# ملف Steam: القواعد والمسارات والمساءلة

Canonical: https://phishdestroy.io/steam_dossier/ar/index
Language: ar
Author: PhishDestroy Team
Publisher: PhishDestroy

> تضع Valve القيود. وتوفر Steam البنية التحتية.

PhishDestroy II · القسم 1 — موجز القضية Steam / Case File 001

# قواعدهم. *نظامهم.*

تضع Valve القيود. وتوفر Steam البنية التحتية.

ستة استنتاجات، يرتبط كل منها بسجل عام مؤرخ. وتتبع الأقسام التفصيلية الترتيب نفسه: السجل الفني (الجزء أ)، وسجل القواعد والإنفاذ (الجزء ب)، والأطر القانونية (الجزء ج)، ثم الملاحق التي تتضمن المستندات الأساسية.

[اقرأ الملخص →](https://phishdestroy.io/steam_dossier/ar/index#briefing-section)[الأدلة · EN ↗](https://phishdestroy.io/steam_dossier/steam_evidence_archive)

التحقيق / الأدلة 03 · الأدلة

[01 السؤال الأساسي / الإنفاذ الانتقائي ## كتاب قواعد واحد. تطبيق غير متكافئ. يُظهر السجل أن الخدمات التجارية تستخدم الهويات Steam، وقوائم الجرد، والروبوتات، وعمليات النقل كبنية تحتية تشغيلية. وتحظر اتفاقية الخدمات الاجتماعية (SSA) الاستغلال التجاري والأتمتة دون إذن. Read the rule & 2016 record ↗](https://phishdestroy.io/steam_dossier/ar/index#enforcement-standard) [02 الجزء أ — السجل الفني · القسم 3 ## الموقع محجوب. أما مسار تسجيل الدخول فليس كذلك. 26 نطاقًا رئيسيًّا محجوبًا. وكيل المصادقة المرتبط بكل نطاق، ومدة تشغيله. مضيفات المصادقة ذات المجالات المنفصلة: دليل «Link Filter» ↗](https://phishdestroy.io/steam_dossier/ar/index#proxy-bypass-explainer) [03 القسم 2 — رسالة مفتوحة ## رسالة مفتوحة إلى لجنة المقامرة بولاية واشنطن تحولت العشرة أيام إلى عشر سنوات. لم يتم الرد على السؤال الذي وجهته اللجنة في عام 2016 إلى Valve بتقديم سجل تفصيلي لكل مشغل على حدة؛ وتطلب هذه الرسالة إعادة فتح الملف. رسالة مفتوحة إلى لجنة المقامرة بولاية واشنطن ↗](https://phishdestroy.io/steam_dossier/ar/index#wsgc-public-address)

[01 / التحقيق **المحتويات →**](https://phishdestroy.io/steam_dossier/ar/index#briefing-section)[02 / الأدلة **الأدلة · EN ↗**](https://phishdestroy.io/steam_dossier/steam_evidence_archive)[03 / استكشاف **استكشاف · EN ↗**](https://phishdestroy.io/steam_dossier/output_steam_network/index.html)

ملف «ستيم» / II

## المصادقة من قبل طرف ثالث، التنفيذ و *الوصول إلى البيانات*

الدراسة الجنائية الشاملة للثغرات الهيكلية، وآليات تجاوز الوكلاء، والتنفيذ الانتقائي، والتحديات التنظيمية المحيطة بنظام Steam Web API.

[Open account access subsection](https://phishdestroy.io/steam_dossier/ar/investigation_part2)

القسم 1 — موجز القضية 

## القاعدة. الرقم القياسي. الأسئلة التي لم تُجب عليها.

السياق وحدود المصدر

ستة استنتاجات، يرتبط كل منها بسجل عام مؤرخ. وتتبع الأقسام التفصيلية الترتيب نفسه: السجل الفني (الجزء أ)، وسجل القواعد والإنفاذ (الجزء ب)، والأطر القانونية (الجزء ج)، ثم الملاحق التي تتضمن المستندات الأساسية.

ستة استنتاجات. يربط كل منها قاعدة مكتوبة بسجل مؤرخ وبسؤال يمكن للأدلة أن تختبره.

1. مضيفات المصادقة ذات المجالات المنفصلة — 44 مسارًا · 26 زوجًا مقسّمًا 

سجلات المسجلين في برنامج المساعدة المباشرة **44 منصة تُجري عملية المصادقة عبر نطاق منفصل قابل للتسجيل**. وهناك خمسة مسارات أخرى قيد التحقق، في انتظار تحديد موعد لبرنامج RDAP؛ ومن شأن ترقيتها أن يرفع العدد الإجمالي إلى 47. وقد تم استبعادها من العدد 44 ومن جدول الأعمار. — **27 مع ملف أدلة منشور لكل مسار** و17 حالة أُضيفت من عملية الجمع اليدوي، وهي مدرجة بشكل منفصل. في **26 زوجًا من المرشحات المقسمة** النطاق الرئيسي هو **محجوب** في مرشح الروابط Steam، في حين أن الخادم الوكيل الذي يحمل معلومات تسجيل الدخول الخاصة به غير محظور. هذه ليست نطاقات مؤقتة: موقع csgogem.com محظور بينما `api.csgem.com`، وقد تم تسجيل الخادم الذي يحمل اسم المستخدم Steam منذ مارس 2014 — **12 سنة و6 أشهر**. Valve يتلقى اسم المضيف هذا في كل طلب OpenID، ويعرضه للمستخدم على صفحة تسجيل الدخول الخاصة به. يرد الجدول الكامل، مع أعمار كل مسار ومصدره، في القسم 3.

[اتبع المسار →](https://phishdestroy.io/steam_dossier/ar/index#proxy-bypass-explainer)

2. عام 2016: تم تسمية الآلية، وتحديد الموعد النهائي 

في 13 يوليو 2016، أوضح Valve علنًا كيف استخدمت مواقع المقامرة Steam OpenID وحسابات التداول الآلية، وحددت إخطارات محاميه المؤرخة في 20 يوليو 2016 مهلة مدتها عشرة أيام. ولم يتم نشر أي سجل إنفاذ خاص بكل مشغل منذ ذلك الحين. وبعد مرور عشر سنوات على إصدار ذلك الموعد النهائي، لا تزال الآلية المذكورة نفسها قيد الاستخدام على مضيفات المصادقة ذات النطاقات المنفصلة التي لم تُرجع أي حظر من «Link Filter» على 2026-09-21.

[اقرأ الرسالة المفتوحة الموجهة إلى WSGC →](https://phishdestroy.io/steam_dossier/ar/index#wsgc-public-address)

3. الترابط بين الأجهزة، على ورق رسمي يحمل شعار مكتب المحاماة 

في المراسلات الواردة هنا، وصف محامي Valve وجود ارتباط على مستوى الجهاز يربط جهازًا واحدًا بحسابات متعددة — وهي إمكانية كان فريق الدعم Steam قد أخبر المستخدمين سابقًا أنها غير ممكنة من الناحية التقنية. والسؤال الذي لا يزال مطروحًا هو: ما هي السجلات المتعلقة بالأجهزة التي تحتفظ بها Valve، وعلى أي أساس يُرفض السماح لأصحاب الحسابات بالوصول إليها؟

[اقرأ المذكرة →](https://phishdestroy.io/steam_dossier/ar/index#official-memorandum)

4. ردان بشأن الوصول إلى البيانات. أحدهما حجب البيانات، والآخر سربها. 

**أكتوبر 2025:** رد محامي Valve على طلب بموجب المادة 15 بملحق من 830 صفحة، حيث تم طمس الأجزاء المحجوبة بالطلاء فوق النص بدلاً من حذفها — **902,270 حرفًا** العودة باستخدام أداة استخراج قياسية، بما في ذلك معرّفات الجهات الخارجية التي كانت تلك الأشرطة موجودة لحجبها. والمادة 15(4) هي السبب وراء وجود تلك الأشرطة. **سبتمبر 2026:** تم إغلاق التذكرة رقم HT-2YBP-F7JP-D4VB بعد ثلاثة أيام مع تضمين رابط إلى صفحة «بيانات الحساب» في خدمة العملاء الذاتية — دون تقديم أي بيانات أو ذكر أي أساس قانوني. ولم تكن المدة المحددة بشهر واحد بموجب المادة 12(3) قد انقضت حتى وقت النشر؛ والاعتراض هو على جوهر الموضوع.

[اقرأ فحص التنقيح →](https://phishdestroy.io/steam_dossier/ar/index#academic-response)[اقرأ سجل التذكرة →](https://phishdestroy.io/steam_dossier/ar/index#gdpr-live-case)

5. السوق فوق سقف Steam 

Steam يحدد سقف الإدراج في البورصة عند حوالي **$1,800**. عبر خمسة أسواق في لقطة قديمة (23 سبتمبر 2026)، **248 فئة من عناصر CS2** تم تسعيرها فوق ذلك الحد الأقصى من قِبل اثنين أو أكثر منهم بشكل مستقل، و **جميع الـ248 غائبون عن Steam**؛ يبدأ سعر كتاب «Dragon Lore» الجديد من المصنع من **$10,941** عبر 389 نسخة مدرجة في جميع البورصات الخمس (الرقم الخاص بـ CSFloat فقط في القسم 13، من لقطة 20 سبتمبر، هو $10,623.95 عبر 62 عرضًا). يتطلب البيع بهذه الأسعار منصة خارجية، في حين أن نقل العناصر لا يزال يتم عبر Steam.

[تابع السعر والتحويل →](https://phishdestroy.io/steam_dossier/ar/index#market-gap-section)

6. القاعدة واضحة؛ أما سجل التدقيق فليس كذلك 

تنص اتفاقية الاشتراك على أن Steam مخصصة للاستخدام الشخصي غير التجاري، وتمنع الاستغلال التجاري باستثناء ما يُسمح به صراحةً، وتحظر استخدام البرامج النصية والروبوتات، وتسمح بإنهاء الحساب. وقد طبّق Valve هذه الصيغة على مشغلي مواقع المقامرة في عام 2016. بشكل منفصل، وفقًا لحساب CSFloat الهندسي، تم إغلاق Valve `IEconItems_730/GetPlayerItems` في عام 2017، تم حجب الوصول العام إلى معرّفات العناصر الأصلية (لم يتم العثور على سجل التغييرات Valve).

[ضع القاعدة بجانب الشبكة →](https://phishdestroy.io/steam_dossier/ar/index#enforcement-standard)

[2016 / طلب خطي **10 أيام** الموعد النهائي الوارد في إخطارات المحامي الصادرة في يوليو 2016 إلى مواقع المقامرة. رسالة مفتوحة إلى لجنة المقامرة في ولاية واشنطن (WSGC): البند 2.](https://phishdestroy.io/steam_dossier/ar/index#wsgc-public-address) [2017 / سجل التدقيق العام **تم إغلاق حق الوصول إلى معرّف الهوية** يسجل CSFloat فقدان معرّفات العناصر الأصلية.](https://phishdestroy.io/steam_dossier/ar/index#evidence-blackout) [المراسلات القانونية **الترابط بين الأجهزة** جهاز واحد مرتبط بعشرات الحسابات المسروقة.](https://phishdestroy.io/steam_dossier/ar/index#official-memorandum) [سجل المسارات **تم حظره، ولا يزال يحاول تسجيل الدخول** **القاعدة:** يحظر بيان Valve الصادر عام 2016 إدارة أي نشاط متعلق بالمقامرة على Steam OpenID. **السجل:** يضم «Link Filter» 26 نطاقًا رئيسيًّا، في حين أن الخادم الذي يستضيف حساب تسجيل الدخول Steam لكل منها لا يزال قيد التشغيل — وقد استمر تشغيل خادم موقع csgogem.com لمدة 12 سنة و6 أشهر.](https://phishdestroy.io/steam_dossier/ar/index#proxy-bypass-explainer)

القسم 2 — رسالة مفتوحة 

## رسالة مفتوحة إلى لجنة المقامرة بولاية واشنطن

تحولت العشرة أيام إلى عشر سنوات. لم يتم الرد على السؤال الذي وجهته اللجنة في عام 2016 إلى Valve بتقديم سجل تفصيلي لكل مشغل على حدة؛ وتطلب هذه الرسالة إعادة فتح الملف.

نظام الإذاعة الداخلية · لجنة المقامرة بولاية واشنطن

### تحولت العشرة أيام إلى عشر سنوات. *أعد فتح السجل.*

إلى لجنة المقامرة بولاية واشنطن:

في عام 2016، طلب المدير ديفيد تروجيلو من شركة Valve أن توضح الإجراءات التي اتخذتها لوقف استخدام «السكينز» Steam في المقامرة. واجه كريس ستيرنز، الذي كان رئيسًا للجنة آنذاك، واللجنة نفسها صناعة قائمة على العناصر الصادرة عن Valve وعمليات التحويل Steam. وقد ترك كلا الرجلين مناصبهما في اللجنة منذ ذلك الحين. ولم تنتهِ صلاحية السؤال الذي طرحاه على Valve.

أمهل المستشار القانوني العام لـ Valve، كارل كواكينبوش، مشغلي المقامرة بعشرة أيام لوقف الاستخدام التجاري لحسابات Steam. وفي ردها الموجه إلى لجنتكم في أكتوبر، نفت شركة Valve تيسير أنشطة المقامرة، وأفادت بأنها أرسلت خطابات إنذار إلى أكثر من أربعين موقعًا، وأنها عطلت الحسابات المرتبطة بها. كما دافعت عن الحفاظ على خدمة التداول Steam وخدمة OpenID، بحجة أن هاتين الخدمتين تعودان بالنفع على العملاء ومطوري الألعاب. **كان ذلك إعلانًا عن السيطرة. وهو يستحق أن يُختبر، لا أن يُقابل بالخضوع.**

في تقييمنا، لم تثبت إجابة Valve أن الإجراءات التنفيذية التي اختارتها تتناسب مع حجم الشبكة التي وصفتها. فالرسالة التهديدية الموجهة إلى أحد المشغلين تختلف تمامًا عن الحظر الدائم لحسابات Steam، والبنية التحتية للتداول، ومسارات المصادقة التي تتيح سير العمل. وتشير التقديرات المعلنة إلى أن [حققت «CS:GO Lounge» وحدها حجم رهانات تجاوز $1 مليار خلال عام 2016](https://dotesports.com/counter-strike/news/csgo-lounge-billion-bets-3896)؛ وهذا تقدير خارجي لحجم الرهانات، وليس إيرادات Valve، وقد تم لاحقًا إغلاق نشاط المراهنات على الجلد الذي كان يقدمه الموقع في الأصل. وقد جعل حجم هذه الأنشطة من الضروري اتخاذ إجراءات إنفاذ يمكن التحقق منها.

اليوم، من إنتاج Valve [اتفاقية المشترك](https://store.steampowered.com/agreement/?l=english) [محفوظ 2026-09-21 ↗](https://web.archive.org/web/20260921022032/https://store.steampowered.com/agreement/?l=english) يفرض قيودًا على الاستغلال التجاري باستثناء الحالات التي يُسمح فيها بذلك صراحةً، ويحظر بشكل منفصل أشكالًا محددة من الأتمتة. إن [سجل المسارات القديم](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit.json) السجلات التي تُعلن عن مضيفي OpenID للخدمات الخارجية؛ `openid.realm` و `openid.return_to` هي حقول تُرسل إلى Steam، وليست أسرارًا تُخفى عنها. إن [فحوصات تصفية الروابط](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-all-results.json) تُظهر الحالات التي تم فيها تحذير عنوان رئيسي دون تحذير مضيف تسجيل الدخول المرتبط به. ولا يمكن لنتيجة التصفية وحدها أن تثبت أن Valve قد سمح بتسجيل الدخول أو أن روبوتًا معينًا قد تجنب حظر الحساب. **وهذا يثبت أن التحذير الذي يظهر على الصفحة الرئيسية لا يمكن اعتباره حلاً شاملاً لمسألة الوصول.**

كما أن وجود وظائف تداول ووظائف OpenID مفيدة وقانونية Steam لا يمكن أن يجيب عما إذا كان المشغلون المحظورون قد استُبعدوا فعليًّا أم لا. فقواعد Valve نفسها تسمح باستثناءات صريحة. وإذا اعتمدت Valve على هذا التمييز، فينبغي للجنة أن تطلب منها تحديد الترخيص، وضوابط الحسابات، ومعايير الإنفاذ المطبقة على الأعمال التجارية المتعلقة بـ«السكين»، والاستخدامات المحددة غير المتعلقة بالمقامرة التي استندت إليها في عام 2016. فمجرد احتمال وجود استخدام قانوني لا يُعد ردًا على الاستخدام المحظور الموثق.

نطلب من اللجنة إعادة النظر في ملف عام 2016 وطلب تقرير مفصل لكل مشغل على حدة: ما هي الحسابات وروبوتات التداول التي تم تعطيلها بعد إرسال إشعارات العشرة أيام؛ وما إذا كانت الحسابات ذات الصلة أو مضيفي العودة قد خُصِّصت للمراقبة؛ وما هي الحسابات التي استعاد مشغلوها حق الوصول لاحقًا؛ ما هي الاستثناءات التي تم منحها؛ وما هي السجلات التي تدعم بيان Valve أمام اللجنة. نشر ما يسمح القانون للجمهور بالاطلاع عليه. مقارنة تلك السجلات بالمسارات الحالية وبتدخلات Valve اللاحقة، بما في ذلك [OPSkins في عام 2018](https://blog.counter-strike.net/expresstrade/) [محفوظ 2026-03-07 ↗](https://web.archive.org/web/20260307161538/https://blog.counter-strike.net/expresstrade/).

**حدد الإشعار مهلة مدتها عشرة أيام في يوليو 2016؛ وتُعد مدة عشر سنوات فترة كافية للتأكد مما إذا كان قد تم تنفيذ ذلك أم لا.** ينبغي أن تقارن اللجنة حسابات Valve لعام 2016 بالبنية التحتية التي لا تزال قابلة للملاحظة حتى اليوم.

تحقيق "ملف Steam" · بيان عام، 20 سبتمبر 2026

[إشعار اللجنة لعام 2016 ↗](https://wsgc.wa.gov/news/2016/washington-state-gambling-commission-orders-valve-stop-skins-gambling) [محفوظ 2026-05-20 ↗](https://web.archive.org/web/20260520012601/https://wsgc.wa.gov/news/2016/washington-state-gambling-commission-orders-valve-stop-skins-gambling) · [رد Valve لعام 2016 (نسخة من الوثيقة) ↗](https://fr.scribd.com/document/328063293/Valve-s-Oct-18th-response-to-Washington-State-Gambling-Commission-s-cease-and-desist) · [بيان OpenID الصادر عن Valve لعام 2016 ↗](https://store.steampowered.com/oldnews/22883) [محفوظ 2026-09-21 ↗](https://web.archive.org/web/20260921021947/https://store.steampowered.com/oldnews/22883) · [الاتفاق الحالي Steam ↗](https://store.steampowered.com/agreement/?l=english) [محفوظ 2026-09-21 ↗](https://web.archive.org/web/20260921022032/https://store.steampowered.com/agreement/?l=english) · الجدول الزمني لبرنامج التبادل لعام 2016: [القسم 11 →](https://phishdestroy.io/steam_dossier/ar/index#case-study-section)

الجزء أ — السجل الفني · القسم 3 

## الموقع محجوب. أما مسار تسجيل الدخول فليس كذلك.

**26 نطاقًا رئيسيًّا محجوبًا. وكيل المصادقة المرتبط بكل نطاق، ومدة تشغيله.** هذه المضيفات المنفصلة الخاصة بالمصادقة ليست عناوين ثانوية عرضية — فكل واحدة منها هي **وكيل المصادقة لـ Steam**، حيث يقف بين المنصة ونقطة نهاية OpenID الخاصة بـ Valve، ويقوم بنقل عملية تسجيل الدخول التي لم يعد بإمكان النطاق المحظور نقلها علنًا. قام Valve بوضع «البوابة الأمامية» على «مرشح الارتباط». واستمرت عملية تسجيل الدخول في المرور عبر الوكيل: موقع csgogem.com محظور، و `api.csgem.com` تم تسجيله منذ مارس 2014 — **اثنا عشر عامًا ونصف**. في كل يوم من تلك الأيام، كان ذلك المضيف يرسل اسم المضيف الخاص به إلى نقطة نهاية OpenID الخاصة بـ Valve، وكان Steam يعرضه مباشرةً للمستخدم على صفحة تسجيل الدخول. **Valve هو الجذع الذي تمر عبره كل واحدة من هذه المسارات؛ ولا يتعين عليه العثور عليها.** هذا هو ما يقيسه هذا القسم: ليس ما إذا كان هناك تحذير أم لا، بل عدد السنوات التي يظل فيها المسار الواقع خلف التحذير مفتوحًا. يوجد في السجل 44 مسارًا ذات نطاقات منفصلة، 27 منها مصحوبة بملف أدلة منشور لكل مسار — كما هو موضح في الجدول أدناه. تابع مثالًا واحدًا، ثم قم بقياسها جميعًا.

### الشكل 3.1 — المساران، مرسومان.

منصة واحدة، لاعب واحد، طلبان يُرسَلان من نفس المتصفح. يعمل «Link Filter» الخاص بـ Valve على كلا الطلبين. فهو يوقف الطلب الذي يحتوي على رابط، ويسمح بمرور الطلب الذي يحتوي على معلومات تسجيل الدخول. كل ما يتم قياسه في هذا القسم هو عدد المرات التي يظل فيها المسار السفلي مفتوحًا.

مرر الرسم التوضيحي جانبياً →

تم نشر الرابط في Steam — توقف طلب تسجيل الدخول — التذاكر الشيكات المحفوظة بتاريخ 19 و21 سبتمبر 2626

**كلا الطلبين مرئيان لـ Valve، ولا يتم تنفيذ سوى طلب واحد فقط.** «مرشح الروابط» هو قائمة Valve، تتولى خدمة Valve التحقق منها. يحمل طلب OpenID اسم مضيف المصادقة نفسه إلى نقطة نهاية Valve، التي تعرضه مباشرةً على صفحة تسجيل الدخول. يظهر اسم المضيف في الطلب في كلتا الحالتين — والفرق يكمن في ما إذا كان يتم التعامل معه أم لا.

**منصة واحدة. مساران مختلفان.** ROLLBIT / الملاحظات المحفوظة

**01** فحص مرشح الروابط

الوجهة**rollbit.com** النطاق الرئيسي للمنصة

مرشح وصلة البخار**التحقق من الرابط** نظام منفصل للتحذير من المخاطر في الوجهة

النتيجة المحفوظة**الرابط محظور** 19 و21 سبتمبر 2026

**02** مسار تسجيل الدخول الذي تمت ملاحظته

على الرصيف**تسجيل الدخول باستخدام Steam** تقوم المنصة بإرسال طلب OpenID

خادم مصادقة منفصل**rbsnin.com** لا يوجد كتلة «تصفية الروابط» في الفحص المحفوظ

STEAM**تم عرض نموذج تسجيل الدخول** يظهر المضيف المطلوب في إشعار Steam

**ابدأ بالوجهة.** rollbit.com هو النطاق الرئيسي للمنصة. يُظهر هذا المسار الأول حالة «تصفية الروابط» المحفوظة، وليس مسار مستخدم مكتملًا.

**كتلة مرئية.** أظهر مرشح الروابط الخاص بـ Steam رسالة «الرابط محظور!» بالنسبة للنطاق الرئيسي. تم حفظ الاستجابة الأصلية.

**تستخدم عملية المصادقة مسارًا آخر.** تؤدي عملية «تسجيل الدخول باستخدام Steam» على المنصة إلى إرسال طلب OpenID باستخدام مضيف مصادقة منفصل.

**اسم مضيف مختلف.** لم يُظهر موقع rbsnin.com أي حجب من «Link Filter» في 21 سبتمبر 2026 — وهو نفس اليوم، وفي نفس الفحص غير المصادق عليه، الذي أظهر فيه موقع rollbit.com حجبًا واحدًا. وقد تم تسجيله قبل ثلاثة أيام، في 18 سبتمبر 2026.

**وصل الطلب إلى Steam.** وصل المسار الذي تم رصده إلى نموذج تسجيل الدخول الخاص بـ Steam. ولم يكمل المؤلفون عملية تسجيل الدخول. ولم يؤد حجب الرابط الخاص بالنطاق الرئيسي إلى حجب هذا المسار الذي تم رصده المؤدي إلى النموذج.

افحص الملاحظات الأصلية المتعلقة بالالتقاط، وتاريخ التسجيل، وتفاصيل البروتوكول

كيف يتم تطبيق Valve

النطاق الرئيسي: محظور

المستخدم

→ 

rollbit.com
(النطاق الرئيسي)

↓

مرشح رابط STEAM — محجوب 

"الرابط محظور!" — تم الإبلاغ عنه باعتباره محتملًا أن يكون ضارًا

أظهر موقع rollbit.com حجبًا بواسطة «Link Filter» عند 2026-09-19 و2026-09-21 (فحص غير مصدق؛ تم حفظ HTML الخام و SHA-256). سجل مرئي وقابل للتدقيق.

ما يحدث فعليًّا — المصادقة

مضيف Auth: غير محظور

المستخدم

→ 

rollbit.com
"تسجيل الدخول باستخدام Steam"

↓

إعادة التوجيه عبر مضيف مصادقة منفصل: 
`rbsnin.com` مرشح الروابط: نظيف 

مسجل 2026-09-18T09:34:52Z (Verisign RDAP)

↓

Steam إشعار صفحة تسجيل الدخول (2026-09-20): 
`"Note that rbsnin.com is not affiliated with Steam or Valve"`

Steam يعرض هذا الإشعار من نطاق OpenID الخاص بالطلب الذي تلقاه.

↓

Steam نموذج تسجيل الدخول المُقدَّم للمضيف المنفصل 
لم يكمل المؤلفون عملية تسجيل الدخول؛ وقد تمت ملاحظة سير العملية حتى نموذج Steam.

يتلقى Valve اسم مضيف return_to / realm في كل طلب من هذا النوع. ولم يُرجع موقع rbsnin.com أي حظر من «Link Filter» على 2026-09-21.

حسب الطلب

بصفته مزود خدمة OpenID، يتلقى Steam اسم مضيف المصادقة مع كل طلب مصادقة: حيث يصل هذا الاسم إلى خوادم Valve الخاصة في `openid.return_to` و `openid.realm` المعلمات.

مرسل من الموقع

لا يتم اكتشاف مضيف المصادقة عن طريق المسح — حيث ترسل المنصة القيمة Steam في كل طلب. وفقًا لـ OpenID 2.0 §9.1 `return_to` وهو اختياري من الناحية الشكلية، لكن بدونه لا يمكن لـ Steam تقديم نتيجة تسجيل الدخول، لذا فهو مطلوب فعليًّا لضمان نجاح عملية تسجيل الدخول Steam. بل إن Steam يعرض اسم المضيف للمستخدم ("*<host> ليس تابعًا لـ Steam أو Valve*").

14 سنة

هو عمر أقدم خادم مصادقة لا يزال يحمل Steam عمليات تسجيل دخول عند الفحص رقم 2026-09-21 (dota2.net، مسجل منذ 2011-10-29)؛ أما أحدث خادم فيبلغ عمره ثلاثة أيام (rbsnin.com). **لا تعتبر الرقم «0 مضيف مصادقة محظور» بمثابة النتيجة.** من شأن حجب مضيف المصادقة أن يعطل ميزة «تسجيل الدخول باستخدام Steam» في المنصة تمامًا، لذا فإن السجل الذي يتم إنشاؤه استنادًا إلى عمليات تسجيل الدخول الناجحة لا يمكن أن يحتوي إلا على المضيفات التي لم يتم حجبها مطلقًا. الرقم الذي يحمل معنىً ليس عدد حالات الحظر — بل هو عدد السنوات التي ظل فيها النطاق الرئيسي مدرجًا في «مرشح الروابط» (Link Filter) بينما استمرت عملية تسجيل الدخول المرتبطة به في العمل.

