# Досьє «Steam»: правила, маршрути та підзвітність

Canonical: https://phishdestroy.io/steam_dossier/uk/index
Language: uk
Author: PhishDestroy Team
Publisher: PhishDestroy

> Valve встановлює обмеження. Steam надає інфраструктуру.

PhishDestroy II · Розділ 1 — Короткий виклад справи Steam / Case File 001

# Їхні правила. *Їхня система.*

Valve встановлює обмеження. Steam надає інфраструктуру.

Шість висновків, кожен із яких пов’язаний із датованим публічним документом. Детальні розділи розташовані в такому порядку: технічна документація (Частина А), правила та документація щодо їх виконання (Частина Б), правові рамки (Частина С), а потім — додатки з основними доказами.

[Читати резюме →](https://phishdestroy.io/steam_dossier/uk/index#briefing-section)[Докази · EN ↗](https://phishdestroy.io/steam_dossier/steam_evidence_archive)

Розслідування / Докази 03 · Докази

[01 Головне питання / вибіркове застосування законодавства ## Один звід правил. Нерівне застосування. У реєстрі зазначено, що комерційні сервіси використовують ідентифікатори Steam, інвентарі, боти та перекази як операційну інфраструктуру. Закон про безпеку даних (SSA) забороняє комерційне використання та автоматизацію без дозволу. Read the rule & 2016 record ↗](https://phishdestroy.io/steam_dossier/uk/index#enforcement-standard) [02 Частина А — Технічна документація · Розділ 3 ## Сайт заблоковано. Маршрут входу в систему — ні. 26 заблокованих основних доменів. Проксі-сервер автентифікації, що працює за кожним із них, та час його функціонування. Хости з аутентифікацією в окремому домені: дані про фільтр посилань ↗](https://phishdestroy.io/steam_dossier/uk/index#proxy-bypass-explainer) [03 Розділ 2 — Відкритий лист ## Відкритий лист до Комісії з питань азартних ігор штату Вашингтон Десять днів перетворилися на десять років. На запит Комісії від 2016 року, адресований Valve, не було надано відповіді у вигляді даних щодо кожного оператора окремо; у цьому листі Комісію просять поновити розгляд справи. Відкритий лист до Комісії з питань азартних ігор штату Вашингтон ↗](https://phishdestroy.io/steam_dossier/uk/index#wsgc-public-address)

[01 / РОЗСЛІДУВАННЯ **Зміст →**](https://phishdestroy.io/steam_dossier/uk/index#briefing-section)[02 / ДОКАЗИ **Докази · EN ↗**](https://phishdestroy.io/steam_dossier/steam_evidence_archive)[03 / ОГЛЯД **Огляд · EN ↗**](https://phishdestroy.io/steam_dossier/output_steam_network/index.html)

ДОСЬЄ «STEAM» / II

## Аутентифікація через сторонні сервіси, Забезпечення дотримання та *Доступ до даних*

Вичерпне експертне дослідження структурних прогалин, механізмів обходу проксі-серверів, вибіркового застосування законодавства та регуляторних викликів, пов’язаних з екосистемою веб-API Steam.

[Open account access subsection](https://phishdestroy.io/steam_dossier/uk/investigation_part2)

Розділ 1 — Короткий виклад справи 

## Правило. Рекорд. Питання, на які немає відповіді.

Контекст та обмеження джерел

Шість висновків, кожен із яких пов’язаний із датованим публічним документом. Детальні розділи розташовані в такому порядку: технічна документація (Частина А), правила та документація щодо їх виконання (Частина Б), правові рамки (Частина С), а потім — додатки з основними доказами.

Шість висновків. Кожен із них пов’язує письмове правило з датованим документом та питанням, яке можна перевірити за допомогою доказів.

1. Хости автентифікації з окремими доменами — 44 маршрути · 26 пар з розділенням 

Записи в реєстрі безробітних **44 платформи, що проходять автентифікацію через окремий домен, який можна зареєструвати**. Ще п’ять маршрутів перебувають на стадії перевірки й очікують на дату RDAP; після їх затвердження загальна кількість маршрутів становитиме 47. Вони не включені до списку 44 маршрутів та до таблиці за віком. — **27 із опублікованим файлом доказів для кожного маршруту** та 17, доданих у результаті ручного збору, перелічених окремо. У **26 пар фільтрів-роздільників** головний домен — це **ЗАБЛОКОВАНО** у фільтрі посилань Steam, тоді як проксі-сервер, що використовує ці дані для входу, не потрапляє під блокування. Це не одноразові домени: csgogem.com заблоковано, тоді як `api.csgem.com`, хост із логіном Steam зареєстрований з березня 2014 року — **12 років 6 місяців**. Valve отримує це ім’я хосту в кожному запиті OpenID і відображає його користувачеві на власній сторінці входу. Повна таблиця, терміни дії для кожного маршруту та джерела наведено в розділі 3.

[Слідуйте маршрутом →](https://phishdestroy.io/steam_dossier/uk/index#proxy-bypass-explainer)

2. 2016 рік: механізм отримав назву, було встановлено кінцевий термін 

13 липня 2016 року Valve публічно описав, як сайти азартних ігор використовували Steam OpenID та автоматизовані торгові рахунки, а в повідомленнях його юридичного представника від 20 липня 2016 року було встановлено десятиденний термін. З того часу не було опубліковано жодних даних щодо заходів примусу щодо окремих операторів. Через десять років після встановлення цього терміну той самий механізм використовується на хостах автентифікації з окремими доменами, які не повернули жодного блокування за допомогою фільтра посилань на 2026-09-21.

[Прочитати відкритий лист до WSGC →](https://phishdestroy.io/steam_dossier/uk/index#wsgc-public-address)

3. Відповідність пристроїв, на бланку адвоката 

У наведеному тут листуванні адвокат Valve описав кореляцію на рівні пристроїв, що пов’язує один пристрій із кількома обліковими записами — про те, що така можливість, як раніше заявляла служба підтримки Steam, технічно неможлива. Залишається відкритим питання, якими даними на рівні пристроїв володіє Valve і на якій підставі власникам облікових записів відмовляють у доступі до них.

[Ознайомитися з меморандумом →](https://phishdestroy.io/steam_dossier/uk/index#official-memorandum)

4. Дві відповіді щодо доступу. В одній випадку дані не були надані, в іншій — стався витік даних. 

**Жовтень 2025 року:** Адвокат Valve відповів на запит згідно зі ст. 15, надавши додаток обсягом 830 сторінок, у якому вилучені фрагменти тексту були зафарбовані, а не видалені — **902,270 символів** надати стандартний інструмент для вилучення даних, включаючи ідентифікатори сторонніх джерел, які мали приховувати ці обмежувальні елементи. Стаття 15(4) є підставою для існування цих обмежувальних елементів. **Вересень 2026 року:** Заявка HT-2YBP-F7JP-D4VB була закрита через три дні з посиланням на сторінку самообслуговування «Дані облікового запису» — без надання даних та зазначення правової підстави. На момент публікації місячний термін, передбачений ст. 12(3), ще не закінчився; заперечення стосується суті справи.

[Переглянути перевірку редагування →](https://phishdestroy.io/steam_dossier/uk/index#academic-response)[Переглянути запис про квиток →](https://phishdestroy.io/steam_dossier/uk/index#gdpr-live-case)

5. Ринок перевищив верхню межу Steam 

Steam обмежує ринкову капіталізацію приблизно до **$1,800**. На п’яти торгових майданчиках за даними з моменту створення знімка (23 вересня 2026 року), **248 категорій товарів CS2** ціна на них перевищує зазначений верхній поріг у двох або більше випадках незалежно один від одного, і **усі 248 відсутні в Steam**; ціна на абсолютно новий набір «Dragon Lore» починається від **$10,941** за 389 екземплярів, зазначених у всіх п’яти (показник лише для CSFloat у розділі 13, за даними знімку від 20 вересня, становить $10,623.95 за 62 пропозиціями). Продаж за цими цінами вимагає використання сторонньої платформи, тоді як передача предметів все ще здійснюється за ціною Steam.

[Слідкуйте за ціною та переказом →](https://phishdestroy.io/steam_dossier/uk/index#market-gap-section)

6. Правило сформульовано чітко; ланцюжок аудиту — ні 

Угода з абонентом передбачає, що Steam призначено для особистого, некомерційного використання, забороняє комерційне використання, за винятком випадків, коли це прямо дозволено, забороняє використання скриптів та ботів, а також передбачає можливість закриття облікового запису. У 2016 році Valve застосувало ці положення до операторів азартних ігор. Окремо, згідно з інженерним акаунтом CSFloat, Valve закрив `IEconItems_730/GetPlayerItems` у 2017 році було скасовано публічний доступ до ідентифікаторів оригінальних елементів (журнал змін Valve не знайдено).

[Розмістіть правило поруч із мережею →](https://phishdestroy.io/steam_dossier/uk/index#enforcement-standard)

[2016 / Письмовий запит **10 днів** Кінцевий термін, зазначений у повідомленнях Valve від липня 2016 року, надісланих юридичним представником сайтам, що займаються азартними іграми. Відкритий лист до WSGC: Розділ 2.](https://phishdestroy.io/steam_dossier/uk/index#wsgc-public-address) [2017 / Публічний аудиторський слід **Доступ за ідентифікатором закрито** CSFloat фіксує втрату оригінальних ідентифікаторів елементів.](https://phishdestroy.io/steam_dossier/uk/index#evidence-blackout) [Листування з адвокатом **Кореляція пристроїв** Один пристрій пов’язаний із десятками викрадених облікових записів.](https://phishdestroy.io/steam_dossier/uk/index#official-memorandum) [Реєстр маршрутів **Акаунт заблоковано, але я все одно намагаюся увійти** **Правило:** Згідно із заявою Valve від 2016 року, заборонено вести гральний бізнес на Steam OpenID. **Запис:** У фільтрі посилань міститься 26 основних доменів, а хост, на якому розміщено обліковий запис Steam для кожного з них, працює вже — хост csgogem.com працює вже 12 років і 6 місяців.](https://phishdestroy.io/steam_dossier/uk/index#proxy-bypass-explainer)

Розділ 2 — Відкритий лист 

## Відкритий лист до Комісії з питань азартних ігор штату Вашингтон

Десять днів перетворилися на десять років. На запит Комісії від 2016 року, адресований Valve, не було надано відповіді у вигляді даних щодо кожного оператора окремо; у цьому листі Комісію просять поновити розгляд справи.

ПУБЛІЧНЕ ЗВЕРНЕННЯ · КОМІСІЯ З ПИТАНЬ АЗАРТНИХ ІГОР ШТАТУ ВАШИНГТОН

### Десять днів перетворилися на десять років. *Відкрийте запис знову.*

До Комісії з питань азартних ігор штату Вашингтон:

У 2016 році директор Девід Трухільйо попросив компанію Valve продемонструвати, що вона зробила для припинення використання скінів Steam у цілях азартних ігор. Тодішній голова Кріс Стернс та Комісія зіткнулися з індустрією, що базувалася на предметах, випущених Valve, та переказах Steam. З того часу обидва чоловіки залишили свої посади в Комісії. Питання, яке вони поставили Valve, досі залишається актуальним.

Головний юрисконсульт Valve Карл Квакенбуш надав операторам азартних ігор десять днів на припинення комерційного використання облікових записів Steam. У своїй жовтневій відповіді на запит вашої Комісії компанія Valve заперечила, що сприяє азартним іграм, заявила, що надіслала листи з вимогою припинити діяльність понад сорока веб-сайтам, а також зазначила, що заблокувала пов’язані з ними облікові записи. Вона також виступила на захист збереження торговельної платформи Steam та OpenID, оскільки ці послуги приносять користь клієнтам та розробникам ігор. **Це було проявом контролю. Це заслуговує на перевірку, а не на покірність.**

На нашу думку, відповідь компанії Valve не довела, що обрані нею заходи щодо забезпечення дотримання вимог відповідали масштабам мережі, яку вона описала. Лист із погрозами на адресу оператора — це не те саме, що тривале блокування облікових записів Steam, торговельної інфраструктури та маршрутів автентифікації, які забезпечують функціонування бізнесу. За оприлюдненими оцінками, [Тільки CS:GO Lounge у 2016 році зафіксував обсяг ставок понад $1 мільярда](https://dotesports.com/counter-strike/news/csgo-lounge-billion-bets-3896); це зовнішня оцінка суми ставок, а не доходу Valve, а оригінальна діяльність сайту, пов’язана зі ставками на шкіру, згодом була припинена. Такі масштаби зробили необхідним вжиття заходів, що піддаються перевірці.

Сьогодні, власний Valve's [Угода з абонентом](https://store.steampowered.com/agreement/?l=english) [архів 2026-09-21 ↗](https://web.archive.org/web/20260921022032/https://store.steampowered.com/agreement/?l=english) обмежує комерційне використання, за винятком випадків, коли це прямо дозволено, та окремо забороняє певні форми автоматизації. Наш [реєстр маршрутів за датами](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit.json) записи, які вказують хости повернення OpenID для зовнішніх служб; `openid.realm` та `openid.return_to` це поля, що надсилаються до Steam, а не таємниці, приховані від нього. Наші [Перевірка фільтрів посилань](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-all-results.json) показує випадки, коли щодо основної адреси було винесено попередження, але щодо пов’язаного з нею хосту для входу — ні. Сам по собі результат фільтрації не може довести, що Valve дозволив вхід або що конкретний бот обійшов блокування облікового запису. **Це дійсно доводить, що попередження на головній сторінці не може слугувати вичерпною відповіддю щодо доступу.**

Наявність корисних, законних Steam торговельних функцій та функцій OpenID також не дає відповіді на питання, чи дійсно були виключені оператори, діяльність яких заборонена. Власні правила Valve допускають явні винятки. Якщо Valve спирається на це розрізнення, Комісія повинна попросити його визначити критерії авторизації, контролю облікових записів та забезпечення дотримання вимог, що застосовуються до комерційних підприємств, які займаються «скінами», а також конкретні види використання, не пов’язані з азартними іграми, на які він посилався у 2016 році. Сама лише можливість законного використання не є відповіддю на задокументоване заборонене використання.

Ми просимо Комісію переглянути свою справу за 2016 рік та вимагаємо надати звіт щодо кожного оператора окремо: які Steam облікові записи та торгові боти були заблоковані після десятиденних попереджень; чи здійснювався моніторинг пов’язаних облікових записів або хостів, з яких здійснювалися повторні спроби; які оператори згодом відновили доступ; які винятки були надані; та які записи підтверджують заяву Valve перед Комісією. Опублікуйте те, що згідно із законом може бути доступним для громадськості. Порівняйте ці записи з поточними маршрутами та з подальшими втручаннями Valve, включаючи [OPSkins у 2018 році](https://blog.counter-strike.net/expresstrade/) [архів 2026-03-07 ↗](https://web.archive.org/web/20260307161538/https://blog.counter-strike.net/expresstrade/).

**У повідомленні було встановлено десятиденний термін у липні 2016 року; десяти років цілком достатньо, щоб з’ясувати, чи було це виконано.** Комісія повинна перевірити звіт Valve за 2016 рік на відповідність інфраструктурі, яка зберігається донині.

Розслідування «Досьє Steam» · Публічна заява, 20 вересня 2026 року

[Повідомлення Комісії за 2016 рік ↗](https://wsgc.wa.gov/news/2016/washington-state-gambling-commission-orders-valve-stop-skins-gambling) [архівується 2026-05-20 ↗](https://web.archive.org/web/20260520012601/https://wsgc.wa.gov/news/2016/washington-state-gambling-commission-orders-valve-stop-skins-gambling) · [Відповідь Valve за 2016 рік (копія документа) ↗](https://fr.scribd.com/document/328063293/Valve-s-Oct-18th-response-to-Washington-State-Gambling-Commission-s-cease-and-desist) · [Заява Valve щодо OpenID за 2016 рік ↗](https://store.steampowered.com/oldnews/22883) [архів 2026-09-21 ↗](https://web.archive.org/web/20260921021947/https://store.steampowered.com/oldnews/22883) · [Поточна угода Steam ↗](https://store.steampowered.com/agreement/?l=english) [архів 2026-09-21 ↗](https://web.archive.org/web/20260921022032/https://store.steampowered.com/agreement/?l=english) · Хронологія обміну 2016 року: [Розділ 11 →](https://phishdestroy.io/steam_dossier/uk/index#case-study-section)

Частина А — Технічна документація · Розділ 3 

## Сайт заблоковано. Маршрут входу в систему — ні.

**26 заблокованих основних доменів. Проксі-сервер автентифікації, що працює за кожним із них, та час його функціонування.** Ці окремі хости для автентифікації не є випадковими додатковими адресами — кожен із них є **проксі-сервер аутентифікації для Steam**, що стоїть між платформою та кінцевою точкою OpenID Valve і передає дані для входу, які заблокований домен більше не може відкрито передавати. Valve встановив «головні ворота» на фільтр посилань. Вхід продовжував здійснюватися через проксі: csgogem.com заблоковано, і `api.csgem.com` зареєстрована з березня 2014 року — **дванадцять з половиною років**. Кожного з цих днів цей хост надсилав своє ім’я хосту на кінцеву точку OpenID користувача Valve, а Steam одразу ж відображав його користувачеві на сторінці входу. **Valve — це магістраль, через яку проходять усі ці маршрути; їй не потрібно їх шукати.** Саме це й вимірює цей розділ: не те, чи існує попередження, а скільки років залишається відкритим маршрут, що знаходиться за попередженням. У реєстрі налічується 44 маршрути з окремими доменами, 27 із яких мають опублікований файл доказів для кожного маршруту — див. таблицю нижче. Розгляньте один приклад, а потім проаналізуйте всі.

### Рисунок 3.1 — Два маршрути на карті.

Одна платформа, один користувач, два запити, що надходять з одного й того самого браузера. Фільтр посилань Valve діє на обидва запити. Він блокує той, що містить посилання, і пропускає той, що містить дані для входу. Усі показники, наведені в цьому розділі, відображають час, протягом якого нижній маршрут залишається відкритим.

Проведіть пальцем по схемі вбік →

Посилання опубліковано в Steam — призупинено Запит на вхід — пропуски Збережені чеки від 19 та 21 вересня 2026 року

**Обидва запити видимі для Valve, але виконується лише один із них.** Фільтр посилань — це список Valve, який перевіряється службою Valve. Запит OpenID передає власне ім’я хосту автентифікації на кінцеву точку Valve, яка відразу ж відображає його на сторінці входу. Ім’я хосту в будь-якому випадку міститься у запиті — різниця полягає в тому, чи виконується з ним якась дія.

**Одна платформа. Два різних маршрути.** ROLLBIT / ЗБЕРЕЖЕНІ СПОСТЕРЕЖЕННЯ

**01** ПЕРЕВІРКА ФІЛЬТРА З’ЄДНАННЯ

Пункт призначення**rollbit.com** Основний домен платформи

ФІЛЬТР STEAM LINK**Перевіряє посилання** Окрема система попередження про пункт призначення

ЗБЕРЕЖЕНИЙ РЕЗУЛЬТАТ**Посилання заблоковано** 19 та 21 вересня 2026 року

**02** ВІДМІЧЕНИЙ МАРШРУТ ВХОДУ

НА ПЕРОНІ**Увійти за допомогою Steam** Платформа ініціює запит OpenID

ОКРЕМИЙ ХОСТ АВТЕНТИФІКАЦІЇ**rbsnin.com** У збереженому контролі відсутній блок «Фільтр посилань»

STEAM**Форма входу відображена** Запитаний хост згадується у повідомленні Steam

**Почніть з пункту призначення.** rollbit.com — це основний домен платформи. Цей перший етап відображає збережену перевірку за допомогою фільтра посилань, а не завершений шлях користувача.

**Видимий блок.** Фільтр посилань Steam повернув повідомлення «Посилання заблоковано!» для головного домену. Необроблений текст відповіді збережено.

**Для автентифікації використовується інший маршрут.** Дія «Увійти за допомогою Steam» на платформі ініціює запит OpenID із використанням окремого хосту автентифікації.

**Інше ім'я хоста.** 21 вересня 2026 року сайт rbsnin.com не виявив жодного блокування за фільтром посилань — того самого дня, під час тієї самої перевірки без автентифікації, сайт rollbit.com виявив одне таке блокування. Сайт було зареєстровано трьома днями раніше, 18 вересня 2026 року.

**Запит досягає Steam.** Виявлений маршрут привів до форми входу користувача Steam. Автори не завершили процес входу. Блокування посилання на основний домен не заблокувало цей виявлений маршрут до форми.

Перевірте оригінальні записи про забір зразків, дату реєстрації та деталі протоколу

Як виглядає забезпечення дотримання Valve

Основний домен: заблоковано

Користувач

→ 

rollbit.com
(основний домен)

↓

ФІЛЬТР STEAM LINK — ЗАБЛОКОВАНО 

«Посилання заблоковано!» — позначено як потенційно шкідливе

Сайт rollbit.com повернув повідомлення про блокування фільтром посилань для 2026-09-19 та 2026-09-21 (перевірка без автентифікації; збережено вихідний HTML-код та SHA-256). Видимий запис, що підлягає аудиту.

Що насправді відбувається — аутентифікація

Хост-автор: не заблоковано

Користувач

→ 

rollbit.com
«Увійти за допомогою Steam»

↓

Перенаправлення через окремий хост автентифікації: 
`rbsnin.com` Фільтр посилань: CLEAN 

зареєстровано 2026-09-18T09:34:52Z (Verisign RDAP)

↓

Steam повідомлення на сторінці входу (2026-09-20): 
`"Note that rbsnin.com is not affiliated with Steam or Valve"`

Steam відображає це повідомлення з домену OpenID (openid.realm) отриманого запиту.

↓

Steam форма входу, що обслуговується окремим хостом 
Автори не завершили процес входу в систему; процес було простежено аж до форми Steam.

Valve отримує ім’я хосту return_to / realm при кожному такому запиті. rbsnin.com не повернув жодного блокування за фільтром посилань для 2026-09-21.

На запит

Як провайдер OpenID, Steam отримує ім’я хосту автентифікації з кожним запитом на автентифікацію: воно надходить на власні сервери Valve у вигляді `openid.return_to` та `openid.realm` параметри.

Надіслано сайтом

Хост автентифікації не виявляється під час сканування — платформа вказує його як Steam у кожному запиті. Згідно з OpenID 2.0, §9.1 `return_to` формально є необов’язковим, але без нього Steam не може надати результат входу, тому для успішного входу за допомогою Steam він фактично є обов’язковим. Steam навіть відображає ім’я хоста користувачеві («*<host> не пов’язаний із Steam або Valve*").

14 років

— це вік найстарішого хосту-аутентифікатора, який під час перевірки 2026-09-21 все ще має Steam входи (dota2.net, зареєстрований 2011-10-29); найновіший існує три дні (rbsnin.com). **Не слід трактувати цифру «0 заблокованих хостів автентифікації» як результат дослідження.** Заблокований хост автентифікації повністю виведе з ладу функцію платформи «Увійти за допомогою Steam», тому реєстр, створений на основі діючих облікових записів, може містити лише ті хости, які ніколи не блокувалися. Значущим є не кількість блокувань, а те, скільки років основний домен перебував у фільтрі посилань, тоді як логін поруч із ним продовжував працювати.

Хости з авторизацією в окремому домені: дата реєстрації порівняно з основним доменом (30 маршрутів: 25, які було визначено під час аудиту браузера 2026-09-21, плюс 5, доданих 2026-09-22)

| Платформа | Фільтр посилань: головна | Хост-сервер автентифікації | Фільтр посилань: хост автентифікації | Зареєстровано авторитетний хост | Джерело спостереження | Досьє з доказами |
| --- | --- | --- | --- | --- | --- | --- |
| Rollbit rollbit.com · реєстрація 2014-11-08 | ЗАБЛОКОВАНО 2026-09-19, 2026-09-21 · [Wayback 2026-09-21](https://web.archive.org/web/20260921022628/https://steamcommunity.com/linkfilter/?url=https:%2F%2Frollbit.com) | `rbsnin.com` | ОЧИСТИТИ 2026-09-21 · [необроблений HTML-код](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/rbsnin.com.20260921T021120Z.html) (знімка з Wayback немає) | 2026-09-18 09:34:52Z, Verisign RDAP | Steam повідомлення на сторінці входу, 2026-09-20 | [rollbit.com.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/rollbit.com.json) |
| Skin.Club skin.club · реєстрація 2017-09-04 | ЗАБЛОКОВАНО 2026-09-19, 2026-09-21 · [Wayback 2026-09-21](https://web.archive.org/web/20260921022740/https://steamcommunity.com/linkfilter/?url=https:%2F%2Fskin.club) | `sc-auth.net` | ОЧИСТИТИ 2026-09-21 · [Wayback 2026-09-21](https://web.archive.org/web/20260921022842/https://steamcommunity.com/linkfilter/?url=https:%2F%2Fsc-auth.net) | 2019-04-02 RDAP | Steam повідомлення на сторінці входу | [skin.club.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/skin.club.json) |
| Howl.GG howl.gg · реєстрація 2017-03-16 | ЗАБЛОКОВАНО 2026-09-18, 19 вересня, 21 вересня · [Wayback 2026-09-21](https://web.archive.org/web/20260921022603/https://steamcommunity.com/linkfilter/?url=https:%2F%2Fhowl.gg) | `howl.uno` | ОЧИСТИТИ 2026-09-21 · [Wayback 2026-09-21](https://web.archive.org/web/20260921022636/https://steamcommunity.com/linkfilter/?url=https:%2F%2Fhowl.uno) | 2026-08-11 RDAP | Зйомка екрану браузера в режимі реального часу + надана URL-адреса OpenID | [howl.gg.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/howl.gg.json) |
| Duelbits duelbits.com · реєстрація 2020-02-03 | ЗАБЛОКОВАНО 2026-09-21 · [Wayback 2026-09-21](https://web.archive.org/web/20260921022840/https://steamcommunity.com/linkfilter/?url=https:%2F%2Fduelbits.com) | `switchflips.com` | ОЧИСТИТИ 2026-09-21 · [Wayback 2026-09-21](https://web.archive.org/web/20260921022901/https://steamcommunity.com/linkfilter/?url=https:%2F%2Fswitchflips.com) | 2020-04-21 RDAP | Надана URL-адреса OpenID | [duelbits.com.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/duelbits.com.json) |
| CSGOFast csgofast.com · реєстрація 2015-03-27 | ЗАБЛОКОВАНО 2026-09-19, 2026-09-21 · [Wayback 2026-09-21](https://web.archive.org/web/20260921022758/https://steamcommunity.com/linkfilter/?url=https:%2F%2Fcsgofast.com) | `steam-login.authtofast.com` | ОЧИСТИТИ authtofast.com, 2026-09-21 · [Wayback 2026-09-21](https://web.archive.org/web/20260921022847/https://steamcommunity.com/linkfilter/?url=https:%2F%2Fauthtofast.com) | 2026-06-30 authtofast.com, RDAP | Зйомка екрана браузера в режимі реального часу + надана URL-адреса OpenID | [csgofast.com.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/csgofast.com.json) |
| Farmskins farmskins.com · реєстрація 2016-03-23 | ЗАБЛОКОВАНО 2026-09-19, 2026-09-21 · [необроблений HTML-код](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/farmskins.com.20260921T025840Z.html) | `steam.kobal.cc` | ОЧИСТИТИ 2026-09-19, 2026-09-21 · [необроблений HTML-код](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/steam.kobal.cc.20260921T025844Z.html) | 2017-01-07 kobal.cc, RDAP | Зйомка екрану браузера в режимі реального часу + надана URL-адреса OpenID | [farmskins.com.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/farmskins.com.json) |
| CobaltLab cobaltlab.tech | ЗАБЛОКОВАНО 2026-09-21 · [необроблений HTML-код](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/cobaltlab.tech.20260921T041604Z.html) | `cobaltauth.com` | ОЧИСТИТИ 2026-09-21 · [необроблений HTML-код](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/cobaltauth.com.20260921T041608Z.html) | 2025-01-07 RDAP | Надана URL-адреса OpenID | [cobaltlab.tech.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/cobaltlab.tech.json) |
| CSGO.NET csgo.net · зареєст. 2012-07-22 | ЗАБЛОКОВАНО 2026-09-21 · [необроблений HTML-код](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/csgo.net.20260921T041619Z.html) | `cn2.easylot.net` | ОЧИСТИТИ 2026-09-21 · [необроблений HTML-код](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/cn2.easylot.net.20260921T041623Z.html) | 2016-09-03 easylot.net, RDAP | Запис екрану браузера в режимі реального часу | [csgo.net.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/csgo.net.json) |
| GGDrop ggdrop.com | ЗАБЛОКОВАНО 2026-09-21 · [необроблений HTML-код](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/ggdrop.com.20260921T041637Z.html) | `ggauth.com` | ОЧИСТИТИ 2026-09-21 · [необроблений HTML-код](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/ggauth.com.20260921T041641Z.html) | 2023-05-03 RDAP | Надана URL-адреса OpenID | [ggdrop.com.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/ggdrop.com.json) |
| RustChance rustchance.com | ЗАБЛОКОВАНО 2026-09-21 · [неоформований HTML-код](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/rustchance.com.20260921T041703Z.html) | `hgfuihd.com` | ОЧИСТИТИ 2026-09-21 · [необроблений HTML-код](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/hgfuihd.com.20260921T041706Z.html) | 2019-01-27 RDAP | Надана URL-адреса OpenID | [rustchance.com.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/rustchance.com.json) |
| Skin.Fans skin.fans | ЗАБЛОКОВАНО 2026-09-21 · [необроблений HTML-код](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/skin.fans.20260921T041710Z.html) | `auth.skinfans.com` | ОЧИСТИТИ 2026-09-21 · [необроблений HTML-код](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/auth.skinfans.com.20260921T041713Z.html) | 2018-07-16 skinfans.com, RDAP | Надана URL-адреса OpenID | [skin.fans.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/skin.fans.json) |
| Skinport skinport.com · реєстрація 2018-09-05 | ЗАБЛОКОВАНО 2026-09-21 · [необроблений HTML-код](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/skinport.com.20260921T041724Z.html) | `skinport.app` | ОЧИСТИТИ 2026-09-21 · [необроблений HTML-код](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/skinport.app.20260921T041728Z.html) | 2020-06-20 RDAP | Зйомка екрану браузера в режимі реального часу + надана URL-адреса OpenID | [skinport.com.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/skinport.com.json) |
| Skins.Cash skins.cash | ЗАБЛОКОВАНО 2026-09-21 · [необроблений HTML-код](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/skins.cash.20260921T041731Z.html) | `skinscash.live` | ОЧИСТИТИ 2026-09-21 · [необроблений HTML-код](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/skinscash.live.20260921T041735Z.html) | 2019-12-05 RDAP | Надана URL-адреса OpenID | [skins.cash.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/skins.cash.json) |
| TF2Hunt tf2hunt.com · реєстрація 2018-01-13 | ЗАБЛОКОВАНО 2026-09-21 · [необроблений HTML-код](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/tf2hunt.com.20260921T041739Z.html) | `rstspcl.com` | ОЧИСТИТИ 2026-09-21 · [необроблений HTML-код](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/rstspcl.com.20260921T041742Z.html) | 2020-08-08 RDAP | Зйомка екрану браузера в режимі реального часу + надана URL-адреса OpenID | [tf2hunt.com.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/tf2hunt.com.json) |
| CSGOGem csgogem.com · рег. 2016-10-16 | ЗАБЛОКОВАНО 2026-09-22 · [необроблений HTML-код](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/csgogem.com.20260922T192355Z.html) | `api.csgem.com` csgem.com — окремий домен, який можна зареєструвати | ОЧИСТИТИ 2026-09-22 · [необроблений HTML-код](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/api.csgem.com.20260922T192358Z.html) | 2014-03-08 csgem.com, RDAP — найстаріший у реєстрі | Ручне збирання + фіксація за допомогою фільтра посилань | [linkfilter-2026-09-22.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-2026-09-22.json) |
| Gamdom gamdom.com · рег. 2016-07-29 | ЗАБЛОКОВАНО 2026-09-22 · [необроблений HTML-код](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/gamdom.com.20260922T192326Z.html) | `login.gambldom.com` gambldom.com — лише одна літера відрізняється від назви бренду | ОЧИСТИТИ 2026-09-22 · [необроблений HTML-код](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/login.gambldom.com.20260922T192330Z.html) | 2017-09-24 gambldom.com, RDAP | Ручне збирання + Збір даних за допомогою фільтра посилань | [linkfilter-2026-09-22.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-2026-09-22.json) |
| 12CS 12cs.fail · reg. 2026-03-24 | ЗАБЛОКОВАНО 2026-09-22 · [необроблений HTML-код](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/12cs.fail.20260922T192347Z.html) | `fail.games` | ОЧИСТИТИ 2026-09-22 · [необроблений HTML-код](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/fail.games.20260922T192351Z.html) | 2021-08-24 fail.games, RDAP | Ручне збирання + зчитування за допомогою фільтра посилань | [linkfilter-2026-09-22.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-2026-09-22.json) |
| CSGOEmpire csgoempire.com · регістр. 2015-06-10 | ОЧИСТИТИ 2026-09-19, 2026-09-21 · [Wayback 2026-09-21](https://web.archive.org/web/20260921022953/https://steamcommunity.com/linkfilter/?url=https:%2F%2Fcsgoempire.com) | `csgoempirelogin4.com` один із десяти пронумерованих доменів login1–10 | ОЧИСТИТИ 2026-09-21 · [Wayback 2026-09-21](https://web.archive.org/web/20260921022947/https://steamcommunity.com/linkfilter/?url=https:%2F%2Fcsgoempirelogin4.com) | 2020-07-20 05:49:17Z, Verisign RDAP | Запис екрану браузера в режимі реального часу | [csgoempire.com.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/csgoempire.com.json) |
| CS.MONEY cs.money | ОЧИСТИТИ 2026-09-21 · [необроблений HTML-код](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/cs.money.20260921T021131Z.html) | `auth.dota.trade` | ОЧИСТИТИ 2026-09-21 · [необроблений HTML-код](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/auth.dota.trade.20260921T021134Z.html) | 2016-07-15 dota.trade, RDAP | Steam повідомлення на сторінці входу | [cs.money.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/cs.money.json) |
| CSFloat csfloat.com · реєстрація 2021-07-11 | ОЧИСТИТИ 2026-09-21 · [неоформлений HTML-код](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/csfloat.com.20260921T041612Z.html) | `csgofloat.com` колишній домен бренду оператора; окремий домен, який можна зареєструвати, що не є ознакою спроби ухилення | ОЧИСТИТИ 2026-09-21 · [необроблений HTML-код](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/csgofloat.com.20260921T041615Z.html) | 2015-09-29 RDAP | Запис екрану браузера в режимі реального часу | [csfloat.com.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/csfloat.com.json) |
| G4Skins g4skins.com | ОЧИСТИТИ 2026-09-21 · [необроблений HTML-код](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/g4skins.com.20260921T041630Z.html) | `auth.g4s.to` | ОЧИСТИТИ 2026-09-21 · [необроблений HTML-код](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/auth.g4s.to.20260921T041634Z.html) | 2021-05-30 g4s.to, RDAP | Надана URL-адреса OpenID | [g4skins.com.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/g4skins.com.json) |
| Juice.GG juice.gg | ОЧИСТИТИ 2026-09-21 · [необроблений HTML-код](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/juice.gg.20260921T041644Z.html) | `letmeinjuice.com` | ОЧИСТИТИ 2026-09-21 · [необроблений HTML-код](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/letmeinjuice.com.20260921T041648Z.html) | 2024-04-15 RDAP | Надана URL-адреса OpenID | [juice.gg.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/juice.gg.json) |
| Market.CSGO market.csgo.com | ОЧИСТИТИ 2026-09-21 · [необроблений HTML-код](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/market.csgo.com.20260921T041652Z.html) | `dota2.net` | ОЧИСТИТИ 2026-09-21 · [необроблений HTML-код](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/dota2.net.20260921T041655Z.html) | 2011-10-29 RDAP | Зйомка екрана браузера в режимі реального часу + надана URL-адреса OpenID | [market.csgo.com.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/market.csgo.com.json) |
| Rust.TM rust.tm | ОЧИСТИТИ 2026-09-21 · [неоформлений HTML-код](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/rust.tm.20260921T041659Z.html) | `dota2.net` | ОЧИСТИТИ 2026-09-21 · [необроблений HTML-код](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/dota2.net.20260921T041655Z.html) | 2011-10-29 RDAP | Надана URL-адреса OpenID | [rust.tm.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/rust.tm.json) |
| CSGOLounge csgolounge.com · регістр. 2013-08-14 | ОЧИСТИТИ 2026-09-22 · [необроблений HTML-код](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/csgolounge.com.20260922T192333Z.html) | `dota2.net` третій інтерфейс на цьому хості автентифікації | ОЧИСТИТИ 2026-09-22 · [необроблений HTML-код](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/dota2.net.20260922T192340Z.html) | 2011-10-29 dota2.net, RDAP | Ручне збирання даних + Збір даних за допомогою фільтра посилань | [linkfilter-2026-09-22.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-2026-09-22.json) |
| Dota2Lounge dota2lounge.com · зареєстровано 2012-08-10 | ОЧИСТИТИ 2026-09-22 · [необроблений HTML-код](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/dota2lounge.com.20260922T192337Z.html) | `dota2.net` четвертий інтерфейс на цьому хості автентифікації | ОЧИСТИТИ 2026-09-22 · [необроблений HTML-код](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/dota2.net.20260922T192340Z.html) | 2011-10-29 dota2.net, RDAP | Ручне збирання + збір даних за допомогою фільтра посилань | [linkfilter-2026-09-22.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-2026-09-22.json) |
| SkinBaron skinbaron.de | ОЧИСТИТИ 2026-09-21 · [необроблений HTML-код](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/skinbaron.de.20260921T041717Z.html) | `skinbaron.com` одна й та сама марка, різні домени верхнього рівня | ОЧИСТИТИ 2026-09-21 · [необроблений HTML-код](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/skinbaron.com.20260921T041721Z.html) | 2015-12-22 RDAP | Надана URL-адреса OpenID | [skinbaron.de.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/skinbaron.de.json) |
| TF2Royal tf2royal.com · регістр. 2022-08-17 | ОЧИСТИТИ 2026-09-21 · [необроблений HTML-код](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/tf2royal.com.20260921T041746Z.html) | `tf2auth.com` | ОЧИСТИТИ 2026-09-21 · [необроблений HTML-код](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/tf2auth.com.20260921T041750Z.html) | 2021-07-27 RDAP | Зйомка екрану браузера в режимі реального часу + надана URL-адреса OpenID | [tf2royal.com.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/tf2royal.com.json) |
| Tradeit tradeit.gg | ОЧИСТИТИ 2026-09-21 · [необроблений HTML-код](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/tradeit.gg.20260921T041753Z.html) | `connect-tradeit.com` | ОЧИСТИТИ 2026-09-21 · [необроблений HTML-код](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/connect-tradeit.com.20260921T041757Z.html) | 2022-02-23 RDAP | Надана URL-адреса OpenID | [tradeit.gg.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/tradeit.gg.json) |
| Модернізатор upgrader.pro | ОЧИСТИТИ 2026-09-21 · [необроблений HTML-код](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/upgrader.pro.20260921T041801Z.html) | `upgauth.space` | ОЧИСТИТИ 2026-09-21 · [необроблений HTML-код](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/upgauth.space.20260921T041804Z.html) | 2026-08-14 RDAP | Надана URL-адреса OpenID | [upgrader.pro.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/upgrader.pro.json) |

Джерело: steamcommunity.com/linkfilter, GET без автентифікації, 2026-09-21, 53 хости, інтервал 3 с; [steam_tos_assets/linkfilter-recheck-2026-09-21.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-recheck-2026-09-21.json); необроблений HTML у `steam_tos_assets/linkfilter-raw/`. Терміни реєстрації: RDAP, [steam_tos_assets/domain-registration.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/domain-registration.json). · Попередня перевірка значення 2026-09-19 у [linkfilter-all-results.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-all-results.json) · записи маршрутів у [auth-route-audit.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit.json) · Знімки сторінок «Link Filter», 2026-09-21, збережені в Wayback Machine, перелічені в [wayback-snapshots.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/wayback-snapshots.json) (знімка для rbsnin.com не існує; єдиним записом є локальний файл у вихідному форматі).

