
Date: [DATE]
```

[Descarregar ficheiro .txt](https://phishdestroy.io/steam_dossier/steam_tos_assets/dsar-request-template.txt)

O que um endereço IP de um centro de dados pode permitir 

### Uma discrepância constitui um indício que deve ser investigado.

Um pedido de chave API proveniente da rede de um centro de dados, tal como no exemplo do fornecedor de alojamento web referido nesta investigação, pode ser relevante quando comparado com registos de início de sessão, confirmações e a cronologia do utilizador. Um endereço IP, por si só, não identifica o autor nem contorna automaticamente todas as defesas. A prova de que um autor mal-intencionado forneceu o consentimento registado pode pôr em causa a validade desse consentimento; outras bases jurídicas e questões de responsabilidade exigem uma análise separada.

[Ver a denúncia arquivada relativa à proibição e ao RGPD →](https://phishdestroy.io/steam_dossier/pt/steam_enforcement_evidence#support-records)

Apêndice H — Análise do arquivo do Wayback Machine · estatísticas de suporte publicadas 

## Volume de assistência. Tempos de resposta publicados.

Limites de contexto e de fonte

A Valve publica estatísticas diárias de apoio em `store.steampowered.com/stats/support`. Os arquivos do Wayback Machine preservam instantâneos históricos desta página entre 2018 e 2026. O rácio entre o volume e o número de colaboradores sugerido por estes números não é compatível com a revisão humana de cada pedido nos tempos de resposta publicados.

Compare os dados de apoio arquivados de Valve nas várias instantâneas guardadas. A metodologia explica o que esses dados podem e não podem medir.

Volume em função do tempo de resposta publicado (2018 → 2026)

### Duas filas num balcão de apoio, conforme se pode ver em 21 capturas de ecrã arquivadas.

Valve publica os números relativos ao apoio ao vivo em `store.steampowered.com/stats/support`. Cada valor abaixo corresponde ao próprio limite inferior Valve tal como constava nessa página no dia em que o Internet Archive a capturou — não se trata de uma estimativa nossa. Ambas as séries representam a mesma medida na mesma unidade, pelo que devem figurar num único eixo e podem ser comparadas diretamente entre si.

**Pedidos de reembolso** — dinheiro Valve está em posse de **Segurança e recuperação da conta** — a conta que perdeu

**49–55 min** O limite mínimo do reembolso em cada captura, de fevereiro de 2018 a agosto de 2026. Ao longo de oito anos e meio, varia em menos de seis minutos, enquanto o volume diário de reembolsos varia num fator de nove.

**2,4 h → 8,7 h** O limite inferior da recuperação de contas situa-se em cerca de 2,4 horas em todas as recolhas até dezembro de 2022, com exceção de uma. Nas três recolhas de 2026, Valve apresenta valores de 10,9 h, 5,8 h e 8,7 h.

**×2,8 → ×13** Quão mais lenta é a recuperação em comparação com os reembolsos, segundo os próprios dados publicados por Valve. Mantém-se estável durante cinco anos, depois o fosso aumenta — a fila que ficou mais lenta é aquela em que é o utilizador, e não Valve, que fica a arcar com os custos.

Fonte: 21 capturas do Wayback Machine de [store.steampowered.com/stats/support](https://web.archive.org/web/20260810154631/https://store.steampowered.com/stats/support), 2018-02-03 a 2026-08-10; extração em `VALVE_EVIDENCE_PACK/databases/steam_support_stats_history.json`. Observe os limites nas figuras: o gráfico representa o *inferior* limite do intervalo de Valve impressões. O limite superior publicado é pior em ambas as linhas — os reembolsos variaram entre 1,5 horas e 1,5 dias, e a recuperação entre 7,0 horas e 3,6 dias. Duas capturas foram arquivadas numa edição localizada da mesma página Valve — 2018-11-03 em checo, 2020-03-25 em francês — e estão assinaladas com (cs) e (fr) na tabela; os seus valores aparecem aqui com as unidades de medida traduzidas e os números tal como foram publicados, e as cadeias de texto originais são mantidas no ficheiro de extração. Cada captura publicou um tempo de resposta para ambas as filas, e nenhum ponto em nenhuma das linhas foi interpolado. O único valor de recuperação de 15 minutos, 2020-10-21, está assinalado no gráfico e foi mantido: aparece apenas numa captura e nenhuma outra captura se encontra dentro de uma ordem de grandeza desse valor. Não existe qualquer registo entre 2022-12-08 e 2026-02-01; essa lacuna de 38 meses no registo está sombreada e nada é traçado sobre ela. Estes valores descrevem os tempos de resposta publicados. Não mostram o que acontece no interior de um ticket, e o Valve não publicou qualquer número de colaboradores com base no qual os se possa interpretar.