مضيفات المصادقة ذات النطاقات المنفصلة: تاريخ التسجيل مقابل النطاق الرئيسي (30 مسارًا: الـ25 التي تم تحديدها في تدقيق المتصفح 2026-09-21، بالإضافة إلى 5 تمت إضافتها في 2026-09-22)

| المنصة | مرشح الروابط: الرئيسي | مضيف Auth | مرشح الارتباط: مضيف المصادقة | تم تسجيل مضيف Auth | مصدر الملاحظة | ملف الأدلة |
| --- | --- | --- | --- | --- | --- | --- |
| رولبيت rollbit.com · رقم التسجيل 2014-11-08 | محجوب 2026-09-19، 2026-09-21 · [Wayback 2026-09-21](https://web.archive.org/web/20260921022628/https://steamcommunity.com/linkfilter/?url=https:%2F%2Frollbit.com) | `rbsnin.com` | تنظيف 2026-09-21 · [HTML الخام](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/rbsnin.com.20260921T021120Z.html) (لا توجد لقطة من Wayback) | 2026-09-18 09:34:52Z، Verisign RDAP | Steam إشعار صفحة تسجيل الدخول، 2026-09-20 | [rollbit.com.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/rollbit.com.json) |
| Skin.Club skin.club · التسجيل 2017-09-04 | محجوب 2026-09-19، 2026-09-21 · [Wayback 2026-09-21](https://web.archive.org/web/20260921022740/https://steamcommunity.com/linkfilter/?url=https:%2F%2Fskin.club) | `sc-auth.net` | تنظيف 2026-09-21 · [Wayback 2026-09-21](https://web.archive.org/web/20260921022842/https://steamcommunity.com/linkfilter/?url=https:%2F%2Fsc-auth.net) | 2019-04-02 RDAP | Steam إشعار صفحة تسجيل الدخول | [skin.club.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/skin.club.json) |
| Howl.GG howl.gg · التسجيل 2017-03-16 | محظور 2026-09-18، 19 سبتمبر، 21 سبتمبر · [Wayback 2026-09-21](https://web.archive.org/web/20260921022603/https://steamcommunity.com/linkfilter/?url=https:%2F%2Fhowl.gg) | `howl.uno` | تنظيف 2026-09-21 · [Wayback 2026-09-21](https://web.archive.org/web/20260921022636/https://steamcommunity.com/linkfilter/?url=https:%2F%2Fhowl.uno) | 2026-08-11 RDAP | التقاط مباشر من المتصفح + رابط OpenID المُرفق | [howl.gg.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/howl.gg.json) |
| Duelbits duelbits.com · رقم التسجيل 2020-02-03 | محجوب 2026-09-21 · [Wayback 2026-09-21](https://web.archive.org/web/20260921022840/https://steamcommunity.com/linkfilter/?url=https:%2F%2Fduelbits.com) | `switchflips.com` | تنظيف 2026-09-21 · [Wayback 2026-09-21](https://web.archive.org/web/20260921022901/https://steamcommunity.com/linkfilter/?url=https:%2F%2Fswitchflips.com) | 2020-04-21 RDAP | عنوان URL الخاص بـ OpenID المُقدَّم | [duelbits.com.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/duelbits.com.json) |
| CSGOFast csgofast.com · رقم التسجيل 2015-03-27 | محجوب 2026-09-19، 2026-09-21 · [Wayback 2026-09-21](https://web.archive.org/web/20260921022758/https://steamcommunity.com/linkfilter/?url=https:%2F%2Fcsgofast.com) | `steam-login.authtofast.com` | تنظيف authtofast.com، 2026-09-21 · [Wayback 2026-09-21](https://web.archive.org/web/20260921022847/https://steamcommunity.com/linkfilter/?url=https:%2F%2Fauthtofast.com) | 2026-06-30 authtofast.com، RDAP | التقاط مباشر من المتصفح + رابط OpenID المقدم | [csgofast.com.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/csgofast.com.json) |
| فارمسكينز farmskins.com · رقم التسجيل 2016-03-23 | محجوب 2026-09-19، 2026-09-21 · [HTML الخام](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/farmskins.com.20260921T025840Z.html) | `steam.kobal.cc` | تنظيف 2026-09-19، 2026-09-21 · [HTML الخام](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/steam.kobal.cc.20260921T025844Z.html) | 2017-01-07 kobal.cc، RDAP | التقاط مباشر من المتصفح + رابط OpenID المُقدم | [farmskins.com.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/farmskins.com.json) |
| CobaltLab cobaltlab.tech | محظور 2026-09-21 · [HTML الخام](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/cobaltlab.tech.20260921T041604Z.html) | `cobaltauth.com` | تنظيف 2026-09-21 · [HTML الخام](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/cobaltauth.com.20260921T041608Z.html) | 2025-01-07 RDAP | عنوان URL الخاص بـ OpenID المُقدَّم | [cobaltlab.tech.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/cobaltlab.tech.json) |
| CSGO.NET csgo.net · reg. 2012-07-22 | محجوب 2026-09-21 · [HTML الخام](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/csgo.net.20260921T041619Z.html) | `cn2.easylot.net` | تنظيف 2026-09-21 · [HTML الخام](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/cn2.easylot.net.20260921T041623Z.html) | 2016-09-03 easylot.net، RDAP | التسجيل المباشر لشاشة المتصفح | [csgo.net.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/csgo.net.json) |
| GGDrop ggdrop.com | محجوب 2026-09-21 · [HTML الخام](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/ggdrop.com.20260921T041637Z.html) | `ggauth.com` | تنظيف 2026-09-21 · [HTML الخام](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/ggauth.com.20260921T041641Z.html) | 2023-05-03 RDAP | عنوان URL الخاص بـ OpenID المُقدم | [ggdrop.com.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/ggdrop.com.json) |
| RustChance rustchance.com | محجوب 2026-09-21 · [HTML الخام](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/rustchance.com.20260921T041703Z.html) | `hgfuihd.com` | تنظيف 2026-09-21 · [HTML الخام](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/hgfuihd.com.20260921T041706Z.html) | 2019-01-27 RDAP | عنوان URL الخاص بـ OpenID المُقدم | [rustchance.com.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/rustchance.com.json) |
| Skin.Fans skin.fans | محجوب 2026-09-21 · [HTML الخام](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/skin.fans.20260921T041710Z.html) | `auth.skinfans.com` | تنظيف 2026-09-21 · [HTML الخام](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/auth.skinfans.com.20260921T041713Z.html) | 2018-07-16 skinfans.com، RDAP | عنوان URL الخاص بـ OpenID المُقدم | [skin.fans.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/skin.fans.json) |
| سكينبورت skinport.com · رقم التسجيل 2018-09-05 | محجوب 2026-09-21 · [HTML الخام](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/skinport.com.20260921T041724Z.html) | `skinport.app` | تنظيف 2026-09-21 · [HTML الخام](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/skinport.app.20260921T041728Z.html) | 2020-06-20 RDAP | التقاط مباشر من المتصفح + رابط OpenID المُرفق | [skinport.com.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/skinport.com.json) |
| Skins.Cash skins.cash | محجوب 2026-09-21 · [HTML الخام](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/skins.cash.20260921T041731Z.html) | `skinscash.live` | تنظيف 2026-09-21 · [HTML الخام](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/skinscash.live.20260921T041735Z.html) | 2019-12-05 RDAP | عنوان URL الخاص بـ OpenID المُقدم | [skins.cash.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/skins.cash.json) |
| TF2Hunt tf2hunt.com · رقم التسجيل 2018-01-13 | محجوب 2026-09-21 · [HTML الخام](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/tf2hunt.com.20260921T041739Z.html) | `rstspcl.com` | تنظيف 2026-09-21 · [HTML الخام](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/rstspcl.com.20260921T041742Z.html) | 2020-08-08 RDAP | التقاط مباشر من المتصفح + رابط OpenID المُرفق | [tf2hunt.com.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/tf2hunt.com.json) |
| CSGOGem csgogem.com · رقم التسجيل 2016-10-16 | محجوب 2026-09-22 · [HTML الخام](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/csgogem.com.20260922T192355Z.html) | `api.csgem.com` csgem.com — نطاق مستقل قابل للتسجيل | تنظيف 2026-09-22 · [HTML الخام](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/api.csgem.com.20260922T192358Z.html) | 2014-03-08 csgem.com، RDAP — الأقدم في السجل | الجمع اليدوي + التقاط «Link Filter» | [linkfilter-2026-09-22.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-2026-09-22.json) |
| Gamdom gamdom.com · التسجيل 2016-07-29 | محجوب 2026-09-22 · [HTML الخام](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/gamdom.com.20260922T192326Z.html) | `login.gambldom.com` gambldom.com — يختلف عن الاسم التجاري بحرف واحد فقط | تنظيف 2026-09-22 · [HTML الخام](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/login.gambldom.com.20260922T192330Z.html) | 2017-09-24 gambldom.com، RDAP | الجمع اليدوي + التقاط «Link Filter» | [linkfilter-2026-09-22.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-2026-09-22.json) |
| 12CS 12cs.fail · reg. 2026-03-24 | محجوب 2026-09-22 · [HTML الخام](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/12cs.fail.20260922T192347Z.html) | `fail.games` | تنظيف 2026-09-22 · [HTML الخام](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/fail.games.20260922T192351Z.html) | 2021-08-24 fail.games، RDAP | الجمع اليدوي + التقاط مرشح الروابط | [linkfilter-2026-09-22.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-2026-09-22.json) |
| CSGOEmpire csgoempire.com · مسجل 2015-06-10 | تنظيف 2026-09-19، 2026-09-21 · [Wayback 2026-09-21](https://web.archive.org/web/20260921022953/https://steamcommunity.com/linkfilter/?url=https:%2F%2Fcsgoempire.com) | `csgoempirelogin4.com` أحد المجالات العشرة المرقمة من login1 إلى login10 | تنظيف 2026-09-21 · [Wayback 2026-09-21](https://web.archive.org/web/20260921022947/https://steamcommunity.com/linkfilter/?url=https:%2F%2Fcsgoempirelogin4.com) | 2020-07-20 05:49:17Z، Verisign RDAP | التقاط مباشر لشاشة المتصفح | [csgoempire.com.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/csgoempire.com.json) |
| CS.MONEY cs.money | تنظيف 2026-09-21 · [HTML الخام](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/cs.money.20260921T021131Z.html) | `auth.dota.trade` | تنظيف 2026-09-21 · [HTML الخام](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/auth.dota.trade.20260921T021134Z.html) | 2016-07-15 dota.trade، RDAP | Steam إشعار صفحة تسجيل الدخول | [cs.money.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/cs.money.json) |
| CSFloat csfloat.com · reg. 2021-07-11 | تنظيف 2026-09-21 · [HTML الخام](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/csfloat.com.20260921T041612Z.html) | `csgofloat.com` نطاق العلامة التجارية السابق للمشغل؛ نطاق قابل للتسجيل بحد ذاته، ولا يُعد مؤشراً على التهرب | تنظيف 2026-09-21 · [HTML الخام](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/csgofloat.com.20260921T041615Z.html) | 2015-09-29 RDAP | التسجيل المباشر لشاشة المتصفح | [csfloat.com.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/csfloat.com.json) |
| G4Skins g4skins.com | تنظيف 2026-09-21 · [HTML الخام](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/g4skins.com.20260921T041630Z.html) | `auth.g4s.to` | تنظيف 2026-09-21 · [HTML الخام](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/auth.g4s.to.20260921T041634Z.html) | 2021-05-30 g4s.to، RDAP | عنوان URL الخاص بـ OpenID المُقدم | [g4skins.com.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/g4skins.com.json) |
| Juice.GG juice.gg | تنظيف 2026-09-21 · [HTML الخام](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/juice.gg.20260921T041644Z.html) | `letmeinjuice.com` | تنظيف 2026-09-21 · [HTML الخام](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/letmeinjuice.com.20260921T041648Z.html) | 2024-04-15 RDAP | عنوان URL الخاص بـ OpenID المُقدم | [juice.gg.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/juice.gg.json) |
| Market.CSGO market.csgo.com | تنظيف 2026-09-21 · [HTML الخام](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/market.csgo.com.20260921T041652Z.html) | `dota2.net` | تنظيف 2026-09-21 · [HTML الخام](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/dota2.net.20260921T041655Z.html) | 2011-10-29 RDAP | التقاط مباشر لشاشة المتصفح + رابط OpenID المُرفق | [market.csgo.com.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/market.csgo.com.json) |
| Rust.TM rust.tm | تنظيف 2026-09-21 · [HTML الخام](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/rust.tm.20260921T041659Z.html) | `dota2.net` | تنظيف 2026-09-21 · [HTML الخام](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/dota2.net.20260921T041655Z.html) | 2011-10-29 RDAP | عنوان URL الخاص بـ OpenID المُقدم | [rust.tm.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/rust.tm.json) |
| CSGOLounge csgolounge.com · رقم التسجيل 2013-08-14 | تنظيف 2026-09-22 · [HTML الخام](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/csgolounge.com.20260922T192333Z.html) | `dota2.net` واجهة مستخدم ثالثة على مضيف المصادقة هذا | تنظيف 2026-09-22 · [HTML الخام](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/dota2.net.20260922T192340Z.html) | 2011-10-29 dota2.net، RDAP | الجمع اليدوي + التقاط «Link Filter» | [linkfilter-2026-09-22.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-2026-09-22.json) |
| Dota2Lounge dota2lounge.com · رقم التسجيل 2012-08-10 | تنظيف 2026-09-22 · [HTML الخام](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/dota2lounge.com.20260922T192337Z.html) | `dota2.net` واجهة المستخدم الرابعة على مضيف المصادقة هذا | تنظيف 2026-09-22 · [HTML الخام](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/dota2.net.20260922T192340Z.html) | 2011-10-29 dota2.net، RDAP | الجمع اليدوي + التقاط «Link Filter» | [linkfilter-2026-09-22.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-2026-09-22.json) |
| سكينبارون skinbaron.de | تنظيف 2026-09-21 · [HTML الخام](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/skinbaron.de.20260921T041717Z.html) | `skinbaron.com` نفس العلامة التجارية، نطاق مستوى أعلى مختلف | تنظيف 2026-09-21 · [HTML الخام](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/skinbaron.com.20260921T041721Z.html) | 2015-12-22 RDAP | عنوان URL الخاص بـ OpenID المُقدم | [skinbaron.de.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/skinbaron.de.json) |
| TF2Royal tf2royal.com · عدد المسجلين: 2022-08-17 | تنظيف 2026-09-21 · [HTML الخام](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/tf2royal.com.20260921T041746Z.html) | `tf2auth.com` | تنظيف 2026-09-21 · [HTML الخام](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/tf2auth.com.20260921T041750Z.html) | 2021-07-27 RDAP | التقاط مباشر من المتصفح + رابط OpenID المُرفق | [tf2royal.com.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/tf2royal.com.json) |
| Tradeit tradeit.gg | تنظيف 2026-09-21 · [HTML الخام](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/tradeit.gg.20260921T041753Z.html) | `connect-tradeit.com` | تنظيف 2026-09-21 · [HTML الخام](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/connect-tradeit.com.20260921T041757Z.html) | 2022-02-23 RDAP | عنوان URL الخاص بـ OpenID المُقدَّم | [tradeit.gg.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/tradeit.gg.json) |
| جهاز التحسين upgrader.pro | تنظيف 2026-09-21 · [HTML الخام](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/upgrader.pro.20260921T041801Z.html) | `upgauth.space` | تنظيف 2026-09-21 · [HTML الخام](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-raw/upgauth.space.20260921T041804Z.html) | 2026-08-14 RDAP | عنوان URL الخاص بـ OpenID المُقدم | [upgrader.pro.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/upgrader.pro.json) |

المصدر: steamcommunity.com/linkfilter، طلب GET غير مصدق، 2026-09-21، 53 مضيفًا، فاصل زمني 3 ثوانٍ؛ [steam_tos_assets/linkfilter-recheck-2026-09-21.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-recheck-2026-09-21.json)؛ كود HTML الخام في `steam_tos_assets/linkfilter-raw/`. مواعيد التسجيل: RDAP، [steam_tos_assets/domain-registration.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/domain-registration.json). · فحص مسبق لـ 2026-09-19 في [linkfilter-all-results.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-all-results.json) · إدخال سجلات المسارات في [auth-route-audit.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit.json) · لقطات من «Wayback Machine» لصفحات «Link Filter»، 2026-09-21، المدرجة في [wayback-snapshots.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/wayback-snapshots.json) (لا توجد لقطة لموقع rbsnin.com؛ والملف الخام المحلي هو السجل الوحيد).

مواعيد التسجيل: RDAP (`steam_tos_assets/domain-registry/`). «عنوان URL الخاص بـ OpenID المُقدَّم» يحدد معلمات الطلب، ولا يُعد تسجيل دخول مكتملًا. لم يقم المؤلفون بإتمام عملية تسجيل دخول على أي منصة. لا يُعد وجود نطاق منفصل بحد ذاته دليلاً على التهرب. كما أن عبارة «تم حظر 0 مضيفات مصادقة» ليست نتيجة مستقلة: فحظر مضيف واحد من شأنه تعطيل عملية تسجيل الدخول Steam لتلك المنصة، لذا لا يمكن أن يحتوي السجل المُجمَّع من عمليات تسجيل الدخول الناجحة على مضيف مصادقة محظور. الملاحظة التي تحمل وزنًا هي الاقتران ومدته — نطاق رئيسي في «مرشح الروابط» بجانب نطاق تسجيل دخول ظل يعمل لسنوات. يحتوي هذا الجدول على 30 صفًا: 25 من أصل 27 مسارًا مع ملف أدلة لكل مسار، بالإضافة إلى خمسة تمت إضافتها في 2026-09-22 حيث تم تسجيل تقسيم «مرشح الروابط» الخاص بها في [linkfilter-2026-09-22.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-2026-09-22.json) على الرغم من أن المجموعة نفسها تم جمعها يدويًّا — كما يتضح من الصفوف الموجودة في عمود «المصدر». أما مسارا ملفَي الأدلة اللذان لم يظهران فهما skinsnipe.com (مضيف المصادقة `pricing.tradeupspy.com`، المسجل بـ 2020-03-11) وموقع csgobig.com (مضيف مصادق عليه `letmeinbig.com`، مسجلة بـ 2023-01-20)؛ وقد أظهر كلاهما أن المضيف الرئيسي «محظور» / «سليم» في عملية التحقق من 2026-09-22، المسجلة باستخدام خوارزمية SHA-256 في [linkfilter-2026-09-22c.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-2026-09-22c.json)، لكن كود HTML الخام لتلك الدفعة غير موجود في المجموعة المنشورة، لذا تم ذكر أسمائها هنا بدلاً من تخصيص صف لها، وهو ما يتضح من كل سطر آخر في هذا الجدول. أما المسارات الـ 12 المتبقية التي تم جمعها يدويًّا في السجل، فقد تم تحديدها على هذا النحو في [master_registry.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/master_registry.json) تحت `realm_src: user`.

التدقيق التجريبي الأولي · نطاق زمني متعدد السنوات 

### فخ «الصورة الكبيرة»: «مرشح الروابط» مجرد مسرحية للامتثال، وليس درعًا واقيًا

في متصفحات أجهزة الكمبيوتر المكتبية، يتم حماية المستخدمين بواسطة آليات دفاع خارجية: حيث تعمل ميزة «التصفح الآمن» من جوجل و«سمارت سكرين» من مايكروسوفت على اعتراض محاولات التصيد الاحتيالي المعروفة من خلال عرض تحذيرات حمراء تشغل الشاشة بالكامل. **في وضع «Big Picture» في Steam، والطبقة التراكبية داخل اللعبة (Shift+Tab)، ومجموعة Steam (SteamOS)، لا توجد هذه الدفاعات.** لا يدعم المتصفح المدمج أي ملحقات، ويقوم بتعطيل محركات «التصفح الآمن» الخارجية، ولا يترك للمستخدم سوى حاجز وقائي واحد فقط: Valve's `linkfilter` بين الخلايا.

اسحب لمقارنة النتائج الأربع ←

92.5%

2025–2026: هجمات التصيد الاحتيالي المتطورة **تمت الموافقة عليه دون أي ملاحظات** (37/40)

77.5%

2023–2024: حقبة التصيد الاحتيالي CS2 **تمت الموافقة عليها دون أي ملاحظات** (31/40)

70.0%

حالات التصيد الاحتيالي القديمة للفترة 2021–2022 **تمت الموافقة عليها دون أي ملاحظات** (28/40)

7 / 7

تم حجب مواقع المقامرة (عينة مرجعية إيجابية)

تدقيق طولي متعدد السنوات: اختبار 120 نطاقًا خالصًا Steam مخصصًا للتصيد الاحتيالي في الوقت الفعلي (24 سبتمبر 2026)

ولتحديد ما إذا كان مرشح Valve يعاني ببساطة من بطء في استيعاب التهديدات الجديدة أم أنه يعاني من عمى تام تجاهها، قمنا بتدقيق **120 نطاقًا مؤكدًا للتصيد الاحتيالي يستهدف Steam** عبر ثلاث مجموعات تاريخية مقارنة بـ `steamcommunity.com/linkfilter`:

- **الدفعة الأولى: 2021–2022 (العروض التجارية الكلاسيكية وإسقاط العناصر) — 70.0% اجتياز كامل (28/40).** حتى بعد مرور 4 إلى 5 سنوات على إدراجها في قوائم المراقبين المجتمعيين، لا تزال 7 من كل 10 خوادم قديمة تُستخدم في عمليات التصيد الإلكتروني تعمل دون أي حظر.

- **الدفعة الثانية: 2023–2024 (حملة الترويج لـ CS2 Beta وطلبات الدعم المزيفة) — 77.5% اجتياز نظيف (31/40).** الحملات التي تنتحل صفة إصدارات «Counter-Strike 2» والنداءات المزيفة الموجهة إلى المجتمع (على سبيل المثال: `cs2-steam.com`، `appealsteamcommunity.help`) تمر مباشرة من خلالها.

- **الدفعة الثالثة: 2025–2026 (عمليات النشر على الحافة بدون خادم ونسخ أيقونة الموقع) — 92.5% اجتياز كامل (37/40).** مجموعات أدوات التصيد الاحتيالي الحديثة التي يتم نشرها على EdgeOne وVercel وCloudflare Pages (على سبيل المثال: `steamgifter.online`، `steam-dp4lt5b8fnez.edgeone.dev`) يمرون دون أي عوائق تذكر.

**القياس عن بُعد و«درع المسؤولية»، وليس الحماية.** لماذا يوجد «مرشح الروابط» إذا كان يسمح بمرور 70% إلى 92.5% من حالات التصيد الاحتيالي الخالصة من النوع Steam؟ إنه يعمل كإخلاء مسؤولية للشركة وكمستشعر لقياس أداء النقرات الصادرة. من خلال تقديم طلب مهذب *"أنت تغادر Steam"* إشعار يحتوي على زر أخضر قابل للنقر عليه بعنوان «متابعة»، حيث يُلقي Valve بالمسؤولية القانونية على عاتق الضحية بموجب Steam اتفاقية الاشتراك (*«قام المستخدم طواعيةً بالتصفح خارج Steam»*). Valve يجمع بيانات القياس عن بُعد الخاصة بالنقرة، لكنه لا يمنع السرقة.

**دليل "Favicon Hash": عدم استيعاب أي موجزات للتهديدات.** تقوم منصات استخبارات التهديدات المستقلة (urlscan.io، Shodan، Censys) بتحديد مجموعات التصيد الاحتيالي النشطة Steam من خلال إجراء بحث بسيط عن التجزئة الرسمية لرمز المفضلة الخاص بـ Steam (`page.favicon.hash:9f890a9debcdfccc339149a7943be9aff9e4c9203c2fa37d5671a5b2c88503ad NOT domain:*.steampowered.com`). يكشف هذا الفحص الآلي الأساسي عن مجموعات التصيد النشطة في غضون ثوانٍ. لا يقوم Valve بالمزامنة مع مصادر البيانات الخارجية، ولا يُجري عمليات تعقب التهديدات القائمة على التجزئة، ولا يتدخل يدويًّا إلا عندما يُجبر على ذلك من قبل الجهات التنظيمية (أمر WSGC لعام 2016 المتعلق بالمقامرة) أو لحماية سلاسل نطاقاته المسجلة كعلامات تجارية.

**أدلة المراجعة الأولية المادية:** تدقيق طولي متعدد السنوات يشمل 120 مجالًا: [تقرير-التدقيق-الطولي-لعمليات-التصيد-الخادع-عبر-البخار.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/longitudinal-steam-phishing-audit.json) · 100 عينة مخصصة من Steam للتصيد الاحتيالي: [linkfilter-steam-phishing-100.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-steam-phishing-100.json) · تدقيق شامل لبيانات التغذية (n=250): [linkfilter-coverage-2026-09-22.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-coverage-2026-09-22.json).

CSGOEmpire — التسجيل الجماعي لعشرة نطاقات مصرح بها ومرقمة 

في **2020-07-20** عشرة نطاقات مرقمة، `csgoempirelogin1.com` من خلال `csgoempirelogin10.com`، تم تسجيلها. وتوجد طوابع زمنية من Verisign RDAP مسجلة لجميع الحالات العشر: login1 05:49:06Z، login5 05:49:08Z، login2 05:49:11Z، login3 05:49:14Z، login4 05:49:17Z، login6 05:49:20Z، login7 05:49:23Z، login8 05:49:26Z، login9 05:49:28Z — **تسعة نطاقات في 22 ثانية** — و«login10» في الساعة 05:56:03Z، بعد سبع دقائق. ويتوافق التباعد الزمني بينهما مع عملية جماعية واحدة من جانب مسجل النطاقات.

يتوافق هذا النمط مع المضيفات الاحتياطية التي تم تجهيزها مسبقًا؛ فقط `login4` وقد لوحظ ذلك في طلب OpenID فعلي. أظهر كل من csgoempire.com و csgoempirelogin4.com نتيجة «CLEAN» في «Link Filter» عند 2026-09-21؛ ولم يكن موقع CSGOEmpire من بين المواقع المذكورة في التقارير الصحفية المتعلقة بالإشعارات الصادرة في يوليو 2016.

# DNS — جميعها الـ10 نشطة (سبتمبر 2026)

حسنًا csgoempirelogin1.com 172.67.129.43

حسنًا csgoempirelogin2.com 172.67.175.168

حسنًا csgoempirelogin3.com 188.114.96.3

حسنًا csgoempirelogin4.com 188.114.96.11 ← في حركة مرور OpenID

حسنًا csgoempirelogin5.com 172.67.160.194

حسنًا csgoempirelogin6–10.com عناوين IP الخاصة بـ Cloudflare

NXDOMAIN: csgoempirelogin11.com

تم تسجيل جميع العناصر العشرة 2020-07-20؛ وتم توقيت جميع العناصر العشرة بواسطة RDAP (steam_tos_assets/domain-registry/csgoempireloginN.com.rdap.json)

خلاصة موجهة للجهات التنظيمية 

### إن وجود نطاق رئيسي محجوب مقترن بمضيف مصادقة غير محجوب يترك مسار تسجيل الدخول مفتوحًا — ويظل مفتوحًا لسنوات.

يُعد كتلة «Link Filter» في المجال الرئيسي سجلاً عاماً قابلاً للتحقق. ويقوم مضيف المصادقة بنقل حركة المرور الخاصة بـ «تسجيل الدخول باستخدام Steam»، ويظهر في معلمات طلب OpenID الخاصة بـ Valve. عند إجراء عمليات التحقق على 2026-09-21 و2026-09-22، في 26 زوجًا من الأزواج المقسمة بواسطة التصفية، أرجع النطاق الرئيسي كتلة تصفية الارتباط بينما لم يرجع الوكيل الذي يحمل عملية تسجيل الدخول الخاصة به أي شيء. يسجل السجل أعلاه النصف الآخر من ذلك: هذه المضيفات ليست نطاقات مؤقتة قصيرة العمر. كان العديد منها مسجلاً منذ أكثر من عقد من الزمن حتى تاريخ الفحص، وكل يوم من تلك الأيام هو يوم تلقى فيه Valve اسم المضيف في معلمات طلبه الخاصة. لم تنشر Valve أي سجل إنفاذ لكل مشغل، لذا لا يمكن تحديد ما إذا كانت أي إجراءات أخرى قد طُبقت على هذه المضيفات من البيانات العامة.

12 سنة و6 أشهر

تم حظر موقع csgogem.com في «مرشح الروابط».
مضيف تسجيل الدخول الخاص به `api.csgem.com` كان
مسجل منذ 2014-03-08، وهو ليس كذلك.

ملخص بلغة بسيطة — للجهات التنظيمية والمحاكم (توسيع)

ملخص بلغة بسيطة — للجهات التنظيمية

### الخلفية: ما هو Steam ولماذا يكتسب أهمية في هذا السياق

Steam هي منصة برمجية تديرها شركة Valve (بيلفيو، واشنطن، الولايات المتحدة الأمريكية). Steam تعمل كمزود للهوية الرقمية: تستخدم مواقع المقامرة والألعاب عبر الإنترنت نظامًا يُسمى «تسجيل الدخول باستخدام Steam» — وهو زر يتيح للموقع التحقق من أن الزائر يمتلك حسابًا حقيقيًّا على Steam. وهذا مشابه لـ «تسجيل الدخول باستخدام Google» أو التحقق من بطاقة الهوية الصادرة عن الحكومة: حيث يُحيل الموقع الإلكتروني المستخدم إلى خوادم Steam، وتقوم Steam بالتحقق من هويته، ثم تعيده Steam إلى الموقع الإلكتروني. **تقوم Valve بتشغيل نظام المصادقة. وتمر كل عملية تسجيل دخول تتم عبر خيار «تسجيل الدخول باستخدام Steam» عبر خوادم Valve الخاصة.**

### ما فعله Valve: حجب النطاق

في يوليو 2016، في أعقاب الضغوط الإعلامية والقانونية بشأن المقامرة باستخدام «السكين»، أرسل محامي Valve إخطارات إلى ما يقرب من 23 موقعًا للمقامرة تم تحديدها (وفقًا لتقارير صحفية صادرة في 21 يوليو 2016)؛ وفي أكتوبر 2016، أبلغت شركة Valve لجنة المقامرة بولاية واشنطن أنها اتصلت بأكثر من أربعين موقعًا. وتظهر بعض نطاقات المقامرة في **Steam مرشح الروابط** — قائمة تجعل أي رابط يؤدي إليهم يتم نشره داخل Steam (في الدردشة، أو على صفحة الملف الشخصي، أو في المتجر) يعرض صفحة تحذير: *"الرابط محظور!"* يُعد «مرشح الارتباط» الإجراء التنفيذي الوحيد الذي يمكن ملاحظة تأثيره من خارج Valve.

**مثال:** رابط إلى `rollbit.com` يؤدي الخيار Steam إلى عرض صفحة تحذير «Link Filter» (تم تحديد الخيارين 2026-09-19 و2026-09-21). من الناحية النظرية، يتم حظر موقع المقامرة.

### ما هو نطاق الوكيل؟

أ **مضيف المصادقة ذو النطاق المنفصل هو وكيل مصادقة**: عنوان موقع إلكتروني ثانٍ، على نطاق قابل للتسجيل مختلف، يضعه المشغل نفسه بين مستخدميه وSteam لغرض وحيد هو تنفيذ خطوة «تسجيل الدخول باستخدام Steam». وهو يعمل كوسيط لعملية تسجيل الدخول. يعتقد المستخدم أنه يقوم بتسجيل الدخول إلى المنصة؛ لكن الطلب الذي يصل إلى Valve يحمل اسم مضيف الوكيل، وليس اسم مضيف المنصة. وعادةً ما لا يكون له أي ارتباط ظاهر للعيان بموقع المقامرة، وهو العنوان الذي يستقبل المستخدمين مرة أخرى بعد أن يؤكد Steam هويتهم.

**مثال:** تعمل Rollbit بموجب `rollbit.com`، وهو ما يحجبه مرشح الارتباط. بالنسبة لعملية المصادقة Steam، استخدم التدفق الذي لوحظ على 2026-09-20 عنوانًا منفصلاً: `rbsnin.com`، المسجل بـ 2026-09-18. وقد أرجع هذا العنوان **لا توجد كتلة «تصفية الروابط»** في 2026-09-21. استمر موقع المقامرة في العمل، ومرت عملية تسجيل الدخول Steam عبر المضيف غير المحظور.

### النقطة الحاسمة: يتم إرسال معرّف المضيف إلى Steam في كل طلب

Valve لا يحتاج إلى إجراء مسح أو زحف لمعرفة مضيفي المصادقة قيد الاستخدام. Steam هو **مزود الهوية OpenID** بالنسبة لهذه المواقع، فإن كل نقرة على زر «تسجيل الدخول باستخدام Steam» ترسل طلب GET إلى خوادم Valve نفسها، متضمنةً اسم مضيف المصادقة في نص عادي. بموجب OpenID 2.0 §9.1، فإن `return_to` هذا الحقل اختياري من الناحية الشكلية، ولكن بدونه لا يمكن لـ Steam تقديم نتيجة تسجيل الدخول، لذا فهو مطلوب فعليًّا لضمان نجاح عملية تسجيل الدخول Steam. أما Steam نفسه فيعرض اسم المضيف على صفحة تسجيل الدخول ("*<host> ليس تابعًا لـ Steam أو Valve*").