Терміни реєстрації: RDAP (`steam_tos_assets/domain-registry/`). «Вказана URL-адреса OpenID» визначає параметри запиту, а не завершений процес входу. Автори не здійснювали входу на жодній платформі. Наявність окремого домену сама по собі не є доказом обходу. Так само «0 заблокованих хостів автентифікації» не є самостійним висновком: блокування одного з них порушило б процес входу на цій платформі, тому реєстр, складений на основі успішних входів, не може містити заблокований хост автентифікації. Вагомим є саме спостереження щодо сполучення та його тривалості — головний домен у фільтрі посилань поруч із доменом для входу, що функціонує вже роками. Ця таблиця містить 30 рядків: 25 із 27 маршрутів із файлом доказів для кожного маршруту, а також п’ять, доданих у 2026-09-22, розподіл яких у фільтрі посилань зафіксовано в [linkfilter-2026-09-22.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-2026-09-22.json) хоча самі домени були зібрані вручну — про це свідчать рядки у стовпці «джерело». Два маршрути з файлів доказів, які не показано, — це skinsnipe.com (авторизований хост `pricing.tradeupspy.com`, зареєстрований 2020-03-11) та csgobig.com (авторизований хост `letmeinbig.com`, зареєстрований 2023-01-20); обидва повернули результат «BLOCKED main / CLEAN auth host» під час перевірки 2026-09-22, записаний з використанням SHA-256 у [linkfilter-2026-09-22c.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-2026-09-22c.json), але вихідний HTML-код для цього пакету відсутній у опублікованому наборі, тому вони тут лише названі, а не представлені у вигляді рядка, як це зроблено для всіх інших рядків у цій таблиці. Решта 12 маршрутів у реєстрі, зібраних вручну, позначені як такі в [master_registry.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/master_registry.json) під `realm_src: user`.

Первинний емпіричний аудит · Багаторічний діапазон дат 

### Пастка «загальної картини»: фільтр посилань — це лише імітація дотримання вимог, а не захист

У настільних браузерах користувачі захищені зовнішніми засобами безпеки: функції Google Safe Browsing та Microsoft SmartScreen перехоплюють відомі фішингові атаки, відображаючи повноекранні червоні попередження. **У режимі «Big Picture» Steam, ігровому оверлейі (Shift+Tab) та на панелі Steam (SteamOS) ці засоби захисту відсутні.** Вбудований браузер не підтримує жодних розширень, вимикає зовнішні механізми «Безпечного перегляду» і залишає користувачеві лише один захисний бар’єр: Valve's `linkfilter` інтерстиціальний.

Гортайте, щоб порівняти всі чотири результати →

92.5%

2025–2026: сучасні методи фішингу **пройшов без зауважень** (37/40)

77.5%

Фішинг у період CS2 (2023–2024) **пройшов без зауважень** (31/40)

70.0%

Фішинг, пов’язаний із 2021–2022 роками **пройшов без зауважень** (28/40)

7 / 7

блокування мереж азартних ігор (позитивний контроль)

Багаторічний лонгітудінальний аудит: 120 доменів, що є чистими Steam фішинговими, перевірено в режимі реального часу (24 вересня 2026 р.)

Щоб перевірити, чи фільтр Valve просто повільно реагує на нові загрози, чи принципово не здатний їх виявляти, ми провели перевірку **120 підтверджених фішингових доменів, пов’язаних із Steam** у трьох історичних когортах порівняно з `steamcommunity.com/linkfilter`:

- **1-й набір: 2021–2022 (класичні пропозиції обміну та випадання предметів) — 70.0% Без помилок (28/40).** Навіть через 4–5 років після того, як їх було занесено до реєстру громадськими організаціями з моніторингу, 7 із 10 старих фішингових хостів досі працюють без будь-яких обмежень.

- **2-й набір: 2023–2024 (CS2 Beta Hype & Fake Support Appeals) — 77.5% Без помилок (31/40).** Кампанії, що видають себе за анонси виходу Counter-Strike 2, та фальшиві звернення до спільноти (наприклад, `cs2-steam.com`, `appealsteamcommunity.help`) проходять наскрізь.

- **3-я група: 2025–2026 (безсерверні розгортання на периферії та клонування фавіконів) — 92.5% Повністю успішно (37/40).** Сучасні фішингові набори, що розгортаються на EdgeOne, Vercel та Cloudflare Pages (наприклад, `steamgifter.online`, `steam-dp4lt5b8fnez.edgeone.dev`) проходять практично без перешкод.

**Телеметрія та захист від відповідальності, а не захист.** Навіщо взагалі існує фільтр посилань, якщо він пропускає 70% до 92.5% випадків явного фішингу Steam? Він виконує функцію корпоративного застереження щодо відповідальності та датчика телеметрії вихідних кліків. Представляючи ввічливе *«Ви залишаєте Steam»* повідомлення з зеленою кнопкою «Продовжити», на яку можна натиснути, Valve перекладає юридичну відповідальність на жертву відповідно до Steam Угоди з абонентом (*«користувач добровільно перейшов за межі Steam»*). Valve збирає телеметричні дані про клік, але не блокує крадіжку.

**Доказ безпеки Favicon Hash: повна відсутність обробки даних про загрози.** Незалежні платформи аналізу загроз (urlscan.io, Shodan, Censys) виявляють активні Steam фішингові набори за допомогою простого пошуку за офіційним хешем фавікону Steam (`page.favicon.hash:9f890a9debcdfccc339149a7943be9aff9e4c9203c2fa37d5671a5b2c88503ad NOT domain:*.steampowered.com`). Ця базова автоматизована перевірка виявляє активні фішингові кластери за лічені секунди. Valve не синхронізується із зовнішніми джерелами даних, не здійснює пошук загроз на основі хеш-значень і втручається вручну лише у випадках, коли це вимагають регуляторні органи (наприклад, постанова WSGC щодо азартних ігор від 2016 року) або з метою захисту своїх доменних імен, що є торговими марками.

**Основні артефакти, що є аудиторськими доказами:** Багаторічний подовжній аудит із 120 доменами: [longitudinal-steam-phishing-audit.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/longitudinal-steam-phishing-audit.json) · 100 спеціалізованих зразків фішингових атак Steam: [linkfilter-steam-phishing-100.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-steam-phishing-100.json) · Комплексний аудит кормів (n=250): [linkfilter-coverage-2026-09-22.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-coverage-2026-09-22.json).

CSGOEmpire — пакетна реєстрація десяти пронумерованих доменів для авторизації 

Про **2020-07-20** десять пронумерованих доменів, `csgoempirelogin1.com` через `csgoempirelogin10.com`, були зареєстровані. Для всіх десяти збережено мітки часу RDAP від Verisign: login1 05:49:06Z, login5 05:49:08Z, login2 05:49:11Z, login3 05:49:14Z, login4 05:49:17Z, login6 05:49:20Z, login7 05:49:23Z, login8 05:49:26Z, login9 05:49:28Z — **дев'ять доменів за 22 секунди** — а також login10 о 05:56:03Z, через сім хвилин. Інтервал між записом відповідає одній масовій операції реєстратора.

Ця схема відповідає заздалегідь підготовленим резервним хостам; лише `login4` це було виявлено в реальному запиті OpenID. Сайти csgoempire.com та csgoempirelogin4.com обидва отримали статус «CLEAN» у фільтрі посилань на 2026-09-21; CSGOEmpire не входив до переліку сайтів, згаданих у пресі у зв’язку з повідомленнями від липня 2016 року.

# DNS — усі 10 активні (вересень 2026 року)

Гаразд csgoempirelogin1.com 172.67.129.43

Гаразд csgoempirelogin2.com 172.67.175.168

Гаразд csgoempirelogin3.com 188.114.96.3

Гаразд csgoempirelogin4.com 188.114.96.11 ← у трафіку OpenID

Гаразд csgoempirelogin5.com 172.67.160.194

Гаразд csgoempirelogin6–10.com IP-адреси Cloudflare

NXDOMAIN: csgoempirelogin11.com

Усі 10 зареєстровані 2020-07-20; усі 10 мають мітку часу RDAP (steam_tos_assets/domain-registry/csgoempireloginN.com.rdap.json)

Висновок для регуляторних органів 

### Заблокований основний домен у поєднанні з розблокованим хостом автентифікації залишає маршрут входу відкритим — і він залишається відкритим роками.

Блок «Link Filter» на головному домені є перевіреним публічним записом. Хост автентифікації передає трафік «Увійти за допомогою Steam» і з’являється у параметрах запиту OpenID самого Valve. Під час перевірок 2026-09-21 та 2026-09-22 у 26 парах, розділених фільтром, головний домен повернув блок «Link Filter», тоді як проксі-сервер, що передавав дані для входу, не повернув жодного. Наведений вище реєстр фіксує іншу половину цього: ці хости не є короткочасними одноразовими доменами. Деякі з них на момент перевірки були зареєстровані вже понад десять років, і кожен із цих днів — це день, коли Valve отримував ім’я хосту у власних параметрах запиту. Valve не опублікував жодних даних щодо заходів щодо дотримання правил за операторами, тому на основі відкритих даних неможливо встановити, чи застосовувалися до цих хостів якісь інші заходи.

12 років 6 місяців

Сайт csgogem.com заблоковано у фільтрі посилань.
Його хост для входу `api.csgem.com` був
зареєстрований з 2014-03-08, але це не так.

Короткий виклад простою мовою — для регуляторних органів та судів (розгорнути)

Короткий виклад простою мовою — для регуляторних органів

### Вступ: Що таке Steam і чому це має значення в даному контексті

Steam — це програмна платформа, яку експлуатує корпорація Valve (Белв’ю, Вашингтон, США). Steam виконує функції постачальника цифрової ідентифікації: веб-сайти, присвячені азартним іграм та іграм в Інтернеті, використовують систему під назвою «Увійти через Steam» — кнопку, яка дозволяє веб-сайту перевірити, чи має відвідувач справжній обліковий запис Steam. Це схоже на функцію «Увійти через Google» або перевірку посвідчення особи, виданого державою: веб-сайт перенаправляє користувача на сервери Steam, Steam підтверджує його особу, а Steam повертає його на веб-сайт. **Valve забезпечує роботу системи автентифікації. Кожен вхід за допомогою функції «Увійти через Steam» проходить через власні сервери Valve.**

### Що зробив Valve: Блокування домену

У липні 2016 року, у відповідь на тиск з боку ЗМІ та юридичних органів щодо азартних ігор із ставками у вигляді «скінів», юридичний представник компанії Valve надіслав повідомлення приблизно 23 конкретним азартним сайтам (згідно з повідомленнями преси від 21 липня 2016 року); у жовтні 2016 року Valve повідомила Комісії з азартних ігор штату Вашингтон, що зв’язалася з понад сорока сайтами. Деякі домени азартних ігор з’являються в **Steam Фільтр посилань** — список, завдяки якому при будь-якому розміщенні посилання на них у Steam (у чаті, на сторінці профілю, у магазині) відображається сторінка з попередженням: *«Посилання заблоковано!»* Фільтр зв’язків — це єдиний засіб контролю, ефект якого можна спостерігати ззовні Valve.

**Приклад:** Посилання на `rollbit.com` всередині Steam відображається сторінка з попередженням «Link Filter» (відмічено 2026-09-19 та 2026-09-21). Теоретично сайт з азартними іграми заблоковано.

### Що таке проксі-домен

А **Хост автентифікації з окремим доменом є проксі-сервером автентифікації**: друга адреса веб-сайту, розташована на іншому домені, що підлягає реєстрації, яку той самий оператор розміщує між своїми користувачами та Steam виключно з метою реалізації кроку «Увійти за допомогою Steam». Вона виконує роль проксі-сервера для входу. Користувач вважає, що входить на платформу; запит, який надходить до Valve, містить ім’я хосту проксі-сервера, а не платформи. Зазвичай він не має публічно помітного зв’язку з сайтом азартних ігор, і саме на цю адресу повертаються користувачі після того, як Steam підтверджує їхню особу.

**Приклад:** Rollbit працює на основі `rollbit.com`, яку блокує фільтр Link Filter. Для аутентифікації Steam потік, зафіксований на 2026-09-20, використовував окрему адресу: `rbsnin.com`, зареєстрована 2026-09-18. Ця адреса повернула **блок «Фільтр посилань» відсутній** на 2026-09-21. Сайт азартних ігор продовжував працювати, а його Steam процес входу здійснювався через розблокований хост.

### Критична точка: у кожному запиті хост автентифікації передається як Steam

Valve не потребує сканування чи обходу, щоб дізнатися, які хости автентифікації використовуються. Steam — це **Постачальник ідентифікаційних даних OpenID** для цих сайтів, і кожне натискання кнопки «Увійти за допомогою Steam» надсилає GET-запит на власні сервери Valve, що містить ім’я хосту автентифікації у вигляді відкритого тексту. Відповідно до OpenID 2.0 §9.1, `return_to` Це поле формально є необов’язковим, але без нього Steam не може надати результат входу, тому для успішного входу Steam воно фактично є обов’язковим. Сам Steam відображає ім’я хоста на сторінці входу («*<host> не пов’язаний із Steam або Valve*").

— Формат запиту, який отримує Steam (хост, як зафіксовано для Rollbit на 2026-09-20): —

ОТРИМАТИ steamcommunity.com/openid/login

&openid.mode= checkid_setup

&openid.return_to= https://rbsnin.com/… ← фактично обов’язкове; потрапляє до журналу Valve

&openid.realm= https://rbsnin.com ← зазначено самим сайтом; відображається на сторінці входу користувача Steam

Якщо сайт використовує перевірку «сервер-сервер» (check_authentication), у журналі Valve також фіксуються IP-адреса сервера платформи та мережа хостингу.

Витягнення імені хоста з цього запиту є стандартною операцією. Запис про застосування заходів — щодо яких хостів були вжиті заходи, щодо яких ні, та за якими критеріями — існує лише в інфраструктурі Valve і не оприлюднювався.

### Що це доводить

**1. Блок «Фільтр посилань» діє на посилання, а не на логіни.** Блокування основного домену (наприклад, `rollbit.com`) відображає попередження для користувачів, які натискають на посилання на нього всередині Steam. Це не заважає роботі сайту, а також не перешкоджає використанню власного сервісу OpenID Valve через іншу адресу.

**2. Перевірені хости автентифікації не були заблоковані.** У таблиці вище наведено хости з авторизацією в окремих доменах, зареєстровані в період з 2011 року по вересень 2026 року; деякі з них — через кілька років після повідомлень, надісланих у липні 2016 року. У 26 парах основний домен повернув блокування Link Filter, а проксі-сервер, що передавав дані для входу, — ні (перевірки без автентифікації, 2026-09-21 та 2026-09-22; збережено необроблені відповіді та SHA-256). Цей проксі-сервер припиняв роботу в той день, коли Valve відхилив його запит, тому критерієм тут є тривалість його роботи, а не те, чи є він у списку. Valve отримує ці імена хостів у своїх власних запитах OpenID. Чи застосовувалися якісь інші заходи, крім фільтра посилань, неможливо визначити на основі публічних даних, оскільки Valve не опублікував жодних записів про застосування заходів щодо окремих операторів.

**3. Сайти продовжували проходити аутентифікацію через інфраструктуру Valve.** «Увійти за допомогою Steam» — це сервіс Valve; кожна аутентифікація через нього є запитом, який Valve отримує та обробляє. Valve також отримує дохід від ключів кейсів, а ринок спільноти Steam стягує сукупну комісію в розмірі приблизно 15% за транзакції, здійснені всередині ринку (але не за зовнішні угоди). Дія «Фільтр посилань» створила публічний запис; вона не перервала відносини аутентифікації.

Чи допомогло б блокування?

За аналогією: коли у 2023 році припинив свою діяльність реєстратор безкоштовних доменів Freenom, фішингові кампанії, що базувалися на його доменах, були зведені нанівець. Безперебійність роботи залежить від стабільності інфраструктури.

Тут діє та сама логіка. Якщо хост автентифікації було відхилено під час обробки OpenID Steam, функція платформи «Увійти за допомогою Steam» не працюватиме доти, доки не буде зареєстровано новий хост, видано сертифікати та оновлено DNS. Протягом цього періоду відбуватиметься простой.

**Ротація не робить блокування марним.** Це перетворює блокування на операційні витрати. Оскільки під час першого використання нові хости з’являються у власних журналах запитів Valve, швидкість обробки відповіді може залежати від швидкості цього першого використання.

**Сама по собі пакетна реєстрація є сигналом:** Користувачі CSGOEmpire з іменами login1–login10 були зареєстровані на 2020-07-20, причому дев’ять із них — протягом 22 секунд (Verisign RDAP). Відповідь не обов’язково має надаватися для кожного домену окремо; послідовну серію запитів з одного сеансу реєстратора можна розглядати як єдину серію.

У відкритих даних не зафіксовано випадків спроб блокування авторизаційних хостів, які були нейтралізовані завдяки ротації.
Тут показано основні домени, заблоковані, хоча проксі-сервери, що обслуговували кожен вхід, продовжували працювати — 26 пар станом на 2026-09-22, найстаріший хост автентифікації зареєстрований 12 років і 6 місяців тому — і жодних опублікованих даних про застосування санкцій щодо будь-якого оператора.
Отже, перед регулятором постає таке питання: які заходи щодо забезпечення дотримання вимог, якщо такі взагалі існують, застосовував Valve до авторизованих хостів, інформацію про які він отримує у своїх власних запитах OpenID?

Що зробив Valve — і чому це не перервало шлях автентифікації

У таблиці нижче наведено відповідність кожної публічно задокументованої дії Valve щодо того, чи вплинула вона на точку входу для автентифікації OpenID. Висновок полягає не в тому, що «Valve нічого не зробив», а в тому, що жодна з публічно задокументованих дій не торкнулася точки, через яку вхід на ігрові платформи проходить через сервери Valve.

| Дата | Valve Дія | Уражені `openid.return_to` шлях? |
| --- | --- | --- |
| Липень 2016 року | Публічна заява від 13 липня 2016 року; повідомлення адвоката, надіслані приблизно 23 зазначеним ресурсам (преса, 21 липня 2016 року); зв’язано з понад 40 ресурсами відповідно до листа Valve від жовтня 2016 року на адресу WSGC | Ні. Повідомлення та фільтр посилань діють на оператори та посилання; шлях запиту OpenID не змінився. |
| 2017 | Закриття `IEconItems_730/GetPlayerItems` (за даними інженерного акаунта CSFloat; журнал змін Valve не знайдено) | Ні. Це вплинуло на видимість історії публічних елементів. Аутентифікація за допомогою OpenID не зазнала змін. |
| 2018-03-29 | Оголошено про 7-денну блокування торгівлі в CS:GO (blog.counter-strike.net) | Ні. Сповільнено переміщення елементів; шлях запиту OpenID не змінився. |
| 2022-05-10 | Кінцеві точки скасування угод видалено з публічного веб-API (виявлено користувачем; у журналі змін немає запису Valve — node-steam-tradeoffer-manager #325) | Ні. Функціонал обміну пропозиціями було вимкнено; система автентифікації OpenID не зазнала змін. |
| 2023-12-04 | Для створення API-ключа тепер потрібне підтвердження через мобільний телефон (steamcommunity.com/dev/apikey; без журналу змін) | Ні. Ключова кінцева точка була захищена; описані тут хости автентифікації не зазнали впливу. |
| 2026-09-19 / 21 вересня | Steam Стан фільтра «Link», за даними авторів | У 14 основних доменах під час повторної перевірки збереженого 2026-09-21 було виявлено блокування — 26 розділених пар у реєстрі за 2026-09-22 — тоді як проксі-сервер, що обробляв кожен вхід, продовжував працювати. |

Джерела: Valve заява від 13 липня 2016 року ([store.steampowered.com/oldnews/22883](https://store.steampowered.com/oldnews/22883), [архів 2026-09-21](https://web.archive.org/web/20260921021947/https://store.steampowered.com/oldnews/22883)) · Технічний звіт компанії CSFloat щодо закриття у 2017 році ([blog.csfloat.com](https://blog.csfloat.com/how-floatdb-tracks-items/), [архів 2026-09-21](https://web.archive.org/web/20260921022415/https://blog.csfloat.com/how-floatdb-tracks-items/)) · Стан фільтра посилань: [linkfilter-recheck-2026-09-21.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-recheck-2026-09-21.json).

Цей висновок можна спростувати, якщо опублікувати хоча б один випадок, коли Valve відхилив запит OpenID через те, що `openid.return_to` вказував на хост, що має ліцензію на азартні ігри. У відкритих джерелах такий екземпляр не було виявлено.

Дві останні реєстрації авторизаційних хостів

**howl.uno** був зареєстрований 2026-08-11 (RDAP) за 41 день до 2026-09-21; сервіс howl.gg повернув повідомлення про блокування фільтром посилань для 2026-09-18, 2026-09-19 та 2026-09-21. Чи відбулося блокування до реєстрації, встановити не вдалося.

**rbsnin.com** було зареєстровано 2026-09-18T09:34:52Z (Verisign RDAP) і було виявлено в процесі входу на сайт Rollbit Steam 2026-09-20 через повідомлення на власній сторінці входу Steam; rollbit.com повернув блокування фільтра посилань 2026-09-19 та 2026-09-21, а rbsnin.com — ні.

Кожен хост із наведеної вище таблиці надсилається на сервери автентифікації Valve у вигляді `openid.realm` при кожній спробі входу в систему.

Повні дані щодо кожного маршруту та висновки фільтра Link Filter: таблиця у розділі 3 вище; необроблені результати наведено в [linkfilter-recheck-2026-09-21.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-recheck-2026-09-21.json) та [linkfilter-all-results.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-all-results.json).

Методологія — Як було визначено показники фільтрації маршрутів та зв’язків

1. Розпізнавання доменів

У ході аудиту 2026-09-21 було перевірено 78 із 189 заявлених платформ: **33 проходять автентифікацію за власним іменем хоста, а 20 — за власним піддоменом — це пряма автентифікація, і жоден із них не враховується як маршрут окремого домену.** Решта **25. Пройти аутентифікацію через окремий домен, який можна зареєструвати**, розподілені між 24 різними іменами хостів (dota2.net використовується спільно з market.csgo.com та rust.tm): 10 — виявлено за допомогою знімків екрана браузера в режимі реального часу, 3 — завдяки повідомленню на сторінці входу від Steam, 12 — за наданим URL-адресою OpenID. Реєстр у режимі реального часу ([master_registry.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/master_registry.json), 2026-09-22) розширює це до **44 маршрути з окремими доменами**: 26 пар з розділенням за фільтром (головний домен — BLOCKED, хост автентифікації — CLEAN) плюс 18 додаткових маршрутів без розділення за головним доменом. З цих 44, **27. мати при собі досьє з доказами для кожного маршруту**; решту 17 було зібрано вручну, і вони мають відповідні позначки `realm_src: user` у реєстрі. П’ять із цих сімнадцяти — csgogem.com, gamdom.com, 12cs.fail, csgolounge.com та dota2lounge.com — були додані 2026-09-22 із фіксацією обох хостів за допомогою Link Filter (необроблений HTML + SHA-256 у [linkfilter-2026-09-22.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-2026-09-22.json)), тож сам факт поділу підтверджується, незважаючи на те, що дані про домени зібрано вручну; вони наведені у таблиці вище поряд із маршрутами з файлу доказів. `tfauth.com` (tf2easy.com) було вилучено з реєстру о 2026-09-22: як і у випадку з arena.fragnet.net, немає жодних підтверджених даних, що пов’язують його з вихідним сайтом. Кількість можна знову обчислити на основі опублікованих [auth-route-audit.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit.json) (послідовність 2026-09-21) за одним правилом: платформа враховується лише в тому випадку, якщо її спостережуваний хост OpenID Steam розміщений у домені, що підлягає реєстрації, відмінному від домену самої платформи.

2. Steam Стан фільтра посилань

Перевірено за допомогою `steamcommunity.com/linkfilter/?url=https://[domain]`, без автентифікації, на 2026-09-19 та 2026-09-21; необроблений HTML збережено з використанням SHA-256. Статус фіксується окремо для основного домену та хосту автентифікації. Класифікатор розрізняє загальне повідомлення «Ви залишаєте Steam» (CLEAN) та сторінку «Посилання заблоковано! ... позначено як потенційно шкідливе» (BLOCKED); контрольний домен google.com підтверджує, що ці два варіанти не змішуються. Раніший варіант цього тесту з автентифікацією було відхилено після того, як він повертав результат «заблоковано» для кожного домену, включаючи цей контрольний — причиною виявився недійсний сесійний файл cookie у скрипті тесту, а не реальний результат.

3. Спостереження за хостом-автором

Запис у реальному часі: браузер Playwright переходив до процедури входу на кожній платформі, а `openid.return_to` Ім'я хосту було отримано з перехопленого запиту. Повідомлення на сторінці входу: ім'я хосту було отримано з власного файлу Steam "*<host> не пов’язаний із Steam або Valve*" текст, який Steam відображає з `openid.realm` (rbsnin.com, sc-auth.net, auth.dota.trade). Наданий URL-адресу: a Steam — URL-адреса форми входу, надана авторам; вона визначає параметри запиту, а не завершену процедуру входу. На жодній платформі процедура входу не була завершена.

4. Огляд — що залишилося невирішеним і чому це має значення

З 189 платформ, **110 не мав визначеного маршруту** а один випадок не підпадав під критерії (189 − 78 − 1). У цьому досьє жоден із них не враховано. Розподіл цих 110 випадків, згідно з аудиторським файлом: 22 випадки перевірки на ботів, 14 випадків перевищення часу очікування, 12 випадків помилок HTTP та 10 випадків помилок навігації — спостерігач не зміг дістатися до процесу входу, хоча більшість цих сайтів нормально відкриваються у звичайному браузері; 20 не мали Steam елемента контролю входу на цільовій сторінці; 16 дійшли до процесу входу, який не вдалося вирішити на рівні хосту; 11 доменів не вирішувалися в DNS; 5 зупинилися на сторінці з проханням про згоду. У наведеному нижче реєстрі ці 110 випадків розподілено інакше: 11, які не розпізнавалися в системі DNS, наведено окремо як *Видалено · NXDOMAIN*, і той запис, до якого це не стосується, приєднується до решти. Перевірено 189 платформ, 11 видалено через остаточний результат NXDOMAIN з обох резолверів, **178 збережено** ([platform-audit.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/platform-audit.json), [platforms-removed.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/platforms-removed.json)). **137 доменів автентифікації, які реєстр впізнав за шаблоном імен, було видалено з даних на 2026-09-19 — їх ніколи не спостерігали, отже, вони ніколи не були доказами.** Три з цих припущень суперечили наданим URL-адресам OpenID: buff.163.com, gamerpay.gg та csgoluck.com здійснюють автентифікацію безпосередньо, на відміну від припущень щодо buffauthproxy.163.com, gamerpayredirect.io та lucklogin.app. Вилучені записи наведено в опублікованому файлі аудиту.

Цифра 25 є мінімальним показником, а не максимальним. Серед 78 платформ, для яких вдалося встановити ідентифікацію, 25 використовували окремий домен, а 53 — ні. Цей співвідношення не дає підстав для будь-яких припущень щодо 110 платформ, для яких ідентифікацію встановити не вдалося, і жодних прогнозів на його основі в цьому досьє не наводиться. Кожну з них можна вирішити, якщо відкрити сайт і натиснути «Увійти за допомогою Steam»: ім’я хосту для автентифікації міститься в URL-адресі сторінки Steam, що завантажується.

**Суть цього розділу:** Незалежному спостерігачеві знадобився браузер і чимало терпіння, щоб визначити 189 платформ, але він виявив лише 78. Для Valve потрібен запит до бази даних. Кожна платформа, яка використовує функцію «Увійти через Steam» — як визначені, так і невизначені — надсилає `openid.realm` до точки кінцевої аутентифікації Valve під час кожного входу в систему. Прогалина в цій таблиці пояснюється тим, що автори перебувають поза системою. Для Valve такої прогалини немає.

Виявлені імена хостів-проксі знаходяться у [auth-route-audit.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit.json). Дати реєстрації доменів за даними RDAP (Verisign) / IP2WHOIS. Результати фільтрації за посиланнями: [linkfilter-all-results.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-all-results.json).

Аналогія для наочності

Уявіть, що регуляторні органи повідомляють ліцензованій таксомоторній компанії, що вона більше не може здійснювати діяльність за своєю зареєстрованою адресою на Мейн-стріт. Компанія знімає вивіску з Мейн-стріт. Факт зняття вивіски фіксується. Однак ця ж компанія відкриває офіс за адресою на Сайд-стріт — зареєстрований під іншим ім’ям — і продовжує працювати звідти. Регулюючі органи керують централізованою диспетчерською системою, якою користуються всі таксі з обох адрес. У кожному запиті на поїздку вказано «забір з Сайд-стріт». Регулюючі органи ніколи не анулюють ліцензію на Сайд-стріт. **Єдиним заходом з боку правоохоронних органів стало зняття вивіски «Main Street». Таксі-компанія ніколи не припиняла свою діяльність.**

Частина А — Технічна документація · Розділ 3.1 

### У Steam список Valve є єдиним списком.

Посилання, на яке натиснули в клієнті Steam, ігровому оверлеї або режимі Big Picture, не відкривається в браузері користувача. Воно відображається у вбудованому браузері Steam, де відсутні попереджувальні шари, які зазвичай застосовує браузер. **Фільтр посилань — це не просто один із багатьох заходів безпеки. Це і є весь захід безпеки.**

**У звичайному браузері** Три незалежні шари

- **Безпечний перегляд від Google** Повносторінкове проміжне вікно для хостів, що знаходяться у списках Google щодо фішингу та шкідливого програмного забезпечення, яке постійно оновлюється незалежно від того, який саме сайт відвідується.

- **Антивірусне розширення для браузера** Більшість кінцевих продуктів для споживачів постачаються з розширенням для браузера, яке перевіряє адресата на відповідність власному списку репутації виробника.

- **Перевірка HTTPS на кінцевих точках** Якщо продукт здійснює перевірку за протоколом TLS, вміст сторінки сканується до того, як він потрапить до користувача.

**У клієнті Steam: накладення та режим Big Picture** Один шар

- **Безпечний перегляд від Google** Відсутні. Для виконання перевірки потрібні ключі API Google, які не надаються у вбудованих збірках Chromium; у разі їх відсутності, згідно з власною проектною документацією Chromium, обробник «Безпечного перегляду» просто ніколи не додається до ланцюжка запитів.

- **Антивірусне розширення для браузера** Відсутній. Рендерер Steam не є браузером користувача і не завантажує жодних розширень із профілю браузера користувача, тому на цій сторінці не працює жодне доповнення.

- **Перевірка HTTPS на кінцевих точках** Залежить від продукту. Трафік завершується всередині процесу Valve із цифровим підписом, а не у впізнаваному браузері, і низка кінцевих продуктів не піддають підписані додатки перевірці TLS.

- **Фільтр посилань Steam** Власний список заблокованих адрес Valve, до якого звертаються, коли посилання виходить за межі екосистеми Steam. Це єдина перевірка, яка виконується — і в таблиці вище зафіксовано результати, які вона повертає для хостів автентифікації, описаних у цьому розділі.

Це перевірка, яку може провести будь-який читач, і якщо вона не пройде, висновок втрачає свою силу

Відкрийте одну з опублікованих компанією Google тестових URL-адрес для перевірки «Безпечного перегляду» (`testsafebrowsing.appspot.com`) у Chrome: з’являється повноекранне червоне проміжне вікно. Відкрийте той самий URL-адресу з повідомлення чату Steam так, щоб вона відображалася в клієнті Steam або у накладному вікні: проміжне вікно не з’являється. Єдиним попередженням, яке може з’явитися у Steam, є власна сторінка фільтрації посилань, і лише для хостів зі списку Valve.