Abrir cada captura como uma tabela

Todas as capturas arquivadas, tal como foram publicadas

| Captura | Reembolsos / dia | Resposta relativa ao reembolso | Recuperação / dia | Resposta de recuperação |
| --- | --- | --- | --- | --- |
| 2018-02-03 | 98,788 | 50,12 minutos a 1,52 horas | 25,662 | 2,51 horas a 1,80 dias |
| 2018-05-07 | 60,494 | 53,83 minutos a 1,47 dias | 24,226 | 2,45 horas a 2,22 dias |
| 2018-08-02 | 69,084 | 50,27 minutos a 1,59 horas | 28,953 | 2,44 horas a 22,17 horas |
| 2018-11-03 (cs) | 63,410 | 49,28 minutos a 1,54 horas | 33,910 | 2,42 horas a 1,31 dias |
| 2019-02-01 | 76,305 | 50,13 minutos a 1,52 horas | 35,164 | 2,44 horas a 2,04 dias |
| 2019-05-18 | 78,951 | 51,03 minutos a 3,12 horas | 27,514 | 2,46 horas a 20,39 horas |
| 2019-09-07 | 78,941 | 50,65 minutos a 1,66 horas | 28,812 | 2,42 horas a 13,59 horas |
| 2019-12-13 | 69,589 | 50,77 minutos a 1,55 horas | 25,322 | 2,45 horas a 1,13 dias |
| 2020-03-25 (fr) | 139,278 | 49,45 minutos a 1,53 horas | 32,302 | 2,48 horas a 3,62 dias |
| 2020-06-26 | 278,504 | 48,98 minutos a 2,29 horas | 20,343 | 2,39 horas a 6,99 horas |
| 2020-10-21 | 107,633 | 50,80 minutos a 1,54 horas | 20,688 | 15,33 minutos a 8,62 horas |
| 2021-03-20 | 158,956 | 50,80 minutos a 1,64 horas | 25,760 | 2,34 horas a 11,62 horas |
| 2021-06-26 | 547,907 | 51,93 minutos a 6,73 horas | 29,728 | 2,40 horas a 15,63 horas |
| 2021-10-10 | 170,103 | 51,88 minutos a 3,25 horas | 23,989 | 2,39 horas a 13,05 horas |
| 2022-01-31 | 354,386 | 53,65 minutos a 8,09 horas | 24,391 | 2,42 horas a 15,29 horas |
| 2022-05-09 | 172,555 | 51,83 minutos a 1,65 horas | 23,289 | 2,41 horas a 16,90 horas |
| 2022-09-05 | 153,453 | 53,67 minutos a 4,15 horas | 23,594 | 2,45 horas a 1,22 dias |
| 2022-12-08 | 181,075 | 54,83 minutos a 6,67 horas | 27,111 | 2,46 horas a 18,89 horas |
| 2026-02-01 | 317,762 | 50,30 minutos a 1,52 horas | 47,197 | Das 10h91 às 21h30 |
| 2026-05-09 | 246,776 | 50,12 minutos a 1,52 horas | 35,264 | 5,81 horas a 15,60 horas |
| 2026-08-10 | 373,244 | 52,05 minutos a 2,07 horas | 45,319 | 8,73 horas a 16,52 horas |

OBSERVAÇÃO PRINCIPAL:

De um lado ao outro **21 capturas do Wayback** entre 2018-02-03 e 2026-08-10, os pedidos de reembolso diários variaram entre **60,494** (maio de 2018) até **547,907** (Junho de 2021) — a **Spread de 9,1×**. O valor para 2026 é 373,244 (+278% em relação aos dados de fevereiro de 2018).

Ao longo desses mesmos nove anos, o limite mínimo publicado para o tempo de resposta aos pedidos de reembolso nunca saiu de um **49–55 minutos** faixa: um movimento total inferior a seis minutos, enquanto a carga de trabalho subjacente aumentou nove vezes.