— شكل الطلب Steam الذي يتم استلامه (المضيف كما لوحظ في حالة Rollbit في 2026-09-20): —

احصل على steamcommunity.com/openid/login

&openid.mode= checkid_setup

&openid.return_to= https://rbsnin.com/… ← مطلوب فعليًّا؛ يظهر في سجل Valve

&openid.realm= https://rbsnin.com ← وفقًا لما أعلنه الموقع نفسه؛ يتم عرضه على صفحة تسجيل الدخول الخاصة بـ Steam

إذا كان الموقع يستخدم التحقق من خادم إلى خادم (check_authentication)، فإن سجل Valve يسجل أيضًا عنوان IP لخادم المنصة وشبكة الاستضافة.

يُعد استخراج اسم المضيف من هذا الطلب عملية قياسية. أما سجل التنفيذ — الذي يوضح المضيفات التي تم اتخاذ إجراء بشأنها، وتلك التي لم يتم اتخاذ إجراء بشأنها، والمعايير التي استند إليها ذلك — فهو موجود فقط في البنية التحتية لـ Valve ولم يتم نشره.

### ما الذي يثبته هذا؟

**1. تعمل وحدة «تصفية الروابط» على الروابط، وليس على عمليات تسجيل الدخول.** حجب النطاق الرئيسي (على سبيل المثال `rollbit.com`) يعرض تحذيرًا للمستخدمين الذين ينقرون على الروابط المؤدية إليه داخل Steam. وهذا لا يمنع الموقع من العمل، ولا يمنع استخدام خدمة OpenID الخاصة بـ Valve عبر عنوان مختلف.

**2. لم يتم حظر مضيفي المصادقة الذين تم اختبارهم.** يُظهر الجدول أعلاه مضيفات المصادقة ذات المجالات المنفصلة التي تم تسجيلها بين عام 2011 وسبتمبر 2026، وقد تم تسجيل العديد منها بعد مرور سنوات على الإشعارات الصادرة في يوليو 2016. في 26 زوجًا، أرجع النطاق الرئيسي حظرًا من «Link Filter» بينما لم يفعل الوكيل الذي يحمل معلومات تسجيل الدخول الخاصة به ذلك (عمليات فحص غير مصدقة، 2026-09-21 و2026-09-22؛ تم حفظ الردود الأولية و SHA-256). كان ذلك الوكيل سيتوقف عن العمل في اليوم الذي رفضه فيه Valve، ولهذا السبب فإن المقياس هنا هو المدة التي استمر فيها العمل، وليس ما إذا كان مدرجًا في القائمة أم لا. يتلقى Valve أسماء المضيفين هذه في طلبات OpenID الخاصة به. لا يمكن تحديد ما إذا تم تطبيق أي إجراء آخر بخلاف «Link Filter» من البيانات العامة، لأن Valve لم ينشر أي سجل إنفاذ لكل مشغل.

**3. استمرت المواقع في إجراء عملية المصادقة عبر البنية التحتية لـ Valve.** "تسجيل الدخول باستخدام Steam" هي خدمة تقدمها Valve؛ وكل عملية مصادقة تتم من خلالها هي طلب تتلقاه Valve وتقوم بمعالجته. كما يحقق Valve إيرادات من مفاتيح الحالات، ويفرض سوق المجتمع Steam رسومًا إجمالية تبلغ حوالي 15% على المعاملات التي تتم داخل السوق (وليس على المعاملات الخارجية). أدى إجراء «Link Filter» إلى إنشاء سجل عام؛ ولم يقطع علاقة المصادقة.

هل كان الحظر سيؤتي ثماره؟

وبالمثل: عندما أوقفت شركة «فريينوم» (Freenom) — وهي شركة تسجيل النطاقات المجانية — نشاطها في عام 2023، توقفت حملات التصيد الاحتيالي التي كانت تعتمد على نطاقاتها. وتعتمد استمرارية التشغيل على استقرار البنية التحتية.

وينطبق المنطق نفسه هنا. فإذا تم رفض مضيف المصادقة أثناء معالجة OpenID في Steam، فإن وظيفة «تسجيل الدخول باستخدام Steam» في المنصة ستتوقف عن العمل إلى أن يتم تسجيل مضيف جديد وإصدار الشهادات وانتشار التغييرات في نظام أسماء النطاقات (DNS). وخلال تلك الفترة: سيحدث تعطل في الخدمة.

**التناوب لا يجعل عملية الحجب عديمة الجدوى.** وهذا يجعل عملية الحظر تكلفة تشغيلية. ونظرًا لأن المضيفات الجديدة تظهر في سجلات الطلبات الخاصة بـ Valve عند الاستخدام الأول، فقد يتم تنفيذ الاستجابة بنفس سرعة ذلك الاستخدام الأول.

**يُعد التسجيل الجماعي في حد ذاته إشارةً:** تم تسجيل حسابات «login1» إلى «login10» التابعة لموقع CSGOEmpire على 2020-07-20، تسعة منها في غضون 22 ثانية (Verisign RDAP). ولا يشترط أن تكون الاستجابة لكل نطاق على حدة؛ فمن الممكن اعتبار سلسلة متتالية من جلسة واحدة لدى المسجل سلسلة واحدة.

لا يظهر في السجل العام أي محاولة لحظر مضيفي المصادقة تم إحباطها عن طريق التناوب.
ويُظهر التقرير النطاقات الرئيسية المحجوبة في الوقت الذي ظل فيه الوكيل الذي يحمل كل عملية تسجيل دخول قيد التشغيل — 26 زوجًا حتى تاريخ 2026-09-22، وأقدم مضيف مصادقة مسجل منذ 12 عامًا و6 أشهر — ولا توجد سجلات منشورة تتعلق بتطبيق الإجراءات على أي مشغل.
وبالتالي، فإن السؤال المطروح على الجهة التنظيمية هو: ما هي إجراءات الإنفاذ، إن وجدت، التي طبقتها Valve على مضيفي التوثيق الذين تتلقى معلوماتهم في طلبات OpenID الخاصة بها؟

ما الذي فعله Valve — ولماذا لم يقطع مسار المصادقة

يوضح الجدول أدناه كل إجراء Valve موثق علنًا، مع تحديد ما إذا كان قد أثر على نقطة دخول المصادقة عبر OpenID أم لا. والنتيجة ليست أن «Valve لم يفعل شيئًا» — بل هي أن أياً من الإجراءات الموثقة علنًا لم تمس النقطة التي تمر عبرها عمليات تسجيل الدخول إلى منصات المقامرة عبر خوادم Valve.

| التاريخ | Valve الإجراء | المتضررون `openid.return_to` المسار؟ |
| --- | --- | --- |
| يوليو 2016 | بيان عام صادر في 13 يوليو 2016؛ إخطارات من المحامي إلى حوالي 23 موقعًا محددًا (الصحافة، 21 يوليو 2016)؛ تم الاتصال بأكثر من 40 موقعًا بموجب رسالة Valve الموجهة إلى WSGC في أكتوبر 2016 | لا. تعمل الإشعارات و«مرشح الروابط» على العوامل والروابط؛ ولم يتغير مسار طلب OpenID. |
| 2017 | إغلاق `IEconItems_730/GetPlayerItems` (وفقًا لحساب CSFloat الهندسي؛ لم يتم العثور على سجل التغييرات Valve) | لا. تأثرت إمكانية الاطلاع على سجل العناصر العامة. لم يتم تعديل عملية المصادقة عبر OpenID. |
| 2018-03-29 | الإعلان عن تجميد تداول الأغراض في CS:GO لمدة 7 أيام (blog.counter-strike.net) | لا. تباطؤ في حركة العناصر؛ لم يتم تغيير مسار طلب OpenID. |
| 2022-05-10 | تمت إزالة نقاط نهاية إلغاء الصفقات من واجهة برمجة التطبيقات العامة على الويب (اكتشفها المستخدم؛ لا يوجد سجل تغييرات Valve — node-steam-tradeoffer-manager #325) | لا. تم إغلاق أداة تبادل العروض؛ ولم يتم تعديل عملية المصادقة عبر OpenID. |
| 2023-12-04 | أصبح إنشاء مفتاح API يتطلب الآن تأكيدًا عبر الهاتف المحمول (steamcommunity.com/dev/apikey؛ لا توجد قائمة بالتغييرات) | لا. تمت حماية نقطة النهاية الرئيسية؛ ولم تتأثر أجهزة المصادقة المذكورة هنا. |
| 2026-09-19 / 21-09 | Steam حالة مرشح الارتباط كما لاحظها المؤلفون | أظهرت المجالات الرئيسية رقم 14 حظرًا في عملية إعادة الفحص 2026-09-21 المحفوظة — 26 زوجًا مقسّمًا في السجل بمقدار 2026-09-22 — في حين استمر الوكيل الذي يحمل كل عملية تسجيل دخول في العمل. |

المصادر: Valve بيان بتاريخ 13 يوليو 2016 ([store.steampowered.com/oldnews/22883](https://store.steampowered.com/oldnews/22883)، [محفوظ 2026-09-21](https://web.archive.org/web/20260921021947/https://store.steampowered.com/oldnews/22883)) · تقرير شركة CSFloat الهندسية عن الإغلاق الذي حدث عام 2017 ([blog.csfloat.com](https://blog.csfloat.com/how-floatdb-tracks-items/)، [محفوظ 2026-09-21](https://web.archive.org/web/20260921022415/https://blog.csfloat.com/how-floatdb-tracks-items/)) · حالة مرشح الروابط: [linkfilter-recheck-2026-09-21.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-recheck-2026-09-21.json).

يمكن دحض هذه النتيجة من خلال مثال واحد منشور، حيث رفض Valve طلب OpenID لأن `openid.return_to` تشير إلى مضيف مرخص لممارسة القمار. ولم يتم العثور على أي مثيل من هذا القبيل في السجلات العامة.

أحدث تسجيلين لمضيف المصادقة

**howl.uno** تم تسجيله في 2026-08-11 (RDAP)، قبل 2026-09-21 بـ 41 يومًا؛ وأظهر موقع howl.gg حظرًا بواسطة «Link Filter» في 2026-09-18 و2026-09-19 و2026-09-21. ولم يتأكد بعد ما إذا كان الحظر قد سبق التسجيل أم لا.

**rbsnin.com** تم تسجيله في 2026-09-18T09:34:52Z (Verisign RDAP) ولوحظ في مسار تسجيل الدخول Steam الخاص بـ Rollbit في 2026-09-20 من خلال إشعار صفحة تسجيل الدخول الخاصة بـ Steam؛ أرجع موقع rollbit.com حظرًا من «Link Filter» في 2026-09-19 و2026-09-21، بينما لم يفعل موقع rbsnin.com ذلك.

يتم إرسال كل مضيف وارد في الجدول أعلاه إلى خوادم المصادقة الخاصة بـ Valve على النحو التالي: `openid.realm` عند كل محاولة تسجيل دخول.

البيانات الكاملة لكل مسار وقرارات «Link Filter»: الجدول الوارد في القسم 3 أعلاه؛ النتائج الأولية في [linkfilter-recheck-2026-09-21.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-recheck-2026-09-21.json) و [linkfilter-all-results.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-all-results.json).

المنهجية — كيفية تحديد أعداد المرشحات الخاصة بالمسارات والوصلات

1. تحويل عناوين النطاقات

أدى تدقيق 2026-09-21 إلى حل 78 من أصل 189 منصة مطلوبة: **33 منها تُجرى المصادقة على اسم المضيف الخاص بها و20 على النطاق الفرعي الخاص بها — وهي مصادقة مباشرة، ولا يُحسب أي منها كمسار لنطاق منفصل.** الباقي **25 المصادقة من خلال نطاق منفصل قابل للتسجيل**، موزعة على 24 اسم مضيفًا مختلفًا (يُشترك في dota2.net كل من market.csgo.com و rust.tm): 10 منها تم تحديدها من خلال التقاط مباشر لصفحة المتصفح، و3 من خلال إشعار صفحة تسجيل الدخول الخاصة بـ Steam، و12 من خلال عنوان URL لـ OpenID تم توفيره. السجل المباشر ([master_registry.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/master_registry.json)، 2026-09-22) يوسع ذلك ليشمل **44 مسارًا لنطاقات منفصلة**: 26 زوجًا من المسارات المقسمة حسب المرشح (النطاق الرئيسي «محظور»، مضيف المصادقة «سليم») بالإضافة إلى 18 مسارًا آخر دون تقسيم حسب النطاق الرئيسي. ومن بين الـ 44، **27 الاحتفاظ بملف أدلة لكل مسار**؛ أما الـ17 الأخرى فقد تم جمعها يدويًّا وهي مُعلَّمة `realm_src: user` في السجل. تمت إضافة خمسة من هذه المواقع السبعة عشر — csgogem.com، وgamdom.com، و12cs.fail، وcsgolounge.com، وdota2lounge.com — في 2026-09-22 مع تسجيل من «Link Filter» لكلا المضيفين (HTML الخام + SHA-256 في [linkfilter-2026-09-22.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-2026-09-22.json))، لذا فإن الانقسام نفسه واضح على الرغم من أن المجال تم جمعه يدويًّا؛ وهي تظهر في الجدول أعلاه جنبًا إلى جنب مع مسارات ملفات الأدلة. `tfauth.com` (tf2easy.com) تم حذفه من السجل في 2026-09-22: ومثل موقع arena.fragnet.net، لا توجد أي روابط يمكن التحقق منها تربطه بموقعه الأصلي. ويمكن إعادة حساب العدد من البيانات المنشورة [auth-route-audit.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit.json) (سلسلة 2026-09-21) وفقًا لقاعدة واحدة: لا تُحتسب المنصة إلا إذا كان مضيف OpenID الملحوظ Steam الخاص بها يقع على نطاق قابل للتسجيل يختلف عن نطاق المنصة نفسها.

2. Steam حالة مرشح الروابط

تم اختباره عبر `steamcommunity.com/linkfilter/?url=https://[domain]`، غير مصدق، على 2026-09-19 و2026-09-21؛ تم حفظ HTML الخام باستخدام SHA-256. تم تسجيل الحالة للنطاق الرئيسي ومضيف المصادقة بشكل منفصل. يقوم مصنف بالتمييز بين الإشعار العام «أنت تغادر Steam» (CLEAN) والصفحة «الرابط محظور! ... تم الإبلاغ عنه باعتباره خبيثًا محتملًا» (BLOCKED)؛ ويؤكد عنصر تحكم google.com عدم الخلط بين الاثنين. تم استبعاد نسخة سابقة تم توثيقها من هذا الاختبار بعد أن أظهرت نتيجة «محظور» لكل نطاق بما في ذلك عنصر التحكم المذكور — وتبين أن السبب هو ملف تعريف ارتباط جلسة غير صالح في البرنامج النصي للاختبار، وليس نتيجة حقيقية.

3. مراقبة مضيف المصادقة

التسجيل المباشر: قام متصفح Playwright بالانتقال إلى عملية تسجيل الدخول الخاصة بكل منصة وـ `openid.return_to` تم قراءة اسم المضيف من الطلب الذي تم اعتراضه. ملاحظة بشأن صفحة تسجيل الدخول: تم قراءة اسم المضيف من صفحة " الخاصة بـ Steam"*<host> ليس تابعاً لـ Steam أو Valve*" النص، الذي يُعرض بواسطة Steam من `openid.realm` (rbsnin.com، sc-auth.net، auth.dota.trade). رابط URL المُقدم: رابط URL لتسجيل الدخول a Steam تم تزويد المؤلفين به؛ ويحدد هذا الرابط معلمات الطلب، ولا يمثل عملية تسجيل دخول مكتملة. لم تتم عملية تسجيل دخول مكتملة على أي منصة.

4. التغطية — ما لم يتم حله، وأهمية ذلك

من بين 189 منصة، **110 لم تسفر عن مسار محدد** وكان هناك حالة واحدة غير قابلة للتطبيق (189 − 78 − 1). ولم يُدرج هذا الملف أيًّا منها. تفصيل الـ 110 حالة، من ملف التدقيق: 22 تحديًا للروبوتات، و14 حالة انتهاء المهلة، و12 خطأ HTTP، و10 أخطاء تنقل — لم يتمكن المراقب من الوصول إلى مسار تسجيل الدخول، على الرغم من أن معظم هذه المواقع تفتح بشكل طبيعي في متصفح عادي؛ 20 موقعًا لم تظهر فيها أي آلية تحكم في تسجيل الدخول على الصفحة المقصودة؛ و16 موقعًا وصلت إلى مسار تسجيل الدخول الذي تعذر تحويله إلى مضيف؛ و11 نطاقًا لم يتم تحويلها في نظام أسماء النطاقات (DNS)؛ و5 مواقع توقفت عند حاجز الموافقة. السجل أدناه يقسم نفس الـ110 بشكل مختلف: الـ11 التي لم يتم تحويلها في نظام أسماء النطاقات (DNS) مدرجة بشكل منفصل على النحو التالي: *تمت إزالته · NXDOMAIN*، والمدخلة الوحيدة غير القابلة للتطبيق تنضم إلى البقية. تم تدقيق 189 منصة، وتم حذف 11 منها نتيجة لرد NXDOMAIN نهائي من كلا المحللين، **178 تم الاحتفاظ بهم** ([platform-audit.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/platform-audit.json)، [platforms-removed.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/platforms-removed.json)). **تم حذف 137 نطاقًا للتوثيق كان السجل قد خمّنها استنادًا إلى نمط التسمية من البيانات الموجودة في 2026-09-19 — لم يتم رصدها قط، وبالتالي لم تكن هناك أدلة عليها.** تعارضت ثلاثة من التخمينات مع عناوين URL الخاصة بـ OpenID التي تم توفيرها: حيث يتم المصادقة مباشرةً عبر buff.163.com وgamerpay.gg وcsgoluck.com، في حين كانت التخمينات تشير إلى buffauthproxy.163.com وgamerpayredirect.io وlucklogin.app. وترد قائمة بحالات الحذف في ملف التدقيق المنشور.

الرقم 25 يمثل الحد الأدنى، وليس الحد الأقصى. ومن بين المنصات الـ78 التي تم حل مشكلتها، استخدمت 25 منها نطاقًا منفصلاً، بينما لم تستخدم 53 منها نطاقًا منفصلاً. ولا يُستنتج أي شيء بشأن المنصات الـ110 التي لم يتم حل مشكلتها من هذه النسبة، كما لا يرد أي توقع مستمد منها في أي مكان في هذا الملف. يمكن حل كل حالة منها عن طريق قيام شخص بفتح الموقع والضغط على «تسجيل الدخول باستخدام Steam»: حيث يظهر اسم مضيف المصادقة في عنوان URL للصفحة Steam التي يتم تحميلها.

**الهدف من هذا القسم:** يحتاج المراقب المستقل إلى متصفح وكثير من الصبر لتحديد 189 منصة، وقد تمكن من تحديد 78 منها. يتطلب Valve استعلامًا عن قاعدة البيانات. كل منصة تستخدم خيار «تسجيل الدخول باستخدام Steam» — سواء تم تحديدها أم لا — ترسل `openid.realm` إلى نقطة نهاية المصادقة الخاصة بـ Valve عند كل عملية تسجيل دخول. وتوجد فجوة في هذا الجدول لأن المؤلفين خارج النظام. ولا توجد هذه الفجوة بالنسبة لـ Valve.

توجد أسماء المضيفين البديلة التي تم رصدها في [auth-route-audit.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit.json). تواريخ تسجيل النطاق من RDAP (Verisign) / IP2WHOIS. نتائج تصفية الروابط في [linkfilter-all-results.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-all-results.json).

مثال توضيحي

تخيل أن الجهات التنظيمية أبلغت شركة سيارات أجرة مرخصة بأنها لم تعد مسموحة بالعمل من عنوانها المسجل في «الشارع الرئيسي». فقامت الشركة بإزالة اللافتة من «الشارع الرئيسي». وتم توثيق عملية إزالة تلك اللافتة. ومع ذلك، فتحت الشركة نفسها عنوانًا في «الشارع الجانبي» — مسجلاً باسم مختلف — وواصلت العمل من هناك. تدير الجهات التنظيمية نظام التوزيع المركزي الذي تستخدمه جميع سيارات الأجرة من كلا العنوانين. ويظهر في كل طلب توصيلة «الاستقبال من شارع سايد ستريت». ولم تقم الجهات التنظيمية أبدًا بإلغاء ترخيص شارع سايد ستريت. **كان إزالة لافتة «ماين ستريت» الإجراء التنفيذي الوحيد الذي تم اتخاذه. ولم تتوقف شركة سيارات الأجرة عن العمل مطلقًا.**

الجزء أ — السجل الفني · القسم 3.1 

### داخل Steam، قائمة Valve هي القائمة الوحيدة.

الرابط الذي يتم النقر عليه في عميل Steam، أو في واجهة العرض المدمجة داخل اللعبة، أو في وضع Big Picture، لا يُفتح في متصفح المستخدم. بل يتم عرضه داخل المتصفح المدمج الخاص بـ Steam — حيث لا توجد طبقات التحذير التي عادةً ما يطبقها المتصفح. **«مرشح الارتباط» ليس مجرد إجراء وقائي واحد من بين عدة إجراءات، بل هو الإجراء الوقائي بأكمله.**

**في متصفح عادي** ثلاث طبقات مستقلة

- **التصفح الآمن من جوجل** صفحة فاصلة تشغل المساحة الكاملة للمضيفات المدرجة في قوائم جوجل الخاصة بالتصيد الاحتيالي والبرامج الضارة، ويتم تحديثها باستمرار وبشكل مستقل عن الموقع الذي تتم زيارته.

- **ملحق المتصفح المضاد للفيروسات** تأتي معظم منتجات النقاط الطرفية المخصصة للمستهلكين مزودة بملحق متصفح يقوم بمقارنة الوجهة بقائمة السمعة الخاصة بالشركة المصنعة.

- **فحص HTTPS لنقاط النهاية** عندما يقوم المنتج بفحص TLS، يتم فحص محتوى الصفحة قبل وصوله إلى المستخدم.

**في عميل Steam، ميزة التراكب و«Big Picture»** طبقة واحدة

- **التصفح الآمن من Google** غير موجود. يتطلب هذا الفحص مفاتيح واجهة برمجة تطبيقات Google التي لم يتم توفيرها في إصدارات Chromium المدمجة؛ وفي حالة عدم وجودها، تشير وثائق تصميم Chromium نفسها إلى أن معالج «التصفح الآمن» لا يُضاف أبدًا إلى سلسلة الطلبات.

- **ملحق المتصفح المضاد للفيروسات** غير موجود. برنامج العرض الخاص بـ Steam ليس متصفح المستخدم ولا يقوم بتحميل أي ملحق من ملف تعريف متصفح المستخدم، لذا لا يتم تشغيل أي ملحق على الصفحة.

- **فحص HTTPS لنقاط النهاية** يعتمد ذلك على المنتج. حيث تنتهي حركة المرور داخل عملية موقعة برمز Valve بدلاً من متصفح معروف، كما أن عددًا من منتجات نقاط النهاية تستثني التطبيقات الموقعة من فحص TLS.

- **مرشح الروابط Steam** قائمة الحظر الخاصة بـ Valve، والتي يتم الرجوع إليها عندما يغادر رابط ما نظام Steam. هذه هي الفحص الوحيد الذي يتم إجراؤه — ويوثق الجدول أعلاه النتائج التي يعرضها هذا الفحص بالنسبة لمضيفي المصادقة المذكورين في هذا القسم.

اختبار يمكن لأي قارئ إجراؤه، وتُستبعد النتيجة في حالة فشله

افتح أحد عناوين URL الخاصة باختبار «التصفح الآمن» التي نشرتها Google (`testsafebrowsing.appspot.com`) في متصفح Chrome: تظهر نافذة منبثقة حمراء تشغل الصفحة بأكملها. افتح نفس عنوان URL من رسالة دردشة Steam، بحيث يتم عرضها في عميل Steam أو في الطبقة التراكبية: لا تظهر أي نافذة منبثقة. التحذير الوحيد الذي يمكن أن يصدره Steam هو صفحة «تصفية الروابط» الخاصة به، ويقتصر ذلك على المضيفين المدرجين في قائمة Valve.

رقم Valve القياسي في برنامج مكافآت اكتشاف الأخطاء **وقد تم التغلب على مسألة الطبقة الواحدة من قبل — في ألبوم Valve نفسه**

إذا كان «مرشح الارتباط» هو الفحص الوحيد الذي يتم تنفيذه داخل العميل، فإن أوجه الفشل الخاصة به لا تُعد مسألة ثانوية. وهناك تقريران على برنامج «HackerOne» الخاص بـ Valve، وقد تم قبول كلاهما وحلّهما، وتم الكشف عن تفاصيلهما بالكامل منذ ذلك الحين:

- [#291750](https://hackerone.com/reports/291750) [محفوظ 2025-11-16 ↗](https://web.archive.org/web/20251116185046/https://hackerone.com/reports/291750) إعادة التوجيه المفتوح · medium

### تجاوز حماية مرشح الارتباط

تم الإبلاغ عنها في 19 نوفمبر 2017، وتم حلها، وتم الكشف عنها في 9 مايو 2018. دليل صحة المفهوم الوارد في التقرير نفسه: استبدال النقطة الأيديوغرافية `。` (`%E3%80%82`) للإشارة إلى النقطة في اسم المضيف — من الممكن تجاوز الحظر. لم يظهر المحتوى الفاصل الذي يتناوله هذا القسم.

- [#1079561](https://hackerone.com/reports/1079561) [محفوظ 2026-09-24 ↗](https://web.archive.org/web/20260924181830/https://hackerone.com/reports/1079561) الإفصاح عن المعلومات · مرتفع

### متصفح الويب «Big Picture» يتسبب في تسرب ملفات تعريف الارتباط الخاصة بتسجيل الدخول ويكشف معلومات حساسة (مما قد يؤدي إلى الاستيلاء على الحساب)

تم الإبلاغ عنها في 15 يناير 2021، وتم حلها، وتم الكشف عنها في 21 سبتمبر 2021. تصنيف خطورة Valve نفسه مرتفع، ويشير العنوان إلى العواقب. يحتوي السجل الذي تم الكشف عنه على العنوان والتصنيف والتواريخ؛ ولا يتضمن المحتوى المنشور التقرير الفني، لذا لم يتم اقتباس أي شيء آخر منه هنا.

**هذا هو تفسير المؤلفين، وليس استنتاجًا واردًا في أي من التقريرين:** يقع الاثنان على جانبي البوابة نفسها. الأول هو التحذير الذي لا يظهر قبل فتح الوجهة؛ والثاني هو خروج الجلسة من العميل بمجرد فتح صفحة داخلها. التسلسل الذي يتبع سرقة الجلسة — تسجيل المفتاح دون مطالبة، وإلغاء الصفقة الحقيقية، وإرسال نسخة مكررة إلى نسخة مقلدة — هو النمط المبين في [القسم 5](https://phishdestroy.io/steam_dossier/ar/index#vulnerability-profile) إلى [القسم 8](https://phishdestroy.io/steam_dossier/ar/index#consent-analysis). تم إغلاق كلا التقريرين؛ ولم يُصنف أي منهما على أنه ثغرة أمنية نشطة. وما يثبتانه هو أمر أضيق نطاقًا ولكنه كافٍ: فالطبقة الوحيدة المتبقية لها سجل موثق بالتحايل عليها، وفقًا لسجل Valve نفسه.

المصدر: سجل الإفصاح الخاص بـ HackerOne لكل تقرير، تم استرجاعه 2026-09-22 — الرقم، العنوان، الفريق، الثغرة الأمنية، درجة الخطورة، تواريخ التقرير والإفصاح، والحالة كما نشرتها HackerOne. سجل الاسترجاع: [hackerone-reports.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/hackerone-reports.json). لم يُذكر هنا أي مبلغ للمكافأة؛ ولا يرد أي مبلغ في السجل المُفصح عنه الذي تم استرجاعه.

المراقبة الميدانية · PhishDestroy **عمليات الكشف التي عادةً ما تنهي الحملة لم تنه هذه الحملات**

شاهدنا خوادم التصيد الاحتيالي وهي تواصل جذب حركة المرور بينما تحمل **20 حالة اكتشاف مورد أو أكثر**. عندما يتم إرسال حملة من هذا النوع عبر الويب أو البريد الإلكتروني، فإنها تفشل في غضون أيام — حيث يتصرف كل من المتصفح وبرنامج مكافحة الفيروسات بناءً على تلك الأحكام. أما داخل Steam، فلا يحدث أي منهما. فقد كانت تلك الأحكام موجودة طوال الوقت. ولم يطلب العميل أي شيء على الإطلاق.

### ماذا يعني ذلك بالنسبة للقاصر الذي لديه برنامج مكافحة فيروسات مثبت على جهازه

لا يتجاهل أي تحذير ولا يعطل أي شيء. تصل رسالة داخل Steam — سكين مجاني، تصويت لصالح فريق أحد الأصدقاء — وتُفتح الصفحة داخل Steam. إنه لا يفتح متصفحًا أبدًا، لذا لا يحميه المتصفح أبدًا. برنامج مكافحة الفيروسات الخاص به قيد التشغيل وربما يكون قد صنف هذا النطاق بالفعل على أنه ضار؛ لكنه لم يُطلب منه ذلك أبدًا. **كل التحذيرات التي كان من الممكن أن تمنعه موجودة بالفعل. لكن لا شيء منها يصل إليه.** إنه يعتقد أنه لم يغادر Steam قط، وهو بالفعل لم يغادرها.

هذه العروض المجانية ليست من ابتكار المخادع — فـ«0» من العناصر المجانية هي الطريقة التي تستخدمها مواقع الأزياء والمقامرة في الإعلان عن نفسها، وهذا بالضبط هو السبب في أن الرسالة تبدو عادية. الشكاوى: [أرشيف الإجراءات التنفيذية](https://phishdestroy.io/steam_dossier/ar/steam_enforcement_evidence#support-records). بيانات العمر والأطفال: [المادة 17](https://phishdestroy.io/steam_dossier/ar/index#minors-protection).

المصادر: Steam يعرض محتوى الويب من خلال «إطار عمل كروميوم المدمج» في `steamwebhelper` العملية — انظر [التحليل الفني لـ DARKNAVY بتاريخ 27 يونيو 2024 ↗](https://www.darknavy.org/blog/exploiting_steam_usual_and_unusual_ways_in_the_cef_framework/) والمسؤولية تقع على عاتق Valve [Steam منتدى إصدار بيتا للعملاء ↗](https://steamcommunity.com/groups/SteamClientBeta/discussions/0/3365901765276206401/) [محفوظ 2025-08-04 ↗](https://web.archive.org/web/20250804051514/https://steamcommunity.com/groups/SteamClientBeta/discussions/0/3365901765276206401/). لا يتم الاعتماد على أي إصدار من CEF: فـ Chromium المدمج ليس Chrome ولا يتضمن أيًا من خدمات Google الخاصة بـ Chrome. التصفح الآمن بدون مفاتيح API: [وثيقة تصميم Chromium ↗](https://www.chromium.org/developers/design-documents/safebrowsing/) [محفوظ 2026-08-21 ↗](https://web.archive.org/web/20260821101616/https://www.chromium.org/developers/design-documents/safebrowsing/)، [مفاتيح واجهة برمجة التطبيقات (API) لـ Chromium ↗](https://www.chromium.org/developers/how-tos/api-keys/) [محفوظ 2026-08-30 ↗](https://web.archive.org/web/20260830122831/https://www.chromium.org/developers/how-tos/api-keys/) (“العديد من واجهات برمجة التطبيقات (API) الخاصة بـ Google التي يستخدمها متصفح Chrome هي واجهات خاصة بـ Google وليست مخصصة للاستخدام في المنتجات المشتقة منها”)، ونفس التأثير في الإصدارات الأخرى غير المُشفَّرة — [برميل من إنتاج محلي رقم #193814 ↗](https://github.com/Homebrew/homebrew-cask/issues/193814). عناوين URL للاختبار: [testsafebrowsing.appspot.com ↗](https://testsafebrowsing.appspot.com/).