Рекорд Valve у програмі винагород за виявлення помилок **Цей трек вже звучав раніше — на альбомі самого Valve**

Якщо фільтр посилань є єдиною перевіркою, що виконується всередині клієнта, то його власні режими відмови не є другорядним питанням. Два звіти в рамках програми HackerOne від Valve: обидва прийняті, обидва вирішені, обидва згодом оприлюднені в повному обсязі:

- [#291750](https://hackerone.com/reports/291750) [архів 2025-11-16 ↗](https://web.archive.org/web/20251116185046/https://hackerone.com/reports/291750) Open Redirect · Medium

### Обхід захисту фільтра посилань

Повідомлено 19 листопада 2017 року, усунуто, оприлюднено 9 травня 2018 року. Власний приклад підтвердження концепції, наведений у звіті: заміна ідеографічної крапки `。` (`%E3%80%82`) для крапки в імені хоста — блокування можна обійти. Інтерстиціальний елемент, про який йдеться в цьому розділі, не з’явився.

- [#1079561](https://hackerone.com/reports/1079561) [архів 2026-09-24 ↗](https://web.archive.org/web/20260924181830/https://hackerone.com/reports/1079561) Розкриття інформації · високий рівень

### Веб-браузер Big Picture розкриває файли cookie для входу та конфіденційну інформацію (що може призвести до захоплення облікового запису)

Повідомлено 15 січня 2021 року, вирішено, оприлюднено 21 вересня 2021 року. Власна оцінка серйозності Valve є високою, а в заголовку вказано наслідки. Оприлюднений запис містить назву, оцінку та дати; технічний опис не входить до опублікованого вмісту, тому з нього тут більше нічого не наводиться.

**Це — власна інтерпретація авторів, а не висновок жодного з цих звітів:** обидва вони розташовані по обидва боки одних і тих самих воріт. Одне з них — це попередження, яке не з’являється до того, як відкриється сторінка призначення; інше — це сесія, яка залишає клієнтський пристрій після відкриття сторінки всередині неї. Послідовність подій, що настає після викрадення сесії — реєстрація ключа без запиту, скасування справжньої операції, надсилання дубліката на клонований пристрій — є схемою, викладеною в [Розділ 5](https://phishdestroy.io/steam_dossier/uk/index#vulnerability-profile) до [Розділ 8](https://phishdestroy.io/steam_dossier/uk/index#consent-analysis). Обидва звіти закрито; жоден із них не розглядається як актуальна вразливість. Висновки, зроблені в них, є більш вузькими, але достатніми: єдиний шар, що залишився, має задокументовану історію обходу, про що свідчать власні записи Valve.

Джерело: запис про оприлюднення на платформі HackerOne для кожного повідомлення, отримано 2026-09-22 — номер, назва, команда, вразливість, рівень серйозності, дати подання та оприлюднення повідомлення, а також статус, як опубліковано HackerOne. Запис про отримання: [hackerone-reports.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/hackerone-reports.json). Сума винагороди тут не вказана; її також немає в оприлюднених документах, які вдалося знайти.

Польові спостереження · PhishDestroy **Виявлення, які зазвичай призводять до припинення кампанії, у цьому випадку не призвели до її припинення**

Ми спостерігали, як фішингові хости продовжували залучати трафік, при цьому перенаправляючи **20 або більше виявлених постачальників**. Якщо така кампанія реалізується через веб або електронну пошту, вона в цьому стані припиняє дію за лічені дні — і браузер, і антивірус реагують на ці висновки. У Steam ж ні той, ні інший цього не робить. Ці висновки існували весь час. Клієнт ніколи про це не запитував.

### Що це означає для неповнолітнього, у якого встановлено антивірус

Він не ігнорує жодного попередження і нічого не вимикає. У Steam з’являється повідомлення — безкоштовний ніж, голос за команду друга — і сторінка відкривається в Steam. Він ніколи не відкриває браузер, тому браузер ніколи його не захищає. Його антивірус працює і, можливо, вже визначив цей домен як шкідливий; але його ніхто не запитує. **Усі застереження, які могли б його зупинити, вже існують. Але жодне з них до нього не доходить.** Він вважає, що ніколи не залишав Steam, і це справді так.

Ця акція — не вигадка фішера: сайти зі скінами та азартними іграми рекламують себе саме так — пропонують безкоштовні Valve предмети, і саме тому це повідомлення виглядає цілком звичайним. Скарги: [архів виконавчих справ](https://phishdestroy.io/steam_dossier/uk/steam_enforcement_evidence#support-records). Дані про вік та дітей: [Розділ 17](https://phishdestroy.io/steam_dossier/uk/index#minors-protection).

Джерела: Steam відображає веб-вміст за допомогою Chromium Embedded Framework у `steamwebhelper` процес — див. [Технічний аналіз DARKNAVY від 27 червня 2024 року ↗](https://www.darknavy.org/blog/exploiting_steam_usual_and_unusual_ways_in_the_cef_framework/) та власний Valve [Steam Форум «Client Beta» ↗](https://steamcommunity.com/groups/SteamClientBeta/discussions/0/3365901765276206401/) [архів 2025-08-04 ↗](https://web.archive.org/web/20250804051514/https://steamcommunity.com/groups/SteamClientBeta/discussions/0/3365901765276206401/). Не використовується жодна версія CEF: вбудований Chromium — це не Chrome, і він не містить жодних сервісів Google, що є в Chrome. Безпечний перегляд без API-ключів: [Документ з описом дизайну Chromium ↗](https://www.chromium.org/developers/design-documents/safebrowsing/) [архів 2026-08-21 ↗](https://web.archive.org/web/20260821101616/https://www.chromium.org/developers/design-documents/safebrowsing/), [Ключі API Chromium ↗](https://www.chromium.org/developers/how-tos/api-keys/) [архів 2026-08-30 ↗](https://web.archive.org/web/20260830122831/https://www.chromium.org/developers/how-tos/api-keys/) («Багато API-інтерфейсів Google, які використовує Chrome, є специфічними для Google і не призначені для використання у похідних продуктах»), і той самий ефект спостерігається в інших збірках без ключа — [Домашнє пиво з бочки № 193814 ↗](https://github.com/Homebrew/homebrew-cask/issues/193814). URL-адреси для тестування: [testsafebrowsing.appspot.com ↗](https://testsafebrowsing.appspot.com/).

Частина А — Технічна документація · Розділ 4 

## Кінцева точка закрита. У публічному трасуванні втрачено ключ.

Контекст та обмеження щодо джерел

Steam було впроваджено зміни, які прибрали публічну видимість ідентифікаторів активів (Asset ID) та обмежили доступ до інвентарю через API. Наслідок: відстежити конкретний предмет за його оригінальним ідентифікатором активу стало неможливо на основі публічних даних. Далі йдеться про те, що було можливим раніше, що стало неможливим після цього, і чого це коштує жертві, яка намагається довести, куди поділося її майно. Згідно з інженерним обліковим записом CSFloat, це сталося у 2017 році; журналу змін Valve виявлено не було. Ця послідовність подій — приблизно через рік після заяви про азартні ігри від липня 2016 року — є предметом розслідування, а не висновком. Самі записи про предмети залишаються в системах Valve; зовнішні дослідники втратили доступ до ланцюжка оригінальних ідентифікаторів, тоді як ідентифікатори float, seed та paint дозволяють лише часткове зіставлення.

**Діє правило Valve:** Steam Служба підтримки не відновлює елементи, які були видалені з вашого облікового запису, і обов’язок довести, що саме сталося, лежить на вас. **Запис:** У 2017 році Valve закрив кінцеву точку, яка передавала оригінальні ідентифікатори предметів. До цього будь-хто міг відстежити викрадений скін з облікового запису жертви аж до бота на торговому майданчику. Після цього ніхто за межами Valve не може цього зробити. **Доказ, який вимагають від потерпілого, — це той самий доказ, який було підмінено** — і вона досі існує, всередині Valve.

### Епоха до відключення електроенергії

Історично кожен віртуальний об’єкт, створений на Steam, мав глобально унікальний, незмінний Ідентифікатор активу . Сторонні бази даних OSINT можуть індексувати ці ідентифікатори. Якщо у користувача викрали товар, слідчі зможуть простежити шлях руху цього конкретного активу від проміжного рахунку зловмисника до рахунків зберігання на торговельному майданчику або сайті азартних ігор.

РАНІШЕ: будь-хто міг простежити шлях переказу коштів з рахунку жертви через проміжні рахунки аж до торговельного майданчика або бота-сховища казино, використовуючи загальнодоступні дані.

### Після зміни

Згідно з інформацією з технічного профілю CSFloat, у 2017 році Valve закрив кінцеву точку, і оригінальні ідентифікатори предметів перестали бути доступними для сторонніх осіб. Не було знайдено жодної заяви Valve щодо причини таких змін. У той самий період також не було виявлено жодних оприлюднених заходів проти комерційних бот-акаунтів, які здійснювали масові операції з товарами.

Незалежно від причини, ця зміна порушила публічний ланцюжок відстеження. Потерпілий більше не може відтворити ланцюжок оригінальних ідентифікаторів на основі публічних даних, щоб довести, що конкретний викрадений предмет був реалізований через певний торговий майданчик або казино. Записи про ці предмети все ще існують у системах Valve; громадськість, дослідники та правоохоронні органи, які працюють з публічними даними, не мають до них доступу.

ПІСЛЯ: відстежити конкретний об’єкт за його оригінальним ідентифікатором активу (Asset ID) на основі загальнодоступних даних більше неможливо. Ланцюг відповідальності за оригінальним ідентифікатором для об’єкта, переміщеного після 2017 року, існує лише в інфраструктурі Valve; жодних таких записів публічно не оприлюднено. Ідентифікатори Float, seed та paint дозволяють лише часткове, ймовірнісне зіставлення.

IEconItems_730

ОТРИМАТИ `/IEconItems_730/GetPlayerItems/v1/`

Відстежуваний корисний вантаж (до випуску виправлення)

`"id": "14892281934" ,`

`"original_id": "11829910211" ,`

Статус: Потерпілий може відстежувати шлях переміщення предмета між акаунтами-ботами.

Зашифрований корисний вантаж (після застосування виправлення)

Поточний

`"id": "HIDDEN_BY_PRIVACY_SETTINGS" ,`

`"original_id": "NULL" ,`

Статус: сторонні особи більше не можуть відстежувати історію об’єкта за оригінальним ідентифікатором активу на основі загальнодоступних даних.

**Вплив на докази:** Після внесення змін публічні дані, необхідні для відстеження конкретного об’єкта за його оригінальним ідентифікатором активу (Asset ID) від облікового запису потерпілого до бота на торговельному майданчику чи в казино, стали недоступними. Внутрішні записи все ще існують у Valve; жертва, дослідник або слідчий, які працюють на основі публічних даних, не можуть відтворити ланцюжок оригінальних ідентифікаторів (ідентифікатори float, seed та paint дозволяють лише часткове зіставлення).

Джерело: Звіт інженерної компанії CSFloat про закриття у 2017 році `IEconItems_730/GetPlayerItems` — [blog.csfloat.com/how-floatdb-tracks-items](https://blog.csfloat.com/how-floatdb-tracks-items/) ([архів 2026-09-21](https://web.archive.org/web/20260921022415/https://blog.csfloat.com/how-floatdb-tracks-items/)) · наведені дані є ілюстрацією форми поля, а не записаними відповідями · журнал змін Valve для цього закриття не знайдено.

Частина А — Технічна документація · Розділ 5 

## Один сеанс. Більше прав доступу, ніж бачить користувач.

Контекст та обмеження джерел

Архітектура API-ключів Valve у тому вигляді, в якому вона існувала до змін 2023 року, відхилялася від базових галузевих стандартів (OWASP ASVS, NIST SP 800-63B) і є тим механізмом, який описано в автоматизованих скаргах щодо крадіжки інвентарю, що зберігаються в архіві доказів (розділи 6–8).

**Застосовано правило Valve:** власник рахунку створив ключ, погодився з умовами та несе відповідальність за збитки — саме така відповідь міститься в архіві відмов. **Запис:** До грудня 2023 року для реєстрації цього ключа достатньо було лише викраденого сесійного кукі. Без пароля. Без Steam Guard. Без повідомлення власника цього облікового запису. **Користувач не створював цей ключ, не бачив його, але йому сказали, що він це зробив.** Функція підтвердження через мобільний телефон була додана 2023-12-04 — приблизно через сім років після заяви 2016 року та приблизно через шість років після створення шахрайських панелей, які зберігаються в архіві. Ці роки не оплачувалися Valve. Їх оплачували рахунки, які за цей час були спустошені, частина з яких належала дітям.

OWASP ASVS 2.8 / NIST SP 800-63B РІВЕНЬ СЕРЙОЗНОСТІ: КРИТИЧНИЙ

### 1. Недостатній рівень посиленої аутентифікації

Steam дозволяло створювати API-ключі з високим рівнем привілеїв і тривалим терміном дії, використовуючи лише сесійний файл cookie. Під час налаштування або зміни ключа API для розробників не вимагалося двофакторної автентифікації (Steam Guard) або додаткового запиту на підтвердження, тому мобільне підтвердження Steam Guard — єдиний другий фактор, який пропонує Steam — не забезпечувало захист цього етапу. (У 2016 році у власному трекері Valve було запропоновано впровадити апаратний другий фактор, і це питання досі залишається відкритим: Додаток D, GH-01.)

Статус: не виправлено до 2023 року. Дозволяло скрипту, що містив викрадене cookie, зареєструвати ключ без будь-якої взаємодії з користувачем.

OWASP A01:2021 / Принцип мінімальних привілеїв РІВЕНЬ СЕРЙОЗНОСТІ: КРИТИЧНИЙ

### 2. Відсутність принципу мінімальних привілеїв

У веб-API Steam були відсутні будь-які області авторизації на основі ролей. Ключ API розробника, виданий для перегляду стану запасів у режимі «тільки для читання», мав повні права на «запис» — зокрема, можливість вносити зміни в існуючі угоди, ініціювати нові, реєструвати веб-хуки та відхиляти дійсні угоди, що перебувають на розгляді.

Статус: системний конструктивний недолік. Один ключ = повний контроль над запасами та операціями на рахунку (читання/запис).

OWASP A07:2021 / Сесії РІВЕНЬ НЕБЕЗПЕКИ: ВИСОКИЙ

### 3. Порушення управління сесіями

Користувачі повідомляли про випадки, коли викрадені веб-сесії, що походили з IP-діапазонів, на яких розміщувалися сервери, продовжували існувати. Згідно зі стандартною практикою, сесії припиняються у разі виявлення географічних аномалій та після зміни пароля; у звітах користувачів, зібраних в архіві, описано випадки, коли сесії залишалися активними після зміни пароля.

Статус: зафіксована проблема (скарги користувачів в архіві). Під час сеансів можна було генерувати API-ключі без повторної автентифікації.

Блокування на рівні домену було технічно можливим МОЖЛИВІСТЬ ЗАБЕЗПЕЧЕННЯ ВИКОНАННЯ

### 4. Блокування хостів автентифікації на рівні домену було технічно можливим

Valve вже використовує список доменів (фільтр посилань) і отримує кожне ім’я хоста для авторизації у своїх власних запитах OpenID. Ці два механізми жодним чином не пов’язані між собою, що помітно ззовні: станом на 2026-09-22 у 26 парах основний домен був у фільтрі, тоді як проксі-сервер, що здійснював вхід, — ні.

З'єднати їх — це невелике інженерне завдання: прочитайте `openid.realm` визначати ім'я хоста з кожного вхідного запиту, порівнювати його зі списком та відхиляти або позначати такий запит. На ілюстрації праворуч показано схему роботи такої процедури. Відхилення хоста, що здійснює автентифікацію, — а не лише загальнодоступної цільової сторінки — призведе до переривання етапу «Увійти за допомогою Steam», від якого залежать ці платформи.

Немає жодних публічних доказів того, що Valve проводить таку перевірку. Сукупна комісія Steam Community Market у розмірі приблизно 15% застосовується до угод, укладених на цій платформі; вона не стягується з угод, укладених за межами цих платформ.

block_auth_hosts.py ІЛЮСТРАЦІЯ

// Зчитати, що хост Steam вже отримує — сканування не проводити

def on_openid_request(request):

host = parse_openid_realm(request)

якщо господар в заблоковані_домени:

відхилити (запит)

**Примітка:** псевдокод наведено лише для ілюстрації. Обидві частини вже існують на Valve — ім’я хоста авторизації надходить у запиті, а список доменів є фільтром посилань. Жоден загальнодоступний запис не пояснює, чому вони не пов’язані між собою.

Розділ 5.1 — Ці стандарти не були опубліковані 

### Valve щодня компілюється з дотриманням цих правил. У цьому випадку компіляція не пройшла з дотриманням цих правил.

Steam реалізується в App Store та Google Play, здійснює продажі через основні платіжні системи та використовує сторонні API, як і будь-яка інша велика платформа. Кожен із цих взаємозв’язків передбачає опубліковані вимоги щодо безпеки з зазначеними датами, яким Valve має відповідати, щоб продовжувати свою діяльність. Порівняйте дати цих вимог із датами, коли власний веб-API Steam отримав такі самі заходи захисту. **Ніщо з наведеного нижче не є внутрішнім стандартом, службовою запискою чи комерційною таємницею: кожен рядок — це публічний документ із зазначеною датою оприлюднення.**

Опубліковані зовнішні вимоги до безпеки із зазначенням їхніх дат у порівнянні з датою, коли веб-API Steam запровадив еквівалентні заходи контролю

| Опублікований стандарт та дата його вступу в силу | Веб-API Steam щодо того самого питання |
| --- | --- |
| **Авторизація з обмеженим обсягом повноважень** OAuth 2.0 — RFC 6749, Жовтень 2012 року. У розділі 3.3 наведено визначення `scope` Таким чином, клієнт отримує лише той доступ, про який він просить. Відтоді це стало стандартом для API всіх основних платформ. | **З’явилися детальні сфери застосування 16 січня 2026 року.** До цього один ключ Web API типу Steam надавав повні права на читання та запис щодо всіх торгових операцій облікового запису, незалежно від мети його видачі. **Тринадцять років і три місяці** після специфікації, що визначає елемент управління. |
| **Ключ — це не дозвіл** Офіційна документація Google щодо хмарних сервісів: Стандартний ключ API не забезпечує автентифікацію суб’єкта, а також для API, які створюють ресурси або керують ними, Не використовуйте ключі авторизації в виробничому середовищі. | **Ключ Web API Steam був саме таким.** Строка-номінка, видана для рахунку, яка сама по собі дає право переглянути стан рахунку, скасувати очікуване торговельне операцію та надіслати нову. На момент використання ідентифікація власника не проводилася. |
| **Багатофакторна автентифікація при привілейованому доступі** PCI DSS 3.2, вимога 8.3 — обов’язкова з 1 лютого 2018 року для всіх випадків адміністрування, що не здійснюється через консоль, та для всіх випадків віддаленого доступу до середовища зберігання даних власників карток. Згодом компанія Apple запровадила вимогу щодо двофакторної автентифікації для кожного власника облікового запису в програмі для розробників, починаючи з 27 лютого 2019 року: Розробники, які мають роль «Власник облікового запису» у програмі для розробників, повинні увімкнути двофакторну автентифікацію, щоб увійти в систему. | **Для створення API-ключа з було потрібно ще одне 4 грудня 2023 року.** До цього часу викраденого сесійного файлу cookie було достатньо: на телефоні власника облікового запису не з’являлося жодного запиту, і після цього не надходило жодного повідомлення. **Чотири роки та дев’ять місяців** після того, як компанія Apple змусила Valve використовувати другий фактор автентифікації навіть для простого входу на портал для розробників. |
| **Життєвий цикл та анулювання посвідчень** Twitch висуває такі вимоги до кожного стороннього додатка: Ваш додаток повинен перевіряти токен OAuth під час запуску, а потім — щогодини, і зазначає, що проводить аудит додатків, які цього не роблять. Його застарілий API версії 5 було остаточно виведено з експлуатації 28 лютого 2022 року згідно з опублікованим розкладом. | **Не опубліковано жодних даних щодо життєвого циклу ключа.** Зміна 2023 року забезпечила захист кінцевої точки створення. Жодна з пов’язаних із нею інструкцій Valve не стосується вже зареєстрованих ключів, а до цієї зміни взагалі не було додано журналу змін. На основі відкритих даних неможливо встановити, чи були ключі, створені до цього, визнані недійсними — а саме на це питання суб’єкту даних потрібно отримати відповідь, щоб дізнатися, чи ключ, створений на його обліковому записі кілька років тому, все ще діє. |

Архітектурний еталон // Token Architecture 

#### Дрібні області дії GitHub проти Valve Steam Web API

Valve розробників щодня керують програмним забезпеченням з відкритим кодом на GitHub, використовуючи токени з деталізованими правами доступу за принципом «мінімальних привілеїв». Порівняйте це з монолітною ключовою парою, виданою 130 млн Steam гравців.

Токен GitHub з високим рівнем деталізації

Використовується користувачем Valve на GitHub

Токен з дрібною структурою, що забезпечує ізоляцію в межах області дії та обов’язкове дотримання життєвого циклу.

Доступ до репозиторію: Тільки вибрані репозиторії (1 репозиторій)

Надання дозволів: Тільки для читання [✓]

Код і секрети: Доступ відсутній [✕]

Термін дії: 30 днів (обов’язковий TTL)

Реєстрація аудиту: IP-адреса, User-Agent та час запису

**Стан безпеки:** Токен з мінімальними привілеями обмежує збитки лише одним ресурсом, доступним лише для читання.

! Valve Steam Ключ веб-API

Видано 130 млн користувачів

Єдиний головний рядок довжиною 32 символи, що містить повноваження щодо торгівлі та управління запасами за принципом «все або нічого».

Доступ до облікового запису: ПОВНА ВЕРСІЯ (Монолітна)

Управління торгівлею: Прочитати, Скасувати, Відхилити [!]

Рівні деталізації: НІ (Прибуло у 2026 році, із запізненням на 13 років)

Термін дії: НІКОЛИ (Дійсно безстроково)

Реєстрація аудиту: НІ (Історія IP-адрес користувача відсутня)

**Уразливість:** Викрадений ключ дає змогу непомітно перехоплювати всі вихідні торгові пропозиції.

Стандарт, що застосовується в одному напрямку 

Припустимо, що постачальник Valve — хмарний провайдер, платіжна система чи CDN — залишив кінцеву точку для введення облікових даних без другого фактора аутентифікації, і через кілька місяців власні корпоративні дані Valve витекли через ключ, згенерований на цій кінцевій точці. Чи погодився б Valve з тим, що вина лежить на тому, хто натиснув на посилання? Архівні відмови, збережені в цьому досьє, дають відповідь на дзеркальне запитання для користувача: займається позиція, що власник облікового запису створив ключ і несе відповідальність за втрату. **Цю саму архітектуру описують як «відсутність відповідальності постачальника в одному напрямку та відповідальність користувача — в іншому».** Те, що це саме так, не є технічним питанням, і це питання не може бути вирішене в рамках цього розслідування — рішення щодо цього приймає суд або наглядовий орган.

Ілюстрація, а не доказ — стандарт, прочитаний навпаки 

- Платіжна система, яка дозволяла сторонньому скрипту генерувати облікові дані для транзакції з повними правами доступу виключно на основі файлу cookie браузера, без будь-якого попередження власника облікового запису.

- Провайдер ідентифікації, який усунув вразливість, через яку було випущено його токени, і не опублікував жодної інформації про вже випущені токени.

- Банк, який у відповідь на оскарження переказу зазначив, що використані облікові дані були зареєстровані на власному рахунку клієнта, і закрив заявку.

Жодне з цих тверджень не подається як висновок щодо будь-якої конкретної компанії. Це ті самі проектні рішення, перенесені в контекст, де реакція наглядових органів добре задокументована — саме таке порівняння і пропонується зробити регуляторному органу.

**Що встановлено матеріалами справи:** контрольні механізми, яких не було у веб-API Steam, були загальнодоступними, застарілими, а в деяких випадках — умовами, Valve які компанія мала дотримуватися, щоб продовжувати постачання власної продукції. Інтервал між кожним стандартом та відповідною зміною Steam є вимірюваним і наведено вище. **Однак це не пояснює, чому саме.** Жодного Valve обґрунтування щодо жодного з цих проміжків часу виявлено не було, і тут воно не припускається; цей запис міститься в Valve і не опублікований.

Джерела, кожне з яких є публічним документом: OAuth 2.0 — [RFC 6749, жовтень 2012 року ↗](https://datatracker.ietf.org/doc/rfc6749/) · Google Cloud — [Документація щодо ключів API ↗](https://docs.cloud.google.com/docs/authentication/api-keys) · Вимога 8.3 стандарту PCI DSS 3.2 — [Довідник ресурсів PCI SSC ↗](https://listings.pcisecuritystandards.org/pdfs/PCI_DSS_Resource_Guide_(003).pdf) · Apple — [Майбутня вимога щодо двофакторної автентифікації для власників рахунків, 20 лютого 2019 року ↗](https://developer.apple.com/news/?id=02202019a) [архів 2025-05-06 ↗](https://web.archive.org/web/20250506070026/https://developer.apple.com/news/?id=02202019a) · Twitch — [вимога щодо перевірки дійсності токена ↗](https://dev.twitch.tv/docs/authentication/validate-tokens/) та [Повідомлення про припинення роботи версії 5 ↗](https://discuss.dev.twitch.com/t/legacy-twitch-api-v5-i-e-kraken-shutdown-reminder-february-28-2022/36589) [архів 2025-01-27 ↗](https://web.archive.org/web/20250127085635/https://discuss.dev.twitch.com/t/legacy-twitch-api-v5-i-e-kraken-shutdown-reminder-february-28-2022/36589). Дати, вказані Steam, — це дати із запису про оновлення в цьому розділі; записи за 2023 та 2026 роки — це ті, які Valve випустив без журналу змін. Отримано 2026-09-22.

Власний запис про оновлення Valve — із зазначенням дати, взятий із відкритих джерел

| Дата | Valve змінити | Оголошено? | Що було закрито | Затримка: механізм «public» → виправлено | Джерело |
| --- | --- | --- | --- | --- | --- |
| 2026-09-01 | Автоматичне позначення підозрілих чатів | Так | Небезпечні посилання / шаблони у групових чатах | — | [новини ↗](https://store.steampowered.com/news/posts/?enddate=1788390000) |
| 2026-01-16 | Детальні області дії веб-API Steamworks | Так | Області дії з мінімальними правами для ключів розробників | — | [оголошення ↗](https://steamcommunity.com/groups/steamworks/announcements/detail/4123547285514022851) |
| 2025-07-15 | CS2: Захист від ринкових коливань та вікно розвороту | Так | **Нічого.** Це не є виправленням, що усуває першопричину проблеми безпеки. Доступ служби підтримки до відновлення облікового запису залишається незмінним. Запуск операції скасування призводить до автоматичного 30-денного блокування торгівлі ([Skinvault ↗](https://skinvault.gg/blog/cs2-trade-protection-explained/)), тоді як шок на ринку готівкових торгів спричинив падіння ринкової капіталізації за 24 години на $104M (-25%) ([CSMarketCap ↗](https://csmarketcap.com/blog/market-insights/from-boom-to-bust-cs2s-trade-protection-impact)). У 2026 році таймери стали індивідуальними для кожного товару ([Skin.land ↗](https://skin.land/blog/steam-changes-cs2-trade-ban-logic-timing/)). | — | [Часті запитання ↗](https://help.steampowered.com/faqs/view/3041-A87A-E5F6-B6AC) |
| 2025-05-14 | Повідомлення щодо безпеки облікового запису | Так | Інструкції щодо програм-викрадачів / перехоплення сеансів | — | [оголошення ↗](https://steamcommunity.com/ogg/593110/announcements/detail/533224478739530146) |
| 2024-10-02 | CS2 «The Armory» — 7-денна затримка | Так | Торгівля/ринок предметів «Зброярні» тимчасово призупинено | — | [оголошення ↗](https://steamcommunity.com/games/CSGO/announcements/detail/4447966961421256740) |
| 2024-09-18 | Обмеження щодо реєстрації нових пристроїв | Так | Блокування торгівлі на 2–7 днів на нових пристроях | — | [Часті запитання ↗](https://help.steampowered.com/faqs/view/3041-A87A-E5F6-B6AC) |
| 2024-02-14 | Призупинення зміни імені профілю та аватара | Так | Після зміни імені діє 2–4-годинний період очікування для здійснення угод | — | [публікація ↗](https://steamcommunity.com/discussions/forum/1/4202490424033360096/) |
| 2023-12-04 | Мобільне підтвердження ключів API | Жодних змін | Тиха реєстрація ключа виключно за допомогою файлів cookie | ≈6 років після випуску панелей 2017 року | [сторінка розробника ↗](https://steamcommunity.com/dev/apikey) |
| 2023-10-24 | SMS MFA для публікації версій ігор | Так | Публікація збірки Steamworks | — | [оголошення ↗](https://steamcommunity.com/groups/steamworks/announcements/detail/3734103130194459461) |
| 2023-07-12 | Попередження щодо вмісту біографії, створеної на замовлення | Так | Фішингові посилання в біографіях | — | [форум ↗](https://steamcommunity.com/discussions/forum/1/3807266184852932971/) |
| 2023-01-25 | Профіль {ПОСИЛАННЯ ВИДАЛЕНО} та час відновлення | Так | Посилання в тексті профілю | — | [Часті запитання ↗](https://help.steampowered.com/faqs/view/225C-C51E-B8F0-55B2) |
| 2022-10-24 | Оновлення системи входу та скорочення файлів cookie | Жодних змін | Нескінченна кількість викрадених сеансів | — (Міграція токенів служби IAuthenticationService) | [новини ↗](https://store.steampowered.com/news/group/4/view/3314112260640237775) |
| 2022-10-12 | Мобільний додаток 3.0: вхід за допомогою QR-коду | Так | Панель скасування авторизації сеансу | — | [новини ↗](https://store.steampowered.com/news/group/4/view/3314112260640237775) |
| 2022-05-10 | Видалено кінцеві точки скасування угод | Жодних змін | Обмін пропозиціями (скасування та повторне надсилання) | приблизно через 5 років після випуску панелей 2017 року | [випуск № 325 ↗](https://github.com/DoctorMcKay/node-steam-tradeoffer-manager/issues/325) |
| 2020-05-25 | 7-денна блокування торгівлі в Dota 2 | Так | Швидка перепродаж товарів | — | [блог ↗](https://blog.dota2.com/2020/05/trading-cooldown/) |
| 2018-03-29 | 7-денна блокування торгівлі в CS:GO | Так | Миттєве «відмивання» ботів | ≈20 місяців після заяви, зробленої в липні 2016 року | [блог ↗](https://blog.counter-strike.net/index.php/2018/03/20308/) [архів 2025-02-26 ↗](https://web.archive.org/web/20250226114333/https://blog.counter-strike.net/index.php/2018/03/20308/) |

Джерела: публікації за посиланням Valve, сторінки довідки та запити на GitHub із зазначеними датами. Три вирішальні виправлення, випущені без журналу змін (травень 2022 р., жовтень 2022 р., грудень 2023 р.), були виявлені користувачами, а не оголошені Valve — ця асиметрія є частиною історії впровадження. Затримки обчислюються лише в тих випадках, коли власна дата досьє (заява від липня 2016 року; шахрайські панелі 2017 року) надає початкову точку; «—» означає, що така початкова точка тут не встановлена.

Частина А — Технічна документація · Розділ 6 

## Інтерактивний симулятор експлойтів та захоплення контролю

Контекст та обмеження джерел

Реконструкція ланцюжка подій від фішингового повідомлення до реєстрації ключа на стороні сервера та обміну. До 2023 року ключ Web API, зареєстрований на обліковому записі, міг зчитувати його запаси, скасовувати пропозицію про угоду, що перебувала на розгляді, та створювати нову, причому під час жодної з цих дій власнику облікового запису не відображався екран підтвердження угоди. Це є порушенням принципу «найменших привілеїв» (OWASP A01:2021). Часові показники в цій симуляції наведені для ілюстрації та не є реальними вимірами поточної роботи платформи.

Пройдіть крок за кроком відтворений процес викрадення облікового запису. На кожному етапі показано, що бачить власник облікового запису, а поруч — дзвінок, який отримує номер Steam у той самий момент. **Кожен із цих дзвінків проходить належну аутентифікацію.** Жоден елемент у цій послідовності не повинен вимагати, щоб аутентифікація Steam завершилася невдачею — важливо, щоб ключ, який вона видає, не мав жодної сфери дії (OWASP A01:2021).

**Що бачить гравець. Що змінюється за його спиною.** СИМУЛЯТОР ПРОХОДЖЕННЯ ГРИ

01 / ПРИМАНКА ДЛЯ ЧАТУ**Друг просить проголосувати** Жертва отримує повідомлення з посиланням.

02 / ВХІД**Портал-двійник** Жертва вводить дані для входу.

03 / ДОСТУП**Створення API «Silent Web»** Зловмисник реєструє ключ розробника.

04 / ПЕРЕКЛЮЧЕННЯ**Замінено законну торгівлю** Бот «Clone» створює дублікат цільового одержувача.

05 / ПІДТВЕРДЖЕННЯ**Підробка затверджена** На мобільному пристрої було затверджено неправильну пропозицію.

**Етап А: Фішинг-атака.** Зловмисник зламує обліковий запис друга і використовує його для надсилання оманливого посилання, в якому пропонує жертві проголосувати або приєднатися до команди турніру.

**Пастка фішингу.** Вважаючи, що входить у систему Steam безпечно, жертва вводить свої облікові дані та коди Steam Guard. Фішинговий сервер перехоплює ці дані, і активний `steamLoginSecure` сесійний файл cookie.

**Етап Б: Реєстрація «Silent Key».** Використовуючи викрадене сесійне cookie, сервер зловмисника надсилає запит методом POST на кінцеву точку реєстрації ключів, щоб зареєструвати головний ключ Web API для розробників. Раніше (до 2023 року) для цього не було потрібно ні додаткового затвердження Steam Guard, ні повідомлення.

**Етап С: Автоматизований обмін торговими позиціями.** Скрипт зловмисника виконує запити `IEconService/GetTradeOffers`. Коли жертва ініціює законну операцію, скрипт негайно скасовує її та за допомогою клонованого бота надсилає одержувачу ідентичну пропозицію з тим самим ім’ям та аватаром.

**Експлойт виконано.** Очікуючи на мобільне сповіщення щодо своєї початкової операції, жертва затверджує заміну операції. Це інтегрований криміналістичний покроковий аналіз, який демонструє, як відсутність принципу «мінімальних привілеїв» (OWASP A01:2021) уможливлює автоматизоване викрадення активів за частку секунди.

Той самий крок, якщо дивитися з точки зору мережі Відтворення структури до 2023 року · ілюстративні форми дзвінків

**Нападник** Надсилає посилання з облікового запису, якому жертва вже довіряє.

**Потерпілий** Читає повідомлення від друга, а не від незнайомця.

**Steam бачить** Повідомлення в чаті між двома акаунтами, які перебувають у списку друзів.

```
Channel Steam chat / Steam group invite
Payload a link to an external host
No Steam API call is made at this stage. Nothing in this step is anomalous to the platform.
```

**Чому це працює:** витрачені кошти з трастового фонду належать рахунку скомпрометованого друга, а не зловмиснику.

**Потерпілий** Вводить пароль та код Steam Guard на підробленій сторінці.

**Сервер-зловмисник** Записує облікові дані та отриманий файл cookie сеансу.

**Steam переглядів** Успішний вхід, що пройшов двофакторну аутентифікацію.

```
Captured steamLoginSecure = <session cookie>
Captured Steam Guard code (single use, already spent)
From this point the attacker holds an authenticated session. The second factor has been used, not bypassed.
```

**Чому це працює:** Двофакторна аутентифікація забезпечує захист під час входу в систему. Вона не захищає від дій, які користувач може виконувати під час сеансу, що розпочався після входу.

**Сервер-зловмисник** Реєструє ключ Web API розробника в обліковому записі жертви.

**Потерпілий** Не отримує жодних підказок та повідомлень.

**Steam бачить** Сесія з автентифікацією, що використовує задокументовану кінцеву точку.

```
POST steamcommunity.com/dev/ajaxregisterkey
Cookie: steamLoginSecure=<stolen session>
Body: agreeToTerms=agreed&domain=localhost
A script has no real domain to give, so it sends localhost — the value found on the account in Section 18. Pre-2023 this needed no password, no Steam Guard, no notification, and the key came with no scope limit. Mobile confirmation was added 2023-12-04, without a changelog.
```

**Це етап формування структури.** Сесійний файл cookie перетворюється на довготривалий обліковий запис із повними правами — цей недолік зазначений у розділі 5 як OWASP ASVS 2.8 та A01:2021.