Se uma pessoa lesse cada bilhete durante apenas 5 segundos, o processamento de 373,244 bilhetes por dia (valor atual) ocuparia **22 agentes a trabalhar 24 horas por dia, 7 dias por semana** apenas para as abrir e fechar; no pico (547,907, junho de 2021), esse valor sobe para 32.

Se o tempo de resposta publicado refletisse o tempo de tratamento por pedido (~52 min/pedido), o número de funcionários necessários para atender simultaneamente estaria na ordem dos **13,500 agentes** ao volume atual e ~20,000 no pico. Não foi encontrado qualquer dado de referência relativo ao número de colaboradores de apoio de Valve; não se considera aqui qualquer valor.

O que se segue: o rácio entre o volume e o número de colaboradores não é compatível com uma revisão humana de cada pedido, tendo em conta os tempos de resposta publicados. Os números são compatíveis com uma primeira análise amplamente automatizada; a proporção de pedidos que é sujeita a revisão humana não é divulgada.

Por que é que isto é importante para a conformidade com o RGPD 

O artigo 22.º do RGPD proíbe a tomada de decisões individuais exclusivamente automatizadas que produzam efeitos jurídicos significativos, sem prever o direito a uma revisão humana, mediante pedido. Se as decisões de apoio do Steam (encerramento de tickets, ações relativas a contas, recusa de pedidos de dados) forem tomadas inteiramente por scripts automatizados, cada uma dessas decisões que «afete significativamente» o utilizador poderá violar o artigo 22.º.

Bilhete **HT-2YBP-F7JP-D4VB** (Secção 18) foi encerrado ao fim de três dias com um encaminhamento padrão e sem qualquer referência ao fundamento jurídico citado. Não é possível determinar, a partir do registo, se alguém o analisou; essa é uma questão que a autoridade de controlo pode colocar a Valve nos termos do artigo 22.º e do artigo 15.º, n.º 1, alínea h).

Fonte: instantâneos do Wayback Machine de store.steampowered.com/stats/support (2018-02-03, 2021-06-26, 2026-08-10) — dados extraídos para VALVE_EVIDENCE_PACK/databases/steam_support_stats_history.json (21 instantâneos, 2018–2026). Nota: o tempo de resposta de «~52 min» corresponde ao limite inferior da categoria de reembolso; o tempo de resposta relativo à segurança da conta variou entre 2,4 e 16,5 horas nas mesmas capturas. 2021-06-26 representa o pico histórico (547,907 pedidos de reembolso), não um ponto médio monotónico — o volume aumentou cerca de 6 vezes entre 2020 e 2021, tendo depois diminuído parcialmente antes de recuperar para 373 mil em 2026.

Apêndice I — Âmbito do conjunto de dados · contagens que podem ser reproduzidas 

## Conte os registos. Verifique o âmbito.

Contexto e limites da fonte

Conte os registos e, em seguida, verifique as afirmações: todos os números que se seguem podem ser recalculados a partir dos ficheiros publicados.

Analise os conjuntos de dados subjacentes, reproduza as contagens e distinga as linhas de origem dos incidentes únicos.

O ficheiro CSV principal contém **40,448 linhas**. Destes, **36,516** provêm do feed de phishing do Discord-AntiScam. Os restantes **3,932** As linhas abrangem o GitHub, revisões, resultados de pesquisa, conteúdos de fóruns e outras fontes, proporcionando um índice abrangente dos tópicos abordados pela comunidade e dos relatórios de segurança.

Nesse ficheiro CSV, 1,690 linhas estão classificadas sob o rótulo de coleção «Vulnerabilidades de segurança sem correção», representando problemas históricos dos utilizadores e divulgações de vulnerabilidades. O acompanhamento destes relatórios implica a análise da cronologia específica de compilação de cada thread e do histórico público de correções.

O arquivo pesquisável de registos 16,319 é uma compilação separada e selecionada, com o seu próprio manifesto, concebida para a exploração local precisa de reclamações específicas dos utilizadores e de relatórios de incidentes.

> Para criar uma pista de auditoria fiável, cada registo comunicado pelo utilizador deve ser verificado em relação aos cronogramas de compilação documentados e aos registos históricos de correções.