الجزء أ — السجل الفني · القسم 4 

## تم إغلاق نقطة نهاية. فقد نظام التتبع العام مفتاحًا.

السياق وحدود المصدر

Steam تم إصدار تحديثات أزالت إمكانية الاطلاع العام على معرّفات الأصول (Asset IDs) وقيدت الوصول إلى المخزون عبر واجهة برمجة التطبيقات (API). النتيجة: أصبح من المستحيل تتبع عنصر معين باستخدام معرّف الأصول الأصلي الخاص به من خلال البيانات العامة. فيما يلي ما كان ممكنًا من قبل، وما لم يعد ممكنًا بعد ذلك، وما يكلفه ذلك للضحية التي تحاول إثبات أين ذهبت ممتلكاتها. التاريخ هو عام 2017 وفقًا لحساب الهندسة الخاص بـ CSFloat؛ ولم يتم العثور على سجل تغييرات لـ Valve. هذا التسلسل — الذي حدث بعد حوالي عام من بيان المقامرة الصادر في يوليو 2016 — يمثل السؤال التحقيقي، وليس استنتاجًا. تظل سجلات العناصر نفسها داخل أنظمة Valve؛ فقد المحققون الخارجيون إمكانية الوصول إلى سلسلة المعرّفات الأصلية، في حين أن معرّفات float و seed و paint لا تسمح إلا بمطابقة جزئية.

**تنطبق القاعدة Valve:** Steam لا يقوم قسم الدعم باستعادة العناصر التي غادرت حسابك، ويقع على عاتقك عبء إثبات ما حدث. **السجل:** في عام 2017، أغلقت Valve النقطة الطرفية التي كانت تنقل معرّفات العناصر الأصلية. وقبل ذلك، كان بإمكان أي شخص تتبع مسكن مسروق من حساب الضحية وصولاً إلى روبوت في السوق. وبعد ذلك، لم يعد بإمكان أي شخص خارج Valve القيام بذلك. **الوثيقة المطلوبة من الضحية هي تلك التي تم إيقاف تشغيلها** — وما زال موجودًا، داخل Valve.

### حقبة ما قبل انقطاع التيار الكهربائي

تاريخياً، كان كل عنصر افتراضي يتم إنشاؤه على Steam يتمتع برقم فريد عالمي وغير قابل للتغيير معرّف الأصل . يمكن لقواعد بيانات OSINT التابعة لأطراف ثالثة فهرسة هذه المعرّفات. فإذا تعرض أحد المستخدمين لسرقة أحد أصوله، يمكن للمحققين تتبع مسار ذلك الأصل المحدد أثناء انتقاله من الحساب الوسيط الخاص بالخاطف إلى حسابات التخزين التابعة لإحدى المنصات التجارية أو مواقع المقامرة.

في السابق: كان بإمكان أي شخص، باستخدام البيانات العامة، تتبع مسار أحد العناصر من حساب الضحية مروراً بحسابات وسيطة وصولاً إلى منصة تداول أو روبوت تخزين في كازينو.

### بعد التغيير

وفقًا لحساب CSFloat الهندسي، أغلقت Valve نقطة النهاية في عام 2017، وتوقف إتاحة معرّفات العناصر الأصلية للأطراف الخارجية. ولم يتم العثور على أي بيان Valve يوضح سبب هذا التغيير. وفي الفترة نفسها، لم يتم العثور أيضًا على أي إجراء منشور ضد حسابات الروبوتات التجارية التي كانت تنقل العناصر على نطاق واسع.

أياً كان السبب وراء ذلك، فقد أدى هذا التغيير إلى قطع سلسلة الحراسة العامة. لم يعد بإمكان الضحية إعادة تكوين سلسلة المعرّفات الأصلية من البيانات العامة لإثبات أن سلعة مسروقة معينة تم بيعها عبر سوق أو كازينو معين. لا تزال سجلات هذه السلعة موجودة داخل أنظمة Valve؛ لكن الجمهور والباحثين وسلطات إنفاذ القانون الذين يعملون انطلاقًا من البيانات العامة لا يمكنهم الوصول إليها.

بعد ذلك: لم يعد من الممكن تتبع عنصر معين باستخدام معرّف الأصل الأصلي الخاص به من خلال البيانات العامة. ولا توجد سلسلة حيازة المعرّف الأصلي لأي عنصر تم نقله بعد عام 2017 إلا داخل البنية التحتية لـ Valve؛ ولم يتم نشر أي سجل من هذا القبيل علنًا. لا تسمح معرّفات «فلات» و«سييد» و«بينت» إلا بمطابقة جزئية واحتمالية.

IEconItems_730

احصل على `/IEconItems_730/GetPlayerItems/v1/`

حمولة قابلة للتتبع (قبل إصدار التصحيح)

`"id": "14892281934" ,`

`"original_id": "11829910211" ,`

الحالة: يمكن للضحية تتبع مسار العنصر عبر حسابات الروبوتات.

حمولة مشوشة (بعد التحديث)

الحالي

`"id": "HIDDEN_BY_PRIVACY_SETTINGS" ,`

`"original_id": "NULL" ,`

الحالة: لم يعد بإمكان الأطراف الخارجية تتبع مسار العنصر باستخدام معرّف الأصل الأصلي من البيانات العامة.

**التأثير على الأدلة:** بعد التغيير، لم تعد البيانات العامة اللازمة لتتبع عنصر معين باستخدام معرّف الأصل (Asset ID) الأصلي الخاص به من حساب الضحية إلى روبوت في سوق أو كازينو متاحة. لا تزال السجلات الداخلية موجودة في Valve؛ ولا يمكن للضحية أو الباحث أو المحقق الذي يعمل استنادًا إلى البيانات العامة إعادة إنشاء سلسلة معرّف الأصل (حيث لا تسمح معرّفات float و seed و paint إلا بمطابقة جزئية).

المصدر: تقرير شركة CSFloat الهندسية حول إغلاق عام 2017 لـ `IEconItems_730/GetPlayerItems` — [blog.csfloat.com/how-floatdb-tracks-items](https://blog.csfloat.com/how-floatdb-tracks-items/) ([محفوظ 2026-09-21](https://web.archive.org/web/20260921022415/https://blog.csfloat.com/how-floatdb-tracks-items/)) · الحمولات المعروضة هي مجرد توضيح لشكل الحقل، وليست استجابات تم تسجيلها · لم يتم العثور على سجل تغييرات Valve خاص بهذا الإغلاق.

الجزء أ — السجل الفني · القسم 5 

## جلسة واحدة. إمكانية وصول أكبر مما يراه المستخدم.

السياق وحدود المصدر

كانت بنية مفتاح واجهة برمجة التطبيقات (API-key) الخاصة بـ Valve، كما كانت قبل التغييرات التي أُجريت في عام 2023، تختلف عن المعايير الأساسية للصناعة (OWASP ASVS، NIST SP 800-63B)، وهي الآلية الموصوفة في الشكاوى الآلية المتعلقة بسرقة المخزون المحفوظة في أرشيف الأدلة (الأقسام 6–8).

**تم تطبيق القاعدة Valve:** قام صاحب الحساب بإنشاء المفتاح، ووافق على الشروط، ويتحمل الخسارة — هذا هو الجواب الوارد في حالات الرفض المؤرشفة. **السجل:** حتى ديسمبر 2023، كان من الممكن تسجيل هذا المفتاح بمجرد ملف تعريف ارتباط الجلسة المسروق وحده. بدون كلمة مرور. بدون Steam Guard. وبدون إخطار صاحب الحساب. **لم يقم المستخدم بإنشاء المفتاح، ولم يتمكن من رؤيته، ومع ذلك قيل له إنه فعل ذلك.** أُضيفت ميزة التأكيد عبر الهاتف المحمول في 2023-12-04 — أي بعد حوالي سبع سنوات من بيان عام 2016، وحوالي ست سنوات بعد لوحات الاحتيال التي يحتفظ بها الأرشيف. ولم يتم دفع تكاليف تلك السنوات من قبل Valve، بل تم دفعها من الحسابات التي أُفرغت في تلك الأثناء، وكان جزء منها يخص أطفالًا.

OWASP ASVS 2.8 / NIST SP 800-63B درجة الخطورة: حرجة

### 1. عدم كفاية المصادقة المتدرجة

Steam سمح بإنشاء مفاتيح API ذات امتيازات عالية وذات صلاحية طويلة باستخدام ملف تعريف ارتباط الجلسة فقط. لم يكن هناك حاجة إلى المصادقة الثنائية (Steam Guard) أو تحدي المصادقة المعززة عند إعداد مفتاح واجهة برمجة التطبيقات للمطور أو تعديله، لذا فإن التأكيد عبر الهاتف المحمول Steam Guard — وهو العامل الثاني الوحيد الذي يقدمه Steam — لم يحمِ هذه الخطوة. (تم طلب عامل ثانٍ عبر جهاز في أداة التتبع الخاصة بـ Valve في عام 2016، ولا تزال المشكلة قائمة: الملحق د، GH-01.)

الحالة: لم يتم إصلاح الثغرة قبل عام 2023. كانت تسمح لبرنامج نصي يحتوي على ملف تعريف ارتباط مسروق بتسجيل مفتاح دون أي تفاعل من المستخدم.

OWASP A01:2021 / مبدأ الحد الأدنى من الصلاحيات درجة الخطورة: حرجة

### 2. عدم تطبيق مبدأ «أدنى مستوى من الصلاحيات»

كانت واجهة برمجة التطبيقات (API) Steam تفتقر إلى أي نطاقات تفويض قائمة على الأدوار. فقد كان مفتاح API الخاص بالمطور، الذي تم إصداره لحالة المخزون «للقراءة فقط»، يتمتع بأذونات «كتابة» كاملة — بما في ذلك القدرة على تعديل الصفقات القائمة، وبدء صفقات جديدة، وتسجيل «webhooks»، ورفض عمليات التبادل المعلقة الصالحة.

الحالة: عيب تصميمي نظامي. مفتاح واحد = تحكم كامل في القراءة والكتابة على مخزون الحساب ومعاملاته.

OWASP A07:2021 / الجلسات درجة الخطورة: عالية

### 3. خلل في إدارة الجلسات

أبلغ المستخدمون عن استمرار جلسات الويب المخترقة التي تنشأ من نطاقات عناوين IP الخاصة باستضافة الخوادم. وتتمثل الممارسة المعتادة في إنهاء الجلسات عند حدوث حالات شذوذ جغرافي وعند تغيير كلمة المرور؛ وتصف تقارير المستخدمين المجمعة في الأرشيف جلسات ظلت نشطة بعد تغيير كلمة المرور.

الحالة: سلوك تم الإبلاغ عنه (شكاوى المستخدمين في الأرشيف). كان من الممكن إنشاء مفاتيح واجهة برمجة التطبيقات (API) خلال الجلسات دون الحاجة إلى إعادة المصادقة.

كان الحجب على مستوى النطاق ممكنًا من الناحية التقنية جدوى التنفيذ

### 4. كان حجب مضيفي المصادقة على مستوى النطاق أمراً ممكناً من الناحية التقنية

Valve تُشغّل بالفعل قائمة نطاقات (تُعرف باسم «Link Filter») وتتلقى بالفعل كل اسم مضيف مصادق عليه في طلبات OpenID الخاصة بها. ولا توجد أي صلة بين الآليتين يمكن ملاحظتها من الخارج: اعتبارًا من 2026-09-22، كان النطاق الرئيسي مدرجًا في المرشح في 26 زوجًا، في حين أن الوكيل الذي يحمل معلومات تسجيل الدخول الخاصة به لم يكن مدرجًا فيه.

يُعد ربطهما مهمة هندسية بسيطة: اقرأ `openid.realm` اسم المضيف من كل طلب وارد، ومقارنته بقائمة، ثم رفض الطلب أو وضع علامة عليه. يوضح الرسم التوضيحي على اليمين شكل هذا الإجراء. إن رفض مضيف المصادقة — بدلاً من الاكتفاء برفض الصفحة الرئيسية العامة — من شأنه أن يعيق خطوة «تسجيل الدخول باستخدام Steam» التي تعتمد عليها هذه المنصات.

لا توجد أدلة علنية تُشير إلى أن Valve تجري مثل هذا الفحص. وتُطبق الرسوم الإجمالية لسوق Steam المجتمعي، والتي تبلغ حوالي 15%، على المبيعات التي تتم داخل السوق؛ ولا يتم تحصيلها على الصفقات الخارجية لهذه المنصات.

block_auth_hosts.py رسم توضيحي

// قراءة المضيف Steam الذي يتلقى بالفعل — لا حاجة للمسح

def on_openid_request(request):

host = parse_openid_realm(request)

إذا المضيف في المجالات المحظورة:

رفض (الطلب)

**ملاحظة:** كود زائف لأغراض التوضيح فقط. كلا النصفين موجودان بالفعل في Valve — حيث يصل اسم مضيف المصادقة في الطلب، وقائمة النطاقات هي «مرشح الارتباط». ولا يوجد أي سجل عام يفسر سبب عدم ارتباطهما ببعضهما.

القسم 5.1 — لم يتم سحب المعايير من النشر 

### Valve يتم تجميعه وفقًا لهذه القواعد يوميًا. لكنه لم يتم تجميعه وفقًا لها هنا.

Steam متوفرة على متجر «App Store» و«Google Play»، وتبيع منتجاتها عبر كبرى شركات معالجة المدفوعات بالبطاقات، وتستخدم واجهات برمجة التطبيقات (API) الخاصة بأطراف ثالثة مثل أي منصة كبيرة أخرى. وترتبط كل علاقة من هذه العلاقات بمتطلبات أمنية منشورة ومحددة التاريخ يجب على Valve الوفاء بها لمواصلة عملها. قارن تواريخ تلك المتطلبات بالتواريخ التي حصلت فيها واجهة برمجة تطبيقات الويب الخاصة بـ Steam على نفس الحماية. **لا يوجد في ما يلي أي معيار خاص أو مذكرة داخلية أو سر تجاري: فكل صف هو وثيقة عامة لها تاريخ نشر.**

متطلبات الأمان الخارجية المنشورة، مع تواريخها، مقارنةً بتاريخ حصول واجهة برمجة تطبيقات الويب Steam على التدبير المكافئ

| المعيار المنشور، وتاريخ دخوله حيز التنفيذ | واجهة برمجة تطبيقات الويب Steam حول السؤال نفسه |
| --- | --- |
| **التفويض المحدد النطاق** OAuth 2.0 — RFC 6749، أكتوبر 2012. يحدد القسم 3.3 `scope` وبالتالي، لا يحصل العميل إلا على صلاحيات الوصول التي يطلبها. وقد أصبح هذا هو الإعداد الافتراضي لكل واجهة برمجة تطبيقات (API) للمنصات الكبرى منذ ذلك الحين. | **ظهرت نطاقات الحبيبات في 16 يناير 2026.** وقبل ذلك، كان مفتاح واجهة برمجة التطبيقات (Web API) الفردي Steam يمنح صلاحيات القراءة والكتابة الكاملة على صفقات الحساب، بغض النظر عن سبب إصداره. **ثلاثة عشر عامًا وثلاثة أشهر** بعد المواصفات التي تحدد عنصر التحكم. |
| **المفتاح ليس ترخيصًا** وثائق «Cloud» الخاصة بشركة «Google»: مفتاح واجهة برمجة التطبيقات (API) القياسي لا يقوم بمصادقة الكيان، وبالنسبة لواجهات برمجة التطبيقات (API) التي تقوم بإنشاء الموارد أو إدارتها، لا تستخدم مفاتيح التفويض في بيئة الإنتاج. | **كان مفتاح واجهة برمجة التطبيقات (Web API) Steam هو ذلك بالضبط.** سلسلة حامل، صادرة لحساب ما، تكفي بحد ذاتها لقراءة رصيد الحساب، وإلغاء صفقة معلقة، وإرسال صفقة جديدة. ولم يتم التحقق من هوية صاحب الحساب عند نقطة الاستخدام. |
| **المصادقة متعددة العوامل على الوصول ذي الامتيازات** معيار PCI DSS 3.2، الشرط 8.3 — إلزامي اعتبارًا من 1 فبراير 2018 لجميع عمليات الإدارة التي لا تتم عبر وحدة التحكم وجميع عمليات الوصول عن بُعد إلى بيئة بيانات حاملي البطاقات. ثم اشترطت شركة آبل تطبيق المصادقة الثنائية على كل صاحب حساب في برنامج المطورين بدءًا من 27 فبراير 2019: سيتعين على المطورين الذين يحملون دور «صاحب الحساب» في أحد برامج المطورين تفعيل المصادقة الثنائية لتسجيل الدخول. | **كان هناك عامل ثانٍ ضروري لإنشاء مفتاح واجهة برمجة التطبيقات (API) من 4 ديسمبر 2023.** وحتى ذلك الحين، كان يكفي وجود ملف تعريف ارتباط جلسة مسروق، دون ظهور أي رسالة على هاتف صاحب الحساب ودون إرسال أي إشعار لاحقًا. **أربع سنوات وتسعة أشهر** بعد أن فرضت شركة آبل على نفسها استخدام عامل تأكيد ثانٍ لمجرد تسجيل الدخول إلى بوابة المطورين. |
| **دورة حياة بيانات الاعتماد وإلغاؤها** تشترط منصة Twitch على كل تطبيق تابع لجهة خارجية ما يلي: يجب أن يقوم تطبيقك بالتحقق من صحة رمز OAuth عند بدء تشغيله، ثم كل ساعة بعد ذلك، وتشير إلى أنها تقوم بمراجعة التطبيقات التي لا تلتزم بذلك. وقد تم إيقاف تشغيل واجهة برمجة التطبيقات (API) القديمة من الإصدار 5 بشكل نهائي في 28 فبراير 2022 وفقًا لجدول زمني منشور. | **لا توجد سجلات منشورة عن دورة حياة المفتاح.** أدى التغيير الذي أُجري في عام 2023 إلى حماية نقطة نهاية الإنشاء. لم يتم العثور على أي بيان Valve يتعلق بها يتناول المفاتيح المسجلة مسبقًا، ولم يرافق هذا التغيير أي سجل تغييرات على الإطلاق. ولا يمكن تحديد ما إذا كانت المفاتيح التي تم إنشاؤها قبله قد أصبحت غير صالحة من خلال البيانات العامة — وهو السؤال الذي يحتاج صاحب البيانات إلى إجابة عليه لمعرفة ما إذا كان المفتاح الذي تم إنشاؤه على حسابه منذ سنوات لا يزال ساريًا. |

معيار معماري // توكن أركيتكتشر 

#### نطاقات GitHub الدقيقة مقابل Valve Steam واجهة برمجة تطبيقات الويب

Valve مطورًا يديرون برامج مفتوحة المصدر على GitHub يوميًا باستخدام رموز وصول دقيقة تعتمد على مبدأ «أدنى امتياز ممكن». قارن ذلك بالمفتاح الموحد الذي تم إصداره لـ 130 مليون Steam لاعب.

رمز GitHub الدقيق

يستخدمه Valve على GitHub

رمز ذو تفاصيل دقيقة مع عزل محدد النطاق وفرض إلزامي لدورة الحياة.

الوصول إلى المستودع: مستودعات مختارة فقط (مستودع واحد)

إصدار الأذونات: للقراءة فقط [✓]

الكود والأسرار: لا يمكن الوصول [✕]

تاريخ انتهاء الصلاحية: 30 يومًا (مدة صلاحية إلزامية)

تسجيل عمليات التدقيق: عنوان IP، وكيل المستخدم، والطابع الزمني

**الوضع الأمني:** يحد رمز «أدنى مستوى من الامتيازات» من الضرر ليقتصر على مورد واحد للقراءة فقط.

! Valve Steam مفتاح واجهة برمجة التطبيقات (Web API)

تم إصدارها لـ 130 مليون مستخدم

سلسلة رئيسية واحدة مكونة من 32 حرفًا تمنح صلاحية التداول والمخزون بشكل كلي أو لا شيء.

الوصول إلى الحساب: التقرير الكامل (متكامل)

إدارة التجارة: قراءة، إلغاء، رفض [!]

نطاقات الحبيبات: لا شيء (وصل عام 2026، متأخرًا 13 عامًا)

تاريخ انتهاء الصلاحية: أبدًا (صالح إلى أجل غير مسمى)

تسجيل عمليات التدقيق: لا شيء (لا يوجد سجل عناوين IP للمستخدم)

**نقطة الضعف:** يتيح المفتاح المسروق اعتراض جميع عروض التداول الصادرة دون أن يُلاحظ أحد.

المعيار المطبق في اتجاه واحد 

لنفترض أن مزودًا Valve — سواء كان مزود خدمة سحابية، أو معالج مدفوعات، أو شبكة توزيع المحتوى (CDN) — ترك نقطة نهاية لبيانات الاعتماد دون عامل تأكيد ثانٍ، وبعد أشهر تسربت بيانات شركة Valve نفسها عبر مفتاح تم إنشاؤه في تلك النقطة. هل سيقبل Valve أن الخطأ يقع على عاتق من نقر على الرابط؟ إن حالات الرفض المؤرشفة والمحفوظة في هذا الملف تجيب على السؤال المطابق بالنسبة للمستخدم: الموقف المتخذ هو أن صاحب الحساب هو من أنشأ المفتاح ويتحمل الخسارة. **يُوصف هذا النموذج المعماري بأنه فشل المورد من جهة، ومسؤولية المستخدم من جهة أخرى.** وكون الأمر كذلك ليس مسألة فنية، كما أنه ليس من الأمور التي يمكن لهذا التحقيق أن يحسمها — بل هو ما تقرره المحكمة أو السلطة الإشرافية.

رسم توضيحي، وليس دليلاً — المعيار يُفهم على العكس 

- نظام معالجة مدفوعات سمح لبرنامج نصي تابع لجهة خارجية بإنشاء بيانات اعتماد معاملة ذات صلاحيات كاملة استنادًا إلى ملف تعريف ارتباط المتصفح وحده، دون إخطار صاحب الحساب.

- مزود هوية قام بسد الثغرة التي تم من خلالها إصدار الرموز الخاصة به، ولم ينشر أي معلومات عن الرموز التي تم إصدارها بالفعل.

- قام أحد البنوك بالرد على عملية تحويل متنازع عليها بالإشارة إلى أن بيانات الاعتماد المستخدمة كانت مسجلة في حساب العميل نفسه، ثم أغلق القضية.

ولا يُقصد بأي من هذه الأمور أن يكون استنتاجًا بشأن أي شركة محددة. إنها نفس القرارات التصميمية، ولكن في سياق تكون فيه استجابة الجهة الإشرافية موثقة جيدًا — وهذه هي المقارنة التي يُطلب من الجهة التنظيمية إجراؤها.

**ما يثبته السجل:** كانت الضوابط الغائبة عن واجهة برمجة التطبيقات الويب Steam علنية وقديمة، وفي عدة حالات، كانت هناك شروط Valve كان على الشركة الوفاء بها لمواصلة شحن منتجاتها. والفاصل الزمني بين كل معيار والتغيير المكافئ Steam قابل للقياس ومبين أعلاه. **ما لا يثبته هو السبب.** لم يتم العثور على أي تفسير لأي من هذه الفترات الزمنية Valve، ولا يُفترض وجود أي تفسير هنا؛ فهذا السجل موجود داخل Valve ولم يتم نشره.

المصادر، وكل منها وثيقة عامة: OAuth 2.0 — [RFC 6749، أكتوبر 2012 ↗](https://datatracker.ietf.org/doc/rfc6749/) · Google Cloud — [وثائق مفاتيح واجهة برمجة التطبيقات (API) ↗](https://docs.cloud.google.com/docs/authentication/api-keys) · الشرط 8.3 من معيار PCI DSS 3.2 — [دليل موارد PCI SSC ↗](https://listings.pcisecuritystandards.org/pdfs/PCI_DSS_Resource_Guide_(003).pdf) · آبل — [الشرط المرتقب للمصادقة الثنائية لأصحاب الحسابات، 20 فبراير 2019 ↗](https://developer.apple.com/news/?id=02202019a) [محفوظ 2025-05-06 ↗](https://web.archive.org/web/20250506070026/https://developer.apple.com/news/?id=02202019a) · تويتش — [متطلبات التحقق من صحة الرمز ↗](https://dev.twitch.tv/docs/authentication/validate-tokens/) وـ [إشعار بإيقاف تشغيل الإصدار 5 ↗](https://discuss.dev.twitch.com/t/legacy-twitch-api-v5-i-e-kraken-shutdown-reminder-february-28-2022/36589) [محفوظ 2025-01-27 ↗](https://web.archive.org/web/20250127085635/https://discuss.dev.twitch.com/t/legacy-twitch-api-v5-i-e-kraken-shutdown-reminder-february-28-2022/36589). التواريخ الخاصة بـ Steam هي تلك الواردة في سجل التحديثات في هذا القسم؛ أما الإدخالات الخاصة بعامي 2023 و2026 فهي تلك التي أرسلها Valve دون سجل تغييرات. تم استرجاعها في 2026-09-22.

سجل التحديثات الخاص بـ Valve — مؤرخ، من مصادر عامة

| التاريخ | Valve تغيير | هل تم الإعلان عن ذلك؟ | ما الذي تم إغلاقه | التأخير: آلية عامة → تم الإصلاح | المصدر |
| --- | --- | --- | --- | --- | --- |
| 2026-09-01 | الإبلاغ الآلي عن المحادثات المشبوهة | نعم | روابط/أنماط خطيرة في الدردشات الجماعية | — | [الأخبار ↗](https://store.steampowered.com/news/posts/?enddate=1788390000) |
| 2026-01-16 | النطاقات التفصيلية لواجهة برمجة تطبيقات الويب (Web API) لـ Steamworks | نعم | نطاقات "أدنى مستوى من الامتيازات" لمفاتيح المطورين | — | [إعلان ↗](https://steamcommunity.com/groups/steamworks/announcements/detail/4123547285514022851) |
| 2025-07-15 | CS2: الحماية التجارية ونافذة التراجع | نعم | **لا شيء.** هذا ليس إصلاحًا أمنيًا يعالج السبب الجذري. ولا يزال الوصول إلى استعادة الحساب من جانب الدعم دون تغيير. ويؤدي تشغيل عملية التراجع إلى فرض حظر تلقائي على التداول لمدة 30 يومًا ([Skinvault ↗](https://skinvault.gg/blog/cs2-trade-protection-explained/))، في حين تسببت صدمة التداول النقدي في انخفاض القيمة السوقية بمقدار $104M (-25%) خلال 24 ساعة ([CSMarketCap ↗](https://csmarketcap.com/blog/market-insights/from-boom-to-bust-cs2s-trade-protection-impact)). في عام 2026، أصبحت المؤقتات تُحسب لكل عنصر على حدة ([Skin.land ↗](https://skin.land/blog/steam-changes-cs2-trade-ban-logic-timing/)). | — | [الأسئلة الشائعة ↗](https://help.steampowered.com/faqs/view/3041-A87A-E5F6-B6AC) |
| 2025-05-14 | إعلان بشأن أمان الحساب | نعم | إرشادات بشأن برامج السرقة / اختطاف الجلسات | — | [إعلان ↗](https://steamcommunity.com/ogg/593110/announcements/detail/533224478739530146) |
| 2024-10-02 | CS2 «The Armory» — فترة حجز مدتها 7 أيام | نعم | توقف التداول/السوق بالنسبة لمواد «أرموري» | — | [إعلان ↗](https://steamcommunity.com/games/CSGO/announcements/detail/4447966961421256740) |
| 2024-09-18 | قيود التداول المتعلقة بتسجيل الدخول من جهاز جديد | نعم | تجميد التداول لمدة 2–7 أيام على الأجهزة الجديدة | — | [الأسئلة الشائعة ↗](https://help.steampowered.com/faqs/view/3041-A87A-E5F6-B6AC) |
| 2024-02-14 | تعليق تغيير اسم الملف الشخصي والصورة الرمزية | نعم | فترة انتظار مدتها 2–4 ساعات على المعاملات بعد تغيير الاسم | — | [نشر ↗](https://steamcommunity.com/discussions/forum/1/4202490424033360096/) |
| 2023-12-04 | التحقق عبر الهاتف المحمول لمفاتيح واجهة برمجة التطبيقات (API) | لا يوجد سجل التغييرات | تسجيل مفتاح صامت يعتمد على ملفات تعريف الارتباط فقط | حوالي 6 سنوات بعد الألواح التي تعود إلى عام 2017 | [صفحة المطورين ↗](https://steamcommunity.com/dev/apikey) |
| 2023-10-24 | الرسائل القصيرة (SMS) MFA لنشر إصدارات الألعاب | نعم | نشر إصدارات Steamworks | — | [إعلان ↗](https://steamcommunity.com/groups/steamworks/announcements/detail/3734103130194459461) |
| 2023-07-12 | تحذير بشأن محتوى السيرة الذاتية المخصصة | نعم | روابط التصيد الاحتيالي في السير الذاتية | — | [المنتدى ↗](https://steamcommunity.com/discussions/forum/1/3807266184852932971/) |
| 2023-01-25 | الملف الشخصي {تم حذف الرابط} وفترة الانتظار | نعم | الروابط في نص الملف الشخصي | — | [الأسئلة الشائعة ↗](https://help.steampowered.com/faqs/view/225C-C51E-B8F0-55B2) |
| 2022-10-24 | تجديد نظام تسجيل الدخول واقتطاع ملفات تعريف الارتباط | لا يوجد سجل التغييرات | عدد غير محدود من الجلسات المسروقة | — (ترحيل الرمز المميز لـ IAuthenticationService) | [الأخبار ↗](https://store.steampowered.com/news/group/4/view/3314112260640237775) |
| 2022-10-12 | تطبيق الهاتف المحمول 3.0: تسجيل الدخول عبر رمز الاستجابة السريعة (QR) | نعم | لوحة إلغاء تفويض الجلسة | — | [الأخبار ↗](https://store.steampowered.com/news/group/4/view/3314112260640237775) |
| 2022-05-10 | تمت إزالة نقاط النهاية الخاصة بإلغاء الصفقات | لا يوجد سجل التغييرات | تبادل العروض (الإلغاء وإعادة الإرسال) | حوالي 5 سنوات بعد الألواح التي تعود إلى عام 2017 | [العدد رقم 325 ↗](https://github.com/DoctorMcKay/node-steam-tradeoffer-manager/issues/325) |
| 2020-05-25 | حظر التداول لمدة 7 أيام في Dota 2 | نعم | التداول السريع للسلع | — | [مدونة ↗](https://blog.dota2.com/2020/05/trading-cooldown/) |
| 2018-03-29 | CS:GO: فترة حظر التداول لمدة 7 أيام | نعم | غسل أموال الروبوتات الفوري | حوالي 20 شهرًا بعد البيان الصادر في يوليو 2016 | [مدونة ↗](https://blog.counter-strike.net/index.php/2018/03/20308/) [محفوظ 2025-02-26 ↗](https://web.archive.org/web/20250226114333/https://blog.counter-strike.net/index.php/2018/03/20308/) |

المصادر: المنشورات المرتبطة Valve، وصفحات المساعدة، ومشكلات GitHub، حسب التواريخ المذكورة. ثلاثة إصلاحات حاسمة تم إصدارها دون سجل تغييرات (مايو 2022، أكتوبر 2022، ديسمبر 2023) واكتشفها المستخدمون، ولم تعلن عنها Valve — وهذا التباين جزء من سجل التنفيذ. يتم حساب فترات التأخير فقط عندما توفر التواريخ الواردة في الملف نفسه (بيان يوليو 2016؛ لجان الاحتيال في عام 2017) نقطة البداية؛ وتعني علامة «—» عدم تحديد نقطة بداية هنا.