**Скрипт «Attacker»** Перевіряє наявність торгових пропозицій, скасовує дійсну пропозицію та надсилає її дублікат.

**Потерпілий** Щойно розпочав законну операцію і чекає на її підтвердження.

**Steam бачить** Дійсні виклики API, що містять дійсний ключ, виданий для цього облікового запису.

```
GET IEconService/GetTradeOffers/v1 ← polled
POST IEconService/CancelTradeOffer/v1 ← voids the real offer
POST new offer from a clone bot (matching name and avatar)
Every call is correctly authenticated. Nothing in the sequence requires a defect in Steam's authentication to succeed.
```

**Чому це працює:** ключ не мав обмеження «лише для читання», тому облікові дані для перегляду запасів також дозволяли скасовувати та створювати угоди.

**Потерпілий** Затверджує мобільне запит, який передбачався для початкової угоди.

**Нападник** Отримує товари на рахунок-клон.

**Steam переглядів** Переказ, підтверджений власником рахунку на зареєстрованому пристрої.

```
Confirmation genuine — made by the account holder
Recipient the clone bot, not the intended counterparty
The confirmation is authentic. The offer it confirms is not the one the user initiated.
```

**Залишений слід:** операція, яку користувач затвердив. Саме цей запис Steam служба підтримки переглядає при надходженні скарги, і саме це є причиною, чому архівні скарги були закриті як «помилка користувача». Скарги знаходяться в [архів виконавчих справ](https://phishdestroy.io/steam_dossier/uk/steam_enforcement_evidence#support-records).

Частина А — Технічна документація · Розділ 7 

## Кінцеві точки, що лежать в основі послідовності.

Контекст та обмеження джерел

Це — Steam кінцеві точки веб-API, які, як повідомляється, використовували скрипти для перехоплення операцій без проходження етапів підтвердження на стороні браузера.

Чотири задокументовані кінцеві точки виконують усю роботу. Жодна з них не є вразливістю, жодну з них не потрібно експлуатувати — їх викликає дійсний ключ, і Steam відповідає. **Ключ — це єдине, що зловмиснику потрібно було викрасти.**

IEconService / GetTradeOffers / v1 ОПИТУВАННЯ

Використовується для моніторингу торгових пропозицій облікового запису. Скрипти періодично надсилають запити на цей кінцевий пункт, використовуючи викрадений ключ API; він повертає детальну інформацію про новостворені, очікувані або змінені торгові пропозиції. Інтервали запитів тут не вимірюються.

**Вектор загрози:** Відображає ідентифікатори очікуючих торгових пропозицій та дані профілю одержувача.

IEconService / CancelTradeOffer / v1 ВЗАЄМОДІЯ

Використовується для програмного скасування законної торгової пропозиції користувача. До 2023 року ключ не захищався додатковою автентифікацією, тому автоматизований сервер міг скасувати пропозицію одразу після її виявлення, без будь-якого попередження власника облікового запису.

**Вектор загрози:** Скасовує операцію до того, як власник рахунку завершить підтвердження через мобільний телефон.

ISteamUser / GetPlayerSummaries / v2 RECON

Здійснено запит для отримання імені профілю, URL-адреси зображення аватара та рівня легітимного одержувача торгової операції. Це дозволяє скрипту налаштувати підготовлений клонований обліковий запис відповідно до цих даних. Час виконання тут не вимірюється.

**Вектор загрози:** Надає дані, необхідні для того, щоб видати себе за передбачуваного одержувача.

/dev/ajaxregisterkey СТВОРЕННЯ

Steam — кінцева точка реєстрації ключів. Раніше будь-яка активна сесія файлів cookie браузера (`steamLoginSecure`) могла зареєструвати ключ без підтвердження Steam Guard на мобільному пристрої та без будь-якого повідомлення власника облікового запису.

**Вектор загрози:** Постійні облікові дані, створені за допомогою скрипта, про що власник облікового запису не знає.

Частина А — Технічний звіт · Розділ 8 · Стаття 7 GDPR 

## Позначка у полі. Чия дія?

Контекст та обмеження джерел

У разі відмови у відшкодуванні Steam у відповідях служби підтримки, збережених в архіві, висловлюється думка, що власник облікового запису створив API-ключ і, поставивши галочку, погодився з умовами.

У відповіді служби підтримки вказано, що ключ належить власнику облікового запису. Питання полягає в тому, чи дозволяє цей запис встановити, хто насправді його створив.

Однак у виявленому випадку викрадення API-ключа жертва ніколи не бачила сторінку створення API-ключа і не переходила на неї. Поле згоди відправляється скриптом, який виконує POST-запит у режимі «headless» із використанням викраденого сесійного кукі.

Відповідно до статті 7 та статті 4(11) GDPR, згода має бути добровільним, конкретним, усвідомленим та однозначним вираженням волі суб’єкта даних. На думку авторів, поле для прийняття умов, яке відправляється шкідливим скриптом із викраденим файлом cookie, без відображення сторінки для власника облікового запису, не може відповідати цьому визначенню. Визначення того, чи відповідає воно цьому визначенню, належить до компетенції наглядового органу.

Криміналістичний аналіз корисного навантаження: реєстрація ключів

ПУБЛІКАЦІЯ https://steamcommunity.com/dev/ajaxregisterkey

// Дані запиту (введені за допомогою скрипта для перехоплення)

{

"agreeToTerms": "погоджуюся" , <-- введено машиною, без участі людини

"домен": «localhost» , ← не перевірено — приймається будь-яке значення, включаючи localhost

"sessionid": "8f0d8ef763ab2140bf89de2a"

}

**Питання до наглядового органу:** якщо власник рахунку ніколи не натискав на поле згоди, чи відповідає зафіксоване для цього рахунку підтвердження згоди з умовами вимогам статті 7 щодо добровільного, конкретного, обізнаного та однозначного вираження волі суб’єкта даних, а також чи може служба підтримки Steam посилатися на це для відхилення претензії.

Джерело: форма запиту на реєстрацію ключа, відтворена на основі публічної кінцевої точки та звітів про викрадення, що зберігаються в архіві доказів ([версія 2026-09-17 з можливістю пошуку](https://phishdestroy.io/steam_dossier/uk/steam_evidence_archive)) · показаний ідентифікатор сеансу є заповнювачем місця, а не записаним значенням.

Судово-медична експертиза · Вектор заміщення товарів 

### Як Valve нарешті подолав проблему «заміщення товарів» — і чому на це знадобилося 7 років обхідних рішень

Протягом майже десятиліття **«Підміна API-ключа» (або шахрайство типу «Man-in-the-Middle» з використанням API)** була найприбутковішою моделлю крадіжки акаунтів на Steam, завдяки якій з нічого не підозрюючих гравців було викрадено скіни на сотні мільйонів доларів. Valve не усунула цю вразливість шляхом виправлення вразливої архітектури API; натомість Valve протягом семи років наклала чотири рівні бар’єрів на всій платформі, що паралізували ліквідність торгівлі в спільноті, не вирішивши при цьому першопричину проблеми.

1. «Смерть мімікрії»

#### Час відновлення аватара та імені (лютий 2024 р.)

Цей зловмисний код вимагав миттєвої імітації: шахрайський бот перехоплював вихідний торговий запит і зчитував аватар та ім’я одержувача за допомогою `ISteamUser`, і скопіював профіль за 200 мс. 14 лютого 2024 року Valve непомітно запровадив обов’язкове **Час відновлення торгівлі — від 2 до 4 годин (Помилка 34)** відразу після будь-якої зміни імені профілю або аватара. Бот більше не може миттєво клонувати одержувача, не блокуючи при цьому свою можливість здійснювати торги.

2. Економічна смерть

#### 7-денне розворотне відхилення CS2 (липень 2025 р.)

Valve запроваджено односторонні **Зміни тренду** для предметів у грі Counter-Strike. Будь-який обміняний скін отримує позначку «Захищений від обміну» на сім днів. Якщо жертва виявляє підміну, вона натискає «Скасувати обмін» у розділі «Підтримка» Steam, і скін миттєво повертається до її інвентарю, а одержувач блокується. Оскільки 7-денна блокада обміну не дозволяє шахраям перенести предмет на сайт для обміну на гроші, крадіжка стає невигідною.

3. Смерть «Silent Key»

#### Обов’язкове впровадження мобільних push-повідомлень для API (грудень 2023 р.)

Раніше викрадений сесійний файл cookie дозволяв зловмисним скриптам виконувати фоновий POST-запит без інтерфейсу користувача до `/dev/ajaxregisterkey` без попередження жертви. 4 грудня 2023 року Valve запровадило обов’язкове явне підтвердження push-повідомлення в мобільному додатку Steam для генерації ключа Web API, що усунуло можливість прихованого фонового надання ключів.

4. Мобільні сповіщення у додатку

#### Банери з датою створення та назвою облікового запису (2022–2024)

Valve було оновлено модальне вікно підтвердження на мобільних пристроях, щоб відображати дані торгового партнера **Steam термін існування рахунку (дата відкриття)**, рівень Steam та явне попередження жовтого кольору: *«Цей користувач нещодавно змінив ім’я у своєму профілі»*, що розвіює візуальну ілюзію для уважних жертв.

Три недоліки «клаптикової ковдри» Valve: чому шахраї просто змінили свої цілі

**1. Лазівка, пов’язана з виключенням ігор (Dota 2 та TF2)** 

Функція «Trade Reversals» була впроваджена виключно для Counter-Strike 2. **Предмети в іграх Dota 2 та Team Fortress 2 залишаються абсолютно незахищеними** через складність процесу виготовлення та вставлення самоцвітів. Предмети високого рівня, вартість яких сягає тисяч доларів (гаки «Драконовий кіготь», «Золоті малі Рошани», «Незвичайні палаючі полум’я TF2»), не мають жодного періоду для скасування угоди. Шахраї просто перенаправили автоматичне перехоплення API на трейдерів Dota 2 та TF2, де служба підтримки Steam суворо дотримується своєї політики 2016 року щодо «відсутності відновлення предметів».

**2. Резервуар «Zombie Key» (без терміну дії)** 

У той час як Valve додало мобільну двофакторну аутентифікацію (2FA) у вигляді push-повідомлень для генерації *новий* ключі у грудні 2023 року, **Valve існуючі старі ключі API ніколи не скасовувалися, не втрачали чинності та не видалялися**. Мільйони активних облікових записів, які генерували ключі (або в яких ключі були створені непомітно за допомогою фішингу чи шкідливого програмного забезпечення до грудня 2023 року), досі містять активні облікові дані з **нульовий термін дії (без TTL) та нульовий час очікування у разі бездіяльності**. Зловмисники ведуть величезні бази даних, що містять ці постійні ключі, і продовжують здійснювати запити `IEconService` без перешкод.

**3. Штраф для потерпілого: 30-денна заборона на торгівлю** 

Навіть у CS2, Valve накладає штраф на гравця, якого обдурили: натискання кнопки «Скасувати обмін» у Steam «Підтримка» автоматично накладає **обов’язкова 30-денна заборона на торгівлю та доступ до «Community Market» на рахунку потерпілого**. Valve карає користувача місячним відстороненням від платформи як засіб запобігання «безпідставним» скасуванням угод, що має на меті відрадити жертв від скасування угод щодо ліквідних товарів з низькою вартістю.

Головний скандал у сфері регулювання: сім років обхідних шляхів проти однієї сфери застосування API 

Чому Valve витратив сім років на розробку механізмів блокування торгів, періодів очікування для облікових записів та оборотних блокувань торгів — що призвело до порушення роботи всієї ігрової економіки та втрати $104 млн ринкової капіталізації — замість того, щоб застосувати стандартне для галузі рішення?

Про що свідчить офіційний реліз гри Valve у Steamworks 16 січня 2026 року (Оголошення [#493839547938902179 ↗](https://steamcommunity.com/groups/steamworks/announcements/detail/493839547938902179)), Valve вже побудовано **Групи детальних прав доступу (Загальні, Мікротранзакції, Економіка, Дані про продажі)** та **Білий список IP-адрес** для корпоративних ключів видавця. Valve вже роками мала готове технічне рішення. Один-єдиний прапорець для користувача —*«Заборонити цьому ключу веб-API доступ до IEconService (Управління торгівлею)»* або список дозволених домашніх IP-адрес — дозволив би повністю покінчити з шахрайством, пов’язаним із заміною товарів, у 2018 році без жодних побічних економічних наслідків. Valve відмовилася надати звичайним гравцям той захист, який вона розробила для корпоративних партнерів.

Частина Б — Правила та історія їх виконання · Розділ 9 

## Їхні правила. Зареєстровані платформи.

Контекст та обмеження щодо джерел

Цей реєстр зіставляє явні положення з **Steam Угода з абонентом (SSA)** та **Steam Поведінка в Інтернеті (SOC)** рекомендації, спрямовані безпосередньо проти активних, великих комерційних суб’єктів господарювання.

**Правило:** жодного комерційного використання, жодних азартних ігор, жодних ботів — і служба підтримки Steam посилається на ці пункти, коли відмовляється повернути речі потерпілому. **Запис:** на перший погляд, ці самі положення поширюються на комерційні платформи, занесені до цього реєстру, які працюють на основі Steam облікових записів, Steam ботів та Steam переказів. **Ця умова застосовується до особи, яка втратила шкури, а не — згідно з жодними опублікованими даними — до підприємств, які їх транспортують.**

У заархівованих скаргах служба підтримки Steam посилається на «Заборонено використовувати в комерційних цілях» та «Без автоматизації та ботів» пункти, на які посилаються при відмові у відновленні активів жертвам шахрайства з використанням API-ключів. Ці самі пункти, судячи з їхнього тексту, застосовуються до комерційних платформ, зазначених у цьому досьє, які здійснюють аутентифікацію через Steam OpenID та переміщують активи через автоматизовані Steam облікові записи. У цьому документі не наводяться оціночні показники доходів у масштабах усього ринку (див. статистику щодо забезпечення дотримання вимог нижче). Дані показують застосування правил до окремих облікових записів у заархівованих справах, але не містять опублікованих даних щодо забезпечення дотримання вимог для платформ у розрізі окремих операторів. Саме цю асиметрію й документує цей розділ.

Головне питання / вибіркове застосування законодавства Правила → Масштаб → Відповідальність

### Один звід правил. Нерівне застосування.

У реєстрі зазначено, що комерційні сервіси використовують ідентифікатори Steam, інвентарі, боти та перекази як операційну інфраструктуру. Закон про безпеку даних (SSA) забороняє комерційне використання та автоматизацію без дозволу. Архівні скарги свідчать, що це правило застосовувалося до окремих облікових записів, тоді як у публічному реєстрі немає відповідних даних щодо кожного оператора окремо для платформ, про які йдеться в цьому документі. Опублікуйте правило, докази та рішення про застосування заходів щодо кожного з них.

**189** веб-сайти, що підпадають під аудит

**44** маршрути з окремими доменами в реєстрі Live — 27 із опублікованим файлом доказів, 17 зібраних вручну. Лише завдяки аудиту 189 веб-сайтів було виявлено 25 з них; до реєстру додано маршрути, зібрані вручну.

**12 років 6 місяців** csgogem.com заблоковано у фільтрі посилань; `api.csgem.com` зареєстрована 2014-03-08 і ніколи не блокувалася — одна з 26 таких пар станом на 2026-09-22

**Загальна сума не підтверджена** оцінка доходів у цілому по ринку не врахована

Steam Поведінка в Інтернеті 

> «…ви не повинні здійснювати або намагатися здійснювати будь-яку з наведених нижче дій на Steam: […] Займатися комерційною діяльністю. Приклади такої забороненої поведінки включають: розміщення реклами; проведення конкурсів; **азартні ігри**; купівля або продаж акаунтів Steam; продаж контенту, подарункових карток чи інших товарів; а також жебрацтво».

[store.steampowered.com/online_conduct ↗](https://store.steampowered.com/online_conduct) [архів 2026-09-21 ↗](https://web.archive.org/web/20260921022120/https://store.steampowered.com/online_conduct)

SSA § 2.G — Комерційне використання 

> «…[ви не маєте права] використовувати Контент та Послуги або будь-яку їх частину в комерційних цілях, за винятком випадків, прямо дозволених в інших положеннях цієї Угоди…»

Як повідомлялося, у повідомленнях Valve за 2016 рік посилалися на особисту некомерційну ліцензію. Жоден оператор офіційно не надав дозвіл Valve. [store.steampowered.com/subscriber_agreement ↗](https://store.steampowered.com/subscriber_agreement/) [архівується 2026-09-18 ↗](https://web.archive.org/web/20260918014700/https://store.steampowered.com/subscriber_agreement/)

Steam Умови використання веб-API 

> «Ви не маєте права використовувати Steam веб-API або Steam дані будь-яким чином, що порушує Steam Угоду з абонентом».

Сторонні маркетплейси скінів працюють за допомогою автоматизованих облікових записів, які використовують API Steam. У тексті правила не передбачено жодних винятків щодо комерційного масштабу. [steamcommunity.com/dev/apiterms ↗](https://steamcommunity.com/dev/apiterms) [архівується 2026-09-21 ↗](https://web.archive.org/web/20260921022210/https://steamcommunity.com/dev/apiterms)

SSA § 4.C 

#### Автоматизація

Скрипти, боти та взаємодія, що не здійснюється людьми, обмежені. У реєстрі фіксуються операції з використанням ботів, мережі акаунтів та автоматизована маршрутизація в комерційних масштабах.

[Перевірити the записи, позначені за цією категорією](https://phishdestroy.io/steam_dossier/uk/index#legal-ledger-workspace-section)

SSA § 2.G 

#### Комерційне використання

Для комерційного використання необхідний прямий дозвіл. Порівняйте описані бізнес-моделі, їхній масштаб та будь-які оприлюднені відомості щодо дозволів або заходів з забезпечення дотримання вимог.

[Перевірити the записи, позначені цим тегом](https://phishdestroy.io/steam_dossier/uk/index#legal-ledger-workspace-section)

SSA § 3.A 

#### VPN та маскування місцезнаходження

Приховування місця перебування за допомогою проксі-серверів IP може призвести до припинення доступу. Хости автентифікації з окремими доменами потребують окремого аналізу: необхідно встановити, що саме приховується та яке правило застосовується.

[Перевірити дані про хост автентифікації](https://phishdestroy.io/steam_dossier/uk/index#proxy-bypass-explainer)

Steam Довідка / Політика щодо URL-адрес 

#### Зашифрування посилань

Steam забороняє використання сервісів для скорочення посилань та інструментів, що приховують кінцеві адреси посилань. Окремий домен авторизації — `rbsnin.com` у процесі входу в систему Rollbit, `auth.dota.trade` у CS.MONEY — виникає аналогічне питання: чи вказує адреса призначення, яка відображається верифікатору OpenID користувача Steam, на сайт, що працює.

[Політика щодо URL-адрес Valve ↗](https://help.steampowered.com/en/faqs/view/628C-E332-BD8C-4D36)

Посилання на правила: [Steam Угода з абонентом, редакція від 10 вересня 2026 року](https://store.steampowered.com/subscriber_agreement/) [архів 2026-09-18 ↗](https://web.archive.org/web/20260918014700/https://store.steampowered.com/subscriber_agreement/) · [Steam Умови використання веб-API](https://steamcommunity.com/dev/apiterms) [архівується 2026-09-21 ↗](https://web.archive.org/web/20260921022210/https://steamcommunity.com/dev/apiterms) · [Steam Політика щодо URL-адрес (зашифрування посилань)](https://help.steampowered.com/en/faqs/view/628C-E332-BD8C-4D36). Ці цифри відображають кількість записів та тегів у цьому досьє; вони не є кількістю порушень, щодо яких було винесено рішення.

Дефіцит довіри 

#### Хто переглядає рішення, коли служба підтримки закриває справу?

У збережених скаргах йдеться про постійні санкції, залишені без відповіді звернення та відмови у поверненні викрадених речей. Порівняйте ці відомості з фактичною історією квитків, доступними засобами правового захисту та журналами доступу до облікового запису. Загальне пояснення про фішинг не дозволяє встановити, хто ініціював скидання налаштувань або створив ключ API.

[Ознайомтеся зі зібраними скаргами ↗](https://phishdestroy.io/steam_dossier/uk/steam_enforcement_evidence#support-records)[Запросити відповідні записи →](https://phishdestroy.io/steam_dossier/uk/index#dsar-playbook)[Графік взаємозв’язків модераторів →](https://phishdestroy.io/steam_dossier/uk/social_graph)

Частина Б — Правила та дані про їх виконання · Розділ 10 

## API для автоматизації. Правило, що забороняє автоматизацію.

Контекст та обмеження джерел

У цьому розділі ставиться питання про те, як узгодити ці два аспекти: які види використання API є дозволеними, ким вони санкціоновані та за якими оприлюдненими критеріями. Тут не наводиться жодних оцінок щодо кількості дозволених комерційних користувачів API, і відсутність оприлюдненого списку не означає, що таких користувачів немає — саме ця відсутність є висновком, а не цифрою, що стоїть за нею. Наведені вище повідомлення служби підтримки Steam відтворені проектом ArchiSteamFarm у його власному розділі «Часті запитання» (перевірено дослівно 2026-09-22); вони не є Valve публікаціями, а облікові записи, на які їх було надіслано, не ідентифіковано.

**Положення (SSA § 4.C):** На Steam заборонено використовувати скрипти, боти та нелюдські системи. **Запис:** Valve надає безінтерфейсний REST API, єдиною метою якого є автоматизація взаємодії між серверами, і надає доступ до нього будь-якому обліковому запису. **Користувачів блокують за використання засобів автоматизації; інтерфейс для автоматизації є власним продуктом Valve.** Інформація про те, які види комерційного використання дозволені, ніколи не оприлюднювалася.

### Хибне уявлення про «розробника ігор»

Steamworks SDK (ліцензійна версія) 

Використовується офіційними ігровими студіями для інтеграції досягнень, системи підбору гравців та таблиць лідерів у свої ігрові клієнти. Вимагає складної інтеграції на C++ та офіційного підключення партнера.

Steam Веб-API (Лазівка) 

Архітектура JSON/REST без «голови», призначена для зовнішніх веб-серверів. У описаному тут сценарії «викрадення» вона використовується для зчитування даних про запаси та управління одноранговими операціями з віддалених серверів; її законні сфери застосування не описані в цьому досьє.

Для кого призначений цей ключ Звичайному користувачеві Steam не потрібен ключ Web API для роботи в клієнті; сторінка з ключами розміщена за URL-адресою для розробників, і, згідно з документацією, призначена для зовнішнього доступу на стороні сервера. В архіві скарг на викрадення облікових записів описані випадки, коли жертви не знали про існування цієї сторінки, доки на їхньому обліковому записі не було зареєстровано ключ.

#### Протиріччя автоматизації

У § 4.C Закону про соціальне забезпечення (SSA) передбачено: «Забороняється будь-яким чином використовувати скрипти, боти, макроси чи інші системи, що не керуються людиною («Автоматизація»), для взаємодії з Контентом та Послугами на Steam». Проте кінцеві точки Web API (наприклад, `CancelTradeOffer`) не потребують інтерфейсу користувача та капчі й повністю обходять клієнт Steam. API призначений для автоматизації взаємодії між серверами; правило забороняє автоматизацію з боку користувачів; межа між цими двома випадками не оприлюднюється.

#### Позиція на стороні сервера в торговому потоці

Ключ веб-API дозволяє сторонньому серверу здійснювати операції з рахунком без участі клієнта Steam. У сценарії «викрадення» цей сервер розташовується між власником рахунку та сервером торгівлі.

- → Екран підтвердження операції не відображається при виконанні дій за допомогою клавіші.

- → Дозволяє виконувати фонове опитування (GetTradeOffers).

- → Скасовує та повторно формує пропозиції без участі користувача.

Valve створила інтерфейс, у своїх правилах заборонила використання автоматизованих засобів користувачами та не опублікувала критеріїв, за якими дозволяється комерційне використання.

Частина Б — Правила та історія їх виконання · Розділ 11 

## Потрібно було десять днів. А відзвітувати — за десять років.

Контекст та обмеження щодо джерел

20 липня 2016 року головний юрисконсульт компанії Valve поставив операторам азартних ігор 10-денний термін. Через десять років (станом на момент створення знімка досьє, 2026-09-21) принаймні одна платформа, згадана в пресових повідомленнях про це повідомлення, — CSGOFast — досі функціонує з авторизаційним хостом на окремому домені. Текст повідомлення відтворено нижче на основі пресових повідомлень від 21 липня 2016 року; це відтворення не є сканованою копією. Протокол про примусове виконання, на який натякало це повідомлення, не було опубліковано. Відкритий лист до Комісії є [Розділ 2](https://phishdestroy.io/steam_dossier/uk/index#wsgc-public-address).

Ознайомтеся з повідомленням від липня 2016 року, розміщеним поруч із пізнішими зауваженнями. Наразі залишається невирішеним питання щодо звіту про виконання вимог кожним оператором окремо.

За тиждень до того — 13 липня 2016 року, на публіці 

Про [13 липня 2016 року](https://store.steampowered.com/oldnews/22883) [архів 2026-09-21 ↗](https://web.archive.org/web/20260921021947/https://store.steampowered.com/oldnews/22883), Valve описав, як сайти азартних ігор використовували Steam: OpenID для ідентифікації облікових записів та автоматизовані облікові записи для торгівлі. Valve зазначив, що використання цих механізмів для ведення бізнесу в сфері азартних ігор порушувало умови використання API та угоди з користувачами. **Як опис механізму, так і заборона містяться у власній датованій заяві Valve.** На 2026-09-21 тестовані хости авторизації з окремими доменами не повернули жодного блокування за фільтром посилань, а Valve не опублікував жодного запису про застосування обмежень для окремих операторів.

### КОРПОРАЦІЯ «VALVE»

Белв'ю, штат Вашингтон

**ДАТА:** Липень 2016 року (повідомлення в пресі від 21 липня 2016 року)

**ВІД:** Карл Квакенбуш, головний юрисконсульт

**RE:** Вимога про припинення — комерційне використання облікових записів Steam

**ПРИМІТКА:** Відтворення тексту з джерела; це не сканована копія

«Нам відомо, що ви керуєте одним із перелічених нижче сайтів, пов’язаних з азартними іграми. Ви використовуєте Steam облікових записів для ведення цієї діяльності. Згідно з Угодою про надання послуг Steam, послуги Steam та Steam ліцензовані виключно для особистого, некомерційного використання».

«Ви повинні негайно припинити подальше використання своїх облікових записів Steam у будь-яких комерційних цілях. Якщо ви цього не зробите, протягом десяти (10) днів , Valve вживатиме всіх доступних заходів, включаючи, серед іншого, закриття ваших облікових записів».

Відтворення тексту повідомлення від липня 2016 року, складене авторами на основі повідомлень у пресі від 21 липня 2016 року 

Карл Квакенбуш

Головний юрисконсульт, Valve Corp.

Хронологія подій Липень 2016 р. – вересень 2026 р.

Термін, зазначений у повідомленні:

10 днів

Липень 2016 року

Час, що минув з моменту повідомлення:

3,715 днів

Дані зафіксовано за період з 20 липня 2016 року до моменту створення знімка досьє 21 вересня 2026 року; це не актуальні дані

Опубліковані дані про виконання:

Немає

Не знайдено даних про завершення дзвінків або блокування для кожного оператора

◀ **Дні 0–10** — кінцевий термін, у масштабі **3715-й день** — знімок ▶

- 20 липня 2016 року**Опубліковано десятиденне оголошення про запит***День 0*

- 17 лютого 2024 року**Діють зобов’язання DSA***День 2,768*

- 25 лютого 2026 року**Оголошено про подання скарги Генеральним прокурором штату Нью-Йорк***День 3,507*

- 21 вересня 2026 року**Короткий огляд досьє***3715-й день*

Через десять років, **CSGOFast** — згаданий у ЗМІ у повідомленнях 2016 року — працює: сайт csgofast.com повернув повідомлення про блокування фільтром посилань для 2026-09-19 та 2026-09-21, тоді як його хост автентифікації `steam-login.authtofast.com` (зареєстрований 2026-06-30) цього не зробив.

Повний хронологічний звіт про зміни в налаштуваннях безпеки Valve: [Хронологія подій у сфері безпеки →](https://phishdestroy.io/steam_dossier/uk/security_timeline) · Судова практика Вашингтона та критерії застосування: [нижче](https://phishdestroy.io/steam_dossier/uk/index#washington-record-heading)

**Що свідчать матеріали справи:** У повідомленні 2016 року було встановлено 10-денний термін; Valve вже використовував список доменів («Link Filter») та отримував імена авторизованих хостів у своїх запитах OpenID; жодних даних щодо заходів щодо виконання вимог окремими операторами опубліковано не було. У звітах спільноти згадується захід 2018 року проти торговельного майданчика (SkinJar), але ці звіти не перевірені і в даному документі на них не посилаються.

CSGOFAST / ШЛЯХ ЗБЕРЕЖЕНОЇ АВТЕНТИФІКАЦІЇ 

### Перейдіть на вказаний хост для повернення.

Посилання на збережені записи маршрутів `csgofast.com` до `steam-login.authtofast.com`. Окреме ім'я хоста передається у запиті OpenID Steam. Це дає слідчим конкретну адресу для порівняння із записами про фільтрування та застосування заходів, що містяться в запиті Valve.

[Ознайомтеся з маршрутом CSGOFast та його джерелом ↗](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/csgofast.com.json) · [Порівняти збережені Steam Результати фільтрації посилань ↗](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-all-results.json)

ПУБЛІЧНИЙ РЕЄСТР / ВАШИНГТОН · 2016 → 2026 

### Два терміни. Один невизначений стандарт виконання.

**20 липня**

#### Valve надає сайтам, що пропонують азартні ігри, 10 днів

У вимозі її юридичного представника містилося попередження, що подальше комерційне використання облікових записів Steam може призвести до припинення дії облікового запису.

**27 вересня**

#### Вашингтон тисне Valve

Державна комісія з азартних ігор вимагає надати докази вжиття заходів щодо припинення використання «скін-переказів» для азартних ігор та встановила термін для надання відповіді до 14 жовтня.

**17 жовтня**

#### Valve відхиляє звинувачення

Valve відповіла після закінчення встановленого терміну, заперечила, що сприяла азартним іграм, заявила, що заблокувала пов’язані акаунти, та зазначила, що не хоче вимикати торгівлю та OpenID для всіх користувачів. Принаймні одна платформа, згадана в пресі у зв’язку з липневими повідомленнями (CSGOFast), продовжувала працювати через десять років. Обидва факти можуть бути правдивими лише в тому випадку, якщо оператор замінив заблоковані облікові записи; даних, які б це підтверджували, опубліковано не було. WSGC має звернутися до Valve із проханням узгодити ці дві інформації.

**2026**

#### Маршрути, зафіксовані у вересні 2026 року

У реєстрі маршрутів зафіксовано 44 платформи, що проходять аутентифікацію через хости аутентифікації в окремих доменах, зокрема CSGOFast, з використанням механізмів OpenID та торгівлі Valve, описаних у 2016 році. Запис про заходи, який би показав, яким операторам було відключено доступ, не було оприлюднено.

ВЛАСНИЙ БРИФІНГ КОМІСІЇ · 30 СІЧНЯ 2018 РОКУ 

#### Через вісімнадцять місяців після відповіді Valve регуляторний орган все ще називав це «наміром».

Під час брифінгу для членів власного законодавчого органу на публічних слуханнях щодо законопроекту HB 2881 Комісія описала заяву від липня 2016 року своїми словами: Valve **"оголосила про намір вжити жорстких заходів проти використання своєї платформи для організації азартних ігор зі скінами".** На цій же сторінці наведено інформацію про те, як це оголошення вплинуло на прогнози щодо розвитку галузі — *«як наслідок»,* прогноз щодо ринку азартних ігор у 2020 році було переглянуто з **$19.7 мільярд** до **$670 мільйон**, що становить зниження приблизно на 97 відсотків, лише на тлі самого оголошення. Прогноз змінився. Дані щодо кількості випадків порушення на одного оператора, які б це обґрунтували, досі не опубліковано.

Ринкові показники — це оцінки компаній Narus Advisors та Eilers & Krejcik Gaming, наведені в брифінгу Комісії, а не висновки самої Комісії; у тому ж документі обсяг ставок на скіни у 2016 році оцінюється приблизно в $5 мільярда, з яких близько $3 мільярдів припадає на сайти, що працюють за принципом казино. Отримано 2026-09-22, SHA-256 `c507c9025f93da0aadaf395c4d8882f25973211c318ee8e9b6f18a5b3755e050`.

Публічну позицію Valve від 2016 року та сучасну інфраструктуру, яку можна спостерігати, можна порівняти між собою. Питання полягає в тому, чи поширилися заходи щодо забезпечення дотримання вимог на рахунки та маршрути, якими користуються заборонені оператори. **Десятиденний термін попередження не є доказом того, що попередження було доведено до відома всіх операторів, зазначених у ньому.** Захід щодо OPSkins у 2018 році є єдиним задокументованим випадком втручання проти конкретного оператора; з огляду на те, що було перевірено 189 платформ і не опубліковано жодних даних щодо окремих операторів, один задокументований випадок не свідчить про наявність певної тенденції у застосуванні заходів.

[Повідомлення Комісії з питань азартних ігор штату Вашингтон за 2016 рік ↗](https://wsgc.wa.gov/news/2016/washington-state-gambling-commission-orders-valve-stop-skins-gambling) [архів 2026-05-20 ↗](https://web.archive.org/web/20260520012601/https://wsgc.wa.gov/news/2016/washington-state-gambling-commission-orders-valve-stop-skins-gambling) · [Відповідь Valve від 17 жовтня 2016 року (копія документа) ↗](https://fr.scribd.com/document/328063293/Valve-s-Oct-18th-response-to-Washington-State-Gambling-Commission-s-cease-and-desist) · [Інформаційна доповідь WSGC для законодавчого органу, 30 січня 2018 року (місцева копія, 4 стор.) ↗](https://phishdestroy.io/steam_dossier/steam_tos_assets/wsgc-skins-gambling-briefing-2018.pdf) · [той самий файл на сайті wsgc.wa.gov ↗](https://wsgc.wa.gov/sites/default/files/2023-10/Skins%20Gambling.pdf) · [запис пошуку та хеш ↗](https://phishdestroy.io/steam_dossier/steam_tos_assets/wsgc-briefing-manifest.json) · [Події Valve на OPSkins у 2018 році ↗](https://blog.counter-strike.net/expresstrade/) [архів 2026-03-07 ↗](https://web.archive.org/web/20260307161538/https://blog.counter-strike.net/expresstrade/) · [Перевірка поточного маршруту ↗](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit.json)

Судово-експертний довгостроковий аудит · Об’єкти, щодо яких у 2016 році було винесено вимоги про припинення діяльності 

### «Десятиліття 10-денного попередження»: криміналістичний аудит стану збереженості 23 зазначених об’єктів

19–20 липня 2016 року Valve головний юрисконсульт Карл Квакенбуш надіслав офіційні повідомлення про припинення діяльності 23 платформам азартних ігор зі «шкірами», наказавши їм припинити комерційне використання Steam облікових записів у межах **10 днів** під загрозою закриття облікового запису та судових позовів. Через 3,700 днів емпіричний аудит виявив справжню картину дотримання вимог: численні оператори так і не припинили свою діяльність, інші продовжували працювати ще до шести років після закінчення терміну, а багатомільярдна екосистема й надалі використовувала архітектуру OpenID від Valve.