Os registos da coleção da Parte II, separados **231,829 IDs de anúncios únicos**, incluindo 33,509 na categoria de registo automatizado e 198,320 assinaladas como transferências não verificadas. O SHA-256 do ficheiro de entrada corresponde à medição preservada. Estas contagens descrevem tentativas de listagem e transferências observadas, em vez de valores de transações finalizadas ou totais de roubos verificados, o que destaca a necessidade de registos primários da plataforma para medir o impacto económico exato. [Listar medidas e hashes ↗](https://phishdestroy.io/steam_dossier/steam_tos_assets/part2-measurements.json)

[CSV avançado ↗](https://phishdestroy.io/steam_dossier/VALVE_EVIDENCE_PACK/databases/TOTAL_VALVE_SCANDALS_MASTER_DB.csv) · [Manifesto do arquivo pesquisável ↗](https://phishdestroy.io/steam_dossier/steam_tos_assets/archive_manifest.json) · [Verificar registos de origem ↗](https://phishdestroy.io/steam_dossier/pt/steam_evidence_archive)

Apêndice J — Sobre esta investigação 

## Valve não publica qualquer registo de medidas coercivas. *Construímos um.*

Independente. Não comercial. Criado exclusivamente a partir de dados públicos. Apresentado às entidades reguladoras.

**88.97%** frota de veículos autónomos não afetada — sem qualquer tipo de proibição

**67.77%** dos 51,732 burlões condenados que ficam em liberdade

**$26.8M+** limite mínimo de despesas em lojas por frota não limitada

**3.6%** domínios de jogos de azar bloqueados pelo Filtro de Links do Valve's

**8 anos** de incidentes de segurança registados

**O que é isto.** Um dossiê forense sobre a plataforma Steam da Valve Corporation — o seu historial de aplicação da lei, a sua economia baseada na «card-farming», o seu quadro jurídico e a infraestrutura de autenticação que os operadores de jogos de azar utilizam através do próprio relé OpenID da Steam. Todos os dados são reprodutíveis a partir de duas fontes: a própria API pública da Valve e os conjuntos de dados publicados a acompanhar esta investigação.

**A quem se destina.** Autoridades reguladoras com jurisdição sobre Valve — a autoridade de supervisão do RGPD para os Países Baixos, a FinCEN, a SEC, o Coordenador de Serviços Digitais da DSA, a UOKiK e qualquer entidade responsável pela aplicação da lei que investigue fluxos financeiros associados a Steam. Também para jornalistas, investigadores e todos os utilizadores que tenham sofrido o bloqueio permanente da conta, a recusa de um reembolso ou o roubo de inventário e a quem tenha sido dito que não há possibilidade de recurso.

**A única exigência.** Valve mantém estes dados com total fidelidade — incluindo os motivos da proibição, o espaço de identificação completo e em tempo real. É capaz de executar todas as consultas contidas neste dossiê em segundos e optou por não publicar nada disso. A questão que se coloca a qualquer autoridade competente é simples: *por que não?*

**O que os autores não afirmam.** Não foi concluído qualquer início de sessão no Steam em nenhuma plataforma de terceiros durante este trabalho. Um URL OpenID fornecido define os parâmetros do pedido, não um início de sessão concluído. Um domínio registável distinto não constitui, por si só, prova de evasão. As datas de registo representam limites mínimos quanto ao momento em que um host poderia ter aparecido pela primeira vez numa solicitação OpenID; não comprovam uma utilização contínua. Os autores não afirmam o que Valve sabia ou pretendia: todas as afirmações sobre Valve estão associadas a um documento público datado ou a uma observação datada. Nos casos em que uma alegação não pôde ser fundamentada num documento de referência, foi removida.

Quem somos 

PhishDestroy — investigadores independentes. Sem qualquer ligação à Valve Corporation ou a qualquer plataforma aqui mencionada. Foi utilizada uma conta Steam exclusivamente para documentar o pedido ao abrigo do RGPD referido na Secção 18.

Aviso legal 

Investigação não comercial, descentralizada e de interesse público. Todos os dados são fornecidos «tal como estão», sem qualquer garantia. Esta publicação não constitui uma decisão judicial.

DOMÍNIO PÚBLICO

Licenciamento 

Todos os direitos cedidos à humanidade. Reproduzir, adaptar, publicar — não é necessária a atribuição. Acesso na região abrangida pelo OFAC: proibido. [Licença completa e aviso legal →](https://phishdestroy.io/steam_dossier/pt/license_disclaimer)