الجزء أ — السجل الفني · القسم 6 

## محاكي تفاعلي للاستغلال واختطاف الأنظمة

السياق وحدود المصدر

إعادة بناء المسار بدءًا من رسالة التصيد الاحتيالي وصولاً إلى تسجيل المفتاح على جانب الخادم وإجراء عملية المقايضة. قبل عام 2023، كان بإمكان مفتاح واجهة برمجة التطبيقات (Web API) المسجل على حساب ما قراءة مخزونه، وإلغاء عرض تداول معلق وإنشاء عرض جديد، ولم تُعرض شاشة تأكيد التداول لصاحب الحساب لأي من هذه الإجراءات. وهذا يمثل غياب مبدأ «أدنى امتياز» (OWASP A01:2021). التوقيتات الواردة في هذه المحاكاة هي توضيحية وليست قياسات حية للمنصة الحالية.

تتبع خطوات عملية الاختراق المُعادة تمثيلها. تُظهر كل مرحلة ما يراه صاحب الحساب، وبجانبها المكالمة التي يتلقاها الرقم Steam في نفس اللحظة. **يتم التحقق من صحة كل مكالمة من تلك المكالمات بشكل صحيح.** لا يوجد في هذه السلسلة ما يتطلب فشل مصادقة Steam — بل يتطلب ألا يكون للمفتاح الذي تصدره أي نطاق (OWASP A01:2021).

**ما يراه اللاعب. وما يحدث خلفه.** محاكي خطوة بخطوة

01 / طُعم «ذا تشات»**صديق يطلب مني التصويت** تتلقى الضحية رسالة تحتوي على رابط.

02 / تسجيل الدخول**بوابة تشبهها** يقوم الضحية بإدخال بيانات تسجيل الدخول.

03 / الوصول**إنشاء واجهة برمجة تطبيقات الويب الصامتة** يقوم المهاجم بتسجيل مفتاح مطور.

04 / التغيير**تم تبادل التجارة المشروعة** يقوم «Clone bot» بنسخ المستلم المستهدف.

05 / التأكيد**تمت الموافقة على المنتج المقلد** تمت الموافقة على عرض خاطئ عبر الهاتف المحمول.

**المرحلة أ: محاولة التصيد الاحتيالي.** يقوم المهاجم باختراق حساب أحد الأصدقاء ويستخدمه لإرسال رابط خادع، يدعو فيه الضحية للتصويت أو الانضمام إلى فريق في إحدى البطولات.

**فخ التصيد الاحتيالي.** واعتقادًا منه بأنه يقوم بتسجيل الدخول بأمان إلى Steam، يقوم الضحية بإدخال بيانات تسجيل الدخول ورموز Steam Guard. ويقوم خادم التصيد الاحتيالي بالتقاط هذه التفاصيل، ثم يقوم النشط `steamLoginSecure` ملف تعريف ارتباط الجلسة.

**المرحلة ب: تسجيل «المفتاح الصامت».** باستخدام ملف تعريف الارتباط الخاص بالجلسة المسروق، يقوم خادم المهاجم بإرسال طلب POST إلى نقطة نهاية تسجيل المفاتيح لتسجيل مفتاح Web API رئيسي للمطور. وفي الماضي (قبل عام 2023)، لم يكن هذا يتطلب أي موافقة ثانوية Steam Guard أو إخطارًا.

**المرحلة ج: المبادلة الآلية للصفقات.** يقوم البرنامج النصي للمهاجم بالاستقصاء `IEconService/GetTradeOffers`. عندما تبدأ الضحية صفقة شرعية، يقوم البرنامج النصي بإلغائها على الفور ويستخدم روبوتًا مقلدًا لإرسال عرض مطابق يحمل نفس الاسم والصورة الرمزية إلى المستلم.

**اكتملت عملية الاستغلال.** توقعًا لوصول إشعار عبر الهاتف المحمول بشأن صفقتها الأصلية، وافقت الضحية على الصفقة البديلة. هذا عرض تفصيلي متكامل للتحليل الجنائي يوضح كيف أن عدم تطبيق مبدأ «أدنى مستوى من الصلاحيات» (OWASP A01:2021) يتيح اختطاف الأصول آليًّا في أقل من ثانية.

نفس الخطوة، كما تظهر من منظور الشبكة إعادة بناء النمط السائد قبل عام 2023 · أشكال تداول توضيحية

**المهاجم** يرسل الرابط من حساب تثق به الضحية بالفعل.

**الضحية** يقرأ رسالة من صديق، وليس من شخص غريب.

**Steam مشاهدة** رسالة دردشة بين حسابين مرتبطين بصداقة.

```
Channel Steam chat / Steam group invite
Payload a link to an external host
No Steam API call is made at this stage. Nothing in this step is anomalous to the platform.
```

**لماذا ينجح هذا:** الأموال التي يتم إنفاقها تابعة لحساب الصديق المخترق، وليست تابعة للمهاجم.

**الضحية** يقوم بإدخال كلمة المرور والرمز Steam Guard في صفحة مقلدة.

**خادم المهاجم** يقوم بتسجيل بيانات الاعتماد وملف تعريف الارتباط الخاص بالجلسة الناتج عن ذلك.

**Steam مشاهدة** تم تسجيل الدخول بنجاح بعد استيفاء متطلبات المصادقة الثنائية.

```
Captured steamLoginSecure = <session cookie>
Captured Steam Guard code (single use, already spent)
From this point the attacker holds an authenticated session. The second factor has been used, not bypassed.
```

**لماذا ينجح ذلك:** تحمي المصادقة الثنائية عملية تسجيل الدخول نفسها. لكنها لا تحمي الإجراءات التي يمكن للجلسة الناتجة عنها القيام بها بعد ذلك.

**خادم المهاجم** يقوم بتسجيل مفتاح واجهة برمجة تطبيقات الويب (Web API) الخاص بالمطور في حساب الضحية.

**الضحية** لا يتلقى أي مطالبة ولا أي إشعار.

**Steam مشاهدات** جلسة عمل مُصادق عليها باستخدام نقطة نهاية موثقة.

```
POST steamcommunity.com/dev/ajaxregisterkey
Cookie: steamLoginSecure=<stolen session>
Body: agreeToTerms=agreed&domain=localhost
A script has no real domain to give, so it sends localhost — the value found on the account in Section 18. Pre-2023 this needed no password, no Steam Guard, no notification, and the key came with no scope limit. Mobile confirmation was added 2023-12-04, without a changelog.
```

**هذه هي الخطوة الهيكلية.** يتم تحويل ملف تعريف الارتباط الخاص بالجلسة إلى بيانات اعتماد دائمة تتمتع بامتيازات كاملة — وهو العيب المسجل في القسم 5 باعتباره OWASP ASVS 2.8 و A01:2021.

**نص برمجي «المهاجم»** يستطلع العروض التجارية، ويلغي العرض الحقيقي، ويرسل نسخة مكررة.

**الضحية** لقد بدأ للتو صفقة تداول شرعية وهو في انتظار تأكيدها.

**Steam مشاهدة** عمليات استدعاء واجهة برمجة التطبيقات (API) الصحيحة التي تحتوي على مفتاح صالح صادر لهذا الحساب.

```
GET IEconService/GetTradeOffers/v1 ← polled
POST IEconService/CancelTradeOffer/v1 ← voids the real offer
POST new offer from a clone bot (matching name and avatar)
Every call is correctly authenticated. Nothing in the sequence requires a defect in Steam's authentication to succeed.
```

**لماذا ينجح هذا الأمر:** لم تكن المفتاح ذات نطاق «للقراءة فقط»، لذا فإن بيانات الاعتماد الخاصة بقراءة المخزون يمكنها أيضًا إلغاء الصفقات وإجراءها.

**الضحية** يوافق على الرسالة المنبثقة على الهاتف المحمول التي كان من المتوقع ظهورها بالنسبة للصفقة الأصلية.

**المهاجم** يستلم العناصر في الحساب المستنسخ.

**Steam مشاهدة** عملية تحويل تم تأكيدها من قِبل صاحب الحساب على جهاز مسجل.

```
Confirmation genuine — made by the account holder
Recipient the clone bot, not the intended counterparty
The confirmation is authentic. The offer it confirms is not the one the user initiated.
```

**السجل الذي تركه وراءه:** صفقة وافق عليها المستخدم. وهذا هو السجل الذي يقرأه فريق الدعم عند وصول الشكوى، وهو السبب وراء إغلاق الشكاوى المؤرشفة باعتبارها «خطأ من جانب المستخدم». وتوجد الشكاوى في [أرشيف الإجراءات التنفيذية](https://phishdestroy.io/steam_dossier/ar/steam_enforcement_evidence#support-records).

الجزء أ — السجل الفني · القسم 7 

## نقاط النهاية الكامنة وراء التسلسل.

السياق وحدود المصدر

هذه هي نقاط نهاية واجهة برمجة التطبيقات (Web API) ذات الرمز Steam التي استخدمتها البرامج النصية المخترقة المبلغ عنها لاعتراض الصفقات دون المرور بخطوات التأكيد من جانب المتصفح.

أربع نقاط نهاية موثقة تكفي لإنجاز المهمة بأكملها. ولا توجد أي عيوب في أي منها، ولا حاجة لاستغلال أي منها — فالمفتاح الصحيح يستدعيها، وترد عليها بـ Steam. **المفتاح هو الشيء الوحيد الذي كان على المهاجم سرقته.**

IEconService / GetTradeOffers / الإصدار 1 استطلاع الرأي

يُستخدم لمراقبة عروض التداول الخاصة بالحساب. تقوم البرامج النصية باستقصاء هذه النقطة النهائية بشكل متكرر باستخدام مفتاح واجهة برمجة التطبيقات (API) المخترق؛ حيث تعرض تفاصيل عروض التداول التي تم إنشاؤها حديثًا أو المعلقة أو التي تم تعديلها. لا يتم قياس فترات الاستقصاء هنا.

**مصدر التهديد:** يكشف عن معرّفات عروض التداول المعلقة وتفاصيل الملف الشخصي للمستلم.

IEconService / CancelTradeOffer / الإصدار 1 التفاعل

يُستخدم لإبطال عرض التداول الشرعي للمستخدم برمجيًّا. قبل عام 2023، لم تكن هناك مصادقة معززة تحمي المفتاح، لذا كان بإمكان الخادم الآلي إلغاء العرض فور اكتشافه، دون إرسال أي إشعار إلى صاحب الحساب.

**مصدر التهديد:** يُلغي الصفقة قبل أن يكمل صاحب الحساب عملية التأكيد عبر الهاتف المحمول.

ISteamUser / GetPlayerSummaries / الإصدار 2 RECON

يتم إجراء استعلام لاسترداد اسم الملف الشخصي وعنوان URL لصورة الصورة الرمزية ومستوى المستلم الشرعي للصفقة. وهذا يتيح للنص البرمجي تهيئة حساب مقلد جاهز ليتطابق مع تلك البيانات. ولا يتم قياس أي وقت هنا.

**مصدر التهديد:** يوفر البيانات اللازمة لانتحال صفة المستلم المقصود.

/dev/ajaxregisterkey الإنشاء

نقطة نهاية التسجيل الخاصة بـ Steam للمفاتيح. في الماضي، كان بإمكان أي جلسة نشطة لملفات تعريف الارتباط في المتصفح (`steamLoginSecure`) تسجيل مفتاح دون الحاجة إلى تأكيد من Steam Guard على الجهاز المحمول، ودون إرسال أي إشعار إلى صاحب الحساب.

**مصدر التهديد:** بيانات اعتماد دائمة تم إنشاؤها بواسطة برنامج نصي، دون علم صاحب الحساب.

الجزء أ — السجل الفني · القسم 8 · المادة 7 من اللائحة العامة لحماية البيانات (GDPR) 

## مربع محدد. من قام بهذا الإجراء؟

السياق وحدود المصدر

عند رفض السداد، Steam تشير ردود فريق الدعم المحفوظة في الأرشيف إلى أن صاحب الحساب هو من أنشأ مفتاح واجهة برمجة التطبيقات (API)، وأنه بمجرد تحديد المربع، فقد وافق على الشروط.

تُعزو استجابة الدعم هذه إلى صاحب الحساب. والسؤال المطروح هو: هل يثبت السجل هوية الشخص الذي أنشأه فعليًّا؟

إلا أنه في نمط اختطاف مفتاح واجهة برمجة التطبيقات (API) الذي تمت ملاحظته، لم يقم الضحية مطلقًا برؤية صفحة إنشاء مفتاح واجهة برمجة التطبيقات أو الانتقال إليها. ويتم إرسال حقل الموافقة بواسطة برنامج نصي يقوم بتنفيذ طلب POST بدون واجهة مستخدم باستخدام ملف تعريف الارتباط الخاص بالجلسة المسروق.

بموجب المادة 7 والمادة 4(11) من اللائحة العامة لحماية البيانات (GDPR)، يجب أن تكون الموافقة إشارة حرة ومحددة ومستنيرة ولا لبس فيها تعبر عن رغبة صاحب البيانات. ويرى المؤلفون أن حقل قبول الشروط الذي يتم إرساله بواسطة برنامج نصي ضار باستخدام ملف تعريف ارتباط مسروق، دون عرض أي صفحة على صاحب الحساب، لا يمكن أن يستوفي هذا التعريف. أما ما إذا كان يستوفيه أم لا، فهذا أمر يرجع إلى السلطة الإشرافية.

تحليل الحمولة الجنائية: تسجيل المفاتيح

منشور https://steamcommunity.com/dev/ajaxregisterkey

// حمولة الطلب (تم إدخالها عبر برنامج نصي للاختراق)

{

"agreeToTerms": "متفق عليه" ، <-- تم إدخالها آليًّا، دون تدخل بشري

"المجال": "localhost" ، ← لم يتم التحقق من صحة القيمة — يُقبل أي قيمة، بما في ذلك localhost

"sessionid": "8f0d8ef763ab2140bf89de2a"

}

**السؤال الموجه إلى السلطة الإشرافية:** في الحالات التي لم ينقر فيها صاحب الحساب مطلقًا على خانة الموافقة، ما إذا كان قبول الشروط المسجل في سجل الحساب يستوفي متطلبات المادة 7 المتعلقة بإبداء رغبة صاحب البيانات بشكل طوعي ومحدد ومستنير ولا لبس فيه، وما إذا كان بإمكان خدمة الدعم Steam الاعتماد على ذلك لرفض المطالبة.

المصدر: شكل طلب تسجيل المفتاح كما تم إعادة بنائه استنادًا إلى نقطة النهاية العامة وتقارير الاختراق المحفوظة في أرشيف الأدلة ([نسخة قابلة للبحث من 2026-09-17](https://phishdestroy.io/steam_dossier/ar/steam_evidence_archive)) · معرّف الجلسة الموضح هو عنصر بديل، وليس قيمة تم تسجيلها.

التشريح الجنائي · متجه استبدال السلع 

### كيف تمكنت Valve أخيرًا من إبطال مفعول «الاستبدال التجاري» — ولماذا استغرق الأمر 7 سنوات من الحلول البديلة

على مدى ما يقرب من عقد من الزمن، فإن **"الاستبدال الاحتيالي لمفتاح واجهة برمجة التطبيقات" (أو احتيال "الوسيط بين الطرفين" لواجهة برمجة التطبيقات)** كان هذا النموذج الأكثر ربحية لسرقة الحسابات على Steam، حيث استنزف مئات الملايين من الدولارات من «السكينز» من لاعبين لم يكونوا على علم بذلك. لم تقم Valve بالقضاء على هذه الثغرة الأمنية من خلال إصلاح بنية واجهة برمجة التطبيقات (API) المعرضة للخطر؛ بل قضت Valve سبع سنوات في وضع أربعة حواجز معوقة على مستوى المنصة بأكملها، مما أدى إلى شل سيولة التداول داخل المجتمع دون معالجة السبب الجذري للمشكلة.

1. الموت بالتقليد

#### فترة انتظار تغيير الصورة الرمزية والاسم (فبراير 2024)

تطلبت هذه الهجمة تقليدًا في أقل من ثانية: فقد اعترض روبوت الاحتيال صفقة تداول صادرة، واستخرج الصورة الرمزية/الاسم الخاص بالمستلم عبر `ISteamUser`، وقام بنسخ الملف الشخصي في غضون 200 مللي ثانية. وفي 14 فبراير 2024، قام Valve بهدوء بتنفيذ إجراء إلزامي **فترة انتظار للتداول تتراوح بين ساعتين و4 ساعات (الخطأ 34)** فور إجراء أي تغيير في اسم الملف الشخصي أو الصورة الرمزية. لم يعد بإمكان الروبوت استنساخ مستلم ما على الفور دون أن يُمنع من إجراء عمليات التداول.

2. الموت الاقتصادي

#### انعكاس الاتجاه في تداول CS2 لمدة 7 أيام (يوليو 2025)

Valve تم تقديمه من جانب واحد **انعكاسات الاتجاه في التداول** بالنسبة لعناصر لعبة Counter-Strike. يتم وضع علامة «محمية من التبادل» على أي سكن يتم تبادله لمدة سبعة أيام. إذا اكتشفت الضحية حدوث استبدال، فما عليها سوى النقر على «إلغاء التبادل» في قسم الدعم Steam، ليتم إعادة السكن على الفور إلى مخزونها مع تجميد حساب المستلم. ونظرًا لأن قفل التبادل لمدة 7 أيام يمنع المحتالين من نقل العنصر إلى موقع صرف نقدي، فإن السرقة تصبح غير مربحة.

3. وفاة «الصامت»

#### التحديث الإلزامي للرسائل الفورية عبر الهاتف المحمول لواجهة برمجة التطبيقات (ديسمبر 2023)

تاريخياً، كان ملف تعريف الارتباط الخاص بالجلسة المسروق يسمح للبرامج النصية الخبيثة بتنفيذ طلب POST في الخلفية دون واجهة مستخدم إلى `/dev/ajaxregisterkey` دون إخطار الضحية. في 4 ديسمبر 2023، فرضت Valve ضرورة الحصول على تأكيد صريح عند إرسال إشعار دفع عبر تطبيق الهاتف المحمول Steam لإنشاء مفتاح واجهة برمجة تطبيقات الويب (Web API)، مما أدى إلى إلغاء عملية توفير المفاتيح الصامتة في الخلفية.

4. التنبيهات داخل التطبيق على الأجهزة المحمولة

#### لافتات عمر الحساب واسمه (2022–2024)

Valve تم تحديث نافذة التأكيد المنبثقة على الهاتف المحمول لعرض بيانات الشريك التجاري **Steam مدة الحساب (تاريخ الإنشاء)**، مستوى Steam، وتحذير صريح باللون الكهرماني: *"قام هذا المستخدم مؤخرًا بتغيير اسم ملفه الشخصي"*، مما يكسر الوهم البصري بالنسبة للضحايا اليقظين.

العيوب الثلاثة في «مخطط Valve»: لماذا اكتفى المحتالون بتغيير أهدافهم

**1. ثغرة استثناء الألعاب (Dota 2 و TF2)** 

تم استخدام ميزة «Trade Reversals» حصريًّا في لعبة Counter-Strike 2. **لا تزال عناصر ألعاب «Dota 2» و«Team Fortress 2» غير محمية على الإطلاق** بسبب تعقيدات الصناعة وتركيب الأحجار. العناصر عالية المستوى التي تبلغ قيمتها آلاف الدولارات (مخالب مخلب التنين، و«بيبي روشان» الذهبية، و«TF2» غير العادية ذات اللهب المشتعل) لا تتوفر لها أي فترة لإلغاء الصفقة. قام المحتالون ببساطة بإعادة توجيه عمليات الاعتراض الآلية عبر واجهة برمجة التطبيقات (API) إلى تجار Dota 2 وTF2، حيث يطبق فريق الدعم Steam بصرامة سياسته لعام 2016 التي تنص على «عدم استعادة العناصر».

**2. خزان «مفتاح الزومبي» (بدون تاريخ انتهاء الصلاحية)** 

بينما أضاف Valve ميزة المصادقة الثنائية (2FA) عبر إشعارات الهاتف المحمول لإنشاء *جديد* المفاتيح في ديسمبر 2023، **Valve لم يتم إلغاء أو انتهاء صلاحية أو مسح أي مفاتيح API قديمة موجودة**. لا تزال ملايين الحسابات النشطة التي أنشأت مفاتيح (أو التي تم إنشاء مفاتيح لها بشكل خفي عن طريق التصيد الاحتيالي/البرامج الضارة قبل ديسمبر 2023) تحتفظ ببيانات اعتماد نشطة مع **انتهاء صلاحية صفر (بدون TTL) ووقت انتظار عدم النشاط صفر**. تحتفظ الجهات الخبيثة بقاعدة بيانات تاريخية ضخمة تضم هذه المفاتيح الدائمة، وتواصل استقصاءها `IEconService` دون أي عائق.

**3. عقوبة الضحية: تجميد التداول لمدة 30 يومًا** 

حتى في CS2، يُعاقب Valve اللاعب الذي تعرض للخداع: فالنقر على «إلغاء الصفقة» في قسم الدعم Steam يؤدي تلقائيًا إلى فرض **حظر تداول وحظر دخول «السوق المجتمعي» لمدة 30 يومًا على حساب الضحية**. Valve تُفرض على المستخدم عقوبة تتمثل في حظره من استخدام المنصة لمدة شهر كإجراء رادع ضد عمليات التراجع «التافهة»، مما يثني الضحايا عن التراجع عن الصفقات المتعلقة بالأصول السائلة ذات القيمة المنخفضة.

فضيحة اللوائح الأساسية: سبع سنوات من الحلول الالتفافية مقابل نطاق واجهة برمجة تطبيقات واحدة 

لماذا أمضى Valve سبع سنوات في ابتكار آليات تجميد الصفقات، وفترات الانتظار للحسابات، وأقفال التداول القابلة للإلغاء — مما أدى إلى زعزعة اقتصاد الألعاب برمته وإهدار $104 مليون من القيمة السوقية — بدلاً من تطبيق الحل القياسي المتبع في القطاع؟

كما يتضح من الإصدار الرسمي للعبة Valve على منصة Steamworks في 16 يناير 2026 (إعلان [#493839547938902179 ↗](https://steamcommunity.com/groups/steamworks/announcements/detail/493839547938902179))، Valve تم بناؤها بالفعل **مجموعات الأذونات التفصيلية (عام، المعاملات الصغيرة، الاقتصاد، بيانات المبيعات)** و **قائمة العناوين المسموح بها لبروتوكول الإنترنت** بالنسبة لمفاتيح الناشر الخاصة بالشركات. كان لدى Valve الحل الهندسي جاهزًا منذ سنوات. مربع اختيار واحد يظهر للمستخدم—*"منع مفتاح واجهة برمجة التطبيقات (Web API) هذا من الوصول إلى IEconService (إدارة التداول)"* أو قائمة بيضاء لعناوين IP المنزلية — كان من شأنها القضاء على عملية الاحتيال المتعلقة باستبدال البضائع في عام 2018 دون أي أضرار اقتصادية جانبية. ورفضت Valve منح اللاعبين العاديين الحماية التي صممتها لشركائها من الشركات.

الجزء باء — القواعد وسجل الإنفاذ · المادة 9 

## قواعدهم. البرامج الانتخابية المعلنة.

السياق وحدود المصدر

يُبيّن هذا السجل البنود الصريحة الواردة في **Steam اتفاقية الاشتراك (SSA)** و **Steam السلوك عبر الإنترنت (SOC)** إرشادات تستهدف بشكل مباشر الكيانات التجارية النشطة والكبيرة الحجم.

**القاعدة:** ممنوع الاستخدام التجاري، وممنوع المقامرة، وممنوع استخدام الروبوتات — وتستشهد Steam Support بهذه الشروط عندما ترفض إعادة أغراض الضحية. **السجل:** تشمل هذه البنود، ظاهريًّا، المنصات التجارية المدرجة في هذا السجل، والتي تعمل على Steam هويات، وSteam روبوتات، وSteam عمليات تحويل. **يُطبق هذا البند على الشخص الذي فقد الجلود، وليس — وفقًا لأي سجل منشور — على الشركات التي تقوم بنقلها.**

في الشكاوى المحفوظة، تشير خدمة الدعم Steam إلى "ممنوع الاستخدام التجاري" و "لا للأتمتة/الروبوتات" البنود التي تستند إليها المنصات عند رفض إعادة الأصول إلى ضحايا الاحتيال باستخدام مفاتيح واجهة برمجة التطبيقات (API). وتنطبق هذه البنود ظاهريًّا على المنصات التجارية الواردة في هذا الملف، والتي تقوم بالمصادقة عبر Steam OpenID وتنقل الأصول عبر حسابات Steam آلية. لم يتم تقدير أي رقم لإيرادات السوق ككل هنا (انظر إحصائيات الإنفاذ أدناه). ما يظهره السجل هو القاعدة المطبقة على الحسابات الفردية في الحالات المؤرشفة، ولا يوجد سجل منشور لإنفاذ القانون لكل مشغل من مشغلي المنصات. وهذا التباين هو ما يوثقه هذا القسم.

السؤال الأساسي / الإنفاذ الانتقائي القواعد → النطاق → المساءلة

### كتاب قواعد واحد. تطبيق غير متكافئ.

يُظهر السجل أن الخدمات التجارية تستخدم الهويات Steam، وقوائم الجرد، والروبوتات، وعمليات النقل كبنية تحتية تشغيلية. وتحظر اتفاقية الخدمات الاجتماعية (SSA) الاستغلال التجاري والأتمتة دون إذن. وتُظهر الشكاوى المؤرشفة أن هذه القاعدة طُبقت على الحسابات الفردية، في حين أن السجل العام لا يُظهر حسابًا مكافئًا لكل مشغل على حدة بالنسبة للمنصات الموثقة هنا. ينبغي نشر القاعدة والأدلة وقرار الإنفاذ الخاص بكل منها.

**189** المواقع الإلكترونية المشمولة بنطاق التدقيق

**44** مسارات النطاقات المنفصلة في السجل النشط — 27 منها مع ملف أدلة منشور، و17 تم جمعها يدويًّا. وقد أسفرت عملية تدقيق المتصفح التي شملت 189 موقعًا إلكترونيًّا وحدها عن حل 25 منها؛ ويضيف السجل المسارات التي تم جمعها يدويًّا.

**12 سنة و6 أشهر** تم حظر موقع csgogem.com في «مرشح الروابط»؛ `api.csgem.com` مسجلة في 2014-03-08 ولم تُحظر قط — واحدة من 26 زوجًا من هذا النوع حتى 2026-09-22

**لا يوجد إجمالي مؤكد** استثناء تقديرات الإيرادات على مستوى السوق

Steam السلوك عبر الإنترنت 

> "…يُحظر عليك القيام بأي من الأمور التالية على Steam أو محاولة القيام بها: […] الانخراط في نشاط تجاري. ومن أمثلة هذه السلوكيات المحظورة: نشر الإعلانات؛ وإجراء المسابقات؛ **المقامرة**؛ شراء أو بيع حسابات Steam؛ بيع المحتوى أو بطاقات الهدايا أو أي عناصر أخرى؛ والتسول."

[store.steampowered.com/online_conduct ↗](https://store.steampowered.com/online_conduct) [محفوظ 2026-09-21 ↗](https://web.archive.org/web/20260921022120/https://store.steampowered.com/online_conduct)

المادة 2.G من قانون الضمان الاجتماعي — الاستخدام التجاري 

> "…[لا يجوز لك] استغلال المحتوى والخدمات أو أي جزء منها لأي غرض تجاري، باستثناء ما يُسمح به صراحةً في أي موضع آخر من هذه الاتفاقية…"

استندت إخطارات Valve لعام 2016، كما ورد في التقارير، إلى الترخيص الشخصي غير التجاري. ولم يقدم أي مشغل ترخيصًا من نوع Valve في السجلات. [store.steampowered.com/subscriber_agreement ↗](https://store.steampowered.com/subscriber_agreement/) [محفوظ 2026-09-18 ↗](https://web.archive.org/web/20260918014700/https://store.steampowered.com/subscriber_agreement/)

Steam شروط استخدام واجهة برمجة التطبيقات (Web API) 

> "لا يجوز لك استخدام واجهة برمجة تطبيقات الويب Steam أو البيانات Steam بأي طريقة تنتهك اتفاقية المشترك Steam."

تعمل منصات بيع الأسطح الخارجية من خلال حسابات آلية تستخدم واجهة برمجة التطبيقات (API) Steam. ولا ينص نص القاعدة على أي استثناءات فيما يتعلق بالنطاق التجاري. [steamcommunity.com/dev/apiterms ↗](https://steamcommunity.com/dev/apiterms) [محفوظ 2026-09-21 ↗](https://web.archive.org/web/20260921022210/https://steamcommunity.com/dev/apiterms)

المادة 4.C من قانون الضمان الاجتماعي (SSA) 

#### الأتمتة

يُحظر استخدام البرامج النصية والروبوتات والتفاعلات غير البشرية. ويسجل دفتر الأستاذ عمليات التداول التي يقوم بها الروبوتات، ومزارع الحسابات، والتوجيه الآلي على نطاق تجاري.