5+ НАЖИВО

Безумовно працюватимуть у 2026 році (CSGOBig, CSGO500, CSGOFast тощо)

6 РОКІВ

Найдовший період роботи після оприлюднення повідомлення до закриття (CSGOatse працював до 2022 року)

$5.01B

Обсяг ставок на шкіру у 2016 році (Narus / Eilers & Krejcik)

200+

Активні сайти азартних ігор, що працюють у період піку ринку

«Титани, що вижили» · План розвитку фінансів та відвідуваності на 2024–2026 роки 

#### Від 10-денних попереджень до офшорних конгломератів: оборот у кілька мільярдів доларів

Замість того, щоб покласти край азартним іграм зі шкірою, повідомлення Valve від 2016 року стали каталізатором еволюції галузі. Оператори, що вижили, реорганізувалися в офшорні юридичні особи (Кюрасао, Беліз, Кіпр), стали піонерами торгівлі за принципом «рівний-рівному» (P2P) для обходу заборон на використання ботів і зараз обробляють понад **10 мільйонів відвідувань веб-сайту щомісяця** та **мільярди доларів щорічного обсягу ставок** продовжуючи при цьому аутентифікацію через Steam:

| Платформа / Домен | Повідомлення за липень 2016 року | Результати виконання рішення та статус виживання | Зареєстрована перевірка / Основні посилання |
| --- | --- | --- | --- |
| CSGOBig csgobig.com | Повідомлення за 10 днів (липень 2016 р.) | У 2026 РОЦІ ВСЕ ЩЕ ЖИВУТЬ Тимчасово призупинено, відновлено; авторизація здійснюється через letmeinbig.com та csgobiglogin.com | [X: @csgobig ↗](https://x.com/csgobig) · [FB: csgobigofficial ↗](https://www.facebook.com/csgobigofficial/) |
| CSGO500 csgo500.com / 500.casino | Повідомлення за 10 днів (липень 2016 р.) | У 2026 РОЦІ ВСЕ ЩЕ ЖИВУТЬ Перейменовано на 500 Casino (ліцензія Кюрасао № 8048/JAZ2014-037), щомісячний оборот у кілька мільйонів | [Платформа Live (500.casino) ↗](https://500.casino) |
| CSGOFast csgofast.com | Повідомлення за 10 днів (липень 2016 р.) | У 2026 році все ще живий Активно працюють рулетка, «краш» та джекпот через steam-login.authtofast.com | [Аудит автентичності досьє ↗](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/csgofast.com.json) |
| CSGOLounge / Dota2Lounge csgolounge.com / dota2lounge.com | Повідомлення за 10 днів (липень 2016 р.) | У 2026 році все ще живі Орієнтована на ставки на кіберспортивні монети та криптовалютні ставки; забезпечує безперебійну роботу | [Платформа в режимі реального часу ↗](https://csgolounge.com) |
| CSGOCasino csgocasino.net / csgocasino.gg | Повідомлення за 10 днів (липень 2016 р.) | ПРЯМА ТРАНСЛЯЦІЯ ЧЕРЕЗ SUCCESSOR (2026) Домен перенаправлено; активний портал-наступник працює за адресою csgocasino.gg | [Домен-наступник ↗](https://csgocasino.gg/) |
| CSGOatse csgoatse.com | Повідомлення за 10 днів (липень 2016 р.) | ПРОІСНУВАВ 6 РОКІВ (ДІЯВ ДО 2022 РОКУ) Продовження повномасштабної діяльності у сфері азартних ігор протягом шести років після 10-денного ультиматуму від Valve | [X: @CSGOatsecom (активний до 2022 року) ↗](https://x.com/CSGOatsecom) |
| CSGOSweep csgosweep.com | Повідомлення за 10 днів (липень 2016 р.) | ПРОІСНУВАВ ДО ГРУДНЯ 2017 РОКУ Продовжувала працювати у відкритому режимі протягом 17 місяців після закінчення терміну | [X: Статус CSGOSweep, грудень 2017 р. ↗](https://x.com/CSGOSweep/status/937420902538543106) |
| CSGOWild csgowild.com | Повідомлення за 10 днів (липень 2016 р.) | ПРОІСНУВАВ ДО ГРУДНЯ 2017 РОКУ Просувався провідними інфлюенсерами; працював протягом 1,5 року після отримання попередження про припинення діяльності (C&D) до переходу на криптовалюту | [X: @Wild (Активний з грудня 2017 р.) ↗](https://x.com/Wild) |
| CSGOPot csgopot.com | Повідомлення за 10 днів (липень 2016 р.) | ПРОЖИВ ДО ВЕРЕСНЯ 2017 РОКУ Продовжував приймати ставки на джекпот із високими ставками протягом 14 місяців після отримання попередження | [X: @csgopot (Активний з вересня 2017 р.) ↗](https://x.com/csgopot) |
| CSGODiamonds csgodiamonds.com | Повідомлення за 10 днів (липень 2016 р.) | ПРОІСНУВАВ ДО СЕРЕДИНИ 2017 РОКУ Пройшов у 2017 році, незважаючи на визнані факти фальсифікації результатів для стримерів, що отримували спонсорську підтримку | [X: @csgodiamondscom (2017) ↗](https://x.com/csgodiamondscom) |
| CSGOLotto csgolotto.com | Повідомлення за 10 днів (липень 2016 р.) | ЗАКРИТО У ЛИПНІ 2016 РОКУ Закрито через громадський скандал; стало об’єктом угоди про дотримання вимог, укладеної з Федеральною торговою комісією (FTC) | [Постанова Федеральної торгової комісії (справа № C-4632) ↗](https://search.ftc.gov/legal-library/browse/cases-proceedings/162-3184-csgolotto-trevor-martin-thomas-cassell-matter) |
| CSGODouble csgodouble.com | Повідомлення за 10 днів (липень 2016 р.) | ЗАКРИТО У ЛИПНІ 2016 РОКУ Добровільно припиніть діяльність одразу після опублікування вимоги про припинення діяльності | [X: @CSGODouble (закрито в липні 2016 р.) ↗](https://x.com/CSGODouble) |
| CSGOMassive csgomassive.com | Повідомлення за 10 днів (липень 2016 р.) | ЗАКРИТО 2016 Припинила свою діяльність наприкінці 2016 року | [X: @csgo_massive ↗](https://x.com/csgo_massive) |
| CSGOStrong csgostrong.com | Повідомлення за 10 днів (липень 2016 р.) | ЗАКРИТО 2016 Припинила свою діяльність у 2016 році | [FB: csgostrongfree ↗](https://www.facebook.com/csgostrongfree/) |
| Skins2 skins2.com | Повідомлення за 10 днів (липень 2016 р.) | ЗАКРИТО 2016 Припинила свою діяльність у 2016 році | [FB: CSNCOM ↗](https://www.facebook.com/CSNCOM/) |

| Платформа | Щомісячний трафік (відвідування) | Орієнтовний оборот / обсяг | Юридична особа та юрисдикція | Основні регуляторні заходи та модель |
| --- | --- | --- | --- | --- |
| CSGOEmpire csgoempire.com | 2,3 млн — 9,0 млн на місяць Середня тривалість — 6+ хвилин; 80% прямий | $1.5B — $2.5B Річний обсяг продажів >1,000,000 операції з обміну скінами P2P на місяць; $6.4 млн активних ліквідних ордерів | Moonrail Limited B.V. (Кюрасао № 148182) Платежі: JHOLT LTD (Кіпр); Засновник: «Monarch» (Оссі Кетола) | Перша компанія, що запровадила безкоштовну P2P-торгівлю товарами; ліцензія Кюрасао OGL/2024/1183/0869 |
| CSGORoll csgoroll.com | 2,74 млн — 3,5 млн на місяць Середня тривалість — 9 хв 23 с; 16% коефіцієнт відмов | $1.0B — $2.0B Річний обсяг операцій Орієнтовний річний дохід компанії від переваги казино: $100M–$200M | Feral Holdings Limited Штаб-квартира розташована в місті Беліз, Беліз (реєстраційний номер № 171519) | Заборонена австралійською комісією ACMA (травень 2023 року); спонсорувала команду першого рівня G2 Esports, у складі якої були неповнолітні гравці |
| 500 Casino (CSGO500) 500.casino / csgo500.com | 220 тис. — 425 тис. на місяць ~105 тис. унікальних відвідувачів щомісяця | $100к / тиждень ($5.2М/рік) у Роялесі Вимоги щодо ставок для гравців з високими ставками: $400 ставка на кожні $1 рейкбеку | Perfect Storm B.V. (Кюрасао № 150536) Ліцензія Комісії з контролю за азартними іграми Кюрасао № OGL/2024/1354/0882 | Заборонено шведським органом Spelinspektionen (листопад 2023 р.) за неліцензовану орієнтацію на шведських гравців |
| CSGOBig csgobig.com | ~169,600 / місяць Середня тривалість — 19 хв 12 с; первинні вибори у США | Щорічний обсяг у кілька мільйонів Таємничі скриньки, рулетка та битви за скриньки | Працює за допомогою допоміжної проксі-маршрутизації letmeinbig.com (зареєстровано у 2023 році) та csgobiglogin.com | Target версії C&D за липень 2016 року; перезапущено з архітектурою проксі-аутентифікації |
| CSGOFast csgofast.com | ~150 тис. — 250 тис. на місяць Глобальна багатомовна аудиторія | Щорічний обсяг у кілька мільйонів Швидкісні ігри в рулетку та «краш» | Офшорні операційні структури Маршрути Steam автентифікація через steam-login.authtofast.com | Об’єкт, щодо якого у липні 2016 року було винесено попередження про припинення діяльності (C&D); діяльність ніколи не припинялася; працює у 2026 році |
| CSGO Polygon csgopolygon.com / plg.bet | ~300 тис. — 500 тис. на місяць Домінування країн СНГ та Східної Європи | Щорічний обсяг у кілька мільйонів Криптовалюта та «рулетка зі скінами», ставки на матчі | Ціль другої хвилі (жовтень 2016 р.) Переорієнтувався на криптовалюту з дзеркальним доменом plg.bet | Проіснував ціле десятиліття; продовжує ліквідацію інтерфейсів через сторонні API |

«Друга хвиля»: чому у вимозі про припинення порушень від Valve загалом було зазначено понад 43 сайти

17 жовтня 2016 року юридичний радник компанії Valve офіційно повідомив Комісії з питань азартних ігор штату Вашингтон, що після перших 23 повідомлень, надісланих 19 липня, компанія Valve надіслала листи з вимогою припинити діяльність до **понад 20 додаткових сайтів, де можна грати на скіни** (в результаті чого офіційна загальна кількість перевищила 43). Ця друга хвиля стала необхідною через те, що в первинному списку з незрозумілих причин були пропущені найбільші та найвідоміші ігрові центри світу:

- **CSGOJackpot.com:** Історичний засновник «шкірних джекпотів», який обробляв сотні мільйонів, перш ніж згорнути діяльність під загрозою федерального звинувачення.

- **CSGOShuffle.com:** Сайт, який опинився в центрі скандалу з стримінгом у липні 2016 року, коли виявилося, що стрімер Twitch PhantomL0rd таємно володів 33% акцій компанії та фальсифікував результати ставок за рахунок коштів компанії.

- **Макроекосистема (понад 200 операторів):** Згідно з галузевим дослідженням, проведеним компаніями Narus Advisors та Eilers & Krejcik Gaming, у 2016 році діяло понад 200 окремих сайтів азартних ігор зі «скінами», які забезпечили обсяг ставок у розмірі $5.01 мільярда від 3,03 мільйона активних гравців. 43 листи компанії Valve охопили менше ніж 20% активного ринку.

Офіційні урядові та регуляторні розслідування щодо азартних ігор «Steam Skin Gambling»

Феномен азартних ігор під прикриттям задокументований у численних офіційних законодавчих розслідуваннях, заходах щодо забезпечення дотримання законодавства та офіційних документах уряду:

**1. Комісія з питань азартних ігор штату Вашингтон (WSGC) (2016–2018)** 

5 жовтня 2016 року було надіслано офіційну вимогу про припинення діяльності; 30 січня 2018 року опубліковано законодавчий огляд, у якому зазначається, що скіни є еквівалентами готівки, та наводиться інформація про обсяг ставок у скінах у розмірі $5.0B.

[Звіт WSGC про законодавчу діяльність у форматі PDF (локальна копія) ↗](https://phishdestroy.io/steam_dossier/steam_tos_assets/wsgc-skins-gambling-briefing-2018.pdf)

**2. Федеральна торгова комісія США (FTC) (вересень 2017 р., справа № C-4632)** 

Перший випадок застосування федеральних регуляторних заходів щодо азартних ігор, пов’язаних зі «шкірами», проти власників CSGOLotto Тревора Мартіна та Томаса Касселла за оманливі практики та приховування інформації про контроль над платформою.

[Рішення та угода про врегулювання справи Федеральної торгової комісії (FTC) ↗](https://search.ftc.gov/legal-library/browse/cases-proceedings/162-3184-csgolotto-trevor-martin-thomas-cassell-matter)

**3. Документ із викладенням позиції Британської комісії з азартних ігор (UKGC) та перевірки щодо молоді** 

Опитування Комісії з азартних ігор 2018 року показало, що 3% дітей віком 11–16 років повідомили, що коли-небудь робили ставки внутрішньоігровими предметами (скінами).

[Репозитарій досліджень UKGC ↗](https://www.gamblingcommission.gov.uk/news/article/gambling-commission-publishes-new-report-on-children-and-gambling-trends)
[UKGC policy on virtual currencies ↗](https://www.gamblingcommission.gov.uk/licensees-and-businesses/guide/page/digital-and-virtual-currencies)

**4. Розслідування Сенату Австралії з питань навколишнього середовища та комунікацій (2018)** 

Звіт Федерального парламенту щодо *«Ігрові мікротранзакції за предмети, що отримуються за принципом випадковості»*, аналізуючи механіку «лут-боксів» у грі Valve, виведення коштів на вторинному ринку та обхід нормативних вимог.

[Розслідування парламенту Австралії ↗](https://www.aph.gov.au/Parliamentary_Business/Committees/Senate/Environment_and_Communications/Gamingmicro-transactions/Report)

Непогашений попит 

**Опублікуйте звіт про заходи щодо забезпечення дотримання вимог: які ігрові акаунти та боти було заблоковано, яким хостам-резервам було накладено обмеження, а яким комерційним сервісам було надано дозвіл. Публічне оголошення про заборону та попередження на головній сторінці не свідчать про те, що відповідна діяльність була припинена.**

Частина Б — Правила та історія їх виконання · Розділ 12 

## Ім'я хоста вже вказано у запиті.

Контекст та обмеження джерел

Valve вже веде список доменів (фільтр посилань) і отримує ім’я хоста автентифікації в кожному запиті OpenID. Наведений нижче псевдокод ілюструє логічну схему зв’язку між цими двома елементами. Немає жодних публічних доказів того, що Valve робить це.

Valve вже використовує чорний список доменів. Valve вже отримує хост, з якого здійснюється вхід, у кожному запиті OpenID. **Нічого будувати не треба — їх просто треба з’єднати.** Це пошук імені хоста за списком, який Valve веде самостійно. Наведений нижче псевдокод є ілюстрацією, а не реалізацією Valve.

forensic_autoban.py

# ІЛЮСТРАТИВНИЙ ПСЕВДОКОД — Valve.block_domain() та flag_session_as_mitm() не є реальними викликами API. Це демонструє логічну структуру заходів захисту, які Valve може реалізувати проти доменів проксі-аутентифікації, а не фактичну внутрішню структуру Valve.

# Ілюстрація: логічна структура перевірки вхідного запиту OpenID

def audit_openid_request (запит):

blocked_origins = database. отримати_платформи_у_чорному_списку ()

proxy_domain = request.params. отримати ( «openid.realm» )

target_redirect = request.params. отримати ( «openid.return_to» )

# Логіка: Якщо проксі-сервер перенаправляє на заблокований сайт, заблокуйте цей проксі-сервер.

для сайт в blocked_origins:

якщо сайт в target_redirect:

Valve. block_domain (proxy_domain)

Valve. позначити_сесію_як_MITM (request.session)

# Результат: запит на вхід для цього хосту відхилено

Спостереження: 
Якщо основний домен уже внесено до фільтра посилань (наприклад, howl.gg, заблоковано 2026-09-18/19/21), а його хост автентифікації (howl.uno) з’являється у запиті OpenID, що надсилається з кнопки входу на цьому сайті, то Valve може виявити цю асоціацію на основі даних власного запиту. Перевірку можна автоматизувати, але її виконання — ні.

### Задокументовані та оприлюднені прецеденти

Valve, як свідчать офіційні дані, принаймні один раз вживав заходів щодо стороннього оператора: у 2018 році він позбавив компанію OPSkins доступу до системи ExpressTrade ([Оголошення Valve ↗](https://blog.counter-strike.net/expresstrade/) [архів 2026-03-07 ↗](https://web.archive.org/web/20260307161538/https://blog.counter-strike.net/expresstrade/)). У повідомленнях спільноти за 2018 рік також йдеться про те, що один із маркетплейсів (SkinJar) втратив доступ; ці повідомлення не підтверджені, а механізм випливає з результату, а не з оприлюдненого процесу.

Що встановлює цей прецедент: 

Valve може заблокувати доступ стороннього оператора, коли вважатиме за потрібне. CSGOFast, згаданий у пресових повідомленнях про попередження від липня 2016 року, працював на 2026-09-21 із зареєстрованим хостом авторизації 2026-06-30, який не повертав блокування за фільтром посилань. Чому одного оператора було відключено, а інших — ні, не пояснюється жодними опублікованими критеріями.

### Що відображає дата реєстрації, а що — ні

Дата реєстрації авторизаційного хосту є нижньою межею часу, коли цей хост міг вперше з’явитися у запиті OpenID; вона не свідчить про безперервне використання. `sc-auth.net`, наприклад, було зареєстровано як 2019-04-02 (RDAP) і було виявлено в процесі входу на сайт Skin.Club під номером Steam у вересні 2026 року; про те, що відбувалося між цими двома датами, у відкритих джерелах інформації немає даних.

### Порівняльний аудит: стандарти відповідності API

| Аспект правозастосування | Правила використання API GitHub | Steam Веб-API (Valve) |
| --- | --- | --- |
| 1. Нейтральність щодо дотримання вимог | Опубліковані, уніфіковані правила. До кожного облікового запису застосовуються задокументовані обмеження частоти звернень (наприклад, 5,000 запитів на годину для авторизованих користувачів, 15,000 на годину для організацій GitHub Enterprise Cloud) та опубліковані правила допустимого використання. | Опублікованих критеріїв немає. Окремі акаунти блокуються на підставі положень про автоматизацію та комерційне використання (архівні скарги), при цьому дані щодо заходів, вжитих щодо окремих операторів комерційних платформ, не оприлюднюються. |
| 2. Зловживання OpenID / проксі-сервером автентифікації | Згідно з опублікованими правилами GitHub, додатки та токени OAuth можуть бути призупинені або анульовані у разі зловживання, а в документації описано процедуру автоматичного анулювання токенів, що потрапили у відкритий доступ (підсумок авторів на основі документації GitHub). | Хости автентифікації з окремими доменами, виявлені в потоках OpenID Steam (наприклад, rbsnin.com, howl.uno, sc-auth.net), не викликали блокування фільтром посилань у 2026-09-21, на відміну від їхніх основних доменів. |
| 3. Отримання прибутку від зловживань | GitHub не стягує комісію за транзакції щодо товарів, переміщених за допомогою сторонніх засобів автоматизації; його модель отримання доходу базується на передплатах та розміщенні оголошень на торговельному майданчику. | Valve продає ключі від скриньок, за допомогою яких можна отримати ці предмети, а «Community Market» стягує сукупну комісію в розмірі приблизно 15% з продажів, здійснених на цій платформі. У цьому звіті не наводяться оціночні дані щодо доходів, отриманих за рахунок сторонніх платформ. |
| 4. Термін служби циклів ухилення | При блокуванні ідентифікатори клієнтів OAuth перестають працювати на всій платформі; у документації не вказано термін, протягом якого відбуваються такі дії, і в даному випадку він не враховується. | Хости автентифікації з окремими доменами, дата реєстрації яких припадає на період з 2011 року по вересень 2026 року, не виявили жодних блокувань за фільтром посилань під час перевірок 2026-09-19 та 2026-09-21. Дата реєстрації є нижньою межею можливого використання, а не доказом безперервного використання. |

Джерела: стаття на GitHub — опублікована GitHub документація щодо обмежень швидкості використання API та політики платформи (підсумок авторів, цитати відсутні) · стаття Steam — перевірки фільтра посилань у 2026-09-19 та 2026-09-21 ([linkfilter-recheck-2026-09-21.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-recheck-2026-09-21.json)), реєстр RDAP ([domain-registration.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/domain-registration.json)) та архівні звернення до служби підтримки ([архів доказів](https://phishdestroy.io/steam_dossier/uk/steam_evidence_archive)).

Частина Б — Правила та інформація про їх виконання · Розділ 13 

## Цінова різниця «off-Steam»

Цей товар знаходиться в запасі Steam; продаж відбувається в іншому місці. Новий, прямо з заводу, AWP Dragon Lore мав **62 актуальні пропозиції на CSFloat**; найнижча запропонована ціна **$10,623.95**. На власному ринку Steam неможливо встановити ціну продажу, вищу за приблизно $1,800. Щоб продати товар за вищу спостережувану ціну, власнику потрібен покупець або торговельна платформа поза межами Steam. Товар та його передача все ще залежать від Steam.

Контекст та обмеження джерел

У цьому розділі наведено три різні види підрахунку, і вони не є взаємозамінними. **245** — це кількість категорій товарів CS2, найдешевша діюча пропозиція в яких перевищувала $1,800 виключно на CSFloat, 20 вересня 2026 року. **241** це той самий набір за вирахуванням чотирьох категорій, закріплених на верхній межі CSFloat $100,000, яка є панеллю, на основі якої обчислюється нижня межа $13.63M. **248** Це інший зріз ситуації: категорії, ціна на які 23 вересня 2026 року перевищувала верхню межу на двох або більше з п’яти торгових майданчиків. Торгові майданчики перетинаються, тому показники з різних майданчиків ні в якому разі не можна додавати. Кожна цифра тут є ціною, за яку пропонується товар, а не ціною укладеної угоди, і жодна з них не є доходом, оборотом чи прибутком — ні для Valve, ні для будь-кого іншого. Значення, наведені на сайті PriceEmpire, є округленими оцінками, опублікованими цим сайтом, а його картка Steam охоплює предмети з інших Steam ігор, тому обсяги порівняння не є ідентичними.

**Один товар. Дві системи ціноутворення.** СЛІДКУЙТЕ ЗА РЕЗУЛЬТАТАМИ

STEAM**Про $1,800** Опублікований ліміт розміщення на ринку спільноти

ЗБЕРЕЖЕНИЙ КАТАЛОГ**$10,623.95** Новий, прямо з заводу, AWP Dragon Lore — запитуйте ціну

ЗАЛЕЖНІСТЬ**Це все ще товар із позначкою Steam** Залишок та переміщення залишаються на рівні Steam

Steam обмежує ціну виставлення. Продавець може погодитися на нижчу ціну, але не може виставити на цьому ринку заявлену п’ятизначну ціну.

У збереженому каталозі CSFloat представлено 62 пропозиції. Це ціна продавця, а не підтвердження укладення угоди.

За таких умов продавцю потрібна альтернативна Steam платформа або покупець. Товар, як і раніше, залежить від запасів та системи передачі Steam.

01 / ТОВАР **Valve інвентар гри**Предмет із CS2 або Dota 2, що знаходиться в Steam

02 / СТЕЛЯ **Про $1,800 на Steam**Максимальна ціна за одне оголошення на ринку

03 / ЗАПИТ ЗЗОВНІ **$10,623.95 для «Dragon Lore»**Найнижча пропозиція CSFloat у знімку на зазначену дату

04 / ДОСТАВКА **Steam залишається в ланцюжку**Право власності та передача предметів залежать від цієї системи

**245 категорій CS2 на CSFloat.****166 категорій CS2 та 3 категорії Dota 2 на Skinport.**

На кожному графіку наведено кількість категорій товарів, найдешевша діюча пропозиція яких 20 вересня 2026 року була строго вище $1,800. Торгові майданчики перетинаються; їхні показники не слід додавати. Пропозиція не є завершеною угодою.

[Переглянути реєстр на рівні товару →](https://phishdestroy.io/steam_dossier/uk/elite_skins#register)

ПРЯМИЙ API CSFLOAT / ЗНІМОК З ВКАЗАНОЮ ДАТОЮ **$13.63М**

Мінімальна сукупна заявлена вартість у **241 категорій товарів** та **3,395 активних пропозицій**. Розраховується як найнижча ціна продажу в кожній категорії, помножена на кількість пропозицій у ній. Чотири категорії, зафіксовані на верхній межі CSFloat $100,000, виключені з цієї консервативної вибірки.

### Що показує ця сума в доларах

Ці пропозиції становлять щонайменше **$13,631,888.25** у заявлених цінах на цю обмежену підгрупу CSFloat. Якщо врахувати чотири категорії з максимальними цінами, то отримаємо **$14,231,888.25**. Це — *мінімальна ціна на активні заявки на купівлю*, а не кількість здійснених продажів, грошовий оборот, прибуток чи весь ринок CS2.

[Перерахувати на основі знімка CSFloat із 245 рядками ↗](https://phishdestroy.io/steam_dossier/steam_tos_assets/csfloat-catalogue.json)

PRICEEMPIRE / ВКАЗАНА ВАРТІСТЬ **Steam: № 15 із 39**

### Багато закладів вказують суму, що перевищує Steam доларів.

UUSkins 

**$133.8М**

YouPin898 

**$127.5M**

Buff.163 

**$104М**

Moon.Market 

**$100.3М**

White.Market 

**$89.6М**

Buff.Market 

**$86.7М**

Steam 

**$31М**

Шість найбільших значень, що відображаються, та Steam. PriceEmpire округлює ці цифри; Steam показує **$31М**. За вказаною вартістю у доларах попереду нього знаходяться чотирнадцять об’єктів зі списку.

PRICEEMPIRE / КІЛЬКІСТЬ ПРОПОЗИЦІЙ **Steam: № 1 із 39**

### Steam як і раніше лідирує за кількістю пропозицій.

Steam 

**32,2 млн**

YouPin898 

**5,9 млн**

C5Game 

**4,6 млн**

HaloSkins 

**4,4 млн**

Skinport 

**3,8 млн**

Steam показує **32,2 млн** пропозиції. Кількість пропозицій та загальна заявлена вартість дають відповіді на різні питання; у загальній кількості можуть переважати оголошення з низькою ціною.

Джерело: [Публічне порівняння від PriceEmpire ↗](https://pricempire.com/cs2-marketplaces) [архів 2026-09-21 ↗](https://web.archive.org/web/20260921022459/https://pricempire.com/cs2-marketplaces), зафіксовано 2026-09-20 о 19:03 за UTC; [витяг за 39 рядків ↗](https://phishdestroy.io/steam_dossier/steam_tos_assets/priceempire-marketplaces.json). Наведені цифри є округленими оцінками, а асортимент товарів може частково збігатися між різними майданчиками. На картці Steam також описані предмети з інших ігор Steam, тому обсяги не збігаються. Вказана вартість відображає запитувану ціну, а не обсяг продажів чи виручку.

**42**

ІНШЕ ДЖЕРЕЛО / STEAMANALYST 

### Комерційна екосистема лежить на поверхні.

[Каталог ринків від SteamAnalyst](https://www.steamanalyst.com/marketplace) [архів 2026-07-19 ↗](https://web.archive.org/web/20260719014552/https://www.steamanalyst.com/marketplace) містить перелік із 42 сторонніх торгових майданчиків CS2, а також Steam, із актуальними даними про ціни для 32 із 43 позицій. PriceEmpire наводить перелік із 39 торгових майданчиків, відібраних за власними критеріями. Названі компанії, публічні пропозиції, видимі ціни: ця економіка відкрита для перевірки.

МЕЖА — ЦЕ МЕХАНІЗМ: ПРОДАЖ ВИЧЕРПУЄТЬСЯ, А ТОВАР — НІ. 

На п’яти торгових майданчиках, відображених на одному ліцензованому знімку, **Ціни на 248 категорій товарів CS2 окремо перевищують встановлений Steam верхній межу вартості, що становить приблизно $1,800, на суму, що дорівнює двом або більше таких меж — і жодна з них не представлена в Steam**. Цей самий знімок розподілив весь каталог за ціною: на ринку Valve представлено 95.3% категорій товарів, ціна яких нижча за встановлений ліміт, та 1.9% категорій, ціна яких вища за нього. Таке скорочення асортименту не пов’язане зі зниженням попиту; воно повністю відповідає опублікованим правилам. Продаж за цими цінами вимагає залучення зовнішнього покупця або торговельної платформи, тоді як Steam як і раніше контролює запаси та передачу — операція залишає касу Valve, а доставка здійснюється на інфраструктурі Valve.

[Steam Поширені запитання про ринок ↗](https://help.steampowered.com/en/faqs/view/61F0-72B7-9A18-C70B)[архівувати 2026-09-21 ↗](https://web.archive.org/web/20260921022227/https://help.steampowered.com/en/faqs/view/61F0-72B7-9A18-C70B)[Steam Угода з абонентом ↗](https://store.steampowered.com/agreement/?l=english)[архів 2026-09-21 ↗](https://web.archive.org/web/20260921022032/https://store.steampowered.com/agreement/?l=english)[Набір даних атласу «Five-marketplace» ↗](https://phishdestroy.io/steam_dossier/steam_tos_assets/cs2sh-atlas.json)[Декларація походження ↗](https://phishdestroy.io/steam_dossier/steam_tos_assets/cs2sh-manifest.json)[Попередній знімок CSFloat ↗](https://phishdestroy.io/steam_dossier/steam_tos_assets/csfloat-catalogue.json)[Короткий огляд Skinport ↗](https://phishdestroy.io/steam_dossier/steam_tos_assets/skinport-floor-over-cap.json)[PriceEmpire ↗](https://pricempire.com/cs2-marketplaces) [архів 2026-09-21 ↗](https://web.archive.org/web/20260921022459/https://pricempire.com/cs2-marketplaces)[SteamAnalyst ↗](https://www.steamanalyst.com/marketplace) [архів 2026-07-19 ↗](https://web.archive.org/web/20260719014552/https://www.steamanalyst.com/marketplace)[Реєстр цінових розбіжностей ↗](https://phishdestroy.io/steam_dossier/uk/elite_skins)[Атлас цінової шкали ↗](https://phishdestroy.io/steam_dossier/uk/skin_atlas)

Частина С — Правові рамки

Частина С — Правові рамки · Розділ 14 · Доступ персоналу 

## Хто може скинути захисні заходи?

Контекст та обмеження джерел

Безпека облікового запису також залежить від осіб, які можуть відновити доступ до нього, переглянути приватні дані або скинути налаштування захисту. Під час розслідування слід так само ретельно відстежувати ці дії з привілейованим доступом, як і випадки зловживання API.

Процедура відновлення облікового запису надає співробітнику служби підтримки право перевести обліковий запис з-під контролю його власника. **Valve двічі — у лютому 2023 року та в листопаді 2025 року — письмово підтвердило, що ці повноваження використовувалися для передачі облікових записів не тим особам.** З інтервалом у тридцять три місяці, через один і той самий канал. Нижче: про те, чого вартий цей доступ, шість підтверджених випадків, а також те, що журнал Valve зберігає дані про кожен із них, але нікому їх не надавав.

Збережені свідчення / 9 травня 2025 року 

### Квиток на відновлення, який призвів до вимкнення системи безпеки облікового запису, та заявлена втрата у розмірі $10,000

Користувач у архіві звернень до служби підтримки повідомляє, що Steam служба підтримки скинула пароль та вимкнула захист облікового запису після того, як інша особа подала заявку на відновлення. Автор зазначає, що обліковий запис був неактивним протягом багатьох років, містив елементи з 2016–2017 років і мав Steam Guard, прив’язаний номер телефону та збережені коди відновлення.

> "Steam Служба підтримки все одно надала комусь іншому доступ до мого облікового запису."

Заява від першої особи, збережена в `steam_support_tickets_MEGA.json`, запис № 110. [Прочитати повний текст збереженого допису ↗](https://phishdestroy.io/steam_dossier/uk/steam_enforcement_evidence#case-support-recovery)

Це не просто невдача одного користувача. Той самий механізм — запит на допомогу, в результаті якого обліковий запис передається тому, хто надає давніші дані, — є офіційно задокументованим способом вирішення кожного випадку, наведеного в таблиці нижче, і Valve двічі зафіксував це в письмовій формі.

**Власник не може виграти цю суперечку.** Система відновлення запитує перший CD-ключ, першу електронну адресу, першу картку, перший номер телефону. Ці дані містяться в базі даних Valve, і служба підтримки отримує до них доступ — за повідомленнями, дані сягають п’ятнадцятирічної давнини. Людина, яка має копію вашого файлу, завжди зможе надати більше інформації про вашу історію, ніж ви самі. Цілі підбиралися відповідно до критеріїв: неактивні протягом років, високої цінності та часто придбані з других рук, тому власник ніколи не знав оригінального ключа. Згодом облікові записи були повністю видалені, що перервало ланцюжок історії об’єктів, який спільнота використовує для відстеження скіну — видалення, яке звичайний користувач не може виконати без стандартного періоду очікування.

Принцип мінімальних привілеїв / OWASP A01 

Права на відновлення повинні обмежуватися конкретним завданням, підлягати незалежному контролю та реєструватися. Необхідно провести аудит щодо того, хто може скинути облікові дані, видалити Steam Guard, переглядати рахунки або експортувати дані облікового запису. [Рекомендації OWASP щодо контролю доступу ↗](https://top10.owasp.org/2025/A01_2025-Broken_Access_Control/) [архів 2026-09-20 ↗](https://web.archive.org/web/20260920212535/https://top10.owasp.org/2025/A01_2025-Broken_Access_Control/)

Широкі можливості доступу Ризик, пов’язаний із сферою доступу

### За межами інвентаризації.

У разі зловживання широким доступом до підтримки приватні телеметричні дані можуть стати інструментом для створення профілів, цільового фішингу та стеження. Серед потенційних жертв — звичайні користувачі, військовослужбовці, громадські діячі та їхні родини. Це модель загрози; для визначення точних дозволів необхідні записи про контроль доступу.

01 Історія IP-адреси та місцезнаходження

Журнали IP-адрес можуть розкривати історію мережевих з'єднань та приблизне місцезнаходження. Самі по собі вони не дозволяють встановити точні фізичні переміщення.

02 Ідентифікація пристроїв за допомогою відбитків

Ідентифікатори пристроїв, якщо вони зібрані та доступні, можуть пов’язувати сесії та облікові записи.

03 Телеметрія активності

Часові мітки входу в систему та записи про сесії можуть розкрити звичні дії користувача, зокрема ті, що не відображаються у публічному профілі.

04 Зв’язки та контакти

Доступ до збережених повідомлень або контактної інформації розширив би можливості для створення профілів та застосування методів соціальної інженерії.

05 Розкриття особи

Оригінальні записи електронної пошти, телефонних дзвінків та платежів можуть пов’язати анонімний обліковий запис із конкретною особою.

06 Перепродаж даних та відповідальність

Експортовані списки цільових осіб можуть використовуватися для здійснення цілеспрямованих шахрайських дій. Необхідно встановити особу зловмисника, місце доступу, одержувачів та перекази; саме по собі місцезнаходження не є підставою ані для доступу, ані для юридичного імунітету.

Valve описує в своєму документі ведення журналів IP-адрес, інформацію про пристрої, записи про платежі та сторонніх постачальників послуг підтримки [Політика конфіденційності, §§ 3, 5.2](https://store.steampowered.com/privacy_agreement/) [архів 2026-09-21 ↗](https://web.archive.org/web/20260921021648/https://store.steampowered.com/privacy_agreement/). Ця політика дозволяє стороннім особам отримувати доступ для надання підтримки — проте ж аудиторський слід, який би показував, який підрядник отримав доступ до якої категорії, коли та на підставі яких повноважень, не був оприлюднений.

Розділ 14.1 · реєстр · червень 2022 р. → листопад 2025 р. · всі цифри наведені з джерел 

### Valve двічі відчинив двері з інтервалом у тридцять три місяці. Вони так і не зачинилися.

Зафіксовано шість випадків, коли облікові записи були викрадені через власний канал запитів про допомогу Steam або за допомогою облікових даних, які цей канал захищає. Кожна сума відповідає цифрі, опублікованій у зазначеному джерелі, і кожне джерело вказано. У двох із шести випадків збитки були повністю відшкодовані. Відмінність між цими випадками та рештою полягала не в тому, що сталося, а в тому, хто за цим спостерігав.