[فحص الـ السجلات المصنفة تحت هذا البند](https://phishdestroy.io/steam_dossier/ar/index#legal-ledger-workspace-section)

المادة 2.G من قانون الضمان الاجتماعي (SSA) 

#### الاستخدام التجاري

يتطلب الاستغلال التجاري الحصول على إذن صريح. قارن بين نماذج الأعمال الموثقة، وحجمها، وأي تفويض أو إجراءات إنفاذ تم الكشف عنها.

[فحص الـ السجلات المصنفة تحت هذا البند](https://phishdestroy.io/steam_dossier/ar/index#legal-ledger-workspace-section)

المادة 3.أ من قانون الضمان الاجتماعي (SSA) 

#### شبكة VPN وإخفاء الموقع

قد يؤدي إخفاء عنوان الإقامة باستخدام بروكسي IP إلى إنهاء الخدمة. أما مضيفات المصادقة ذات النطاقات المنفصلة فتتطلب تحليلاً منفصلاً: تحديد ما الذي تم إخفاؤه والقاعدة التي تنطبق عليه.

[افحص دليل «auth-host»](https://phishdestroy.io/steam_dossier/ar/index#proxy-bypass-explainer)

Steam المساعدة / سياسة عناوين URL 

#### إخفاء الروابط

Steam يحظر استخدام أدوات تقصير الروابط والأدوات التي تخفي وجهات الروابط. نطاق مصادقة منفصل — `rbsnin.com` في عملية تسجيل الدخول إلى Rollbit، `auth.dota.trade` في CS.MONEY — يُثير السؤال المماثل حول ما إذا كانت الوجهة التي تُعرض على أداة التحقق من OpenID الخاصة بـ Steam تحدد موقع التشغيل.

[سياسة عناوين URL الخاصة بـ Valve ↗](https://help.steampowered.com/en/faqs/view/628C-E332-BD8C-4D36)

مراجع القواعد: [Steam اتفاقية الاشتراك، النسخة المعدلة بتاريخ 10 سبتمبر 2026](https://store.steampowered.com/subscriber_agreement/) [محفوظ 2026-09-18 ↗](https://web.archive.org/web/20260918014700/https://store.steampowered.com/subscriber_agreement/) · [Steam شروط استخدام واجهة برمجة التطبيقات (Web API)](https://steamcommunity.com/dev/apiterms) [محفوظ 2026-09-21 ↗](https://web.archive.org/web/20260921022210/https://steamcommunity.com/dev/apiterms) · [Steam سياسة عناوين URL (إخفاء الروابط)](https://help.steampowered.com/en/faqs/view/628C-E332-BD8C-4D36). تشير الأرقام إلى سجلات هذا الملف وعلاماته؛ وهي لا تمثل عدد المخالفات التي تم البت فيها.

عجز الثقة 

#### من الذي يراجع القرار عندما تقوم إدارة الدعم بإغلاق القضية؟

تصف الشكاوى المحفوظة العقوبات الدائمة، والتحديات التي لم يتم الرد عليها، ورفض إعادة الأصول المسروقة. قارن هذه الروايات بسجل التذاكر الفعلي، وسبل الانتصاف المتاحة، وسجلات الوصول إلى الحساب. لا يمكن لتفسير عام يتعلق بالتصيد الاحتيالي أن يثبت من الذي بدأ عملية إعادة الضبط أو أنشأ مفتاح واجهة برمجة التطبيقات (API).

[اقرأ الشكاوى التي تم تسجيلها ↗](https://phishdestroy.io/steam_dossier/ar/steam_enforcement_evidence#support-records)[طلب السجلات الأصلية →](https://phishdestroy.io/steam_dossier/ar/index#dsar-playbook)[رسم بياني لعلاقات المشرف →](https://phishdestroy.io/steam_dossier/ar/social_graph)

الجزء باء — القواعد وسجل الإنفاذ · المادة 10 

## واجهة برمجة تطبيقات (API) للأتمتة. قاعدة تمنع الأتمتة.

السياق وحدود المصدر

السؤال الذي يطرحه هذا القسم هو كيفية التوفيق بين الأمرين: ما هي استخدامات واجهة برمجة التطبيقات (API) المسموح بها، ومن الذي يصرح بها، وبناءً على أي معايير منشورة. لم يتم تقدير عدد مستخدمي واجهة برمجة التطبيقات (API) التجاريين المصرح لهم هنا، ولا يُستنتج أي رقم من غياب قائمة منشورة — فالغياب هو النتيجة، وليس الرقم الكامن وراءه. تم إعادة نشر رسائل الدعم Steam المقتبسة أعلاه من قِبل المشروع ArchiSteamFarm في قسم الأسئلة الشائعة الخاص به (تم التحقق من نصها حرفيًا 2026-09-22)؛ وهي ليست Valve منشورات، ولم يتم تحديد الحسابات التي أُرسلت إليها.

**القاعدة (المادة 4.C من قانون الضمان الاجتماعي):** لا نصوص برمجية، ولا روبوتات، ولا أنظمة غير بشرية على Steam. **السجل:** Valve توفر واجهة برمجة تطبيقات REST بدون واجهة مستخدم، والغرض الوحيد منها هو أتمتة العمليات بين الخوادم، وتمنح مفتاح الوصول لأي حساب. **يتم حظر المستخدمين بسبب استخدام الأتمتة؛ وواجهة الأتمتة هي منتج خاص بـ Valve.** لم يتم الإعلان قط عن الاستخدامات التجارية المسموح بها.

### مغالطة «مطور الألعاب»

حزمة أدوات تطوير التطبيقات Steamworks (أصلية) 

تستخدمها استوديوهات الألعاب المعتمدة لدمج الإنجازات، ونظام إيجاد اللاعبين المناسبين، وقوائم المتصدرين في برامج عملاء ألعابها. ويتطلب ذلك عملية دمج معقدة بلغة C++ وإجراء عملية انضمام رسمية للشركاء.

Steam واجهة برمجة تطبيقات الويب (الثغرة) 

بنية JSON/REST بدون رأس مصممة لخوادم الويب الخارجية. في نمط «الاختطاف» الموثق هنا، تُستخدم هذه البنية لقراءة قوائم المخزون والتلاعب بعمليات التداول بين الأقران من خوادم بعيدة؛ ولا ترد الاستخدامات المشروعة لهذه البنية في هذا الملف.

لمن هذه المفتاح؟ لا يحتاج المستخدم العادي Steam إلى مفتاح واجهة برمجة تطبيقات الويب (Web API) داخل التطبيق؛ حيث توجد صفحة المفتاح ضمن رابط مخصص للمطورين، والغرض الموثق منها هو الوصول الخارجي من جانب الخادم. وتصف الشكاوى المُحفَظة المتعلقة بعمليات الاختراق ضحايا لم يكونوا على علم بوجود هذه الصفحة حتى تم تسجيل مفتاح في حساباتهم.

#### تناقض الأتمتة

ينص البند 4.C من قانون الضمان الاجتماعي (SSA) على ما يلي: "لا يجوز لك استخدام أي شكل من أشكال البرامج النصية أو الروبوتات أو الماكرو أو أي أنظمة أخرى لا يتحكم فيها الإنسان («الأتمتة») للتفاعل مع المحتوى والخدمات على Steam بأي شكل من الأشكال." ومع ذلك، فإن نقاط نهاية واجهة برمجة تطبيقات الويب (مثل `CancelTradeOffer`) لا تتطلب واجهة مستخدم بشرية ولا اختبار كابتشا، وتتجاوز عميل Steam تمامًا. تم تصميم واجهة برمجة التطبيقات (API) لأغراض الأتمتة بين الخوادم؛ وتحظر القاعدة الأتمتة من قِبل المستخدمين؛ ولم يتم الإعلان عن الحد الفاصل بين الاثنين.

#### موقع من جانب الخادم في تدفق المعاملات التجارية

يتيح مفتاح واجهة برمجة التطبيقات (Web API) لخادم تابع لجهة خارجية تنفيذ عمليات التداول الخاصة بالحساب دون الحاجة إلى العميل Steam. وفي نمط «الاختطاف»، يقع هذا الخادم بين صاحب الحساب وخادم التداول.

- → لا تظهر شاشة تأكيد الصفقة بالنسبة لإجراءات المفتاح.

- → يسمح بإجراء الاستقصاء في الخلفية (GetTradeOffers).

- → يلغي العروض ويعيد إصدارها دون تدخل من المستخدم.

Valve قامت بتصميم الواجهة، وحظرت في قواعدها استخدام الأتمتة من قِبل المستخدمين، ولم تنشر أي معايير تحدد الاستخدامات التجارية المسموح بها.

الجزء باء — القواعد وسجل الإنفاذ · المادة 11 

## عشرة أيام مطلوبة. وعشر سنوات يجب تقديم حساب عنها.

السياق وحدود المصدر

في 20 يوليو 2016، حدد المستشار القانوني لـ Valve مهلة مدتها 10 أيام لمشغلي المقامرة. وبعد مرور عشر سنوات (حسب لقطة الملف، 2026-09-21)، لا تزال منصة واحدة على الأقل ورد ذكرها في التقارير الصحفية المتعلقة بهذا الإشعار، وهي CSGOFast، تعمل عبر مضيف مصادقة بنطاق منفصل. وقد أُعيدت صياغة النص أدناه استنادًا إلى التقارير الصحفية الصادرة في 21 يوليو 2016؛ ولا يُعد هذا النص نسخة ممسوحة ضوئيًا. لم يتم نشر سجل الإجراءات التنفيذية الذي أشار إليه الإشعار. الرسالة المفتوحة الموجهة إلى اللجنة هي [القسم 2](https://phishdestroy.io/steam_dossier/ar/index#wsgc-public-address).

يرجى الاطلاع على الإشعار الصادر في يوليو 2016 الموجود بجانب الملاحظات اللاحقة. والمطلب الذي لم يتم الوفاء به بعد هو توفير سجل إنفاذ خاص بكل مشغل على حدة.

قبل أسبوع من ذلك — في 13 يوليو 2016، في مكان عام 

في [13 يوليو 2016](https://store.steampowered.com/oldnews/22883) [محفوظ 2026-09-21 ↗](https://web.archive.org/web/20260921021947/https://store.steampowered.com/oldnews/22883)، Valve أوضح كيف تستخدم مواقع المقامرة Steam: OpenID لتحديد هوية الحسابات، والحسابات الآلية لأغراض التداول. Valve أشار إلى أن استخدام تلك الآليات لإدارة نشاط المقامرة يشكل انتهاكًا لاتفاقيات واجهة برمجة التطبيقات (API) واتفاقيات المستخدم الخاصة به. **يرد كل من وصف الآلية والحظر في البيان المؤرخ الصادر عن Valve نفسه.** في 2026-09-21، لم تُسجل أي حالات حظر عبر «تصفية الروابط» (Link Filter) في مضيفات المصادقة ذات المجالات المنفصلة التي تم اختبارها، ولم ينشر Valve أي سجلات فرض قيود خاصة بكل مشغل.

### شركة فالف

بلفيو، واشنطن

**التاريخ:** يوليو 2016 (وفقًا لما أوردته الصحافة في 21 يوليو 2016)

**من:** كارل كواكينبوش، المستشار القانوني العام

**بشأن:** إنذار بالكف عن — الاستخدام التجاري لحسابات Steam

**ملاحظة:** إعادة صياغة النص المبلغ عنه؛ وليس نسخة ممسوحة ضوئيًا

"نحن على علم بأنك تدير أحد مواقع المقامرة المذكورة أدناه. أنت تستخدم Steam حسابًا لممارسة هذه النشاط التجاري. وبموجب Steam اتفاقية المشترك، فإن خدمات Steam وSteam مرخصة للاستخدام الشخصي غير التجاري فقط."

"يجب عليك التوقف فوراً عن استخدام حساباتك Steam لأي أغراض تجارية. وإذا لم تقم بذلك،" في غضون عشرة (10) أيام ، Valve ستتخذ جميع الإجراءات القانونية المتاحة، بما في ذلك على سبيل المثال لا الحصر إنهاء حساباتك."

إعادة صياغة نص الإشعار الصادر في يوليو 2016، كما أعاد المؤلفون صياغته استنادًا إلى التقارير الصحفية الصادرة في 21 يوليو 2016 

كارل كواكينبوش

المستشار القانوني العام لشركة Valve Corp.

الجدول الزمني يوليو 2016 – سبتمبر 2026

الموعد النهائي الوارد في الإشعار:

10 أيام

يوليو 2016

المدة المنقضية منذ تاريخ الإشعار:

3,715 يومًا

رقم ثابت من 20 يوليو 2016 حتى تاريخ لقطة الملف في 21 سبتمبر 2026، وليس رقمًا محدثًا

سجل الإنفاذ المنشور:

لا شيء

لم يتم العثور على سجلات خاصة بكل مشغل بشأن قطع الخدمة أو عمليات الحظر

◀ **الأيام من 0 إلى 10** — الموعد النهائي، حسب الحجم **اليوم 3715** — اللقطة ▶

- 20 يوليو 2016**صدور أمر مدته عشرة أيام***اليوم 0*

- 17 فبراير 2024**تسري التزامات DSA***اليوم 2,768*

- 25 فبراير 2026**الإعلان عن الشكوى المقدمة من المدعي العام لولاية نيويورك***اليوم 3,507*

- 21 سبتمبر 2026**لمحة عامة عن الملف***اليوم 3715*

بعد عشر سنوات، **CSGOFast** — المذكور في التقارير الصحفية المتعلقة بالإشعارات الصادرة عام 2016 — يعمل حالياً: أظهر موقع csgofast.com حجبًا من «Link Filter» عند 2026-09-19 و2026-09-21، في حين أن مضيف المصادقة الخاص به `steam-login.authtofast.com` (المسجل برقم 2026-06-30) لم يفعل ذلك.

سجل كامل ومؤرخ لتغييرات الأمان الخاصة بـ Valve: [الجدول الزمني للأحداث الأمنية →](https://phishdestroy.io/steam_dossier/ar/security_timeline) · سجل واشنطن ومعيار الإنفاذ: [أدناه](https://phishdestroy.io/steam_dossier/ar/index#washington-record-heading)

**ما يظهر من السجل:** حدد الإشعار الصادر عام 2016 مهلة مدتها 10 أيام؛ وكانت Valve تدير بالفعل قائمة نطاقات (تسمى «Link Filter») وتستقبل أسماء المضيفين المعتمدة في طلبات OpenID الخاصة بها؛ ولم يتم نشر أي سجل لتنفيذ الإجراءات لكل مشغل على حدة. تصف تقارير المجتمع إجراءً اتُخذ في عام 2018 ضد سوق إلكتروني (SkinJar)، لكن هذه التقارير لم يتم التحقق منها ولا يُعتمد عليها هنا.

CSGOFAST / مسار المصادقة المحفوظ 

### اتبع المضيف المُعلن عنه.

روابط سجلات المسارات المحفوظة `csgofast.com` إلى `steam-login.authtofast.com`. يتم تضمين اسم المضيف المنفصل في طلب OpenID Steam. وهو يوفر للمحققين عنوانًا محددًا لمقارنته بسجلات التصفية والإنفاذ الخاصة بـ Valve.

[افحص مسار CSGOFast ومصدره ↗](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/csgofast.com.json) · [مقارنة النتائج المحفوظة Steam تصفية الروابط ↗](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-all-results.json)

السجل العام / واشنطن · 2016 → 2026 

### موعدان نهائيان. معيار إنفاذ واحد لم يتم الرد عليه.

**20 يوليو**

#### Valve تمنح مواقع المقامرة مهلة 10 أيام

وحذر طلب محامي الشركة من أن الاستمرار في الاستخدام التجاري لحسابات Steam قد يؤدي إلى إنهاء الخدمة.

**27 سبتمبر**

#### واشنطن تضغط Valve

طالبت لجنة المقامرة التابعة للولاية بتقديم أدلة على الإجراءات المتخذة لوقف عمليات تحويل الأموال عبر «السكين» لأغراض المقامرة، وحددت 14 أكتوبر موعدًا نهائيًا لتقديم الرد.

**17 أكتوبر**

#### Valve ينفي التهمة

Valve ردت بعد انقضاء الموعد النهائي، واعترضت على الادعاء بأنها تيسر المقامرة، وأفادت بأنها عطلت الحسابات المرتبطة، وأوضحت أنها لا ترغب في إيقاف التداول وخدمة OpenID للجميع. كانت هناك منصة واحدة على الأقل ورد ذكرها في التقارير الصحفية المتعلقة بالإشعارات الصادرة في يوليو (CSGOFast) لا تزال تعمل بعد مرور عقد من الزمن. ولا يمكن أن يكون هذان الواقعان صحيحين إلا إذا كان المشغل قد استبدل الحسابات المعطلة؛ ولم يتم نشر السجل الذي من شأنه إثبات ذلك. وينبغي على لجنة WSGC أن تطلب من Valve التوفيق بين هذين الأمرين.

**2026**

#### المسارات التي تم رصدها في سبتمبر 2026

يسجل سجل المسار 44 منصة تقوم بالمصادقة عبر مضيفي مصادقة تابعين لنطاقات منفصلة، بما في ذلك CSGOFast، باستخدام OpenID وآليات التداول Valve الموصوفة في عام 2016. ولم يتم تقديم سجل التنفيذ الذي من شأنه أن يوضح أي المشغلين تم قطع الخدمة عنهم.

تقرير اللجنة · 30 يناير 2018 

#### بعد مرور ثمانية عشر شهراً على رد Valve، لا تزال الهيئة التنظيمية تصف ذلك بأنه «نية».

وفي معرض إحاطة مجلسها التشريعي خلال الجلسة العامة الخاصة بمشروع القانون HB 2881، وصفت اللجنة البيان الصادر في يوليو 2016 بعباراتها الخاصة: Valve **"أعلنت عن عزمها على اتخاذ إجراءات صارمة ضد استخدام منصتها لتسهيل المقامرة على "السكينز"."** وتسجل الصفحة نفسها تأثير ذلك الإعلان على توقعات القطاع — *"ونتيجة لذلك،"* تم تعديل التوقعات المتعلقة بسوق المقامرة عبر الإنترنت لعام 2020 من **$19.7 مليار** إلى **$670 مليون**، وهو انخفاض بنسبة 97 في المائة تقريبًا، بناءً على الإعلان وحده. وقد تغيرت التوقعات. أما سجل الإنفاذ لكل مشغل الذي من شأنه تبرير ذلك، فلم يُنشر بعد.

أرقام السوق هي تقديرات صادرة عن Narus Advisors / Eilers & Krejcik Gaming تم إعادة نشرها في تقرير اللجنة، وليست نتائج توصلت إليها اللجنة؛ ويشير الوثيقة نفسها إلى أن حجم الرهانات على «السكين» في عام 2016 بلغ حوالي $5 مليار، منها ما يقارب $3 مليار على مواقع على غرار الكازينوهات. تم استرجاعه في 2026-09-22، SHA-256 `c507c9025f93da0aadaf395c4d8882f25973211c318ee8e9b6f18a5b3755e050`.

يمكن مقارنة الموقف الرسمي الذي أعلنه Valve في عام 2016 بالبنية التحتية الملحوظة اليوم. والسؤال المطروح هو ما إذا كان التطبيق قد شمل الحسابات والمسارات التي يستخدمها المشغلون المحظورون. **إن إصدار إشعار مدته عشرة أيام لا يُعد دليلاً على أن الإشعار قد تم تنفيذه لدى جميع المشغلين المذكورين فيه.** تُعد الإجراء الذي اتخذته OPSkins في عام 2018 هو التدخل الوحيد الموثق ضد مشغل محدد؛ وبالنظر إلى أن الفحص شمل 189 منصة ولم يتم نشر أي سجل خاص بكل مشغل على حدة، فإن إجراءً موثقًا واحدًا لا يُشير إلى وجود نمط محدد في تطبيق الإجراءات.

[إشعار لجنة المقامرة في واشنطن لعام 2016 ↗](https://wsgc.wa.gov/news/2016/washington-state-gambling-commission-orders-valve-stop-skins-gambling) [محفوظ 2026-05-20 ↗](https://web.archive.org/web/20260520012601/https://wsgc.wa.gov/news/2016/washington-state-gambling-commission-orders-valve-stop-skins-gambling) · [رد Valve بتاريخ 17 أكتوبر 2016 (نسخة من الوثيقة) ↗](https://fr.scribd.com/document/328063293/Valve-s-Oct-18th-response-to-Washington-State-Gambling-Commission-s-cease-and-desist) · [عرض إعلامي قدمته لجنة WSGC إلى الهيئة التشريعية، 30 يناير 2018 (نسخة محلية، 4 صفحات) ↗](https://phishdestroy.io/steam_dossier/steam_tos_assets/wsgc-skins-gambling-briefing-2018.pdf) · [الملف نفسه على موقع wsgc.wa.gov ↗](https://wsgc.wa.gov/sites/default/files/2023-10/Skins%20Gambling.pdf) · [سجل الاسترجاع والهاش ↗](https://phishdestroy.io/steam_dossier/steam_tos_assets/wsgc-briefing-manifest.json) · [حركة Valve على OPSkins لعام 2018 ↗](https://blog.counter-strike.net/expresstrade/) [محفوظ 2026-03-07 ↗](https://web.archive.org/web/20260307161538/https://blog.counter-strike.net/expresstrade/) · [تدقيق المسار الحالي ↗](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit.json)

التدقيق الجنائي الطولي · الأهداف التي شملتها أوامر التوقف والكف لعام 2016 

### «عقد الإشعار قبل 10 أيام»: تدقيق جنائي لتقييم مدى الصمود في المواقع الـ23 المحددة

في 19 و20 يوليو 2016، أصدر المستشار القانوني العام كارل كواكينبوش إخطارات رسمية بوقف النشاط إلى 23 منصة مقامرة تعتمد على «السكين»، وأمرها بوقف الاستخدام التجاري لـSteam حسابًا ضمن **10 أيام** تحت تهديد إغلاق الحساب واتخاذ إجراءات قانونية. وبعد مرور 3,700 أيام، كشفت عملية تدقيق تجريبية عن النمط الحقيقي لتطبيق الإجراءات: فعدد من المشغلين لم يتوقفوا أبدًا عن العمل، بينما استمر آخرون في العمل لمدة تصل إلى ست سنوات بعد الموعد النهائي، وواصل النظام البيئي الذي تبلغ قيمته عدة مليارات من الدولارات الاستفادة من بنية OpenID الخاصة بـ Valve.

5+ مباشر

ستكون قيد التشغيل بالتأكيد في عام 2026 (CSGOBig، CSGO500، CSGOFast، إلخ)

6 سنوات

أطول فترة تشغيل بعد الإعلان عن الإغلاق (ظل موقع CSGOatse نشطًا حتى عام 2022)

$5.01B

حجم الرهانات في سوق «سكين» لعام 2016 (Narus / Eilers & Krejcik)

200+

مواقع المقامرة عبر الإنترنت النشطة التي تعمل في ذروة السوق

«العمالقة الباقون» · الخطة المالية وخطة حركة المرور للفترة 2024–2026 

#### من الإنذارات التي تُصدر قبل 10 أيام إلى التكتلات الخارجية: معدل دوران بمليارات الدولارات

بدلاً من القضاء على المقامرة بالـ«سكين»، شكّلت إخطارات Valve الصادرة عام 2016 حافزًا لتطور الصناعة. وقام المشغلون الباقون على قيد الحياة بإعادة هيكلة أعمالهم ككيانات تجارية خارجية (كوراساو، بليز، قبرص)، وابتكروا التداول من نظير إلى نظير (P2P) لتجاوز حظر الروبوتات، ويقومون الآن بمعالجة أكثر من **10 ملايين زيارة شهريًّا للموقع الإلكتروني** و **مليارات الدولارات من حجم الرهانات السنوي** مع الاستمرار في المصادقة عبر Steam:

| المنصة / النطاق | إشعار يوليو 2016 | نتائج التنفيذ وحالة البقاء | التحقق المسجل / الروابط الأساسية |
| --- | --- | --- | --- |
| CSGOBig csgobig.com | إشعار مدته 10 أيام (يوليو 2016) | ما زال على قيد الحياة في عام 2026 تم إيقافه مؤقتًا، ثم أُعيد تشغيله؛ تتم عملية المصادقة عبر letmeinbig.com و csgobiglogin.com | [X: @csgobig ↗](https://x.com/csgobig) · [فيسبوك: csgobigofficial ↗](https://www.facebook.com/csgobigofficial/) |
| CSGO500 csgo500.com / 500.casino | إشعار مدته 10 أيام (يوليو 2016) | ما زال على قيد الحياة في عام 2026 تم تغيير اسمها إلى 500 Casino (ترخيص كوراكاو رقم 8048/JAZ2014-037)، ويبلغ حجم مبيعاتها الشهرية عدة ملايين | [منصة البث المباشر (500.casino) ↗](https://500.casino) |
| CSGOFast csgofast.com | إشعار مدته 10 أيام (يوليو 2016) | ما زال على قيد الحياة في عام 2026 تعمل حاليًا ألعاب الروليت و«كراش» و«الجائزة الكبرى» عبر الموقع steam-login.authtofast.com | [تدقيق صحة الملف ↗](https://phishdestroy.io/steam_dossier/steam_tos_assets/auth-route-audit/csgofast.com.json) |
| CSGOLounge / Dota2Lounge csgolounge.com / dota2lounge.com | إشعار مدته 10 أيام (يوليو 2016) | ما زلت على قيد الحياة في عام 2026 تركزت أنشطتها على المراهنات باستخدام عملات الرياضات الإلكترونية والعملات المشفرة؛ وحافظت على استمرارية عملياتها | [منصة البث المباشر ↗](https://csgolounge.com) |
| CSGOCasino csgocasino.net / csgocasino.gg | إشعار مدته 10 أيام (يوليو 2016) | بث مباشر عبر «سوكسيسور» (2026) تم إعادة توجيه النطاق؛ ويعمل البوابة الخلفية النشطة تحت عنوان csgocasino.gg | [نطاق الخلف ↗](https://csgocasino.gg/) |
| CSGOatse csgoatse.com | إشعار مدته 10 أيام (يوليو 2016) | استمرت لمدة 6 سنوات (كانت نشطة حتى عام 2022) استمرت عمليات المقامرة بكامل طاقتها لمدة ست سنوات عقب الإنذار النهائي الذي مدته 10 أيام الذي أصدره Valve | [X: @CSGOatsecom (نشط حتى عام 2022) ↗](https://x.com/CSGOatsecom) |
| CSGOSweep csgosweep.com | إشعار مدته 10 أيام (يوليو 2016) | استمر حتى ديسمبر 2017 استمرت في العمل بشكل علني لمدة 17 شهراً بعد انتهاء المهلة | [X: حالة CSGOSweep في ديسمبر 2017 ↗](https://x.com/CSGOSweep/status/937420902538543106) |
| CSGOWild csgowild.com | إشعار مدته 10 أيام (يوليو 2016) | استمر حتى ديسمبر 2017 تم الترويج لها من قِبل مؤثرين بارزين؛ واستمرت لمدة عام ونصف بعد تلقي إنذار التوقف والكف قبل الانتقال إلى العملات المشفرة | [X: @Wild (نشط منذ ديسمبر 2017) ↗](https://x.com/Wild) |
| CSGOPot csgopot.com | إشعار مدته 10 أيام (يوليو 2016) | استمر حتى سبتمبر 2017 استمرت عمليات المراهنة على الجائزة الكبرى ذات الرهانات العالية لمدة 14 شهراً بعد صدور الإشعار | [X: @csgopot (نشط في سبتمبر 2017) ↗](https://x.com/csgopot) |
| CSGODiamonds csgodiamonds.com | إشعار مدته 10 أيام (يوليو 2016) | استمرت حتى منتصف عام 2017 استمر البرنامج حتى عام 2017 على الرغم من الاعتراف بالتلاعب بنتائج البث المباشر للمؤثرين المدعومين | [X: @csgodiamondscom (2017) ↗](https://x.com/csgodiamondscom) |
| CSGOLotto csgolotto.com | إشعار مدته 10 أيام (يوليو 2016) | أُغلق في يوليو 2016 أُغلق بسبب فضيحة عامة؛ وكان موضوع أمر موافقة صادر عن لجنة التجارة الفيدرالية (FTC) | [أمر التوافق الصادر عن لجنة التجارة الفيدرالية (القضية رقم C-4632) ↗](https://search.ftc.gov/legal-library/browse/cases-proceedings/162-3184-csgolotto-trevor-martin-thomas-cassell-matter) |
| CSGODouble csgodouble.com | إشعار مدته 10 أيام (يوليو 2016) | أُغلق في يوليو 2016 الإغلاق الطوعي فور نشر إنذار التوقف والكف | [X: @CSGODouble (تم إغلاقه في يوليو 2016) ↗](https://x.com/CSGODouble) |
| CSGOMassive csgomassive.com | إشعار مدته 10 أيام (يوليو 2016) | مغلق عام 2016 أوقفت عملياتها العامة في أواخر عام 2016 | [X: @csgo_massive ↗](https://x.com/csgo_massive) |
| CSGOStrong csgostrong.com | إشعار مدته 10 أيام (يوليو 2016) | مغلق عام 2016 توقفت عن تقديم خدماتها للجمهور في عام 2016 | [فيسبوك: csgostrongfree ↗](https://www.facebook.com/csgostrongfree/) |
| Skins2 skins2.com | إشعار مدته 10 أيام (يوليو 2016) | مغلق عام 2016 توقفت عن تقديم خدماتها للجمهور في عام 2016 | [فيسبوك: CSNCOM ↗](https://www.facebook.com/CSNCOM/) |

| المنصة | حركة المرور الشهرية (الزيارات) | حجم المبيعات/الحجم التقديري | الكيان القانوني والولاية القضائية | الإجراءات التنظيمية الرئيسية والنموذج |
| --- | --- | --- | --- | --- |
| CSGOEmpire csgoempire.com | 2.3 مليون — 9.0 مليون / شهريًا متوسط المدة 6 دقائق أو أكثر؛ 80% مباشر | $1.5B — $2.5B الحجم السنوي >1,000,000 صفقة تداول للجلود عبر نظام P2P شهريًّا؛ $6.4 مليون أمر تداول نشط في قاعة التداول | شركة «مونريل ليميتد بي.في.» (كوراساو رقم 148182) المدفوعات: JHOLT LTD (قبرص)؛ المؤسس: «Monarch» (أوسي كيتولا) | رائدة في مجال تداول السلع بين الأقران (P2P) بدون رسوم؛ مرخصة من كوراساو برقم OGL/2024/1183/0869 |
| CSGORoll csgoroll.com | 2.74 مليون — 3.5 مليون / شهريًّا متوسط المدة: 9 دقائق و23 ثانية؛ معدل الارتداد: 16% | $1.0B — $2.0B الحجم السنوي تقدر الإيرادات السنوية للشركة من «ميزة الكازينو» بما يتراوح بين $100M و$200M | شركة فيرال هولدينغز المحدودة يقع مقرها الرئيسي في مدينة بليز، بليز (رقم التسجيل 171519) | تم حظرها من قبل هيئة ACMA الأسترالية (مايو 2023)؛ وكانت ترعى فريق G2 Esports من الفئة الأولى الذي يضم لاعبين دون السن القانونية |
| كازينو 500 (CSGO500) 500.casino / csgo500.com | 220 ألف — 425 ألف / شهريًا حوالي 105 آلاف زائر فريد شهريًّا | $100ك / أسبوع ($5.2م/سنة) في روياليس متطلبات الرهان لللاعبين الكبار: $400 رهان مقابل كل $1 راكباك | شركة Perfect Storm B.V. (كوراساو رقم 150536) ترخيص هيئة مراقبة الألعاب في كوراساو رقم OGL/2024/1354/0882 | تم حظرها من قبل هيئة الرقابة على الألعاب السويدية (سبيلينسبكتسيون) (نوفمبر 2023) بسبب استهدافها للاعبين السويديين دون ترخيص |
| CSGOBig csgobig.com | ~169,600 / شهريًّا متوسط المدة: 19 دقيقة و12 ثانية؛ الانتخابات التمهيدية الأمريكية | حجم مبيعات سنوي يبلغ عدة ملايين الصناديق الغامضة، والروليت، ومعارك الصناديق | يعمل عبر توجيه الوكيل الإضافي letmeinbig.com (مسجل في عام 2023) و csgobiglogin.com | تم إعادة إطلاق "Target of July 2016 C&D" باستخدام بنية مصادقة بالوكالة |
| CSGOFast csgofast.com | حوالي 150 ألف — 250 ألف شهريًّا جمهور عالمي متعدد اللغات | حجم مبيعات سنوي يبلغ عدة ملايين ألعاب الروليت وألعاب «كراش» عالية السرعة | الكيانات التشغيلية الخارجية المسارات Steam المصادقة عبر steam-login.authtofast.com | كانت الشركة هدفًا لإخطار التوقف عن العمل (C&D) في يوليو 2016؛ ولم توقف عملياتها قط؛ وما زالت نشطة في عام 2026 |
| CSGO Polygon csgopolygon.com / plg.bet | حوالي 300 ألف — 500 ألف شهريًّا هيمنة دول رابطة الدول المستقلة وأوروبا الشرقية | حجم مبيعات سنوي يبلغ عدة ملايين العملات المشفرة وروليت السكين، والمراهنات على المباريات | هدف الموجة الثانية (أكتوبر 2016) تركيز على العملات المشفرة باستخدام النطاق المطابق plg.bet | استمرت لمدة عقد كامل؛ وتواصل تصفية الأصول عبر واجهات برمجة التطبيقات (API) التابعة لأطراف ثالثة |

الموجة الثانية: لماذا استهدفت إنذارات التوقف والكف الصادرة عن Valve ما يزيد عن 43 موقعًا في المجموع

في 17 أكتوبر 2016، أبلغ المستشار القانوني لشركة Valve لجنة المقامرة بولاية واشنطن رسميًا أنه عقب الإخطارات الـ23 الأولى التي صدرت في 19 يوليو، كانت شركة Valve قد أرسلت خطابات إنذار بالكف عن الممارسة إلى **أكثر من 20 موقعًا إضافيًا للمقامرة بالسكين** (مما رفع العدد الإجمالي الرسمي إلى ما يزيد عن 43). وقد استدعت هذه الموجة الثانية ذلك لأن القائمة الأولية أغفلت، لسبب غير مفهوم، أكبر مراكز المقامرة وأكثرها شهرة في العالم:

- **CSGOJackpot.com:** الشركة الرائدة تاريخياً في مجال «جوائز اليانصيب الجلدية»، والتي تعاملت مع مئات الملايين من حيث الحجم قبل أن تغلق أبوابها تحت تهديد توجيه اتهامات فيدرالية.

- **CSGOShuffle.com:** الموقع الذي كان في قلب فضيحة البث المباشر التي اندلعت في يوليو 2016، حيث تبين أن مقدم البث على منصة «تويتش» PhantomL0rd كان يمتلك سراً حصة تبلغ 33% من الشركة، وكُشف عن تورطه في التلاعب بالنتائج باستخدام أموال الشركة.

- **النظام البيئي الكلي (أكثر من 200 مشغل):** وفقًا لدراسة استقصائية أجرتها شركتا «ناروس أدفايزرز» و«إيلرز آند كريجيك جيمنج»، كان هناك أكثر من 200 موقع مختلف للمقامرة بالـ«سكينز» يعمل في عام 2016، حيث حققت حجم رهانات بلغ $5.01 مليار من 3.03 مليون لاعب نشط. وقد استهدفت الرسائل الـ43 التي أرسلتها شركة Valve أقل من 20% من السوق النشطة.

التحقيقات الحكومية والرقابية الرسمية بشأن المقامرة عبر تطبيق «Steam Skin»

تم توثيق ظاهرة المقامرة عبر الإنترنت في العديد من التحقيقات القانونية الرسمية، وإجراءات الإنفاذ، وورقات المواقف الحكومية:

**1. لجنة المقامرة بولاية واشنطن (WSGC) (2016–2018)** 

صدرت مطالبة رسمية بـ«الكف والامتناع» في 5 أكتوبر 2016؛ ونُشرت مذكرة تشريعية في 30 يناير 2018 توثق أن «السكينز» تعتبر معادلات نقدية، وتشير إلى حجم المراهنات على «السكينز» البالغ $5.0B.

[التقرير التشريعي لمجلس ولاية ويست فرجينيا (WSGC) بصيغة PDF (نسخة محلية) ↗](https://phishdestroy.io/steam_dossier/steam_tos_assets/wsgc-skins-gambling-briefing-2018.pdf)

**2. لجنة التجارة الفيدرالية الأمريكية (FTC) (سبتمبر 2017، الملف رقم C-4632)** 

أول إجراء إنفاذ تنظيمي اتحادي يتعلق بالمقامرة عبر الإنترنت، موجه ضد مالكي موقع CSGOLotto، تريفور مارتن وتوماس كاسيل، بتهمة الممارسات الخادعة والتحكم غير المعلن في المنصة.

[قرار لجنة التجارة الفيدرالية (FTC) وأمر الموافقة ↗](https://search.ftc.gov/legal-library/browse/cases-proceedings/162-3184-csgolotto-trevor-martin-thomas-cassell-matter)

**3. ورقة موقف لجنة المقامرة في المملكة المتحدة (UKGC) والتدقيقات المتعلقة بالشباب** 

وأظهر مسح لجنة المقامرة لعام 2018 أن 3% من الأطفال بعمر 11 إلى 16 عامًا قالوا إنهم راهنوا يومًا بعناصر داخل الألعاب (السكينات).

[مستودع أبحاث هيئة المقامرة في المملكة المتحدة ↗](https://www.gamblingcommission.gov.uk/news/article/gambling-commission-publishes-new-report-on-children-and-gambling-trends)
[UKGC policy on virtual currencies ↗](https://www.gamblingcommission.gov.uk/licensees-and-businesses/guide/page/digital-and-virtual-currencies)

**4. لجنة التحقيق المعنية بالبيئة والاتصالات التابعة لمجلس الشيوخ الأسترالي (2018)** 

تقرير البرلمان الفيدرالي بشأن *"المعاملات الصغيرة في الألعاب للحصول على عناصر تعتمد على الحظ"*، وتقييم آليات صناديق الغنائم في لعبة Valve، وعمليات السحب النقدي في السوق الثانوية، والتحايل على اللوائح التنظيمية.

[تحقيق برلمان أستراليا ↗](https://www.aph.gov.au/Parliamentary_Business/Committees/Senate/Environment_and_Communications/Gamingmicro-transactions/Report)

الطلب المعلق 

**نشر سجل الإجراءات التنفيذية: تحديد حسابات المقامرة والروبوتات التي تم تعطيلها، وخوادم الاستجابة التي تم تقييدها، والخدمات التجارية التي حصلت على إذن. ولا يُثبت الحظر العلني والتحذير المنشور على الصفحة الرئيسية أن العملية الأساسية قد توقفت.**

الجزء باء — القواعد وسجل الإنفاذ · المادة 12 

## اسم المضيف موجود بالفعل في الطلب.

السياق وحدود المصدر

يحتفظ Valve بالفعل بقائمة نطاقات (ما يُعرف بـ «مرشح الروابط») ويتلقى بالفعل اسم مضيف المصادقة في كل طلب OpenID. يوضح الكود الوهمي أدناه الشكل المنطقي لربط هذين العنصرين. ولا توجد أدلة علنية تشير إلى أن Valve يقوم بذلك.

Valve يُشغّل بالفعل قائمة حظر للنطاقات. Valve يتلقى بالفعل عنوان المضيف الذي يتم تسجيل الدخول منه في كل طلب OpenID. **لا حاجة إلى بناء أي شيء — ما عليك سوى ربط الاثنين معًا.** هذا هو عملية البحث عن اسم المضيف في قائمة يقوم Valve بتحديثها بنفسه. الكود الوهمي أدناه هو مجرد توضيح، وليس التنفيذ الخاص بـ Valve.

forensic_autoban.py

# كود زائف توضيحي — Valve.block_domain() و flag_session_as_mitm() ليستا استدعاءات حقيقية لواجهة برمجة التطبيقات (API). وهذا يوضح البنية المنطقية لإجراء التخفيف Valve الذي يمكن تنفيذه ضد نطاقات مصادقة الوكيل، وليس التفاصيل الداخلية الفعلية لـ Valve.

# توضيح: الشكل المنطقي لعملية التحقق من طلب OpenID الوارد

def audit_openid_request (طلب):

blocked_origins = database. الحصول على قائمة المنصات المدرجة في القائمة السوداء ()

proxy_domain = request.params. احصل على ( «openid.realm» )

target_redirect = request.params. الحصول على ( 'openid.return_to' )

# المنطق: إذا قام الوكيل بإعادة التوجيه إلى موقع محظور، فيجب حظر هذا الوكيل.

من أجل الموقع في blocked_origins:

إذا الموقع في target_redirect:

Valve. حظر النطاق (proxy_domain)

Valve. flag_session_as_mitm (request.session)

# النتيجة: تم رفض طلب تسجيل الدخول الخاص بهذا المضيف

ملاحظة: 
عندما يكون النطاق الرئيسي موجودًا بالفعل في «مرشح الروابط» (على سبيل المثال: howl.gg، محظور 2026-09-18/19/21) ويظهر مضيف المصادقة الخاص به (howl.uno) في طلب OpenID الصادر من زر تسجيل الدخول الخاص بذلك الموقع، فإن الارتباط يمكن ملاحظته في Valve من بيانات الطلب الخاصة به. يمكن أتمتة عملية الفحص؛ لكن تنفيذها ليس كذلك.

### السوابق الموثقة والمبلغ عنها

Valve تدخلت ضد مشغل خارجي مرة واحدة على الأقل وفقًا للسجلات: ففي عام 2018، ألغت حق وصول شركة OPSkins إلى نظام ExpressTrade ([إعلان Valve ↗](https://blog.counter-strike.net/expresstrade/) [محفوظ 2026-03-07 ↗](https://web.archive.org/web/20260307161538/https://blog.counter-strike.net/expresstrade/)). كما تشير تقارير المجتمع الصادرة في عام 2018 إلى فقدان إحدى المنصات التجارية (SkinJar) لإمكانية الوصول؛ وهذه التقارير لم يتم التحقق منها، وقد تم استنتاج الآلية من النتيجة، وليس من عملية تم الكشف عنها.

ما تثبتُه هذه السابقة: 

Valve يمكنها قطع وصول مشغل تابع لجهة خارجية متى شاءت. وكان موقع CSGOFast، الذي ورد ذكره في التقارير الصحفية المتعلقة بالإشعارات الصادرة في يوليو 2016، يعمل على 2026-09-21 باستخدام مضيف مصادقة مسجل في 2026-06-30 لم يُسفر عن أي حظر من «Link Filter». ولم يتم توضيح سبب قطع الخدمة عن مشغل واحد دون غيره في أي معايير منشورة.

### ما الذي يظهره تاريخ التسجيل وما الذي لا يظهره

يُعد تاريخ تسجيل مضيف المصادقة الحد الأدنى للوقت الذي يمكن أن يكون فيه المضيف قد ظهر لأول مرة في طلب OpenID؛ وهو لا يُثبت الاستخدام المستمر. `sc-auth.net`، على سبيل المثال، تم تسجيله تحت الرمز 2019-04-02 (RDAP) ولوحظ في مسار تسجيل الدخول Steam لموقع Skin.Club في سبتمبر 2026؛ وما حدث بين هذين التاريخين غير متوفر في السجلات العامة.

### التدقيق المقارن: معايير الامتثال لواجهة برمجة التطبيقات (API)

| البعد التنفيذي | قواعد واجهة برمجة تطبيقات GitHub | Steam واجهة برمجة تطبيقات الويب (Valve) |
| --- | --- | --- |
| 1. الحياد في مسألة الامتثال | تنطبق على كل حساب القواعد المنشورة والموحدة، وحدود المعدل الموثقة (على سبيل المثال: 5,000 مكالمة/ساعة للمستخدمين المصادق عليهم، و15,000/ساعة لمنظمات GitHub Enterprise Cloud)، وسياسات الاستخدام المقبول المنشورة. | لا توجد معايير منشورة. يتم إنهاء الحسابات الفردية بموجب بنود الأتمتة والاستخدام التجاري (الشكاوى المؤرشفة)، في حين لم يتم نشر أي سجل إنفاذ لكل مشغل على حدة فيما يتعلق بالمنصات التجارية. |
| 2. إساءة استخدام OpenID / وكيل المصادقة | تسمح السياسات المنشورة على GitHub بتعليق أو إلغاء تطبيقات OAuth ورموزها في حالة إساءة الاستخدام، وتصف وثائقها عملية الإلغاء التلقائي للرموز المكشوفة (ملخص المؤلفين لوثائق GitHub). | لم تسجل مضيفي المصادقة ذوي المجالات المنفصلة التي لوحظت في Steam من تدفقات OpenID (مثل rbsnin.com و howl.uno و sc-auth.net) أي حظر من «Link Filter» في 2026-09-21، في حين أن مجالاتهم الرئيسية تعرضت للحظر. |
| 3. تحقيق الأرباح من الإساءة | لا تتقاضى GitHub أي رسوم معاملات على العناصر التي يتم نقلها بواسطة أنظمة أتمتة تابعة لأطراف ثالثة؛ حيث يعتمد نموذج إيراداتها على الاشتراكات وعروض السوق. | Valve يبيع مفاتيح الصناديق التي تنتج العناصر، ويفرض «سوق المجتمع» رسومًا إجمالية تبلغ حوالي 15% على المبيعات التي تتم داخل السوق. ولم يتم تقدير أي رقم هنا للإيرادات المنسوبة إلى منصات الطرف الثالث. |
| 4. مدة بقاء حلقات التهرب | تتوقف معرّفات عملاء OAuth الموقوفة عن العمل على مستوى المنصة بأكملها فور إيقافها؛ ولا تذكر الوثائق مدة محددة لاتخاذ الإجراء، ولا يُفترض وجود مدة محددة هنا. | لم تسفر عمليات الفحص الخاصة بـ 2026-09-19 و2026-09-21 عن أي حجب بواسطة «Link Filter» بالنسبة لمضيفي المصادقة ذوي النطاقات المنفصلة التي تتراوح تواريخ تسجيلها بين عام 2011 وسبتمبر 2026. وتُعد تاريخ التسجيل الحد الأدنى للاستخدام المحتمل، وليس دليلاً على الاستخدام المستمر. |

المصادر: عمود GitHub — الوثائق المنشورة من GitHub بشأن حدود استخدام واجهة برمجة التطبيقات (API) وسياسات المنصة (ملخص من إعداد المؤلفين، لم يتم الاقتباس منه) · عمود Steam — عمليات فحص مرشح الروابط لـ 2026-09-19 و2026-09-21 ([linkfilter-recheck-2026-09-21.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/linkfilter-recheck-2026-09-21.json))، سجل RDAP ([domain-registration.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/domain-registration.json)) وشكاوى الدعم المؤرشفة ([أرشيف الأدلة](https://phishdestroy.io/steam_dossier/ar/steam_evidence_archive)).

الجزء ب — القواعد وسجل الإنفاذ · المادة 13 

## فجوة السعر «off-Steam»

توجد هذه القطعة في مخزون Steam؛ بينما تتم عملية البيع في مكان آخر. وكان هناك سلاح AWP Dragon Lore جديد من المصنع **62 عرضًا حاليًا على CSFloat**؛ أرخص سعر معروض **$10,623.95**. لا يمكن للسوق الخاصة بـ Steam عرض سعر طلب أعلى من $1,800 تقريبًا. وللبيع بالسعر الأعلى الملحوظ، يحتاج المالك إلى مشترٍ أو سوق خارج Steam. ولا يزال العنصر ونقله يعتمدان على Steam.

السياق وحدود المصدر

ترد في هذا القسم ثلاث تهم مختلفة، وهي غير قابلة للتبادل. **245** هو عدد فئات أسماء العناصر في CS2 التي تجاوز أرخص عرض نشط لها قيمة $1,800 في CSFloat وحدها، في 20 سبتمبر 2026. **241** وهي نفس المجموعة مطروحًا منها الفئات الأربع المثبتة عند السقف $100,000 في CSFloat، وهي اللوحة التي يُحسب على أساسها الحد الأدنى $13.63M. **248** هذه لقطة مختلفة: الفئات التي تجاوز سعرها الحد الأقصى في اثنين أو أكثر من خمسة أسواق في 23 سبتمبر 2026. تتداخل هذه الأسواق، لذا يجب ألا تُجمع أبدًا الأرقام الواردة من منصات مختلفة. كل رقم هنا يمثل سعر العرض، وليس صفقة بيع مكتملة، ولا يمثل أي منها إيرادات أو مبيعات أو أرباحًا — سواء بالنسبة لـ Valve أو لأي جهة أخرى. القيم المدرجة في موقع PriceEmpire هي تقديرات مقربة ينشرها ذلك الموقع، كما أن بطاقة Steam الخاصة به تغطي عناصر من ألعاب Steam أخرى، لذا فإن نطاقات المقارنة ليست متطابقة.

**سلعة واحدة. نظامان للتسعير.** تابع السجل

STEAM**حول $1,800** الحد الأقصى المعلن لإدراج المنتجات في سوق المجتمع

الكتالوج المحفوظ**$10,623.95** جديد من المصنع، AWP Dragon Lore، يرجى تحديد السعر

التابعية**لا يزال العنصر Steam** لا يزال الرصيد والتحويل عند Steam

Steam يحدد سقف سعر العرض. يمكن للبائع أن يقبل بسعر أقل، لكنه لا يمكنه عرض السعر المطلوب المكون من خمسة أرقام في ذلك السوق.

يُظهر كتالوج CSFloat المحفوظ 62 عرضًا. ويُعد هذا السعر هو السعر المطلوب، وليس دليلاً على إتمام عملية البيع.

عند هذا الطلب، يحتاج البائع إلى منصة أو مشترٍ خارج Steam. ولا يزال هذا المنتج خاضعًا لنظام المخزون والنقل الخاص بـ Steam.

01 / العنصر **Valve قائمة الألعاب**عنصر من لعبة CS2 أو Dota 2 موجود في Steam

02 / السقف **حول $1,800 في Steam**السعر الأقصى لإدراج واحد في السوق

03 / الاستفسار الخارجي **$10,623.95 لـ «Dragon Lore»**أرخص عرض لـ CSFloat في اللقطة المؤرخة

04 / التسليم **Steam لا يزال موجودًا في السلسلة**تعتمد الملكية ونقل الملكية على نظامه

**245 فئة CS2 على موقع CSFloat.****166 فئة من CS2 و3 فئات من Dota 2 على موقع Skinport.**

يحصي كل شكل فئات أسماء المنتجات التي كان أرخص عرض ساري لها أعلى من $1,800 تمامًا في 20 سبتمبر 2026. تتداخل المنصات؛ لذا يجب عدم جمع أعدادها. ولا يُعتبر العرض عملية بيع مكتملة.

[افحص السجل على مستوى العنصر →](https://phishdestroy.io/steam_dossier/ar/elite_skins#register)

واجهة برمجة تطبيقات CSFLOAT المباشرة / لقطة مؤرخة **$13.63م**

الحد الأدنى للقيمة الإجمالية المطلوبة في **241 فئة من المنتجات** و **3,395 عروض سارية**. تُحسب هذه القيمة بضرب أرخص سعر عرض في كل فئة × عدد عروض البيع الخاصة بها. وقد استُثنيت من هذه اللوحة المتحفظة أربع فئات مثبتة عند الحد الأقصى $100,000 الخاص بـ CSFloat.

### ما الذي يُوضِّحه هذا الرقم بالدولار

تمثل هذه العروض ما لا يقل عن **$13,631,888.25** في الأسعار المعروضة للبيع لهذه المجموعة الفرعية المحدودة من CSFloat. وعند إدراج الفئات الأربع ذات الأسعار القصوى، نحصل على **$14,231,888.25**. هذا هو *الحد الأدنى لطلبات الشراء النشطة*، وليس المبيعات المنجزة، أو حجم المبيعات النقدية، أو الأرباح، أو سوق CS2 بأكمله.

[إعادة الحساب استنادًا إلى لقطة CSFloat المكونة من 245 صفًا ↗](https://phishdestroy.io/steam_dossier/steam_tos_assets/csfloat-catalogue.json)

PRICEEMPIRE / القيمة المدرجة **Steam: رقم 15 من أصل 39**

### تُدرج العديد من الأماكن قيمة بالدولار تزيد عن Steam.

UUSkins 

**$133.8م**

YouPin898 

**$127.5M**

Buff.163 

**$104م**

Moon.Market 

**$100.3م**

وايت ماركت 

**$89.6م**

Buff.Market 

**$86.7م**

Steam 

**$31م**

أكبر ستة قيم معروضة وSteam. يقوم برنامج PriceEmpire بتقريب هذه الأرقام؛ ويُظهر Steam **$31م**. وهناك 14 مكانًا مدرجًا في القائمة يتفوق عليها من حيث القيم المعروضة بالدولار.

PRICEEMPIRE / عدد العروض **Steam: رقم 1 من 39**

### Steam لا تزال تتصدر من حيث عدد العروض.

Steam 

**32.2 مليون**

YouPin898 

**5.9 مليون**

C5Game 

**4.6 مليون**

HaloSkins 

**4.4 مليون**

سكينبورت 

**3.8 مليون**

Steam يُظهر **32.2 مليون** العروض. يختلف عدد العروض عن إجمالي القيمة المطلوبة؛ فقد تهيمن العديد من العقارات المعروضة بأسعار منخفضة على العدد الإجمالي.

المصدر: [المقارنة العامة على موقع PriceEmpire ↗](https://pricempire.com/cs2-marketplaces) [محفوظ 2026-09-21 ↗](https://web.archive.org/web/20260921022459/https://pricempire.com/cs2-marketplaces)، تم التقاطه في 2026-09-20 الساعة 19:03 بالتوقيت العالمي المنسق؛ [استخراج مؤرخ من الصف 39 ↗](https://phishdestroy.io/steam_dossier/steam_tos_assets/priceempire-marketplaces.json). الأرقام الواردة هي تقديرات تقريبية، وقد تتداخل المخزونات بين المواقع المختلفة. كما تتضمن بطاقة Steam وصفًا لعناصر من ألعاب Steam أخرى، لذا فإن نطاقات هذه الألعاب ليست متطابقة. وتُعبِّر القيمة المدرجة عن أسعار الطلب، وليس عن المبيعات أو الإيرادات.

**42**

مصدر آخر / ستياماناليست 

### النظام البيئي التجاري واضح للعيان.

[دليل السوق الخاص بـ SteamAnalyst](https://www.steamanalyst.com/marketplace) [محفوظ 2026-07-19 ↗](https://web.archive.org/web/20260719014552/https://www.steamanalyst.com/marketplace) تضم القائمة 42 منصة بيع تابعة لأطراف ثالثة لـ CS2 إلى جانب Steam، مع بيانات أسعار حديثة لـ 32 من أصل 43 منصة مدرجة. أما موقع PriceEmpire فيدرج 39 منصة بيع وفقًا لمعايير الاختيار الخاصة به. شركات محددة، وعروض عامة، وأسعار مرئية: هذا الاقتصاد مفتوح للتدقيق.

الآلية هي الحد الأقصى: عملية البيع تترك «ستيم»، أما المنتج فلا. 

عبر خمسة أسواق تم توثيقها في لقطة واحدة مرخصة، **يتم تسعير 248 فئة من منتجات CS2 بشكل مستقل بسعر يتجاوز الحد الأقصى للإدراج في Steam البالغ $1,800 تقريبًا بمقدار وحدة واحدة أو أكثر — وكل فئة منها غير موجودة في Steam**. وقد صنفت اللقطة نفسها الكتالوج بأكمله حسب السعر: حيث يضم سوق Valve فئة 95.3% من فئات المنتجات التي تقع تحت الحد الأقصى، وفئة 1.9% من تلك التي تقع فوقه. ولا يعكس هذا الانخفاض تراجعًا في الطلب؛ بل يتوافق تمامًا مع القاعدة المنشورة. يتطلب البيع بهذه الأسعار وجود مشترٍ خارجي أو سوق خارجي، في حين أن Steam لا تزال تتحكم في المخزون وعملية النقل — حيث تغادر الصفقة نقطة الدفع الخاصة بـ Valve، بينما تظل عملية التسليم على البنية التحتية الخاصة بـ Valve.

[Steam الأسئلة الشائعة حول السوق ↗](https://help.steampowered.com/en/faqs/view/61F0-72B7-9A18-C70B)[محفوظ 2026-09-21 ↗](https://web.archive.org/web/20260921022227/https://help.steampowered.com/en/faqs/view/61F0-72B7-9A18-C70B)[Steam اتفاقية الاشتراك ↗](https://store.steampowered.com/agreement/?l=english)[محفوظ 2026-09-21 ↗](https://web.archive.org/web/20260921022032/https://store.steampowered.com/agreement/?l=english)[مجموعة بيانات أطلس الأسواق الخمسة ↗](https://phishdestroy.io/steam_dossier/steam_tos_assets/cs2sh-atlas.json)[بيان المنشأ ↗](https://phishdestroy.io/steam_dossier/steam_tos_assets/cs2sh-manifest.json)[لقطة سابقة لـ CSFloat ↗](https://phishdestroy.io/steam_dossier/steam_tos_assets/csfloat-catalogue.json)[لمحة سريعة عن Skinport ↗](https://phishdestroy.io/steam_dossier/steam_tos_assets/skinport-floor-over-cap.json)[PriceEmpire ↗](https://pricempire.com/cs2-marketplaces) [محفوظ 2026-09-21 ↗](https://web.archive.org/web/20260921022459/https://pricempire.com/cs2-marketplaces)[SteamAnalyst ↗](https://www.steamanalyst.com/marketplace) [محفوظ 2026-07-19 ↗](https://web.archive.org/web/20260719014552/https://www.steamanalyst.com/marketplace)[سجل الفجوة السعرية ↗](https://phishdestroy.io/steam_dossier/ar/elite_skins)[أطلس سلم الأسعار ↗](https://phishdestroy.io/steam_dossier/ar/skin_atlas)

الجزء ج — الأطر القانونية

الجزء ج — الأطر القانونية · المادة 14 · وصول الموظفين 

## من يمكنه إعادة ضبط الضمانات؟

السياق وحدود المصدر

كما يعتمد أمان الحساب على الأشخاص الذين يمكنهم استعادة الحساب، أو الاطلاع على السجلات الخاصة، أو إعادة ضبط إجراءات الحماية الخاصة به. ويجب أن يتتبع التحقيق هذه الإجراءات التي تتمتع بامتيازات بنفس الدرجة من الدقة التي يتتبع بها إساءة استخدام واجهة برمجة التطبيقات (API).

تمنح عملية استعادة الحساب موظف الدعم صلاحية نقل الحساب بعيدًا عن مالكه. **وقد أكد Valve كتابةً، مرتين — في فبراير 2023 ونوفمبر 2025 — أن هذه الصلاحية استُخدمت لتسليم الحسابات إلى الأشخاص الخطأ.** بفارق ثلاثة وثلاثين شهراً، عبر القناة نفسها. أدناه: قيمة هذا الوصول، وست حالات موثقة، والسجل Valve الذي يحتفظ به لكل حالة منها ولم يُكشف عن محتواه لأحد.

شهادة محفوظة / 9 مايو 2025 

### تذكرة استرداد أدت إلى تعطيل إجراءات الأمان الخاصة بالحساب، وخسارة مُبلغ عنها قدرها $10,000

أفاد أحد المستخدمين في أرشيف الدعم المُجمع بأن فريق الدعم Steam قام بإعادة تعيين كلمة المرور وتعطيل حماية الحساب بعد أن قدم شخص آخر تذكرة استرداد. ويقول صاحب التقرير إن الحساب كان غير نشط منذ سنوات، ويحتوي على عناصر تعود إلى الفترة بين 2016 و2017، وكان يحتوي على Steam Guard، وهاتف مرتبط به، ورموز استرداد مخزنة.

> "Steam على الرغم من ذلك، فقد سمح فريق الدعم لشخص آخر بالوصول إلى حسابي."

ادعاء من منظور الشخص الأول، محفوظ في `steam_support_tickets_MEGA.json`، السجل رقم 110. [اقرأ المنشور الكامل الذي تم التقاطه ↗](https://phishdestroy.io/steam_dossier/ar/steam_enforcement_evidence#case-support-recovery)

هذا ليس مجرد حظ سيئ لمستخدم واحد. فـ«الباب نفسه» — وهو طلب مساعدة يؤدي إلى نقل الحساب إلى من يقدم البيانات الأقدم — هو الطريقة الموثقة المتبعة في كل حالة من الحالات الواردة في السجل أدناه، وقد أشار Valve إلى ذلك كتابةً مرتين.

**لا يمكن للمالك أن يخرج فائزاً من هذا الجدال.** يطلب نظام الاستعادة إدخال مفتاح القرص المضغوط الأول، والبريد الإلكتروني الأول، والبطاقة الأولى، ورقم الهاتف الأول. هذه البيانات موجودة في قاعدة بيانات Valve، ويقوم فريق الدعم بالوصول إليها وقراءتها — ويُذكر أن سجلها يمتد إلى خمسة عشر عامًا. أي شخص يمتلك نسخة من ملفك سيُظهر دائمًا تاريخًا عنك أكثر مما يمكنك أنت تقديمه. تم اختيار الأهداف لتتناسب مع المعايير: حسابات خاملة لسنوات، وذات قيمة عالية، وغالبًا ما تم شراؤها مستعملة، بحيث لم يعرف حاملها المفتاح الأصلي أبدًا. بعد ذلك، تم حذف الحسابات نهائيًا، مما قطع أثر سجل العناصر الذي يستخدمه المجتمع لتتبع مظهر ما — وهو حذف لا يمكن للمستخدم العادي إجراؤه دون فترة الانتظار القياسية.