Valve, у письмовій формі — лютий 2023 року «Згадані предмети були видалені з вашого облікового запису, оскільки вони були отримані з облікового запису, який було зламано в результаті звернення до служби підтримки, відповідальність за що бере на себе команда CS:GO. Ми скасували ці обміни та видалили ці предмети з усіх облікових записів, на які вони надійшли».Steam Відповідь на повідомлення, надіслане одержувачу товарів HFB, опублікована [Dexerto, 21 лютого 2023 року ↗](https://www.dexerto.com/csgo/csgo-skins-worth-millions-allegedly-stolen-with-help-from-steam-support-staff-2066939/) [архів 2025-08-18 ↗](https://web.archive.org/web/20250818113925/https://www.dexerto.com/csgo/csgo-skins-worth-millions-allegedly-stolen-with-help-from-steam-support-staff-2066939/)

Valve, знову на папері — листопад 2025 року · через 33 місяці «Спеціаліст служби підтримки, який розглядав ваш запит, не дотримався встановленої процедури, внаслідок чого ваш обліковий запис було відновлено на ім’я іншої особи. Приношу свої вибачення за цю помилку».Steam Відповідь на коментар користувача Hawkeye337, цитований у [Dexerto, 14 листопада 2025 року ↗](https://www.dexerto.com/counter-strike-2/valve-saves-hacked-cs2-player-threatened-with-ransom-over-300000-of-rare-stickers-3283135/)

Випадки застосування фільтрів:

Відшкодування: 100% вірусне проти 0% невірусне

- 21 червня 2022 року 

**HFB — найбільший асортимент у грі** $2,000,000+ *· підвищено до $3,000,000+ під час повторного обстеження у лютому 2023 року* 

Сім сувенірних AWP Dragon Lores та №1 Blue Gem Karambit — вартість лише цього ножа становить приблизно **$1.26 мільйонів**. Акаунт не використовувався протягом трьох років, хоча мобільний аутентифікатор залишався активним; електронну адресу та пароль все одно було змінено за допомогою процедури відновлення через службу підтримки.

**Гроші закінчилися раніше, ніж товари.** За повідомленнями **$200,000+** Частина коштів від продажу вже була знята через market.csgo.com — торговельну платформу, яка здійснює розрахунки як готівкою, так і криптовалютою. Скасування угоди передбачає повернення скіна. Готівка, яку хтось уже переказав на свій рахунок, не повертається.

**І виправлення не спрацювало.** Один покупець перемістив свій «Souvenir Dragon Lore» у внутрішньоігрове сховище. Скрипт відкоту Valve не міг побачити вміст власного контейнера, тому він видав власнику нову копію, а приховану залишив на місці — Valve продублював **$130,000** предмет під час спроби скасувати крадіжку. Його було виявлено завдяки зіставленню ідентифікаторів предметів та повідомленням користувачів, і видалено через місяць, у липні 2022 року. Покупцеві було повернено кошти компанією BUFF, а не Valve. Настільки хаотичне усунення наслідків не є заходом контролю; це те, що робить платформа, коли не має контролю.

[Dexerto, 21 червня 2022 р. ↗](https://www.dexerto.com/csgo/over-2-million-in-csgo-skins-stolen-from-hacked-steam-account-1853092/) [архів 2022-07-02 ↗](https://web.archive.org/web/20220702042821/https://www.dexerto.com/csgo/over-2-million-in-csgo-skins-stolen-from-hacked-steam-account-1853092/) · [«Касперський» ↗](https://www.kaspersky.com/blog/cs-go-two-million-usd-inventory-hack/44697/) · сума виплати за [Esportfire, 22 червня 2022 р. ↗](https://esportfire.com/article/the-2-million-usd-csgo-hack-22062022) [архів 2026-05-15 ↗](https://web.archive.org/web/20260515110250/https://esportfire.com/article/the-2-million-usd-csgo-hack-22062022), що, як там зазначається, походить із кількох джерел у Twitter · дублювання та видалення згідно з [Esportsbetting, 14 липня 2022 р. ↗](https://esportsbetting.com/valve-deletes-130000-stolen-dragon-lore/)

**Відновлено***Угоди були скасовані. Товари вилучили з запасів тих, хто заплатив за них повну ціну.*

- 14 серпня 2022 року 

**CS.Money — власні боти платформи** $6,300,000 *· 19,000+ скіни · перша оцінка $1.6М* 

Зловмисники викрали файли мобільних аутентифікаторів торгових ботів торговельної платформи та очистили їх, а потім надіслали частину викраденого відомим трейдерам, щоб заплутати сліди. Дослідники спільноти проаналізували **55 облікових записів зловмисників за кілька годин** і опублікував їх.

Valve нічого не змінило. Причиною цього стало те, що сторонній сайт знаходиться поза межами Steam — того самого Steam, чиї рекламні ресурси, торговий API та система облікових записів були повністю задіяні в процесі крадіжки.

[Esportfire, 14 серпня 2022 р. ↗](https://esportfire.com/article/the-biggest-hack-in-csgo-history-csmoney-14082022) [архівувати 2025-11-15 ↗](https://web.archive.org/web/20251115173120/https://esportfire.com/article/the-biggest-hack-in-csgo-history-csmoney-14082022)

**Відхилено***Зворотного перегляду не відбулося. Збитки залишилися за платформою та її користувачами.*

- Повідомлено
21 лютого 2023 року 

**Qkss — ті самі двері, той самий актор** $1,000,000+ 

За повідомленням, це було зроблено так само, як і у випадку з HFB: тим самим актором, через той самий запит на технічну підтримку. Проблема з HFB була повністю вирішена вісім місяців тому. А з Qkss — ні.

**Один шлях. Дві відповіді.** У опублікованих матеріалах немає нічого, що відрізняло б ці два випадки, окрім чисельності аудиторії.

[Dexerto, 21 лютого 2023 р. ↗](https://www.dexerto.com/csgo/csgo-skins-worth-millions-allegedly-stolen-with-help-from-steam-support-staff-2066939/) [архів 2025-08-18 ↗](https://web.archive.org/web/20250818113925/https://www.dexerto.com/csgo/csgo-skins-worth-millions-allegedly-stolen-with-help-from-steam-support-staff-2066939/)

**Відхилено***Не відновлено.*

- Повідомлено
Лютий 2023 року 

**Сама інсайдерська торгівля — цілий рік такої діяльності** ≈ $320,000 *· розраховується за період приблизно в один рік, а не на основі оцінки запасів* 

Доступ зі сторони підтримки дозволив переглянути історію рахунку за період до **15 років** — перший CD-ключ, перший електронний лист, перша картка. Саме таких доказів вимагає процедура відновлення, і саме тому той, хто володіє базою даних, завжди виграє суперечку з тим, хто володіє обліковим записом.

Блогер Mzkshow викрив, як оператор-інсайдер «Steam Help» та його спільник «Alexander» націлилися на неактивні акаунти, на яких зберігалося понад $100k скінів. Один викрадений M4A4 Howl з голограмами iBUYPOWER та Titan Katowice 2014 був проданий за **$35,000** і справа дійшла до Валерія «b1t» Ваховського з команди NAVI, який не міг про це знати. Після втручання Valve підрядник звільнив весь свій Steam відділ технічної підтримки.

[VKPlay ↗](https://vkplay.ru/media/news/bloger-rasskazal-kak-podderzhka-steam-vorovala-akkaunty-igrokov/) · [Lis-Skins ↗](https://lis-skins.com/ru/blog/krupneisaia-mosenniceskaia-sxema-v-istorii-steam/) · [Escorenews (RU) ↗](https://escorenews.com/ru/csgo/news/44056-sotrudniki-podderjki-steam-zanimalis-krajey-skinov-s-akkauntov-za-god-oni-zarabotali-svyshe-300-tysyach-dollarov) · [Dexerto (англ.) ↗](https://www.dexerto.com/csgo/csgo-skins-worth-millions-allegedly-stolen-with-help-from-steam-support-staff-2066939/)

**Реєстр відсутній***Valve ніколи не оприлюднювала інформацію про те, скільки облікових записів це торкнулося, і не повідомляла про це самим користувачам.*

- Повідомлено
2 грудня 2024 року 

**«Матвій» — після звільнень** $13,000 

Відновлення доступу було надано особі, яка надала дані облікового запису, які сам власник не зміг підтвердити. Через два роки після того, як підрядник ліквідував свою службу підтримки Steam, той самий спосіб дав той самий результат.

[Збережений допис, 2 грудня 2024 р. ↗](https://www.reddit.com/r/cs2/comments/1h53qp3/steam_support_is_stealing_accounts_again/) [архів 2025-08-05 ↗](https://web.archive.org/web/20250805141942/https://www.reddit.com/r/cs2/comments/1h53qp3/steam_support_is_stealing_accounts_again/) · [вихідні рядки та хеші ↓](https://phishdestroy.io/steam_dossier/steam_tos_assets/outsourcing-archive-records.json)

**Відхилено***Не відновлено.*

- 13 листопада 2025 року 

**Hawkeye337 (Марк Спурлок) — і друге зізнання** ≈ $300,000–$500,000 *· повна колекція голографічних наклейок «Катовіце 2014»* 

Нападник вимагав **1 біткойн** і почали переносити колекцію на Negevs, щоб знищити її. Steam Письмова відповідь служби підтримки є другим зізнанням, наведеним вище: технічний спеціаліст, який розглядав запит на допомогу, не дотримався встановленої процедури та передав обліковий запис іншій особі.

**Причиною виправлення став канал.** Через кілька годин після того, як у мережі X з’явилися дописи з тегом Valve, акаунт було повернено, а всі стікери відновлено. У Qkss не було такої аудиторії.

[Skin.club ↗](https://community.skin.club/en/news/collector-has-steam-inventory-returned-after-bold-hack) · [Dexerto ↗](https://www.dexerto.com/counter-strike-2/valve-saves-hacked-cs2-player-threatened-with-ransom-over-300000-of-rare-stickers-3283135/) · [Esportfire ↗](https://esportfire.com/article/300k-scam-full-katowice-2014-holo-collection-hacked) [архів 2025-12-17 ↗](https://web.archive.org/web/20251217072445/https://esportfire.com/article/300k-scam-full-katowice-2014-holo-collection-hacked)

**Відновлено***Повідомлення було видалено через кілька годин після того, як ця новина стала популярною.*

#### Те, що випливає з бухгалтерської книги, чого не можна сказати про жодний окремий випадок.

**Маршрут ніколи не закривався.** Перше зарахування відбулося в лютому 2023 року, а друге — в листопаді 2025 року — **з різницею в тридцять три місяці**, з масовим звільненням підрядника, задокументованим повторним випадком та порушенням безпеки платформи на суму $6.3 мільйонів, що сталося в проміжку між цими подіями. Якщо рахувати від першої крадіжки, зафіксованої в цьому реєстрі, канал залишався відкритим протягом **три роки та п’ять місяців**. Незалежно від того, що було виправлено у 2023 році, у листопаді 2025 року запит на допомогу все одно був перенаправлений не тій особі — це слова самого Valve.

**При відшкодуванні збитків враховувалася ступінь уваги, а не ступінь шкоди.** Відновлено: найбільший інвентар у грі та колекціонер, чий пост став популярним. Відхилено: $1,000,000, $6,300,000, $13,000. Valve ніколи не оприлюднював правило, яке застосовує, оскільки оприлюднене правило мало б пояснювати ці три випадки.

**Нікому про це не повідомили.** Ні користувачі, чиї історії облікових записів були вилучені з бази даних, ні наглядовий орган, ні ринок, який придбав ці товари в добросовісній вірі і був змушений їх повернути. Немає жодного повідомлення про порушення, жодного звіту про інцидент, жодних даних про кількість постраждалих облікових записів — **а виручка залишилася у вигляді грошей**, через торговельні майданчики, які здійснюють розрахунки готівкою та криптовалютою. Зворотна операція не може відбутися після виведення коштів із Steam.

Valve містить журнал аудиту підтримки, журнал запитів на відновлення та записи про транзакції для кожного рядка вище. Жоден із цих документів не було надано. [Замовте свій примірник →](https://phishdestroy.io/steam_dossier/uk/index#dsar-playbook)

Питання щодо NDA 

### Конфіденційність має супроводжуватися технічною підзвітністю.

Порівняйте угоди про конфіденційність із фактичними дозволами, заходами експортного контролю, дозволами на скидання налаштувань та журналами доступу. Шаблонна відповідь не може спростувати звинувачення в тому, що сам процес відновлення даних був використаний зловмисно.

Статті 28, 32–34 Загального регламенту про захист даних (GDPR) 

Стаття 33 надає контролеру 72 години на те, щоб повідомити наглядовий орган про витік персональних даних; стаття 34 вимагає інформувати постраждалих осіб, якщо ризик для них є високим. Компанія Valve двічі письмово підтвердила, що її служба підтримки передала облікові записи не тим особам — разом з історією облікових записів, даними про оплату та іншою інформацією. **Жодного повідомлення відповідно до жодної з цих статей опубліковано не було, і жоден з користувачів, яких це стосується, не повідомив про його отримання.** [Ознайомтеся з правилами ↗](https://eur-lex.europa.eu/eli/reg/2016/679/oj/eng) [архівується 2026-09-20 ↗](https://web.archive.org/web/20260920024236/https://eur-lex.europa.eu/eli/reg/2016/679/oj/eng)

[Вкажіть у своєму запиті, що вам потрібна технічна підтримка →](https://phishdestroy.io/steam_dossier/uk/index#dsar-playbook)

Частина С — Правові рамки · Розділ 15 · Комерційний масштаб 

## Слідкуйте за грошима. Розділяйте транзакції.

Контекст та обмеження щодо джерел

Питання щодо комерційного використання стає ще гострішим, коли грошові потоки розділяються. Передача товарів третім особам, основні продажі Valve та зовнішні виведення коштів — це різні операції.

Цей товар належить Valve. На складі є Valve. Передача здійснюється на серверах Valve. **Лише оплата здійснюється десь інде** — саме цей крок визначає, чи є особа оператором з переказу коштів, і саме цей крок Valve не виконується.

Механізм формування доходів 

### Де насправді рухаються гроші.

Три шляхи / економіка з одним предметом

- 01 / Обліковий запис **Перелік користувачів**

Кількість одиниць у запасі — Steam

- 02 / Передача **P2P-торгівля**

Користувач ↔ бот або користувач ↔ користувач

- 03 / Розрахунок **Зовнішня платформа**

Закриття рахунку або погашення заборгованості Steam

**ТиражЕкономічний ефект виходить за межі суми трансферного внеску**

Steam забезпечує інфраструктуру управління запасами та передачі, яку використовують зовнішні ринки. Економічна аргументація розслідування полягає в тому, що ліквідність при перепродажу та постійний попит підтримують витрати на кейси, ключі та запасні частини, а також забезпечують комісійні від подальших продажів на «Community Market». Прямий P2P-переказ не передбачає комісії «Community Market»; цей бухгалтерський факт не вирішує питання про більш широку вигоду. Valve зберігає контроль над доступом до рахунків та обмеженнями на торгівлю протягом усього процесу.

- 01 / Вторинний попит **Ліквідність та вартість при перепродажу**

Зовнішній попит на азартні ігри та азартні ігри

- 02 / Основні видатки **Ключі, футляри та капсули**

Покупки з Valve, якщо така можливість передбачена

- 03 / Дохід **Дохід від первинного продажу**

Плюс комісія з фактичних продажів на ринку

**5% + 10%Steam + комісія CS2 з продажів на Community Market**

Економічний висновок дослідження: ліквідні ринки перепродажу можуть стимулювати витрати на нові товари. Звичний показник 15% враховує ринкові ставки комісій, з урахуванням мінімальних значень та округлення; це не збір, що стягується з кожної зовнішньої угоди.

[Тарифи на послуги «Community Market» від Valve ↗](https://help.steampowered.com/en/faqs/view/61F0-72B7-9A18-C70B) [архів 2026-09-21 ↗](https://web.archive.org/web/20260921022227/https://help.steampowered.com/en/faqs/view/61F0-72B7-9A18-C70B). 25 лютого 2026 року [Генеральний прокурор штату Нью-Йорк подав позов](https://ag.ny.gov/press-release/2026/attorney-general-james-sues-game-developer-promoting-illegal-gambling-through) [архів 2026-09-01 ↗](https://web.archive.org/web/20260901015430/https://ag.ny.gov/press-release/2026/attorney-general-james-sues-game-developer-promoting-illegal-gambling-through) у якому стверджується, що платні «лут-бокси» пов’язані з перепродажем за готівку та шкодою від азартних ігор — саме цей зв’язок і задокументовано в цьому досьє з точки зору технічної інфраструктури. Ця скарга є лише твердженням, а не встановленим фактом; вона наводиться тут тому, що державний правоохоронний орган поставив питання, пов’язане з тим, яке порушує це досьє: де ж дані про заходи з дотримання законодавства, що відповідають публічним заявам?

- 01 / Вступ **Криптовалютний депозит**

Записи про зовнішні сервіси та гаманці

- 02 / Перетворення **Баланс → скіни**

Товари, доставлені в результаті Steam угод

- 03 / Вихід **Зовнішній продаж фіатних валют**

Продавець, покупець та постачальник послуг з виплати коштів

**KYC?Визначайте елемент управління під час кожного переходу**

Саме цей шлях слід розглянути, а не вбудовану службу конвертації готівки через API Steam. Перед тим, як підтвердити можливість виведення коштів без KYC, слід задокументувати перевірку особи, умови зберігання, ідентифікатори транзакцій та одержувачів виплат у кожного зовнішнього оператора.

Сполучені Штати Америки / Закон про банківську таємницю 

### Спочатку класифікуйте діяльність, а потім — зобов’язання.

FinCEN оцінює операції з переказу коштів виходячи з діяльності підприємства. Прийняття та переказ конвертованої віртуальної валюти може спричинити виникнення зобов’язань щодо надання грошових послуг, з урахуванням відповідних визначень та винятків. Гаманець Steam компанії Valve приймає кошти та конвертує їх на ігрові предмети; потім ці предмети реалізуються через сторонніх операторів в обмін на реальну валюту. Предмет та його передача здійснюються на інфраструктурі Valve; виведення коштів — ні, і те, чи відповідає якась частина цього циклу визначенням грошових переказів, є питанням класифікації для FinCEN, а не висновком, зробленим у цьому документі.

[FinCEN FIN-2019-G001, §§ 1–2, 5.1 ↗](https://www.fincen.gov/sites/default/files/2019-05/FinCEN%20CVC%20Guidance%20FINAL.pdf) [архів 2025-07-11 ↗](https://web.archive.org/web/20250711185007/https://www.fincen.gov/sites/default/files/2019-05/FinCEN%20CVC%20Guidance%20FINAL.pdf)

Європейський Союз / відмивання грошей 

### Відстежуйте надходження коштів, отримуйте інформацію та допомогу.

Директива (ЄС) 2018/1673 стосується умисного відмивання коштів та участі у операціях із доходами від злочинної діяльності. Питання, яке стоїть перед слідством, полягає в тому, що саме знала компанія Valve про операторів, які використовували її торговельну інфраструктуру та інфраструктуру OpenID після 13 липня 2016 року, коли вона публічно описала таке використання, та які заходи вона вжила щодо них. Valve не опублікувала жодних даних про заходи щодо кожного оператора окремо; саме ці дані, а не дане досьє, дали б відповідь на це питання.

[Система кримінального права ЄС ↗](https://eur-lex.europa.eu/legal-content/EN/LSU/?uri=CELEX:32018L1673)

**Термінологія AMLD6:** Зазначена вище директива у сфері кримінального права відрізняється від Директиви (ЄС) 2024/1640, яка також називається AMLD6. Загальний термін транспонування останньої — 10 липня 2027 року, з урахуванням визначених винятків. [Стаття 78 ↗](https://eur-lex.europa.eu/eli/dir/2024/1640/oj/eng) [архівувано 2026-08-30 ↗](https://web.archive.org/web/20260830153004/https://eur-lex.europa.eu/eli/dir/2024/1640/oj/eng)

Частина С — Правові рамки · Розділ 16 · Повідомлення, відповідь, відповідальність 

## Закон про цифрові послуги: зафіксувати інформацію офіційно

Контекст та обмеження щодо джерел

Два елементи повідомлення згідно зі статтею 16 належать до заявника, а не до цього досьє: власні реквізити заявника та заява про добросовісність щодо точності наданої інформації. Усе інше, що вимагає ця стаття — обґрунтоване пояснення та точне електронне місцезнаходження — викладено в Розділі 3 та в реєстрі маршрутів разом із збереженими відповідями та хеш-сумами, щоб будь-яка сторона могла подати відповідне повідомлення. Ще два обмеження самого закону: втрата звільнення від відповідальності за хостинг сама по собі не встановлює відповідальності за будь-яким іншим законом, а 6% у статті 52(3) є встановленою законом верхньою межею, а не призначеним штрафом у розмірі Valve.

Відповідно до Закону про цифрові послуги (DSA) хостинг-провайдер зберігає імунітет від відповідальності лише до того моменту, поки він не отримає конкретну інформацію і не вживе відповідних заходів. **Це досьє і є таким повідомленням.** У ньому вказано хости, дати, збережені відповіді та хеші. З моменту публікації питання вже не полягає в тому, чи знав Valve, а в тому, що зробив Valve далі.

01 Липень 2016 року / виставка «Досьє» 

### Десятиденний термін виконання вимоги.

Наведене вище повідомлення є історичною відправною точкою для порівняння заходів щодо забезпечення виконання в рамках розслідування.

02 17 лютого 2024 року / загальна заявка 

### Часове вікно DSA.

Розрізняйте поведінку в минулому та поведінку в період, коли діють відповідні зобов’язання згідно з Законом про цифрові послуги (DSA).

03 Десять років / знімок оригінального досьє 

### Для тривалості потрібно створити ланцюжок повідомлень.

Час, що минув з липня 2016 року (див. розділ 11), є показником досьє. Це не десять років доведених порушень Закону про захист даних (DSA). Кожне повідомлення слід пов’язати з конкретним пунктом, відповідним законодавством, підтвердженням доставки та відповіддю.

Стаття 52(3) / встановлений законом верхній межа **6 %**

### щорічного світового обороту

Максимальний розмір штрафу за порушення зобов’язань згідно з Законом про цифрові послуги (DSA), розрахований на основі попереднього фінансового року постачальника. Це встановлений законом верхня межа, а не розмір штрафу, накладеного на Valve.

Статті 6, 8 та 16 / правовий критерій 

У випадку відповідних послуг хостингу наявність конкретних знань та несвоєчасне вжиття заходів можуть призвести до втрати права на звільнення від відповідальності за хостинг. Достатньо чітке повідомлення може підтвердити обізнаність щодо конкретного контенту. Закон про цифрові послуги (DSA) не встановлює загального обов’язку моніторингу; втрата права на звільнення від відповідальності сама по собі не тягне за собою відповідальності згідно з іншим законодавством.

[DSA: статті 6, 8, 16, 52, 53, 93 та преамбула 17 ↗](https://eur-lex.europa.eu/eli/reg/2022/2065/oj/eng) [архів 2026-09-20 ↗](https://web.archive.org/web/20260920080125/https://eur-lex.europa.eu/eli/reg/2022/2065/oj/eng)

[Переглянути збережені скарги ↗](https://phishdestroy.io/steam_dossier/uk/steam_enforcement_evidence#support-records)[Створити хронологію облікового запису →](https://phishdestroy.io/steam_dossier/uk/index#dsar-playbook)[Повний юридичний та економічний аналіз →](https://phishdestroy.io/steam_dossier/uk/legal_analysis)

Частина C — Правові рамки · Розділ 17 · Ідентифікація, вік, доступ до комерційних послуг 

## Неповнолітні: вхід із кодом Steam не є перевіркою віку

Контекст та обмеження джерел

У цьому досьє ніде не згадуються дані неповнолітніх, і жодних таких даних не збиралося: автори не реєструвалися, не розміщували інформацію та не входили в систему на жодній із згаданих платформ. Кожен, хто використовує інформацію з цього розділу, повинен зберігати конфіденційність доказів, що стосуються дітей, та вилучати ідентифікуючі деталі з публічних матеріалів. Закон COPPA згадується тут як законодавство про захист приватних даних дітей із власними умовами сфери застосування — аудиторія, фактична обізнаність, зібрані персональні дані — а не як загальне правило щодо віку для участі в азартних іграх; скарга, подана у 2026 році в штаті Нью-Йорк, є звинуваченням з боку державного органу, а не офіційним висновком.

«Увійти за допомогою Steam» підтверджує наявність облікового запису. **Це ніяк не свідчить про вік** — і на цих сайтах це єдиний бар’єр між дитиною та поповненням рахунку. Прочитайте це разом із [Розділ 3.1](https://phishdestroy.io/steam_dossier/uk/index#inside-steam-filter): у клієнті Steam попередження, яке зазвичай відображає браузер, ніколи не спрацьовує, тому дитина його ніколи не бачить.

Що пропонує Steam OpenID **Ідентифікаційні дані облікового запису**

Перевірений SteamID, який використовується для входу в систему або прив’язки облікового запису.

Що повинен встановити оператор **Право на участь**

Вік, юрисдикція та будь-які необхідні перевірки особи.

Технічна основа: [Документація Steamworks OpenID ↗](https://partner.steamgames.com/doc/features/auth#website) [архів 2026-09-21 ↗](https://web.archive.org/web/20260921022335/https://partner.steamgames.com/doc/features/auth). Задокументоване підтвердження особи не є свідченням того, що користувач має право брати участь у азартних іграх.

COPPA / діти віком до 13 років 

### Визначте оператор та дані.

Закон COPPA поширюється на відповідні послуги, орієнтовані на дітей, а також на послуги, про які є фактична інформація про те, що вони збирають персональні дані дітей віком до 13 років. Це закон про захист приватного життя дітей, а не загальне правило щодо віку, з якого дозволено грати в азартні ігри. Необхідно визначити цільову аудиторію, персональні дані, що збираються, наявність інформації про це та процедуру отримання згоди батьків.

[FTC: Вимоги COPPA ↗](https://www.ftc.gov/legal-library/browse/rules/childrens-online-privacy-protection-rule-coppa) [архів 2026-09-21 ↗](https://web.archive.org/web/20260921070051/https://www.ftc.gov/legal-library/browse/rules/childrens-online-privacy-protection-rule-coppa)

Докази, які слід зберегти 

### Зафіксуйте весь процес — від входу в систему до внесення депозиту.

Збережіть вікові обмеження сайту, формулювання умов реєстрації, вимоги до учасників, алгоритм здійснення платежів та історію скарг. Оцінюйте кожного оператора окремо. Забезпечте конфіденційність будь-яких доказів, що стосуються дітей, та вилучіть з публічних матеріалів відомості, що дозволяють ідентифікувати особу.

Відповідним документом про примусове виконання у сфері громадського правопорядку є [Оголошення про подання позову у Нью-Йорку у 2026 році](https://ag.ny.gov/press-release/2026/attorney-general-james-sues-game-developer-promoting-illegal-gambling-through) [архів 2026-09-01 ↗](https://web.archive.org/web/20260901015430/https://ag.ny.gov/press-release/2026/attorney-general-james-sues-game-developer-promoting-illegal-gambling-through), в якому стверджується, що платні «лут-бокси» завдають шкоди молодим користувачам. Це не є висновком, зробленим на підставі закону COPPA.

Частина C — Нормативно-правова база · Розділ 18 · Запит відповідно до статті 15 GDPR 

## Запит. Відповідь. Відсутнє порівняння.

Він попросив чотири речі, одна з яких — журнал, що дозволить встановити особу, яка додала API-ключ до його облікового запису. **Через три дні заявку було закрито, додавши посилання на сторінку, на якій немає жодного з них** — а твердження, яким завершується цей документ, спростовується самими адвокатами Valve.

Чий це обліковий запис · Походження та обмеження

**Ці скріншоти не належать PhishDestroy.** Вони надійшли від звичайного власника облікового запису Steam — одного з респондентів короткого опитування, проведеного в рамках цього проєкту, який самостійно подав запит і надав скріншоти. Рахунок належить йому, запит — його, а листування ведеться між ним та службою підтримки Steam. Цей проєкт не подавав запиту, не має рахунку на платформі та не є стороною цього запиту.

16 вересня 2026 року він подав запит на доступ до даних відповідно до статті 15 GDPR/CCPA, в якому конкретно вимагав надати журнали реєстрації API-ключів, історію входів із зазначенням IP-адрес, історію авторизації пристроїв та історію торгових операцій. 17 вересня оператор «Logen» перенаправив його на сторінку самообслуговування «Дані облікового запису». 18 вересня він зазначив, що запитувані категорії даних на цій сторінці відсутні, та попросив передати його звернення до команди з питань конфіденційності або відповідального за захист даних (DPO). 19 вересня оператор «Kal» закрив запит, надавши ту саму рекомендацію. Обидва знімки екрана наведено нижче (адреса електронної пошти заявника приховано; SHA-256 у `steam_tos_assets/screenshot-manifest.json`).

Він є гідним замовником з цілком звичайної причини: **його обліковий запис містить ключ Web API Steam, який він не створював і який зареєстровано на `localhost`**. **Невідомо, коли вона була створена** — не йому і не з того, що Valve надав йому, оскільки єдиним записом, який міг би підтвердити дату, є журнал реєстрації API-ключів, а саме цю категорію даних суд ухвалив не розкривати. Ключ не є новим: він існував ще до того, як він про нього дізнався, і цей проміжок часу він не може визначити саме з тієї ж причини.

Інші власники облікових записів подають такий самий запит. Будь-яка отримана відповідь буде додана сюди на тих самих умовах, що й ці дві — номер квитка, дата отримання, SHA-256, ім’я заявника приховано — незалежно від того, чи надаються категорії, чи відмовляють у їх наданні.

Цей проєкт не висловлює жодної думки щодо причин закриття квитка. У ньому не було вказано жодної причини, і тут також не робиться жодних припущень з цього приводу.

**Запит. Відповідь. Порівняння.** СЛІДКУЙТЕ ЗА РЕЗУЛЬТАТАМИ

ЗАПИТ**Конкретні категорії** API-ключ, логін, дані про пристрої та операції

ВІДПОВІДЬ**Довідка щодо даних облікового запису** Перевірте обмін опор

ТЕСТ**Що було поставлено?** Порівняйте кожну з обраних категорій

Ознайомтеся зі збереженим запитом, щоб дізнатися, які категорії запитував власник облікового запису.

Збережена відповідь містить посилання на «Дані облікового запису». На скріншотах показано текст відповіді та результат розгляду запиту.

Він попросив надати чотири конкретні категорії. Сторінка «Дані облікового запису», на яку його скерували, — це власна функція самообслуговування Valve для експорту даних, і цей проєкт не може перелічити її вміст для чужого облікового запису — тому повне порівняння за категоріями тут не опубліковано. У протоколі зафіксовано його заяву від 18 вересня про те, що цих категорій там не було, а також рішення про закриття справи від 19 вересня, в якому повторно наводилося посилання, але без розгляду цього питання.

Екран 1/2 — Запит (16 вересня) та перша відповідь, агент «Logen» (17 вересня)

Image: [GDPR ticket HT-2YBP-F7JP-D4VB — request and first response](https://phishdestroy.io/steam_dossier/steam_tos_assets/gdpr-ticket-1.png)

Джерело: help.steampowered.com, запит HT-2YBP-F7JP-D4VB · зафіксовано 16–17 вересня 2026 року · електронна адреса заявника прихована 2026-09-21 · Файл: [gdpr-ticket-1.png](https://phishdestroy.io/steam_dossier/steam_tos_assets/gdpr-ticket-1.png) · SHA-256 `da940c731ab9869d226e9d06ccc8a1b393738766b7b0c445a56662623e025a66` ([screenshot-manifest.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/screenshot-manifest.json)).

Екран 2/2 — Запит на ескалацію (18 вересня) та закриття справи, оператор «Кал» (19 вересня)

Image: [GDPR ticket HT-2YBP-F7JP-D4VB — escalation request and closure](https://phishdestroy.io/steam_dossier/steam_tos_assets/gdpr-ticket-2.png)

Джерело: help.steampowered.com, запит HT-2YBP-F7JP-D4VB · зафіксовано 18–19 вересня 2026 року · Файл: [gdpr-ticket-2.png](https://phishdestroy.io/steam_dossier/steam_tos_assets/gdpr-ticket-2.png) · SHA-256 `44844ea7b251f7fd7d79f87ee1578a846606a97b9659d3a53b322120c422219b` ([screenshot-manifest.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/screenshot-manifest.json)).

Заключна відповідь, 19 вересня (дослівно):

«Дані Steam, які зберігаються, вже можна переглянути на сторінці «Дані облікового запису». Оскільки служба підтримки не може надати Steam додаткової інформації, **Цей запит буде закрито.**"

Дані не надано · правові підстави для відмови не вказано · результат розгляду не вказано

**Це твердження є неправдивим, і це підтверджують самі адвокати Valve.** У листі адвоката від 1 жовтня 2025 року, у пункті 1.9, описано кореляцію на рівні пристроїв, що пов’язує один пристрій із десятками облікових записів ([Додаток А](https://phishdestroy.io/steam_dossier/uk/index#official-memorandum)). Ця ж відповідь містила 830 сторінок збережених документів ([Додаток Б](https://phishdestroy.io/steam_dossier/uk/index#academic-response)). На сторінці «Дані облікового запису» цього немає.

Чому цей обліковий запис запросив журнал API-ключів

Він не вибрав ці чотири категорії навмання. Цей `localhost` ключовим моментом у його справі є **ознака скрипта, а не людини, яка вводить реальний домен на сторінці розробника** ([Розділ 5](https://phishdestroy.io/steam_dossier/uk/index#vulnerability-profile), [Розділ 6](https://phishdestroy.io/steam_dossier/uk/index#hijack-simulation)). Єдиний запис, з якого видно, хто його створив і звідки, — це журнал реєстрації API-ключів. Це було перше, про що він попросив. Саме цю інформацію компанія «Closure» приховала.

Джерело: власник облікового запису під час опитування в рамках цього проєкту. Наведені вище скріншоти квитків мають хеш-код; сторінка з ключем не опублікована.

Оцінка · PhishDestroy

Закриття квитка, коли питання залишається відкритим, тут не є випадковістю. Це цілком нормальний результат. Ми дотримуємося [16,319 збережені записи про скарги та звернення за допомогою](https://phishdestroy.io/steam_dossier/uk/steam_evidence_archive) та [354 обміни зверненнями до служби підтримки з усуненням дублікатів](https://phishdestroy.io/steam_dossier/uk/steam_enforcement_evidence#support-records) отриманих з них. Цей квиток є одним із датованих, повністю збережених прикладів їхньої форми.

Запит на підтримку — Збережено HT-2YBP-F7JP-D4VB

Тип запиту Стаття 15 GDPR (запит на доступ до даних)

Статус квитка ЗАКРИТО 19 ВЕРЕСНЯ 2026 Р. — ДАНІ НЕ НАВЕДЕНО

Агенти на біржі «Логен» (17 вересня), «Кал» (19 вересня)

Подано 16 вересня 2026 року

Необхідні дані Хто зареєстрував ключ веб-API, пов’язаний із цим обліковим записом, та з якої IP-адреси / пристрою / у який момент часу

Посилання на правові підстави Стаття 15 Загального регламенту про захист даних (GDPR) — право на доступ до персональних даних

**Правові засади:** Стаття 12(3) надає контролеру один місяць з моменту отримання (з можливістю продовження за наявності обґрунтованих підстав). На момент публікації цей строк ще не закінчився, і в цьому досьє не стверджується про порушення строку. Заперечення стосується суті справи: у заключній відповіді наведено посилання на сторінку самообслуговування, але не показано, що було надано чотири зазначені категорії даних, а якщо контролер відмовляється вживати заходів, стаття 12(4) вимагає від нього вказати причини та шляхи подання скарги. Ні того, ні іншого у заключній відповіді не міститься.

Чому саме ці дані мають значення 

Журнал подій ключів Web API — це запис, який показує, чи зареєструвала третя сторона ключ із використанням викраденого сесійного файлу cookie — механізм, описаний у скаргах щодо крадіжки інвентарю, що зберігаються в архіві цього досьє. Розкриття інформації про те, хто зареєстрував ключ API, з якої IP-адреси та в який момент часу, дозволило б:

- Надайте потерпілому можливість порівняти IP-адресу, з якої було створено API, зі своєю історією входу в систему

- Виявити IP-адреси центрів обробки даних, пов’язані з відомою інфраструктурою фішингових та азартних ігор

- Надати докази, які можуть бути використані в цивільному або кримінальному провадженні проти винуватця

- Показати, чи було повідомлено власника облікового запису про створення ключа

**Що свідчать матеріали справи:** Valve зберігає записи на рівні пристроїв та записи про взаємозв’язки між обліковими записами — про це йдеться у листі її юридичного представника від 1 жовтня 2025 року (див. Додаток А, Меморандум щодо доказів — Джерело 1). У запиті HT-2YBP-F7JP-D4VB суб’єкт даних вимагав записів того самого класу, і цей запит було закрито з посиланням на сторінку самообслуговування, яка, за повідомленням суб’єкта даних, не містила цих записів. Чи є така відмова законною — це питання, яке має вирішувати наглядовий орган; наслідком цього є те, що особа, якої стосуються дані, не отримує їх.

Листування — чотири повідомлення, три дні

Двоє співробітників служби підтримки Steam відповіли, вказавши імена, зазначені в запиті: «Logen» — 17 вересня та «Kal» — 19 вересня. Обидва скерували заявника на сторінку «Дані облікового запису». У запиті немає жодних відомостей про те, чи надійшов він до команди з питань конфіденційності або до відповідального за захист даних компанії Valve, а в матеріалах справи не вказано, хто саме є цими співробітниками, які посади вони обіймають та яким чином було спрямовано цей запит.

16 вересня

Стаття 15: запит, поданий щодо чотирьох зазначених категорій даних

17–18 вересня

Посилання на дані облікового запису; заявник просить передати питання на розгляд відповідальному за захист даних

19 вересня

Заявка закрита з тим самим посиланням; даних немає, підстави не вказано

На що, згідно зі статтею 15 Загального регламенту про захист даних (GDPR), суб’єкт даних має чітко визначене право 

Стаття 15, пункт 1, підпункт а) Цілі обробки — чому компанія Valve зберігає дані

Стаття 15, пункт 1, підпункт b) Категорії даних — що містить Valve

Стаття 15, пункт 1, підпункт (c) Одержувачі або категорії одержувачів — **хто отримав ці дані (наприклад, власник ключа API)**

Стаття 15, пункт 1, підпункт d) Термін зберігання або критерії його визначення

Стаття 15, пункт 3 Копія персональних даних, що підлягають обробці, — тобто сам журнал API-ключів

СТ. 12(3) Необхідно надати відповідь протягом **один місяць** з моменту отримання; про продовження строку необхідно повідомити протягом цього місяця. На момент публікації цей строк ще не закінчився. **Стаття 12, пункт 4:** якщо контролер не вживає заходів, він повинен пояснити причини цього та повідомити суб’єкта про способи подання скарги.

Процедура подання скарги щодо дотримання нормативних вимог — для будь-якого користувача 

Будь-який користувач, який надіслав запит відповідно до статті 15 GDPR на адресу Valve і не отримав відповіді, що відповідає вимогам (або отримав шаблонну відмову без зазначення даних), може подати скаргу до наглядового органу у своїй країні-члені ЄС/ЄЕЗ. Представництвом Valve в ЄС є компанія Valve GmbH у Гамбурзі, тому головним наглядовим органом для розгляду транскордонних скарг є **Гамбурський уповноважений з питань захисту даних та свободи інформації (HmbBfDI)**. (Представник згідно зі статтею 27 Valve також знаходиться в Гамбурзі; сама по собі адреса представника не визначає компетентний орган.) Скаргу також можна подати до органу у власній державі-члені скаржника відповідно до статті 77.

[Форма подання скарги до HmbBfDI ↗](https://datenschutz.hamburg.de/beschwerde) [Текст GDPR (ст. 12, 15, 77) ↗](https://eur-lex.europa.eu/eli/reg/2016/679/oj/eng) [архів 2026-09-20 ↗](https://web.archive.org/web/20260920024236/https://eur-lex.europa.eu/eli/reg/2016/679/oj/eng) [Рекомендації Європейської ради з захисту даних (EDPB) ↗](https://edpb.europa.eu)

Номер квитка для подання скарги: **HT-2YBP-F7JP-D4VB** — зафіксовано в цьому досьє як задокументований випадок.

Один задокументований випадок 

### Записи існують; суб’єкт даних їх не отримав.

Адвокат Valve описав записи про кореляцію на рівні пристроїв у листі від 1 жовтня 2025 року. 19 вересня 2026 року запит відповідно до статті 15 щодо записів того самого класу було закрито з перенаправленням на сторінку самообслуговування, яка, за повідомленням заявника, не містила цих записів, без зазначення правової підстави. Заявка HT-2YBP-F7JP-D4VB є одним із задокументованих випадків; чи відображає вона більш поширену практику — це питання до наглядового органу, який може звернутися до Valve із запитом щодо записів про обробку даних.

Статті 12, 15, 77 GDPR / Наглядовий орган 

Скаргу відповідно до статей 12 та 15 можна подати безпосередньо до відповідного наглядового органу без сплати збору (стаття 77). Орган може вжити виправних заходів, зокрема видати розпорядження про виконання запиту на доступ, а також накласти штрафи відповідно до статті 83(5)(b) за порушення прав суб’єктів даних. Збереження оригінального номера квитка та будь-якої відповіді Valve (або її відсутності) посилює аргументи скарги.

[Переглянути шаблон запиту на доступ до даних (DSAR) →](https://phishdestroy.io/steam_dossier/uk/index#dsar-playbook)

Частина С — Правові рамки · Розділ 19 · Договірне право 

## Угода з абонентом, що суперечить власній архітектурі платформи

Контекст та обмеження джерел

Автори не є юристами, і жодна з наведених тут інформації не є юридичною консультацією. Цитування з SSA взято з редакції від 10 вересня 2026 року; в іншій редакції формулювання може відрізнятися, а нумерація пунктів змінювалася від редакції до редакції — слід звіряти номер пункту з тією версією, яка регулювала відповідну поведінку. Аргументи, наведені у статтях 25 та 32, визначають вимоги нормативного акту, а не те, що наглядовий орган встановив факт порушення. Цифри в аргументі 1 містять обмеження сфери застосування, визначені у розділі 13.

Три основні положення SSA суперечать архітектурі платформи: заборона комерційного використання на тлі встановленого для ринку цінового обмеження, що витісняє угоди з високою вартістю за межі платформи; пункт про відповідальність користувачів за API-ключі суперечить кінцевій точці доступу, яка до 2023 року не вимагала двофакторної аутентифікації; а також формулювання щодо забезпечення дотримання вимог суперечить публічним даним, які свідчать про відсутність заходів щодо забезпечення дотримання вимог окремими операторами. Чи впливають ці суперечності на можливість забезпечення дотримання вимог — це питання, яке має вирішувати суд; у цьому розділі викладено факти, які будуть представлені на розгляд суду.

Аргумент 1 / Архітектура ринкової капіталізації 

### Максимальна ринкова ціна та заборона використання в комерційних цілях

На ринку «Steam Community Market» встановлено верхню межу цін на рівні приблизно $1,800. За даними знімку стану на певну дату (23 вересня 2026 року) на п’яти торгових майданчиках ціни на 248 категорій товарів CS2 на двох або більше з них перевищують цю верхню межу; такі товари **не можна продавати за цими цінами на власній платформі Valve**. Власники, які бажають встановлювати такі ціни, користуються сторонніми торговими майданчиками, що працюють на рахунках Steam та через API Steam — SSA класифікує їх як комерційні, якщо це прямо не дозволено.

Товари перевищують ліміт ринку → цю прогалину заповнюють сторонні ринки → ці ринки використовують облікові записи Steam та API Steam → SSA забороняє комерційне використання без дозволу → реєстр дозволів не опубліковано. Сукупна комісія Community Market у розмірі приблизно 15% застосовується лише до продажів, здійснених у межах ринку, а не до цих зовнішніх угод.

Аргумент 2 / Архітектура безпеки API-ключів 

### Уразливість API-ключа — це проблема, пов’язана з архітектурою платформи, а не з недбалістю користувачів

До 2023 року кінцева точка створення API-ключів у Steam приймала запит POST із викраденим ідентифікатором сеансу та генерувала облікові дані з високим рівнем привілеїв **без підтвердження електронною поштою, другого фактора або перевірки пристрою**. Скарги щодо викрадення API, зібрані в ході цього розслідування, мають однакову схему: скрипт зловмисника, викрадене сесійне cookie, приховане створення ключа, перехоплення транзакції (вміст запиту наведено в розділі 8).

Стаття 25 GDPR (захист даних на етапі проектування) та стаття 32 (безпека обробки) вимагають вжиття технічних заходів, що відповідають рівню ризику. Видача облікових даних, які можуть бути перехоплені під час передачі, без застосування другого фактора аутентифікації або повідомлення власника є питанням проектування, яке належить вирішувати контролеру. Чи можна в таких умовах покладатися на положення SSA, що покладає відповідальність на користувача, — це питання, яке має вирішувати суд та наглядовий орган.

Аргумент 3 / Можливість відстеження в режимі реального часу 

### Valve отримує ім’я хоста для автентифікації під час кожного входу в систему

Ім’я хоста автентифікації надходить на кінцеву точку OpenID користувача Valve у вигляді відкритого тексту у `openid.return_to` та `openid.realm` (форма запиту наведена в розділі 3). Витягнення цієї інформації є стандартною операцією. Станом на 2026-09-22 у 26 парах основний домен перебував у фільтрі посилань, тоді як хост, що містив його Steam логін, — ні. Valve не опублікував жодних даних щодо заходів, вжитих щодо окремих операторів, тому на основі відкритих даних неможливо встановити, чи застосовувалися до цих хостів якісь інші заходи, окрім фільтрації каналів зв’язку.

Хто несе витрати 

### Закономірність у заархівованих скаргах

У розглянутих скаргах відповідь служби підтримки Steam на заяву про викрадення API-ключа має однаковий формат: відмова у відновленні, посилання на відповідальність користувача за обліковий запис та його API-ключ, закриття запиту. У цьому досьє не наведено загальних даних щодо кількості постраждалих облікових записів або суми втрат; джерела таких даних виявлено не було.

Питання полягає не в тому, чи припускалися окремі користувачі помилок. Питання полягає в тому, хто несе відповідальність за архітектуру, яка аж до 2023 року дозволяла за допомогою POST-запиту зі вкраденим файлом cookie створювати облікові дані для торгівлі з високим рівнем привілеїв без будь-якого сповіщення та без другого фактора аутентифікації.

SSA як документ проти SSA як договору 

### Суд, який розглядатиме цю справу, не буде тлумачити Закон про соціальне забезпечення (SSA) у відриві від контексту.

Цей документ слід розглядати разом із листом адвоката від жовтня 2025 року, в якому описано кореляцію на рівні пристроїв, дати реєстрації авторизаційних хостів, часові мітки реєстрації партій, дані запиту на API-ключ, а також десятирічний проміжок між повідомленнями від липня 2016 року та платформами, що все ще функціонували у вересні 2026 року. Саме на ці дані Valve мав би звернути увагу.

SSA у порівнянні з даними справи / основні моменти 

- «Без комерційного використання» — обмеження ринку змушує продавців дорогих товарів звертатися до комерційних ринків третіх сторін

- «Користувачі несуть відповідальність за API-ключі» — до 2023 року на кінцевій точці ключа не буде застосовуватися двофакторна автентифікація

- «Ми вживаємо заходів щодо порушників» — з липня 2016 року не опубліковано жодних даних про заходи щодо окремих операторів

- «Ви погодилися з умовами» — у схемі «викрадення» підтвердження надсилається скриптом, а не власником облікового запису

Висновок · Що підтверджують матеріали справи та про що ми просимо 

## Результати. Документи, які ми просимо надати.

Контекст та обмеження джерел

Кожен наведений нижче висновок пов’язаний із датованим публічним документом у розділах вище. Запити адресовані органам влади, які можуть забезпечити те, чого не вдається досягти в рамках цього розслідування: власні записи Valve щодо виконання, доступу та обробки даних.

Кожен запит ґрунтується на висновку з зазначенням дати. Влада може вимагати документи, які в рамках цього розслідування на основі відкритих джерел отримати неможливо.

Що підтверджують офіційні дані 

- 44 активні платформи проходять аутентифікацію через окремий домен, який підлягає реєстрації — 27 із опублікованим файлом доказів для кожного маршруту, 17 — зібрані вручну та перелічені окремо. Станом на 2026-09-22 у Steam Link Filter було заблоковано головний домен 26 пар, тоді як хост, на якому розміщувався їхній логін, не був заблокований — csgogem.com заблоковано, `api.csgem.com` зареєстрований з березня 2014 року. Steam отримує це ім’я хоста в `openid.realm` та `openid.return_to` при кожному вході в систему. [Розділ 3](https://phishdestroy.io/steam_dossier/uk/index#proxy-bypass-explainer)

- 13 липня 2016 року Valve офіційно назвав цей механізм і заборонив його, а в повідомленнях його юристів від 20 липня 2016 року було встановлено десятиденний термін. За десять років, що минули з моменту закінчення цього терміну, не було опубліковано жодних даних щодо заходів щодо виконання вимог щодо кожного оператора окремо. [Розділ 11](https://phishdestroy.io/steam_dossier/uk/index#case-study-section)

- Кінцева точка ключа веб-API Steam видавала облікові дані з високим рівнем привілеїв, що дозволяли здійснювати торгові операції, лише на основі сесійного файлу cookie, без додаткової аутентифікації до 2023 року. [Розділ 5](https://phishdestroy.io/steam_dossier/uk/index#vulnerability-profile)

- Запит відповідно до статті 15 GDPR (номер квитка HT-2YBP-F7JP-D4VB) було закрито через три дні з посиланням на сервіс самообслуговування та без надання даних. [Розділ 18](https://phishdestroy.io/steam_dossier/uk/index#gdpr-live-case)

Що ми просимо від кожного органу влади 

Комісія з питань азартних ігор штату Вашингтон

Відкрийте файл за 2016 рік. Запросіть детальний звіт по кожному оператору, в якому вказано, які облікові записи, боти та хости-відправники були заблоковані після десятиденних попереджень, а також які оператори згодом відновили доступ. [Розділ 2](https://phishdestroy.io/steam_dossier/uk/index#wsgc-public-address)

HmbBfDI (Гамбург; Valve GmbH)

Перевірити, чи відповідала відповідь, надана відповідно до статті 15, обов’язку контролера, та вимагати розкриття записів про реєстрацію API-ключа та записів про доступ, що мають значення для ідентифікації суб’єкта. [Розділ 18](https://phishdestroy.io/steam_dossier/uk/index#gdpr-live-case)

Координатори цифрових послуг DSA

Внесіть маршрутизацію auth-host до запису як зауваження, а потім, після документування отриманої інформації, оцініть, чи відповідає відповідь Valve встановленим вимогам. [Розділ 16](https://phishdestroy.io/steam_dossier/uk/index#dsa-accountability)

Будь-яка особа, якої стосуються дані

Скористайтеся шаблоном, передбаченим статтею 15, щоб подати запит на отримання тих самих записів щодо вашого власного облікового запису; збережений запис може допомогти встановити, хто ініціював скидання налаштувань або створив ключ. [Додаток G](https://phishdestroy.io/steam_dossier/uk/index#dsar-playbook)

Єдина вимога, що лежить в основі всіх чотирьох випадків, однакова: оприлюднити записи щодо забезпечення дотримання вимог, доступу та обробки даних, які зберігає виключно Valve. Попередження на головній сторінці, десятиденний лист та сторінка самообслуговування є проявами контролю. Чи здійснювався цей контроль — це питання, на яке не можуть відповісти публічні записи, але на яке може відповісти регуляторний орган.

Додатки — основні докази та робочі матеріали

Додаток А — Листування з адвокатами 

## Меморандум щодо доказів — матеріали, надані джерелом № 1

Доказова база та статус джерел, на які посилається адвокатська кореспонденція, наведена в розділах 1, 18 та 19.

**Доказова база та статус джерела — документи, надані джерелом № 1**
Користувач, постійна блокада якого стала приводом для проведення цієї перевірки, не є її об’єктом. Питання про те, чи була ця блокада виправданою, тут не розглядається, і в цьому досьє її не обстоюють і не заперечують. Справа не в обліковому записі. Важливе значення має саме матеріал: **Джерело 1** — власник заблокованого облікового запису, який отримав наведене нижче листування від адвоката Valve як суб’єкт даних у рамках власного запиту відповідно до GDPR, — надав це листування та супровідні матеріали справи, а також право на їх публічний перегляд. Ім’я не розголошується; документи описано за датою, метаданими про автора та хешем.

Ця переписка була надіслана у відповідь на запит згідно з GDPR/DSAR. У ході цієї переписки адвокат Valve вніс до протоколу підписану заяву, в якій описувалася функція, про яку служба підтримки Steam раніше повідомляла користувачам, що вона технічно неможлива. Наведений нижче абзац є цією заявою.

Подальший аналіз авторами отриманого витягу з журналу полягає в **не включено до цього досьє** до проведення незалежної експертизи. Жодна інша частина цього розслідування не спирається на ці дані.

Офіційне визнання: постійний збір телеметричних даних на рівні пристрою 

У пункті 1.9 листа, який, як вважається, надіслав адвокат Valve, адвокати Valve зазначають: *«У період з 2019 по 2023 рік цей обліковий запис використовувався переважно з пристрою, з якого також здійснювався вхід у десятки викрадених облікових записів Steam».*

**Факт:** Адвокат Valve описує тут кореляцію на рівні пристроїв між обліковими записами за чотирирічний період. Служба підтримки Steam повідомляла жертвам крадіжок, що відстеження викрадених предметів або прив’язування облікових записів до пристроїв технічно неможливе. Steam Guard Процедура авторизації пристроїв є загальнодоступною інформацією, тому сам факт існування записів щодо окремих пристроїв не є новим; новим є письмове підтвердження адвоката про те, що ці записи зберігаються та корелюються між обліковими записами протягом багаторічних періодів.

**Чому це важливо:** Кореляція, яка дозволяє пов’язати один пристрій із десятками викрадених облікових записів за чотири роки, належить до того самого класу записів, які, за словами Служби підтримки, не можна використовувати для допомоги потерпілим. Записи цього класу дозволили б ідентифікувати облікові записи та пристрої в ланцюжку крадіжок та перепродажу. Які саме записи існують, як довго вони зберігаються та на якій підставі вони не надаються суб’єктам даних — це питання, які має вирішувати наглядовий орган.

Джерело: лист адвоката Valve від 1 жовтня 2025 року, пункт 1.9, та додаток у форматі PDF обсягом 830 сторінок · отриманий Джерелом 1 у відповідь на запит згідно зі ст. 15 GDPR · SHA-256 цього додатка зафіксовано в [disclosure-audit.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/regulatory-review/disclosure-audit.json) · Сам лист не наводиться; назви рахунків та дані третіх осіб опущені.

Статус: відкрити

З вихідними матеріалами можна ознайомитися в архіві доказів.

Додаток Б — Створений PDF-файл · перевірка редагування 

## Редагування у створеному PDF-файлі має суто косметичний характер: прихований текст залишається доступним для вилучення

Юрист компанії Valve відповів на запит про доступ відповідно до GDPR, надавши додаток обсягом 830 сторінок, у якому вилучені фрагменти тексту були зафарбовані, а не видалені. **902,270 символів розташовані під чорними смугами і відразу виводяться за допомогою інструменту для вилучення тексту** — включаючи ідентифікатори сторонніх джерел, які ці стовпчики мали приховати. Тут опубліковано лише зведені дані; жоден з конфіденційних матеріалів не наводиться, а сам додаток не публікується.

1. Що виявила перевірка геометрії 

Відповідь відповідно до статті 15 Загального регламенту про захист даних (GDPR) від **1 жовтня 2025 року** до нього було додано додаток у форматі PDF обсягом 830 сторінок (метадані виробника Aspose.PDF для .NET, створені та змінені того ж дня). Автори провели перевірку геометрії на рівні сторінок: для кожної сторінки виявляли непрозорі, майже чорні прямокутники, нанесені поверх шару тексту, та підраховували символи, які можна було виокремити з-під них.

Виміряно на основі створеного файлу

902,270

Символи, які все ще можна витягти з-під чорних смуг

Підраховано, а не оцінено. Це кількість персонажів, про яких йдеться у матеріалі, — а не жертв, випадків повторної ідентифікації чи інцидентів.

830 / 830

Сторінки, яких це стосується — усі сторінки

986

Прямокутники над текстом, який можна виділити

1,329

Загальна кількість непрозорих чорних прямокутників

Чорні смуги накладені на шар з текстом; вони не видаляють його. Текст, що знаходиться під смугами, можна витягти за допомогою стандартних інструментів для роботи з PDF-файлами. Публікуються лише загальні статистичні дані; прихований вміст тут не наводиться.

Криміналістична демонстрація: розділення шарів

МАКЕТ ВЕКТОРНОГО НАКЛАДАННЯ ДЛЯ ASPOSE.PDF ДЛЯ .NET (ДОДАТОК, С. 412)

Подано скаргу щодо цього облікового запису: [ЛОГІН: redacted_user_667]

Причина, вказана користувачем: [ТЕКСТ: «Користувач повідомляє про дублікати предметів у інвентарі та недобросовісну торговельну поведінку...»]

На передньому плані: <path fill="#000" /> Недолік: Базовий потік UTF-8 залишається незмінним

Джерело: додаток у форматі PDF до листа юридичної фірми від 1 жовтня 2025 року (830 сторінок, метадані виробника Aspose.PDF для .NET) · підрахунок здійснено авторами, метод та кількість сторінок у [disclosure-audit.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/regulatory-review/disclosure-audit.json) · SHA-256 додатка, записаного в тому самому файлі · сам додаток не опубліковано.

2. Чому це важливо для відповіді суб’єкта даних 

**Адвокат Valve надіслав цей файл суб’єкту даних у відповідь на запит щодо його власних даних.** Ці смуги мають суто косметичний характер: текст під ними так і не було видалено, тому сторонні ідентифікатори, які ці смуги мали приховати, надійшли одержувачу разом із файлом. Редагування, яке можна видалити за допомогою інструменту для вилучення тексту, нічого не приховує, а також не дає одержувачу можливості встановити, що саме було розкрито, а що — ні.

Саме пункт 4 статті 15 є причиною існування цих обмежень: право на отримання копії не повинно негативно впливати на права та свободи інших осіб. Саме цього зобов’язання не дотримався даний виробник. Чи можна це кваліфікувати як порушення захисту персональних даних відповідно до статті 4(12), має визначити наглядовий орган; саме розкриття інформації можна виміряти у файлі, і його може відтворити будь-хто, хто має ті самі байти — SHA-256 опубліковано, а додаток — ні.

**Те, що було під решітками, — це не номери рахунків.** Це був перелік скарг користувачів, поданих проти заявника, із зазначенням їхніх авторів: Steam логінів, які, оскільки логін рідко використовується лише на Steam, дозволяють ідентифікувати особу, що стоїть за ними — **за підрахунками авторів, понад 60% користувачів, згаданих у документі, можна повністю ідентифікувати** — разом із необробленим, неотредагованим текстом їхніх дописів. Цей текст містить побажання смерті та образи на адресу національності заявника. Деякі з цих осіб є неповнолітніми. **Виробництво передало іменний список журналістів тій особі, про яку вони повідомили**, саме такої шкоди і покликана запобігти стаття 15(4).

**Порядок символів у файлі має таке ж значення, як і його зміст.** На цей запит спочатку було надано відповідь із вимогою надати додаткові докази особи, мотивуючи це тим, що псевдонім у електронній адресі заявника не містив його імені; під час затримки, що настала після цього, обліковий запис було назавжди заблоковано. У листі, яким нарешті були надані дані — більш ніж через шість тижнів після закінчення місячного терміну, передбаченого ст. 12(3) — одержувачу погрожували кримінальним переслідуванням і утримували решту його власних даних доти, доки він не пояснив активність свого облікового запису адвокату. Цей розкриття інформації також дає відповідь на два питання, на які Valve не відповідав публічно: надані записи показують, що зв’язування облікових записів сягає 2019 року, а також внутрішню телеметрію такої глибини, яку Valve ніколи не описував.

**Сфера застосування цього розділу:** У даному випадку розгляд обмежується механізмами редагування, виявленими у готовому файлі. Подальший аналіз авторами отриманих журналів відкладено до проведення незалежної експертизи, і на нього не посилаються в інших частинах цього досьє.

Докази: лист адвоката від 1 жовтня 2025 року та його додаток у форматі PDF (SHA-256 зафіксовано в аудиторському файлі); [Вимірювання PDF на рівні сторінки та методика ↗](https://phishdestroy.io/steam_dossier/steam_tos_assets/regulatory-review/disclosure-audit.json). Послідовність подій, пов’язаних із запитом, відмовою (сторінка 8) та описом оприлюднених записів, викладена в повному обсязі у звіті PhishDestroy, [«Мій пес проти елітних юристів з питань GDPR», 17 серпня 2026 року ↗](https://phishdestroy.medium.com/my-dog-vs-elite-gdpr-lawyers-the-valve-data-breach-nobody-is-talking-about-f6f7683d813d) [архівувати 2026-08-21 ↗](https://web.archive.org/web/20260821155801/https://phishdestroy.medium.com/my-dog-vs-elite-gdpr-lawyers-the-valve-data-breach-nobody-is-talking-about-f6f7683d813d). Назви облікових записів та дані третіх сторін тут не наводяться; інформація, що прихована смугами, не відтворюється.

> **На сторінці 8 супровідного листа частина запиту відхиляється, при цьому письмово зазначається причина:** Надати більш детальну інформацію неможливо з міркувань захисту персональних даних інших користувачів платформи Steam… — надати більш детальну відповідь неможливо, оскільки необхідно захистити персональні дані інших Steam користувачів. Додатк на 830 сторінок містився в тому самому пакеті. Зачорнені фрагменти не стосувалися номерів рахунків: це були скарги, подані проти заявника, із зазначенням імен їхніх авторів та доданими необробленими, нередагованими повідомленнями. Власник рахунку через свого адвоката звернувся до Valve із проханням надати його власну справу; те, що він зміг з неї витягти, стосувалося інших осіб. Ніщо в цьому додатку не залежить від того, хто намалював ці рамки. Він лише доводить, що захист Valve, на який посилалися як на підставу для відмови у наданні інформації, — це той самий захист, якого не дотрималися при наданні саме цих матеріалів, у тому самому конверті, того самого дня.

Додаток С — Ілюстрації 

## Документи щодо підтримки та юридичної кореспонденції

Формат архівних записів, а також посилання на два експонати, опис яких наведено в повному обсязі в інших розділах цього досьє, тому їх не повторюватимемо тут. У кожному підписі вказано, що зображено на фотографії, а що — ні.

У яких випадках розглядаються інші докази 

Додаток А: Повідомлення від липня 2016 року (реконструкція) Відтворено

Відтворено в режимі реального часу, а не у вигляді скріншоту, у [Розділ 11 — повідомлення від липня 2016 року](https://phishdestroy.io/steam_dossier/uk/index#valve-demand-letter). Відтворення на основі тексту, опублікованого в пресі 21 липня 2016 року; це не сканована копія оригіналу.

Додаток Б: Квиток щодо GDPR № HT-2YBP-F7JP-D4VB Закрито 19 вересня 2026 року

Два збережені знімки екрана, їхні хеші SHA-256 та повний аналіз містяться в [Розділ 18 — актуальна справа щодо GDPR](https://phishdestroy.io/steam_dossier/uk/index#gdpr-live-case). Подано 16 вересня 2026 року; справа закрита з посиланням на сторінку «Дані облікового запису», без зазначення даних та правових підстав для відмови.

Додаток С: Архів доказів (зразок запису) Показано

Приклад збереженого запису з архіву публічних публікацій на GitHub, Reddit та в коментарях, доступного для пошуку; кожне твердження в архіві супроводжується власною інформацією про джерело та потребує окремої перевірки на достовірність.

Image: [Exhibit C: Example of a saved archive record](https://phishdestroy.io/steam_dossier/steam_tos_assets/archive-record.png)

Додаток C · Приклад збереженого запису в архіві доказів (публічна проблема на GitHub, збережена у версії 2026-09-17). Наведено лише для ілюстрації формату запису. · Файл: [archive-record.png](https://phishdestroy.io/steam_dossier/steam_tos_assets/archive-record.png) · SHA-256 `329abcc434407981fc8d203201f80ec650c61de70a88fcfbb69860aebf8e5613` ([screenshot-manifest.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/screenshot-manifest.json)).

Додаток D — Збір вихідних даних 

## Вибрані первинні документи

Шість записів з архіву — три записи в системах відстеження Valve на GitHub та три дописи на Reddit щодо спірних результатів надання підтримки. Кожне джерело залишається прикріпленим до заяви, збереженого тексту та питання, яке воно порушує.

1 / 6

Виберіть вихідний запис 

GH-01 / GITHUB Відкрити у збереженій збірці

### Апаратні ключі, замовлені у 2016 році

ValveSoftware / steam-for-linux · № 4521 · 2016-06-27

Користувач звернувся до Valve із проханням забезпечити підтримку апаратних ключів U2F як альтернативного другого фактора аутентифікації. Ця збережена заявка має мітки «Запит на функцію» та «Переглянуто», а її статус зазначено як «відкрита».

> Я прошу додати підтримку USB-ключів U2F у Steam як альтернативу.
> 
> [Витяг із запису на GitHub ↗](https://github.com/ValveSoftware/steam-for-linux/issues/4521)

Документально підтверджений запис

Застарілий запит на додатковий захід захисту облікового запису, опублікований у власній системі відстеження проблем Valve та позначений як «переглянутий».

Вимога щодо підзвітності

Опублікуйте рішення щодо продукту, дату надання відповіді та заходи захисту, вжиті після розгляду.

[Прочитати збережений запис](https://phishdestroy.io/steam_dossier/uk/steam_evidence_archive?source=GitHub&record=484)[Відкрити GitHub ↗](https://github.com/ValveSoftware/steam-for-linux/issues/4521)

[У досьє: Заходи безпеки облікового запису →](https://phishdestroy.io/steam_dossier/uk/index#consent-analysis) Архів № 484 · збірка 2026-09-17

GH-02 / GITHUB Відкрити у збереженій збірці

### Звіти про збої без ефективної можливості відмови від отримання

ValveSoftware / steam-for-linux · № 6459 · 2019-08-18

Автор повідомлення описує проблему з клієнтом Steam від 12 серпня 2019 року на Ubuntu 16. Він зазначає, що відключення пункту призначення для завантаження даних у разі збою не збереглося після перезапуску, та наводить відповідні налаштування.

> Якщо я вимкну параметр `ServerURL`, його значення перезаписується після кожного перезавантаження.
> 
> [Витяг із завдання на GitHub ↗](https://github.com/ValveSoftware/steam-for-linux/issues/6459) [архів 2026-04-19 ↗](https://web.archive.org/web/20260419051343/https://github.com/ValveSoftware/steam-for-linux/issues/6459)

Документальний запис

Конкретна скарга щодо порушення конфіденційності, що містить дату звернення клієнта, інформацію про операційну систему та витяг з налаштувань. Зареєстрована проблема залишається відкритою.

Вимога щодо підзвітності

Вкажіть, про яке розслідування йдеться, які збірки були зачеплені та яку зміну було внесено, щоб увімкнути можливість відмови.

[Прочитати збережений запис](https://phishdestroy.io/steam_dossier/uk/steam_evidence_archive?source=GitHub&record=467)[Відкрити GitHub ↗](https://github.com/ValveSoftware/steam-for-linux/issues/6459) [архів 2026-04-19 ↗](https://web.archive.org/web/20260419051343/https://github.com/ValveSoftware/steam-for-linux/issues/6459)

[У досьє: Запросити відповідні документи →](https://phishdestroy.io/steam_dossier/uk/index#dsar-playbook) Архів № 467 · збірка 2026-09-17

GH-03 / GITHUB Відкрити у збереженій збірці

### Про зловживання авторизаційними квитками повідомлено на Valve

ValveSoftware / Source-1-Games · № 3857 · 2022-02-26

Автор стверджує, що адміністрація сервера зберігала Steam квитки автентифікації після того, як гравці відключилися, та використовувала оманливі списки серверів. У дописі Valve просять вирішити це питання.

> Створюють враження, ніби їхні сервери переповнені.
> 
> [Витяг із запису на GitHub ↗](https://github.com/ValveSoftware/Source-1-Games/issues/3857)

Документально підтверджений запис

Звіт про зловживання, поданий у трекері Valve 26 лютого 2022 року. Його збережений статус — «відкритий»; звіт містить посилання на скріншоти.

Вимога щодо підзвітності

Надайте результати розслідування та звіт про вжиті заходи щодо усунення наслідків повідомленого випадку зловживання квитком автентифікації.

[Прочитати збережений запис](https://phishdestroy.io/steam_dossier/uk/steam_evidence_archive?source=GitHub&record=768)[Відкрити GitHub ↗](https://github.com/ValveSoftware/Source-1-Games/issues/3857)

[У досьє: Обсяг набору даних →](https://phishdestroy.io/steam_dossier/uk/index#evidence-base) Архів № 768 · збірка 2026-09-17

RD-01 / REDDIT Профіль автора

### 44 спірні покупки на ринку

r/DotA2 · ім’я автора не вказано · 2022-07-07

Автор повідомляє про 44 несанкціоновані покупки на Market 6 липня 2022 року та збитки у розмірі приблизно $500+. Він зазначає, що двофакторна аутентифікація була увімкнена, та описує повторювані шаблонні відповіді від служби підтримки.

> Це вже другий запит, а я досі не отримав від Steam жодної відповіді, яка б не була автоматичним копіюванням-вставкою шаблону.
> 
> [Уривок із допису на Reddit ↗](https://www.reddit.com/r/DotA2/comments/vt76ov/funds_stolen_through_steam_market_disappointed/) [архів 2025-03-20 ↗](https://web.archive.org/web/20250320082450/https://www.reddit.com/r/DotA2/comments/vt76ov/funds_stolen_through_steam_market_disappointed/)

Документальне підтвердження

Хронологічний звіт про спірні покупки, що містить посилання на скріншоти транзакцій та відповідь служби підтримки. Суми та події наведені за даними автора.

Вимога щодо підзвітності

Звірте спірні покупки з журналами транзакцій та сеансів. Поясніть, на яких доказах ґрунтується рішення служби підтримки.

[Прочитати збережений запис](https://phishdestroy.io/steam_dossier/uk/steam_evidence_archive?source=Reddit&record=4533)[Відкрити Reddit ↗](https://www.reddit.com/r/DotA2/comments/vt76ov/funds_stolen_through_steam_market_disappointed/) [архів 2025-03-20 ↗](https://web.archive.org/web/20250320082450/https://www.reddit.com/r/DotA2/comments/vt76ov/funds_stolen_through_steam_market_disappointed/)

[У досьє: Підтримка та забезпечення дотримання →](https://phishdestroy.io/steam_dossier/uk/index#enforcement-standard) Архів № 4,533 · збірка 2026-09-17

RD-02 / REDDIT Профіль автора

### Постійна заборона та закриті апеляції

r/ohnePixel · ім’я автора не вказано · 2024-12-09

Автор заперечує постійну блокування та зазначає, що служба підтримки посилалася на підозру щодо переведення облікового запису та повідомлення від спільноти. Він описує закриті звернення та плани щодо запиту своїх персональних даних.

> Я пояснив свою ситуацію та попросив надати додаткову інформацію, але вони залишаються при своєму рішенні і закривають мої запити.
> 
> [Уривок із допису на Reddit ↗](https://www.reddit.com/r/ohnePixel/comments/1hahqx2/permanently_banned_steam_account_without_a_clear/)

Документально підтверджений запис

Збережений звіт про звернення, що містить аргументи, які, на думку автора, підтверджують надану підтримку, а також посилання на чотири зображення. Дата публікації взята з експортованого списку обраних прихильників.

Вимога щодо підзвітності

Визначте докази, що обґрунтовують постійну заборону, та процедуру перегляду, за допомогою якої можна оскаржити це рішення. Ухвала про закриття апеляції не містить обґрунтування рішення.

[Прочитати збережений запис](https://phishdestroy.io/steam_dossier/uk/steam_evidence_archive?source=Reddit&record=4766)[Відкрити Reddit ↗](https://www.reddit.com/r/ohnePixel/comments/1hahqx2/permanently_banned_steam_account_without_a_clear/)

[У досьє: Запросити відповідні документи →](https://phishdestroy.io/steam_dossier/uk/index#dsar-playbook) Архів № 4,766 · збірка 2026-09-17

RD-03 / REDDIT Профіль автора

### Скидання процесу відновлення та зафіксовані збитки у розмірі $10,000

r/legaladvice · ім’я автора не розголошується · 2025-05-09

Автор стверджує, що служба підтримки скинула облікові дані та вимкнула засоби захисту облікового запису після того, як хтось інший надіслав запит на відновлення. Він повідомляє про втрату близько US$10,000 з неактивного облікового запису.

> Steam Служба підтримки скинула мій пароль і вимкнула всі засоби захисту мого облікового запису.
> 
> [Уривок із допису на Reddit ↗](https://www.reddit.com/r/legaladvice/comments/1kipjde/got_10k_stollen_from_steam_inventory_due_to_steam/)

Документально підтверджений запис

Збережене твердження про те, що процес відновлення даних має пріоритет над заходами безпеки облікового запису. У збереженому дописі наведено те, що, за словами автора, йому повідомила служба підтримки.

Вимога щодо підзвітності

Вкажіть, хто санкціонував скидання, які докази права власності були прийняті, а також журнал доступу. Відновлення доступу до облікового запису є частиною заходів безпеки Valve.

[Прочитати збережений запис](https://phishdestroy.io/steam_dossier/uk/steam_evidence_archive?source=Reddit&record=4592)[Відкрити Reddit ↗](https://www.reddit.com/r/legaladvice/comments/1kipjde/got_10k_stollen_from_steam_inventory_due_to_steam/)

[У досьє: Запросити відповідні документи →](https://phishdestroy.io/steam_dossier/uk/index#dsar-playbook) Архів № 4,592 · версія 2026-09-17

Шість вибраних записів. Описи на GitHub містять інформацію про збережену збірку. Публікації на Reddit зберігають акаунти авторів.

[Завантажте шість записів ↓](https://phishdestroy.io/steam_dossier/steam_tos_assets/selected-evidence-records.json)

Збірка з можливістю пошуку містить **16,319 унікальних записів**: 393 записи на Trustpilot, 5,635 на Reddit, 2,395 на GitHub, 276 веб-записів та 7,620 записів у вікі. Кілька записів можуть стосуватися однієї й тієї ж події. Окремий основний експорт, що складається з 40,448 рядків, має інший обсяг даних.

[Пошук у повному архіві ↗](https://phishdestroy.io/steam_dossier/uk/steam_evidence_archive) · [Створити маніфест ↗](https://phishdestroy.io/steam_dossier/steam_tos_assets/archive_manifest.json) · [Обсяг набору даних та кількість записів →](https://phishdestroy.io/steam_dossier/uk/index#evidence-base)

Додаток Е — Приклад з практики 

## ArchiSteamFarm та положення про автоматизацію

Інструмент для фармінгу карток з відкритим кодом, у власному розділі «Часті запитання» якого зазначено, що він працює на мільйонах облікових записів, що суперечить пункту Угоди з абонентом (§ 4.C), який забороняє автоматизацію. Механізм роботи — що ферма повинна придбати у Valve, перш ніж зможе щось виробляти; чому кожен спосіб виведення коштів з картки порушує умови ліцензії; історія застосування санкцій та хто контролює економіку карток — викладено в повному обсязі в [Додаток V ↗](https://phishdestroy.io/steam_dossier/uk/card_economy).

У § 4.C Угоди з абонентом № Steam зазначено:

«Забороняється будь-яким чином використовувати скрипти, боти, макроси чи інші системи, що не керуються людиною («Автоматизація»), для взаємодії з Контентом та Послугами на Steam». — [Steam Угода з абонентом, § 4.C (чинна редакція) ↗](https://store.steampowered.com/subscriber_agreement/) [архів 2026-09-18 ↗](https://web.archive.org/web/20260918014700/https://store.steampowered.com/subscriber_agreement/)

**Valve забезпечує виконання цього пункту. І робить це дуже добре.** Розділ «Часті запитання» на сайті **ArchiSteamFarm (ASF)** — інструмент з відкритим кодом, який, згідно з його власною документацією, працює на **понад кілька мільйонів Steam облікових записів** з моменту першого випуску понад 11 років тому — відтворює три Steam повідомлення служби підтримки про постійне блокування користувачів, які керували мережами ботів. Valve виявили ці мережі, назвали їх і ліквідували. Тому головне питання полягає не в тому, чи здатний Valve виявляти автоматизацію у великих масштабах.

Офіційний сайт проєкту [ArchiSteamFarm Поширені запитання](https://github.com/JustArchiNET/ArchiSteamFarm/wiki/FAQ) безпосередньо розглядає ризик введення заборони:

«Це вкрай малоймовірно, зважаючи на те, що ASF використовується на понад кількох мільйонах Steam облікових записів з моменту його першого випуску, який відбувся понад 11 років тому, — але така можливість все ж існує, незалежно від фактичної ймовірності».

"Valve чітко визнає існування «Steam ледарів», як зазначено тут, тож, якщо мене запитати, я цілком впевнений, що якби вони не сприймали їх нормально, то вже вжили б якісь заходи, а не просто вказували на те, що вони можуть спричинити проблеми VAC. **Ключовим словом тут є «ідлери» (наприклад, ASF), а не «ігрові ідлери».**"

— ArchiSteamFarm Поширені запитання, JustArchiNET. [Джерело: Вікі GitHub ↗](https://github.com/JustArchiNET/ArchiSteamFarm/wiki/FAQ) · перевірено дослівно 2026-09-22

У тому ж розділі «Часті запитання» на запитання «Чи когось за це заблокували?» дається така відповідь: **Так**, і наводить те, що Steam Support написав трьом із них:

1,000+ боти · заборонено торгувати 
*«Схоже, цей обліковий запис використовувався для управління мережею бот-акаунтів. Використання ботів є порушенням Угоди з абонентом Steam».*

Понад 170 ботів · назавжди заблоковано, Зимовий розпродаж 2017 року 
*«Цей обліковий запис використовувався для незаконного збирання колекційних карток на Steam, а також для пов’язаної з цим діяльності, яка не обмежувалася лише комерційною діяльністю. Обліковий запис було назавжди заблоковано, і служба підтримки Steam не може надати додаткову допомогу з цього питання».*

Понад 120 ботів · назавжди заблоковано 
*«Цей та інші акаунти використовувалися для перевантаження нашої мережевої інфраструктури, що є порушенням правил поведінки в Інтернеті Steam».*

— Steam Повідомлення служби підтримки, наведені в розділі «Чи когось за це заблокували?» у ArchiSteamFarm розділі «Поширені запитання». [Джерело ↗](https://github.com/JustArchiNET/ArchiSteamFarm/wiki/FAQ) · перевірено дослівно 2026-09-22

**Розмістіть ці два записи поруч.** Приватного користувача, який використовував 1,000 ботів для фармінгу, було виявлено, йому повідомили, що «використання ботів є порушенням Steam Угоди з абонентом», і його було назавжди заблоковано. Комерційні платформи, описані в цьому досьє, використовують автоматизовані Steam акаунти як основний напрямок своєї діяльності в набагато більших масштабах і здійснюють аутентифікацію через власний OpenID Valve під час кожного входу — при цьому щодо жодної з них не було опубліковано жодних даних про заходи щодо дотримання правил, вжиті окремими операторами. **Ця умова діє. Питання в тому, на кого вона спрямована.**

ASF тут ні в чому не звинувачується, а його тлумачення позиції Valve є власною думкою — автор чітко зазначає, що «ASF не уповноважений Valve». Цей інструмент тут використовується як вимірювальний прилад: він показує, що Valve виявляє бот-мережі, називає їх у своїх повідомленнях та назавжди блокує. Valve може закрити це питання одним реченням, опублікувавши інформацію про те, яку комерційну автоматизацію він схвалює, а також звіт за кожним оператором про те, що було зроблено щодо решти.

Як фарм карт впливає на дохід Valve

Торгові картки, отримані в грі, продаються на ринку спільноти Steam, який стягує сукупну комісію в розмірі приблизно 15% з кожної угоди, укладеної на цьому ринку; акаунт повинен витратити $5.00 доларів США на Steam, перш ніж він зможе взагалі отримати картку; а для отримання карток необхідно володіти грою або здійснювати внутрішньоігрові покупки. У цьому розділі не наводиться загальна оцінка доходу — масштаб діяльності вказано лише відповідно до інформації, наведеної у розділі «Часті запитання» ASF. У цьому розділі також зазначено Valve відмінні риси *"Steam холостоходових коліс"* (фарм карт) з *«ті, хто просто бавиться в ігри»*; див. [Часті запитання щодо АСФ ↗](https://github.com/JustArchiNET/ArchiSteamFarm/wiki/FAQ). Механізм дії викладено в повному обсязі в [Додаток V — шкала](https://phishdestroy.io/steam_dossier/uk/card_economy#scale) та [пастка комерційного використання](https://phishdestroy.io/steam_dossier/uk/card_economy#licence).

Тема ArchiSteamFarm — автоматизований фарм карт

Зазначений масштаб Мільйони облікових записів (згідно з розділом «Часті запитання» на сайті ASF — точна кількість активних облікових записів не підтверджена)

Підраховано, а не наведено 10,880,610 загальна кількість записів API у власній Steam групі ASF (5,360,499 без обмежень, як показано в Steam) — «мільйони» у розділі «Часті запитання» — це не вигадка, а фактична кількість. 88.97% не передбачають жодної Steam заборони будь-якого роду. [Повний перелік заборон ↗](https://phishdestroy.io/steam_dossier/uk/enforcement_audit)

Інформація, наведена у власній документації до інструменту 

- ASF автоматично входить в акаунти в режимі без графічного інтерфейсу та залишає ігри в режимі очікування для отримання карт, не запускаючи клієнт Steam (відповідно до документації проєкту).

- У розділі «Часті запитання» наводиться аргумент, що Valve знає про «Steam ледарів» і що «якби вони не були з цим згодні, то вже б щось зробили».

- Протягом понад 11 років не повідомлялося про жодні цілеспрямовані заходи з контролю за дотриманням законодавства (згідно з розділом «Часті запитання»); у результаті продаж карток на «Community Market» приносить Steam сукупний комісійний дохід у розмірі приблизно 15%.

- У розділі «Часті запитання» вказано рекомендовану граничну кількість — десять облікових записів на одного оператора — і посилання на Valve: «Ця рекомендація ґрунтується на внутрішніх Valve настановках, а також на наших власних пропозиціях». Компанія Valve не опублікувала жодних таких настанов.

- Технічне обмеження, згідно з тим самим розділом «Часті запитання»: «Ви можете запускати до 100–200 ботів з однієї IP-адреси та одного екземпляра ASF».

- Час гри, набраний штучним шляхом, фіксується Valve — «зазвичай дані оновлюються приблизно кожні 30 хвилин» — а в § 4.C «фальсифікація ігрових статистичних даних (наприклад, завищення кількості перемог чи поразок, XP, часу гри)» зазначена як заборонена дія.

Джерела 

[Офіційна вікі-сторінка з часто задаваними питаннями про JustArchi ASF ↗](https://github.com/JustArchiNET/ArchiSteamFarm/wiki/FAQ) [ArchiSteamFarm репозиторій ↗](https://github.com/JustArchiNET/ArchiSteamFarm) [архівувати 2026-09-24 ↗](https://web.archive.org/web/20260924181709/https://github.com/JustArchiNET/ArchiSteamFarm)

Положення щодо автоматизації є чітким; у розділі «Часті запитання» ASF вже протягом багатьох років зазначається, що цей інструмент використовується на мільйонах облікових записів; про жодні цілеспрямовані заходи щодо його заборони не повідомлялося. Розбіжність між правилом та його застосуванням є фактом; причина цього тут не встановлена.

[Повна експозиція Економіка карток: процес, масштаби, ліцензія та хто її регулює ↗ Що ферма повинна придбати у Valve, перш ніж зможе виготовити хоча б одну картку; два рядки § 4.C, які визначають фарм карт за його наслідками; чому кожен спосіб обміну карти на гроші порушує ліцензію Valve, тоді як Valve стягує плату на вході; історія заходів щодо забезпечення дотримання правил, включаючи хвилю VAC у червні 2025 року та ланцюгові блокування за спільним номером телефону; а також співробітник Valve та модератори спільноти, яких було виявлено під час управління послугами з обміну картками та списками заблокованих користувачів навколо Steam.](https://phishdestroy.io/steam_dossier/uk/card_economy) [Перепис заборон Ми не запитували Valve, якої площі ця ферма. Ми її виміряли. ↗ 10,880,610 загальна кількість облікових записів (з обмеженнями та без них), зчитаних із власної групи Steam користувача ArchiSteamFarm, до якої програма автоматично приєднується за замовчуванням під час першого запуску, якщо користувач не зніме галочку з налаштування приєднання до групи (що охоплює як комерційні бот-ферми, так і звичайних гравців, які залишили налаштування за замовчуванням увімкненим). 88.97% не мають жодних заборон Steam; із тих 11%, які їх мають, 99.8% — це косметичні заборони від спільноти, які ніколи не зупиняють торгівлю. Після перехресної перевірки з SteamRep, 67.77% із перелічених шахраїв залишаються на свободі після скасування заборон античіт-системи. З розбивкою за датою реєстрації, географією та виживанням — реальні масштаби, виміряні, а не описані.](https://phishdestroy.io/steam_dossier/uk/enforcement_audit)

Додаток F — Робочий реєстр 

## Виберіть правило. Перегляньте відповідні записи.

Контекст та обмеження джерел

Виберіть пункт Угоди про підписку або Правил поведінки в Інтернеті; у реєстрі наведено перелік зареєстрованих платформ, позначених за цим пунктом, із зазначенням їхнього основного домену, заявленого хосту автентифікації та збереженого результату фільтрації посилань. Цей реєстр описує обсяг даних, зібраних у ході цього розслідування, а не є висновком про порушення з боку будь-якої платформи.

Виберіть умову, щоб переглянути позначені платформи, хости автентифікації та збережені результати фільтрації посилань. Відкрийте кожне джерело, щоб перевірити порівняння.

Додаток G — Від шаблону відмови до відповідного запису 

## Посібник з DSAR: запит на надання доказів

Скористайтеся статтею 15 Загального регламенту про захист даних (GDPR), щоб отримати доступ до персональних даних, пов’язаних зі створенням API-ключа, відновленням облікового запису та доступом до служби підтримки. Збережений запис дозволяє перевірити, хто ініціював дію та на що спиралася платформа.

- 01 

### Збережіть свою хронологію.

Збережіть повідомлення щодо облікового запису, квитки, ідентифікатори транзакцій та дати у форматі UTC. Захистіть обліковий запис та ознайомтеся з варіантами відновлення, що застосовуються до гри та транзакції.

[Steam Інформація про заходи торговельного захисту ↗](https://help.steampowered.com/en/faqs/view/365F-4BEE-2AE2-7BDD)

- 02 

### Запитайте свої збережені дані.

Запитайте про часові мітки, IP-адреси джерел, ключові події життєвого циклу, підтвердження безпеки та дії з відновлення, пов’язані з обліковим записом. Вкажіть події, пов’язані з доступом служби підтримки, та одержувачів, якщо ці дані стосуються вас.

- 03 

### Зберігайте квитанцію про доставку.

Скористайтеся каналом зв’язку з Valve щодо питань конфіденційності. Зазвичай відповідь надається протягом одного місяця; у разі необхідності продовження терміну ще на два місяці про це слід повідомити протягом першого місяця.

[Valve шлях зв’язку щодо питань конфіденційності ↗](https://store.steampowered.com/privacy_agreement/#8) [архів 2026-09-21 ↗](https://web.archive.org/web/20260921021648/https://store.steampowered.com/privacy_agreement/)

- 04 

### Порівняйте відповіді.

Звірте журнали з вашою хронологією подій. З’ясуйте причини пропусків, а потім, якщо це необхідно, скористайтеся процедурою подання скарги через керівництво. Збережіть відповідь у тому вигляді, в якому її отримали.

Сфера застосування / Стаття 15 

Доступ поширюється на збережені персональні дані, включаючи дані в журналах. Він не гарантує доступ до всіх внутрішніх документів, відтворених записів або даних про інших осіб без редагування. Попросіть надати зрозумілу копію та обґрунтування будь-яких обмежень.

[Рекомендації Європейського комітету з захисту даних (EDPB) щодо доступу, §§ 2, 4–6 ↗](https://www.edpb.europa.eu/system/files/2023-04/edpb_guidelines_202201_data_subject_rights_access_v2_en.pdf) · [Статті 12, 15, 77 Загального регламенту про захист даних (GDPR) ↗](https://eur-lex.europa.eu/eli/reg/2016/679/oj/eng) [архів 2026-09-20 ↗](https://web.archive.org/web/20260920024236/https://eur-lex.europa.eu/eli/reg/2016/679/oj/eng)

Запит суб’єкта даних щодо доступу до даних GDPR / Стаття 15

### Безпека облікового запису та записи про доступ

Перед відправкою замініть поля, взяті в дужки.

```
To: Valve Privacy Team
Subject: Article 15 GDPR request — account security records

Account / SteamID: [YOUR ACCOUNT IDENTIFIER]
Relevant period (UTC): [START] to [END]
Related support tickets: [TICKET REFERENCES]

I request a copy of the personal data concerning me that you retain for this period, including:

1. API-key registration, confirmation, use and revocation events, with available timestamps, source IP addresses, registered domains, device or user-agent information and non-secret key identifiers.

2. Recorded account-recovery actions, password/email/phone changes, Steam Guard removals or resets, confirmation events and the account-related evidence relied on to authorize those actions.

3. Personal data in support-access and administrative-action logs concerning my account, including available dates, purposes, actions and the support entity involved, subject to applicable rights of others.

4. Account-related records used to determine any sanction, and available records of my complaints, reviews and responses.

Please also provide the applicable processing purposes, categories, recipients, retention periods or criteria, and available information about sources where data were not obtained from me.

Where processing relies on my consent, please provide the retained record of the consent relied upon and the wording presented at that time.

Please provide an intelligible electronic copy with time zones and field definitions. Please do not include active credentials or secret tokens. If any requested data are not held, please say so. For any withheld data, please identify the scope and legal basis of the restriction and provide the remainder.

Please acknowledge receipt and respond within the applicable Article 12 period, explaining any necessary extension. I also ask you to preserve relevant existing records while this request is handled.

Name: [YOUR NAME]
Date: [DATE]
```

[Завантажити файл у форматі .txt](https://phishdestroy.io/steam_dossier/steam_tos_assets/dsar-request-template.txt)

Що можна реалізувати за допомогою IP-адреси центру обробки даних 

### Розбіжність є підставою для проведення розслідування.

Запит на отримання API-ключа, що надходить із мережі центру обробки даних, як у прикладі з хостинг-провайдером, наведеному в цьому розслідуванні, може мати значення при порівнянні з записами про вхід у систему, підтвердженнями та хронологією дій користувача. Сама лише IP-адреса не дозволяє ідентифікувати суб’єкта або автоматично подолати всі засоби захисту. Докази того, що ворожий суб’єкт надав зафіксовану згоду, можуть поставити під сумнів обґрунтованість покладання на цю згоду; інші правові підстави та питання відповідальності вимагають окремого аналізу.

[Переглянути збережену скаргу щодо заборони та GDPR →](https://phishdestroy.io/steam_dossier/uk/steam_enforcement_evidence#support-records)

Додаток H — Аналіз архіву Wayback Machine · опубліковані статистичні дані щодо підтримки 

## Обсяг підтримки. Опубліковані показники часу реагування.

Контекст та обмеження джерел

Valve щодня публікує статистику підтримки за адресою `store.steampowered.com/stats/support`. В архівах Wayback Machine збережені історичні знімки цієї сторінки за період з 2018 по 2026 рік. Співвідношення обсягу роботи до кількості співробітників, яке випливає з цих даних, не відповідає рівню ручної перевірки кожного запиту з опублікованими показниками часу відповіді.

Порівняйте архівні показники підтримки Valve у збережених знімках. У методології пояснюється, що саме ці показники дозволяють виміряти, а що — ні.

Обсяг у порівнянні з опублікованим часом реагування (2018 → 2026)

### Дві черги біля одного пункту обслуговування — про це йдеться у 21 архівних знімках екрана.

Valve оприлюднює дані щодо кількості звернень до служби підтримки в режимі реального часу на `store.steampowered.com/stats/support`. Кожен пункт, наведений нижче, — це саме нижня межа Valve, яка була надрукована на цій сторінці в день, коли «Інтернет-архів» зробив її знімок, — а не наша оцінка. Обидва ряди даних представляють одну й ту саму величину в одних і тих самих одиницях виміру, тому вони розміщені на одній осі й їх можна порівнювати безпосередньо між собою.

**Запити на повернення коштів** — у Valve є гроші **Безпека та відновлення облікового запису** — обліковий запис, який ви втратили

**49–55 хв** Нижня межа рефунду в кожному періоді з лютого 2018 року по серпень 2026 року. Протягом восьми з половиною років вона змінюється менше ніж на шість хвилин, тоді як щоденний обсяг рефунду змінюється в дев’ять разів.

**2,4 год → 8,7 год** Нижня межа часу відновлення облікового запису у всіх знімках до грудня 2022 року, за винятком одного, становить близько 2,4 години. У трьох знімках за 2026 рік Valve показує значення 10,9 год, 5,8 год та 8,7 год.

**×2,8 → ×13** Наскільки повільніше відбувається відшкодування, ніж повернення коштів, згідно з опублікованими даними самого Valve. Протягом п’яти років ситуація залишається стабільною, а потім розрив збільшується — черга, яка стала повільнішою, — це та, в якій збитків зазнає користувач, а не Valve.

Джерело: 21 знімок веб-сторінки, зроблений за допомогою Wayback Machine, [store.steampowered.com/stats/support](https://web.archive.org/web/20260810154631/https://store.steampowered.com/stats/support), від 2018-02-03 до 2026-08-10; витяг у `VALVE_EVIDENCE_PACK/databases/steam_support_stats_history.json`. Зверніть увагу на межі, позначені цифрами: на графіку зображено *нижче* межа діапазону Valve випадків. Опублікована верхня межа є гіршою за обома показниками — час повернення коштів становив від 1,5 години до 1,5 дня, а час відновлення — від 7,0 годин до 3,6 дня. Два знімки були заархівовані в локалізованих версіях тієї самої Valve сторінки — 2018-11-03 чеською, 2020-03-25 французькою — і позначені в таблиці як (cs) та (fr); їхні дані наводяться тут із перекладеними назвами одиниць виміру та цифрами, як вони були опубліковані, а дослівні рядки джерела зберігаються у файлі витягу. У кожному знімку опубліковано час відгуку для обох черг, і жодна точка на жодній з ліній не є інтерпольованою. Єдине значення часу відновлення за 15 хвилин — 2020-10-21 — позначено на графіку та залишено: воно з’являється лише в одному знімку, і жоден інший знімок не знаходиться в межах одного порядку величини від нього. Між 2022-12-08 та 2026-02-01 немає жодного запису; ця 38-місячна прогалина у записі зафарбована, і через неї нічого не намальовано. Ці показники описують опубліковані часи реагування. Вони не показують, що відбувається всередині квитка, а Valve не опублікувала даних про чисельність персоналу, з якими можна було б їх порівняти.

Відкривати кожну зняту фотографію у вигляді таблиці

Кожен архівний знімок, у тому вигляді, в якому він був опублікований

| Знімок | Повернення коштів / день | Відповідь щодо повернення коштів | Відновлення / день | Заходи з відновлення |
| --- | --- | --- | --- | --- |
| 2018-02-03 | 98,788 | від 50,12 хвилин до 1,52 години | 25,662 | від 2,51 години до 1,80 дня |
| 2018-05-07 | 60,494 | від 53,83 хвилин до 1,47 дня | 24,226 | від 2,45 годин до 2,22 днів |
| 2018-08-02 | 69,084 | від 50,27 хвилин до 1,59 години | 28,953 | від 2,44 години до 22,17 години |
| 2018-11-03 (cs) | 63,410 | від 49,28 хвилин до 1,54 години | 33,910 | від 2,42 години до 1,31 дня |
| 2019-02-01 | 76,305 | від 50,13 хвилин до 1,52 години | 35,164 | від 2,44 години до 2,04 днів |
| 2019-05-18 | 78,951 | від 51,03 хвилини до 3,12 годин | 27,514 | від 2,46 години до 20,39 години |
| 2019-09-07 | 78,941 | від 50,65 хвилин до 1,66 години | 28,812 | від 2,42 години до 13,59 годин |
| 2019-12-13 | 69,589 | від 50,77 хвилин до 1,55 години | 25,322 | від 2,45 години до 1,13 дня |
| 2020-03-25 (fr) | 139,278 | від 49,45 хвилин до 1,53 години | 32,302 | від 2,48 години до 3,62 днів |
| 2020-06-26 | 278,504 | від 48,98 хвилин до 2,29 годин | 20,343 | від 2,39 години до 6,99 години |
| 2020-10-21 | 107,633 | від 50,80 хвилин до 1,54 години | 20,688 | від 15,33 хвилин до 8,62 годин |
| 2021-03-20 | 158,956 | від 50,80 хвилин до 1,64 години | 25,760 | від 2,34 години до 11,62 години |
| 2021-06-26 | 547,907 | від 51,93 хвилини до 6,73 годин | 29,728 | від 2,40 годин до 15,63 годин |
| 2021-10-10 | 170,103 | від 51,88 хвилин до 3,25 годин | 23,989 | від 2,39 години до 13,05 години |
| 2022-01-31 | 354,386 | від 53,65 хвилин до 8,09 годин | 24,391 | від 2,42 години до 15,29 годин |
| 2022-05-09 | 172,555 | від 51,83 хвилини до 1,65 години | 23,289 | від 2,41 години до 16,90 годин |
| 2022-09-05 | 153,453 | від 53,67 хвилин до 4,15 годин | 23,594 | від 2,45 години до 1,22 дня |
| 2022-12-08 | 181,075 | від 54,83 хвилини до 6,67 години | 27,111 | від 2,46 години до 18,89 години |
| 2026-02-01 | 317,762 | від 50,30 хвилин до 1,52 години | 47,197 | з 10:91 до 21:30 |
| 2026-05-09 | 246,776 | від 50,12 хвилин до 1,52 години | 35,264 | від 5,81 години до 15,60 годин |
| 2026-08-10 | 373,244 | від 52,05 хвилин до 2,07 годин | 45,319 | від 8,73 години до 16,52 години |

КЛЮЧОВЕ СПОСТЕРЕЖЕННЯ:

По всій **21 знімок з Wayback** у діапазоні від 2018-02-03 до 2026-08-10 щоденні заявки на відшкодування коливалися від **60,494** (травень 2018 р.) до **547,907** (червень 2021 р.) — а **Спред 9,1×**. Показник за 2026 рік становить 373,244 (+278% порівняно з даними за лютий 2018 року).

Протягом тих самих дев’яти років опублікована нижня межа часу реагування на запит про відшкодування ніколи не виходила за межі **49–55 хвилин** діапазон: загальний рух тривалістю менше шести хвилин, тоді як навантаження, що його зумовило, змінилося в дев’ять разів.

Якщо людина буде читати кожен квиток хоча б 5 секунд, то обробка 373,244 квитків на день (наразі) займе **22 агенти, які працюють цілодобово без вихідних** лише для того, щоб їх відкривати й закривати; у піковий період (547,907, червень 2021 року) цей показник зростає до 32.

Якби опублікований час відповіді відображав час обробки кожного запиту (~52 хв/запит), то необхідна кількість персоналу, що працює одночасно, становила б близько **13,500 агентів** при поточній чисельності та ~20,000 у піковий період. Даних щодо чисельності персоналу, що забезпечує підтримку Valve, знайдено не було; у даному випадку ці показники не враховуються.

Висновок: співвідношення обсягу до чисельності персоналу не узгоджується з ручною перевіркою кожного запиту за опублікованими показниками часу реагування. Наведені цифри відповідають переважно автоматизованому першому етапу обробки; інформація про те, яка частка запитів проходить ручну перевірку, не оприлюднена.

Чому це важливо для дотримання вимог GDPR 

Стаття 22 GDPR забороняє виключно автоматизоване прийняття індивідуальних рішень, що має істотні правові наслідки, без надання права на перевірку людиною за запитом. Якщо рішення служби підтримки (закриття звернень, дії з обліковими записами, відмова у задоволенні запитів щодо даних) приймаються виключно за допомогою автоматизованих скриптів, кожне таке рішення, яке «істотно впливає» на користувача, може порушувати статтю 22.

Квиток **HT-2YBP-F7JP-D4VB** (Розділ 18) було закрито через три дні з використанням шаблонного повідомлення про передачу справи, без розгляду зазначеної правової основи. На підставі запису неможливо встановити, чи хтось його переглядав; це питання, яке наглядовий орган може поставити Valve відповідно до статті 22 та статті 15(1)(h).

Джерело: знімки сайту store.steampowered.com/stats/support, збережені в Wayback Machine (2018-02-03, 2021-06-26, 2026-08-10) — дані витягнуто у файл VALVE_EVIDENCE_PACK/databases/steam_support_stats_history.json (21 знімок, 2018–2026). Примітка: час відповіді «~52 хв» є нижньою межею для категорії повернення коштів; час відповіді щодо безпеки облікового запису становив 2,4–16,5 годин у тих самих знімках. 2021-06-26 — це історичний пік (547,907 запитів на повернення коштів), а не монотонна середня точка — обсяг зріс приблизно в 6 разів у 2020–2021 роках, потім частково знизився, а потім відновився до 373 тис. у 2026 році.

Додаток I — Обсяг набору даних · показники, які можна відтворити 

## Підрахуйте записи. Перевірте область дії.

Контекст та обмеження джерел

Порахуйте записи, а потім перевірте наведені твердження: кожну цифру, наведену нижче, можна повторно обчислити на основі опублікованих файлів.

Перевірте вихідні набори даних, відтворіть результати підрахунку та відокремте рядки-джерела від окремих випадків.

Головний файл CSV містить **40,448 рядків**. З них, **36,516** походять із каналів Discord-AntiScam, присвячених фішингу. Решта **3,932** Ці рядки охоплюють GitHub, огляди, результати пошуку, матеріали форумів та інші джерела, забезпечуючи вичерпний перелік тем, що обговорюються в спільноті, та звітів про безпеку.

У цьому CSV-файлі 1,690 рядків віднесені до категорії «Невиправлені уразливості безпеки», що відображає історичні проблеми користувачів та оприлюднені відомості про уразливості. Аналіз цих повідомлень передбачає вивчення конкретної хронології збірок та публічної історії випуску виправлень для кожної гілки.

Архів із можливістю пошуку за записом 16,319 — це окрема, ретельно підібрана збірка з власним маніфестом, призначена для точного локального аналізу конкретних заяв користувачів та повідомлень про інциденти.

> Щоб створити надійний аудиторський слід, кожен запис, внесений користувачем, має бути перевірений на відповідність задокументованим графікам збірки та історичним журналам випуску виправлень.

Окремі записи колекції, що входять до частини II **231,829 унікальних ідентифікаторів оголошень**, у тому числі 33,509 у категорії автоматизованої реєстрації та 198,320, позначених як неперевірені перекази. Значення SHA-256 вхідного файлу збігається із збереженими даними вимірювання. Ці показники описують спроби розміщення оголошень та зафіксовані перекази, а не остаточні суми транзакцій чи підтверджені загальні суми крадіжок, що підкреслює необхідність використання первинних записів платформ для вимірювання точного економічного впливу. [Перелік розмірів та хеш-значень ↗](https://phishdestroy.io/steam_dossier/steam_tos_assets/part2-measurements.json)

[Опанувати CSV ↗](https://phishdestroy.io/steam_dossier/VALVE_EVIDENCE_PACK/databases/TOTAL_VALVE_SCANDALS_MASTER_DB.csv) · [Архівний маніфест з можливістю пошуку ↗](https://phishdestroy.io/steam_dossier/steam_tos_assets/archive_manifest.json) · [Переглянути вихідні записи ↗](https://phishdestroy.io/steam_dossier/uk/steam_evidence_archive)

Додаток J — Про це розслідування 

## Valve не публікує даних про заходи примусового виконання. *Ми створили такий.*

Незалежний. Некомерційний. Створено виключно на основі відкритих даних. Подано до регулюючих органів.

**88.97%** парк засобів автоматизації залишається без змін — жодних заборон

**67.77%** з 51,732 шахраїв, щодо яких було винесено судове рішення, залишаються на свободі

**$26.8M+** мінімальний рівень витрат на заправку для автопарку, що не підпадає під обмеження

**3.6%** домени, пов’язані з азартними іграми, заблоковані фільтром посилань Valve

**8 років** зафіксованих інцидентів безпеки

**Що це таке.** Криміналістичне досьє щодо платформи Steam корпорації Valve — її історія правозастосування, економіка «кард-фармінгу», правова база та інфраструктура автентифікації, яку оператори азартних ігор використовують через власний ретранслятор OpenID компанії Steam. Кожен показник можна відтворити з двох джерел: власного публічного API компанії Valve та наборів даних, опублікованих разом із цим розслідуванням.

**Для кого це призначено.** Регулюючі органи, до юрисдикції яких належить Valve — наглядовий орган з питань GDPR у Нідерландах, FinCEN, SEC, координатор з цифрових послуг DSA, UOKiK, а також будь-які правоохоронні органи, що розслідують фінансові потоки, пов’язані з Steam. А також для журналістів, дослідників та кожного користувача, якому було накладено постійну заборону на використання облікового запису, відмовлено у поверненні коштів або викрадено інвентар, і якому було повідомлено, що оскаржити це рішення неможливо.

**Єдина вимога.** Valve зберігає ці дані з повною точністю — із зазначенням причин заборони, повним простором ідентифікаторів та в режимі реального часу. Система може обробити будь-який запит у цьому досьє за лічені секунди, але вирішила не оприлюднювати жодної з цих даних. Питання до будь-якого компетентного органу є простим: *а чому б і ні?*

**Чого автори не стверджують.** Під час цієї роботи на жодній сторонній платформі не було здійснено входу в систему Steam. Надана URL-адреса OpenID визначає параметри запиту, а не факт завершення входу в систему. Наявність окремого домену, що підлягає реєстрації, сама по собі не є доказом ухилення. Дати реєстрації є нижньою межею того, коли хост міг вперше з’явитися у запиті OpenID; вони не свідчать про безперервне використання. Автори не роблять тверджень щодо того, що знав або мав на меті Valve: кожне твердження щодо Valve пов’язане з датованим публічним документом або датованим спостереженням. У випадках, коли твердження не можна було підкріпити вихідним документом, його було вилучено.

Хто ми 

PhishDestroy — незалежні дослідники. Не мають жодного відношення до корпорації Valve або будь-якої з платформ, згаданих тут. Один обліковий запис Steam використовувався виключно для документування запиту відповідно до GDPR, про який йдеться в розділі 18.

Юридичне застереження 

Некомерційне, децентралізоване розслідування в інтересах суспільства. Усі дані надаються «як є», без жодних гарантій. Ця публікація не є судовим висновком.

ПУБЛІЧНИЙ ДОМЕН

Ліцензування 

Усі права передано людству. Дозволено відтворювати, адаптувати, публікувати — вказівка авторства не потрібна. Доступ у регіоні, що підпадає під дію OFAC: заборонено. [Повна ліцензія та відмова від відповідальності →](https://phishdestroy.io/steam_dossier/uk/license_disclaimer)