أقل الامتيازات / OWASP A01 

يجب أن تقتصر امتيازات الاسترداد على المهمة المعنية، وأن تخضع لمراجعة مستقلة وتسجيل. قم بمراجعة من يمكنه إعادة تعيين بيانات الاعتماد، أو إزالة Steam Guard، أو قراءة سجلات الفوترة، أو تصدير بيانات الحساب. [إرشادات OWASP بشأن التحكم في الوصول ↗](https://top10.owasp.org/2025/A01_2025-Broken_Access_Control/) [محفوظ 2026-09-20 ↗](https://web.archive.org/web/20260920212535/https://top10.owasp.org/2025/A01_2025-Broken_Access_Control/)

توفير إمكانية الوصول على نطاق واسع مخاطر نطاق الوصول

### ما وراء المخزون.

في حال إساءة استخدام الوصول الواسع النطاق، يمكن أن تتحول تقنية القياس عن بُعد الخاصة إلى أداة لتصنيف المستخدمين، والتصيد الاحتيالي الموجه، والمراقبة. وتشمل الضحايا المحتملين المستخدمين العاديين، والعسكريين، والشخصيات العامة، وأسرهم. وهذا نموذج تهديد؛ أما الأذونات الدقيقة فتتطلب سجلات التحكم في الوصول.

01 سجل عناوين IP والموقع

يمكن أن تكشف سجلات عناوين بروتوكول الإنترنت (IP) عن سجل الاستخدام للشبكة والموقع التقريبي. وهي لا تُثبت، في حد ذاتها، التحركات المادية الدقيقة.

02 بصمة الجهاز

يمكن لمعرّفات الأجهزة، في حال جمعها وإمكانية الوصول إليها، ربط الجلسات بالحسابات.

03 قياس الأداء عن بُعد

يمكن أن تكشف الطوابع الزمنية لتسجيلات الدخول وسجلات الجلسات عن أنماط السلوك المعتادة، بما في ذلك الأنشطة التي لا تظهر في الملف الشخصي العام.

04 الاتصالات وجهات الاتصال

من شأن الوصول إلى الرسائل المحفوظة أو معلومات الاتصال أن يوسع نطاق عمليات تحديد سمات الأفراد والهندسة الاجتماعية.

05 كشف الهوية

يمكن أن تربط السجلات الأصلية للبريد الإلكتروني والهاتف والدفع بين حساب مستعار وشخص ما.

06 إعادة بيع البيانات والمساءلة

قد تُستخدم قوائم الأهداف التي تم تصديرها في عمليات الاحتيال الموجهة. يجب تحديد الجهة الفاعلة وموقع الوصول والمستلمين والتحويلات؛ فالموقع وحده لا يثبت لا حق الوصول ولا الحصانة القانونية.

Valve يصف تسجيل عناوين IP ومعلومات الأجهزة وسجلات الدفع ومقدمي الدعم من الأطراف الثالثة في [سياسة الخصوصية، الفقرتان 3 و5.2](https://store.steampowered.com/privacy_agreement/) [محفوظ 2026-09-21 ↗](https://web.archive.org/web/20260921021648/https://store.steampowered.com/privacy_agreement/). تسمح هذه السياسة بالوصول إلى الدعم من طرف ثالث — إلا أن سجل التتبع الذي من شأنه أن يوضح أي مقاول قام بالوصول إلى أي فئة، ومتى، وبموجب أي تفويض، لم يتم الكشف عنه.

القسم 14.1 · السجل · يونيو 2022 → نوفمبر 2025 · كل رقم مذكور مصدره 

### Valve فتح الباب مرتين، بفارق ثلاثة وثلاثين شهراً بينهما. ولم يُغلق أبداً.

تم الإبلاغ عن ست حالات تم فيها الاستيلاء على الحسابات عبر قناة طلب المساعدة الخاصة بـ Steam، أو من خلال بيانات الاعتماد التي تحميها تلك القناة. كل مبلغ هو الرقم الذي نشره المصدر المذكور، وقد تم ذكر اسم كل مصدر. تم تعويض اثنين من أصل الستة عن خسائرهم بالكامل. لم يكن الفرق بين هذه الحالات والباقي هو ما حدث، بل من كان يراقب.

Valve، خطيًا — فبراير 2023 "تمت إزالة العناصر المعنية من حسابك لأنها وردت من حساب تعرض للاختراق من خلال طلب مساعدة فني، وهو أمر يتحمل فريق CS:GO مسؤوليته. وقد قمنا بإلغاء عمليات التبادل وإزالة هذه العناصر من أي حساب استلمها."Steam دعم الرد على أحد مستلمي منتجات HFB، الذي أعاد نشره [Dexerto، 21 فبراير 2023 ↗](https://www.dexerto.com/csgo/csgo-skins-worth-millions-allegedly-stolen-with-help-from-steam-support-staff-2066939/) [محفوظ 2025-08-18 ↗](https://web.archive.org/web/20250818113925/https://www.dexerto.com/csgo/csgo-skins-worth-millions-allegedly-stolen-with-help-from-steam-support-staff-2066939/)

Valve، في رسالة أخرى — نوفمبر 2025 · بعد 33 شهرًا "فشل أحد فنيي الدعم الذي تولى طلب المساعدة في اتباع إجراءاتنا، مما أدى إلى إعادة تفعيل حسابك لصالح شخص آخر. أعتذر عن هذا الخطأ."Steam رد الداعم على Hawkeye337، كما ورد في [Dexerto، 14 نوفمبر 2025 ↗](https://www.dexerto.com/counter-strike-2/valve-saves-hacked-cs2-player-threatened-with-ransom-over-300000-of-rare-stickers-3283135/)

حالات التصفية:

التعويض: 100% فيروسي مقابل 0% غير فيروسي

- 21 يونيو 2022 

**HFB — أكبر مخزون في اللعبة** $2,000,000+ *· تم رفعه إلى $3,000,000+ في المتابعة التي أُجريت في فبراير 2023* 

سبعة نسخ تذكارية من «AWP Dragon Lores» وسكين «Karambit» رقم 1 ذي الجوهرة الزرقاء، وتبلغ قيمة هذا السكين وحده حوالي **$1.26 مليون**. كان الحساب خاملاً لمدة ثلاث سنوات مع بقاء تطبيق المصادقة عبر الهاتف المحمول نشطاً؛ وقد تم تغيير عنوان البريد الإلكتروني وكلمة المرور على أي حال، من خلال إجراءات استعادة الحساب عبر قسم الدعم.

**نفد المال قبل أن تنفد البضائع.** أفادت التقارير بأن **$200,000+** وقد تم بالفعل سحب جزء من عائدات البيع عبر موقع market.csgo.com — وهو سوق يُجري المعاملات نقدًا وعبر العملات المشفرة. ويؤدي إلغاء الصفقة إلى استرداد السكن. لكنه لا يُعيد المبلغ النقدي الذي سبق أن سحبه أحد الأطراف.

**ثم تعطل الإصلاح.** قام أحد المشترين بنقل قطعة «Souvenir Dragon Lore» الخاصة به إلى وحدة تخزين داخل اللعبة. لم يتمكن برنامج التراجع الخاص بـ Valve من رؤية ما بداخل الحاوية الخاصة به، لذا قام بإصدار نسخة جديدة للمالك وترك النسخة المخفية كما هي — قام Valve بتكرار **$130,000** العنصر أثناء محاولة التراجع عن عملية سرقة. تم الكشف عن الأمر من خلال مطابقة معرّفات العناصر والبلاغات الواردة من المجتمع، وتم حذفه بعد شهر، في يوليو 2022. تم رد المبلغ إلى المشتري من قِبل BUFF، وليس من قِبل Valve. إن الإصلاح الطارئ بهذه الهشاشة ليس إجراءً رقابيًا؛ بل هو ما تفعله المنصة عندما لا يكون لديها أي سيطرة.

[Dexerto، 21 يونيو 2022 ↗](https://www.dexerto.com/csgo/over-2-million-in-csgo-skins-stolen-from-hacked-steam-account-1853092/) [محفوظ 2022-07-02 ↗](https://web.archive.org/web/20220702042821/https://www.dexerto.com/csgo/over-2-million-in-csgo-skins-stolen-from-hacked-steam-account-1853092/) · [كاسبرسكي ↗](https://www.kaspersky.com/blog/cs-go-two-million-usd-inventory-hack/44697/) · مبلغ السحب لكل [Esportfire، 22 يونيو 2022 ↗](https://esportfire.com/article/the-2-million-usd-csgo-hack-22062022) [محفوظ 2026-05-15 ↗](https://web.archive.org/web/20260515110250/https://esportfire.com/article/the-2-million-usd-csgo-hack-22062022)، ونُسب ذلك هناك إلى مصادر متعددة على تويتر · التكرار والحذف وفقًا لـ [Esportsbetting، 14 يوليو 2022 ↗](https://esportsbetting.com/valve-deletes-130000-stolen-dragon-lore/)

**تم ترميمه***انعكست اتجاهات التداول. وتم سحب السلع من مخزونات الأشخاص الذين دفعوا ثمنها بالكامل.*

- 14 أغسطس 2022 

**CS.Money — الروبوتات الخاصة بالمنصة** $6,300,000 *· 19,000+ قشرة · التقدير الأولي $1.6M* 

استولى المهاجمون على ملفات المصادقة عبر الهاتف المحمول الخاصة بروبوتات التداول في المنصة وأفرغوها من محتواها، ثم أرسلوا جزءًا من الغنيمة إلى متداولين معروفين لإخفاء آثارهم. وقام باحثون من المجتمع بتحديد **55 حسابًا للمهاجمين في غضون ساعات** ونشرها.

لم يؤدِ Valve إلى أي تغيير. وكان السبب المقدم هو أن موقعًا تابعًا لطرف ثالث يقع خارج نطاق Steam — وهو نفس Steam الذي جرت عملية السرقة من بدايتها إلى نهايتها عبر مخزونه وواجهة برمجة التطبيقات (API) الخاصة بالتداول ونظام الحسابات الخاص به.

[Esportfire، 14 أغسطس 2022 ↗](https://esportfire.com/article/the-biggest-hack-in-csgo-history-csmoney-14082022) [محفوظ 2025-11-15 ↗](https://web.archive.org/web/20251115173120/https://esportfire.com/article/the-biggest-hack-in-csgo-history-csmoney-14082022)

**مرفوض***لم يحدث أي تغيير في الوضع. وظلت الخسارة على عاتق المنصة ومستخدميها.*

- تم الإبلاغ عن
21 فبراير 2023 

**Qkss — نفس الباب، نفس الممثل** $1,000,000+ 

تم الإبلاغ عن هذه الحالة على أنها تمت بنفس الطريقة التي تمت بها حالة HFB، من قبل نفس الممثل، ومن خلال نفس طلب المساعدة الفنية. وقد تمت تسوية حالة HFB بالكامل قبل ثمانية أشهر. أما حالة Qkss فلم يتم تسويتها.

**طريق واحد. إجابتان.** لا يوجد في السجل المنشور ما يميز بين الحالتين سوى حجم الحضور.

[Dexerto، 21 فبراير 2023 ↗](https://www.dexerto.com/csgo/csgo-skins-worth-millions-allegedly-stolen-with-help-from-steam-support-staff-2066939/) [محفوظ 2025-08-18 ↗](https://web.archive.org/web/20250818113925/https://www.dexerto.com/csgo/csgo-skins-worth-millions-allegedly-stolen-with-help-from-steam-support-staff-2066939/)

**مرفوض***لم يتم ترميمه.*

- تم الإبلاغ عن
فبراير 2023 

**التداول بناءً على معلومات داخلية بحد ذاته — عام كامل من ذلك** ≈ $320,000 *· تتضمن الإيرادات على مدار عام تقريبًا، وليست تقييمًا للمخزون* 

تم الوصول من جانب الدعم إلى سجل الحساب حتى **15 عامًا** — مفتاح القرص المضغوط الأول، والرسالة الإلكترونية الأولى، والبطاقة الأولى. هذه هي بالضبط الأدلة التي تطلبها عملية استعادة البيانات، ولهذا السبب يكون صاحب قاعدة البيانات هو دائمًا الطرف الفائز في النزاع مع صاحب الحساب.

كشفت المدونة Mzkshow كيف استهدف المشغل الداخلي «Steam Help» والمتعاون معه «Alexander» الحسابات الخاملة التي تحتوي على ما يزيد عن $100k من السكينز. وقد بيعت بندقية M4A4 Howl مسروقة تحمل هولوغرامات iBUYPOWER وTitan Katowice 2014 بمبلغ **$35,000** وانتهى الأمر بفاليري "b1t" فاخوفسكي من فريق NAVI، الذي لم يكن لديه أي وسيلة لمعرفة ذلك. وبعد تدخل Valve، قام المقاول بفصل جميع موظفي مكتب الدعم Steam.

[VKPlay ↗](https://vkplay.ru/media/news/bloger-rasskazal-kak-podderzhka-steam-vorovala-akkaunty-igrokov/) · [Lis-Skins ↗](https://lis-skins.com/ru/blog/krupneisaia-mosenniceskaia-sxema-v-istorii-steam/) · [Escorenews (RU) ↗](https://escorenews.com/ru/csgo/news/44056-sotrudniki-podderjki-steam-zanimalis-krajey-skinov-s-akkauntov-za-god-oni-zarabotali-svyshe-300-tysyach-dollarov) · [Dexerto (الإنجليزية) ↗](https://www.dexerto.com/csgo/csgo-skins-worth-millions-allegedly-stolen-with-help-from-steam-support-staff-2066939/)

**لا يوجد سجل***Valve لم تنشر قط عدد الحسابات التي تأثرت بذلك، ولم تُبلغ الأشخاص المعنيين.*

- تم الإبلاغ عن
2 ديسمبر 2024 

**"ماتفي" — بعد موجة التسريحات** $13,000 

تمت الموافقة على استرداد الحساب لشخص قدم بيانات حسابية لم يتمكن المالك نفسه من مطابقتها. وبعد مرور عامين على قيام المقاول بإغلاق مكتب الدعم الخاص به Steam، أسفر اتباع نفس الإجراء عن نفس النتيجة.

[منشور محفوظ، 2 ديسمبر 2024 ↗](https://www.reddit.com/r/cs2/comments/1h53qp3/steam_support_is_stealing_accounts_again/) [محفوظ 2025-08-05 ↗](https://web.archive.org/web/20250805141942/https://www.reddit.com/r/cs2/comments/1h53qp3/steam_support_is_stealing_accounts_again/) · [صفوف المصدر وعمليات التجزئة ↓](https://phishdestroy.io/steam_dossier/steam_tos_assets/outsourcing-archive-records.json)

**مرفوض***لم يتم ترميمها.*

- 13 نوفمبر 2025 

**Hawkeye337 (مارك سبورلوك) — والاعتراف الثاني** ≈ $300,000–$500,000 *· المجموعة الكاملة من هولوغرامات كاتوفيتسه 2014* 

طالب المهاجم بـ **1 بيتكوين** وبدأوا في نقل المحتوى إلى حسابات «نيجيف» لتدميره. Steam الرد الكتابي من قسم الدعم هو الاعتراف الثاني المذكور أعلاه: فقد تولى أحد الفنيين معالجة طلب المساعدة، ولم يتبع الإجراءات المتبعة، وقام بتحويل الحساب إلى شخص آخر.

**ما أدى إلى حل المشكلة هو البث المباشر.** بعد ساعات من نشر المنشورات التي وُسمت بـ Valve على منصة X، تمت استعادة الحساب وإعادة جميع الملصقات. لم يكن لدى Qkss هذا العدد من المتابعين.

[Skin.club ↗](https://community.skin.club/en/news/collector-has-steam-inventory-returned-after-bold-hack) · [Dexerto ↗](https://www.dexerto.com/counter-strike-2/valve-saves-hacked-cs2-player-threatened-with-ransom-over-300000-of-rare-stickers-3283135/) · [Esportfire ↗](https://esportfire.com/article/300k-scam-full-katowice-2014-holo-collection-hacked) [محفوظ 2025-12-17 ↗](https://web.archive.org/web/20251217072445/https://esportfire.com/article/300k-scam-full-katowice-2014-holo-collection-hacked)

**تم ترميمه***تم التراجع عن الخبر في غضون ساعات من تصدره قائمة الموضوعات الشائعة.*

#### ما يوضحه السجل بشكل لا توضحه أي حالة بمفردها.

**لم يُغلق هذا الطريق قط.** يعود تاريخ القبول الأول إلى فبراير 2023، والثاني إلى نوفمبر 2025 — **بفارق ثلاثة وثلاثين شهراً**، مع قيام المقاول بفصل عدد كبير من الموظفين، وتكرار حادثة مسجلة، ووقوع خرق في المنصة تبلغ قيمته $6.3 مليون بين الحادثتين. وبحساب المدة منذ أول سرقة في هذا السجل، ظلت القناة مفتوحة لمدة **ثلاث سنوات وخمسة أشهر**. وبغض النظر عما تم إصلاحه في عام 2023، فإن طلب المساعدة لا يزال يُوجه إلى الشخص الخطأ في نوفمبر 2025 — حسب ما ذكره Valve بنفسه.

**كان مبدأ التعويض يركز على الانتباه، وليس على الضرر.** تم استعادته: أكبر مخزون في اللعبة، والمجمع الذي تصدرت مناقشته قائمة الموضوعات الأكثر تداولًا. تم رفض: $1,000,000, $6,300,000, $13,000. أما Valve فلم ينشر قط القاعدة التي يطبقها، لأن أي قاعدة منشورة سيتعين عليها تفسير تلك الثلاثة.

**لم يُخبر أحد بذلك.** ليس المستخدمون الذين تم استخراج سجلات حساباتهم من قاعدة البيانات، ولا السلطة الإشرافية، ولا السوق التي اشترت هذه العناصر بحسن نية ثم تم استردادها منها. لا يوجد إخطار بحدوث خرق، ولا تقرير عن الحادث، ولا إحصاء للحسابات المتضررة — **والعائدات التي تُترك في شكل أموال**، من خلال منصات التداول التي تدفع نقدًا وعملات مشفرة. ولا يمكن أن يتبع انعكاس الصفقة الأموال الخارجة من Steam.

يحتوي Valve على سجل تدقيق الدعم، وسجل تذاكر الاسترداد، وسجل المعاملات لكل سطر أعلاه. ولم يتم تقديم أي منها. [اطلب نسختك الخاصة →](https://phishdestroy.io/steam_dossier/ar/index#dsar-playbook)

مسألة NDA 

### يجب أن تقترن السرية بالمساءلة الفنية.

قارن بين اتفاقيات السرية والأذونات الفعلية، وضوابط التصدير، وموافقات إعادة التعيين، وسجلات الوصول. لا يمكن للرد النموذجي أن يحل مشكلة الادعاء بأن عملية الاسترداد نفسها قد أسيء استخدامها.

المواد 28 و32–34 من اللائحة العامة لحماية البيانات (GDPR) 

تمنح المادة 33 المسؤول عن معالجة البيانات مهلة 72 ساعة لإخطار السلطة الإشرافية بحدوث خرق للبيانات الشخصية؛ بينما تنص المادة 34 على ضرورة إخطار الأشخاص المتضررين عندما يكون الخطر المحدق بهم كبيرًا. وقد أكدت شركة Valve كتابةً، مرتين، أن قناة الدعم التابعة لها قد سلمت الحسابات إلى أشخاص غير مصرح لهم — بما في ذلك سجلات الحساب وسجلات الفواتير وكل ما يتعلق بها. **لم يتم نشر أي إخطار بموجب أي من المادتين، ولم يبلغ أي مستخدم متأثر بتلقيه إخطاراً من هذا القبيل.** [اقرأ اللائحة ↗](https://eur-lex.europa.eu/eli/reg/2016/679/oj/eng) [محفوظ 2026-09-20 ↗](https://web.archive.org/web/20260920024236/https://eur-lex.europa.eu/eli/reg/2016/679/oj/eng)

[أضف طلب الدعم إلى طلبك →](https://phishdestroy.io/steam_dossier/ar/index#dsar-playbook)

الجزء ج — الأطر القانونية · المادة 15 · النطاق التجاري 

## تتبع مسار الأموال. افصل بين المعاملات.

السياق وحدود المصدر

تصبح مسألة الاستخدام التجاري أكثر حدة عندما يتم فصل التدفقات النقدية. فعمليات نقل الأصول إلى أطراف ثالثة، والمبيعات الأساسية لـ Valve، وعمليات السحب النقدي الخارجية، هي معاملات مختلفة.

المنتج مملوك لـ Valve. والمخزون يبلغ Valve. ويتم إجراء عملية النقل على خوادم Valve. **الشيء الوحيد هو أن عملية الدفع تتم في مكان آخر** — وهي الخطوة التي تحدد ما إذا كان أي شخص يُعتبر مُرسِل أموال، وهي الخطوة الوحيدة التي لا تقوم بها شركة Valve.

آلية الإيرادات 

### المكان الذي تتحرك فيه الأموال فعليًّا.

ثلاثة مسارات / اقتصاد عنصر واحد

- 01 / الحساب **قائمة المستخدمين**

البنود الموجودة في Steam

- 02 / التحويل **التجارة بين الأقران (P2P)**

مستخدم ↔ روبوت أو مستخدم ↔ مستخدم

- 03 / التسوية **منصة خارجية**

رصيد الموقع أو السداد Steam

**التوزيعلا يقتصر دور المحرك الاقتصادي على رسوم الانتقال فحسب**

Steam توفر البنية التحتية الخاصة بالمخزون والتحويل التي تستخدمها الأسواق الخارجية. ويتمثل الحجة الاقتصادية للتحقيق في أن سيولة إعادة البيع والطلب المتكرر يدعمان الإنفاق على العلب والمفاتيح وقطع الغيار، مع فرض رسوم على المبيعات اللاحقة في «سوق المجتمع». لا تخضع عمليات التحويل المباشر بين الأطراف (P2P) لأي عمولة من «السوق المجتمعية»؛ لكن هذه الحقيقة المحاسبية لا تحسم مسألة الفائدة الأوسع نطاقاً. Valve تحتفظ بالسيطرة على الوصول إلى الحسابات وقيود التداول طوال الوقت.

- 01 / الطلب الثانوي **السيولة وقيمة إعادة البيع**

التجارة الخارجية والطلب على المقامرة

- 02 / الإنفاق الأساسي **المفاتيح، والحافظات، والكبسولات**

المشتريات من Valve حيثما كانت متوفرة

- 03 / الإيرادات **إيرادات البيع الأولي**

بالإضافة إلى الرسوم المفروضة على المبيعات الفعلية في السوق

**5% + 10%Steam + رسوم CS2 على مبيعات «Community Market»**

الاستنتاج الاقتصادي الذي توصلت إليه الدراسة: يمكن لأسواق إعادة البيع السائلة أن تشجع الإنفاق على السلع الجديدة. ويجمع الرمز المألوف 15% بين معدلات رسوم السوق، مع مراعاة الحدود الدنيا والتقريب؛ وهو ليس ضريبة تُفرض على كل معاملة تجارية خارجية.

[جدول رسوم «Valve» لسوق المجتمع ↗](https://help.steampowered.com/en/faqs/view/61F0-72B7-9A18-C70B) [محفوظ 2026-09-21 ↗](https://web.archive.org/web/20260921022227/https://help.steampowered.com/en/faqs/view/61F0-72B7-9A18-C70B). في 25 فبراير 2026 [رفع المدعي العام لولاية نيويورك دعوى قضائية](https://ag.ny.gov/press-release/2026/attorney-general-james-sues-game-developer-promoting-illegal-gambling-through) [محفوظ 2026-09-01 ↗](https://web.archive.org/web/20260901015430/https://ag.ny.gov/press-release/2026/attorney-general-james-sues-game-developer-promoting-illegal-gambling-through) مدعين أن صناديق الغنائم المدفوعة مرتبطة بإعادة البيع النقدي الخارجي وأضرار المقامرة — وهي نفس الصلة التي يوثقها هذا الملف من جانب البنية التحتية التقنية. هذه الشكوى هي مجرد ادعاء، وليست استنتاجًا؛ وقد تم الاستشهاد بها هنا لأن إحدى وكالات إنفاذ القانون التابعة للولاية طرحت سؤالًا مشابهًا للسؤال الذي يطرحه هذا الملف: أين هو سجل الإنفاذ الذي يتطابق مع التصريحات العامة؟

- 01 / المدخل **الإيداع بالعملات المشفرة**

سجلات الخدمات الخارجية والمحافظ

- 02 / التحويل **التوازن → الأسطح**

السلع التي تم تسليمها من خلال Steam صفقة

- 03 / الخروج **بيع العملات النقدية الخارجية**

البائع والمشتري ومزود خدمة الدفع

**"اعرف عميلك"؟تحديد عنصر التحكم عند كل عملية تسليم**

هذا هو المسار الذي يجب اتباعه للتحقيق، وليس خدمة تحويل نقدي تعتمد على واجهة برمجة تطبيقات (API) أصلية Steam. يجب توثيق إجراءات التحقق من الهوية، وعمليات الحفظ، ومعرّفات المعاملات، ومستلمي المدفوعات لدى كل مشغل خارجي قبل التأكيد على إمكانية السحب النقدي دون الحاجة إلى إجراءات «اعرف عميلك» (KYC).

الولايات المتحدة / قانون السرية المصرفية 

### صنف النشاط أولاً، ثم الالتزام.

تقوم «فينسين» (FinCEN) بتقييم عمليات تحويل الأموال بناءً على طبيعة نشاط الشركة. يمكن أن يؤدي قبول وتحويل العملة الافتراضية القابلة للتحويل إلى فرض التزامات خدمات مالية، وفقًا للتعريفات والاستثناءات المعمول بها. تقبل محفظة Steam التابعة لـ Valve الأموال وتحوّلها إلى عناصر داخل اللعبة؛ ثم يتم تسييل تلك العناصر من خلال مشغلين خارجيين مقابل عملة حقيقية. تتم معالجة العنصر ونقله عبر البنية التحتية الخاصة بـ Valve؛ أما عملية السحب النقدي فلا تتم عبرها، وما إذا كان أي جزء من تلك الدورة يستوفي تعريفات تحويل الأموال أم لا، فهذه مسألة تصنيف تخص FinCEN، وليست استنتاجًا مستخلصًا هنا.

[FinCEN FIN-2019-G001، الفقرات 1–2 و5.1 ↗](https://www.fincen.gov/sites/default/files/2019-05/FinCEN%20CVC%20Guidance%20FINAL.pdf) [محفوظ 2025-07-11 ↗](https://web.archive.org/web/20250711185007/https://www.fincen.gov/sites/default/files/2019-05/FinCEN%20CVC%20Guidance%20FINAL.pdf)

الاتحاد الأوروبي / غسل الأموال 

### تتبع العائدات والمعلومات والمساعدة.

يغطي التوجيه (EU) 2018/1673 غسل الأموال المتعمد والمشاركة في عمليات تتعلق بعائدات جنائية. ويتمثل السؤال التحقيقي في معرفة ما الذي كانت تعرفه شركة Valve عن المشغلين الذين يستخدمون بنيتها التحتية للتداول و«OpenID» بعد 13 يوليو 2016، عندما وصفت ذلك الاستخدام علنًا، وما هي الإجراءات التي اتخذتها تجاههم. لم تنشر Valve أي سجل إنفاذ خاص بكل مشغل على حدة؛ وهذا السجل، وليس هذا الملف، هو الذي سيجيب على السؤال.

[الإطار القانوني للاتحاد الأوروبي في مجال القانون الجنائي ↗](https://eur-lex.europa.eu/legal-content/EN/LSU/?uri=CELEX:32018L1673)

**مصطلحات قانون مكافحة غسل الأموال السادس (AMLD6):** يختلف التوجيه المتعلق بالقانون الجنائي المذكور أعلاه عن التوجيه (EU) 2024/1640، المعروف أيضًا باسم AMLD6. ويحدد هذا الأخير موعدًا نهائيًّا عامًّا لتطبيقه في 10 يوليو 2027، مع استثناءات محددة. [المادة 78 ↗](https://eur-lex.europa.eu/eli/dir/2024/1640/oj/eng) [محفوظ 2026-08-30 ↗](https://web.archive.org/web/20260830153004/https://eur-lex.europa.eu/eli/dir/2024/1640/oj/eng)

الجزء ج — الأطر القانونية · المادة 16 · الإخطار، الرد، المسؤولية 

## قانون الخدمات الرقمية: توثيق المعرفة

السياق وحدود المصدر

هناك عنصران من عناصر الإخطار بموجب المادة 16 يقعان على عاتق مقدم الطلب وليس ضمن هذا الملف: البيانات الشخصية لمقدم الطلب، وإقرار بحسن النية يفيد بدقة المعلومات. أما كل ما تتطلبه المادة من عناصر أخرى — مثل التفسير المدعوم بالأدلة والموقع الإلكتروني الدقيق — فهي موضحة في القسم 3 وفي سجل المسار، مع الردود المحفوظة ورموز التجزئة، بحيث يمكن لأي طرف تقديمها. وهناك قيدان إضافيان على القانون نفسه: فقدان الإعفاء الخاص بالاستضافة لا يؤدي في حد ذاته إلى إثبات المسؤولية بموجب أي قانون آخر، والرقم 6% الوارد في المادة 52(3) هو سقف قانوني، وليس عقوبة محددة ضد Valve.

بموجب قانون خدمات الرقمية (DSA)، لا يحتفظ مزود خدمات الاستضافة بحصانته من المسؤولية إلا إلى أن تكون لديه معرفة محددة بالمخالفة ويتقاعس عن اتخاذ الإجراء اللازم. **هذا الملف هو ذلك الإشعار.** وهي تذكر أسماء المضيفين والتواريخ والردود المحفوظة والقيم التجزئية. ومنذ نشر هذا التقرير، لم يعد السؤال هو ما إذا كان Valve على علم بالأمر — بل ما فعله Valve بعد ذلك.

01 يوليو 2016 / معرض الملفات 

### مطالبة مدتها عشرة أيام.

يُعد الإشعار الذي أُعيد صياغته أعلاه النقطة الانطلاقية التاريخية لمقارنة الإجراءات التنفيذية في إطار التحقيق.

02 17 فبراير 2024 / طلب عام 

### النافذة الزمنية لنظام DSA.

افصل بين السلوك التاريخي والسلوك خلال الفترة التي تسري فيها الالتزامات ذات الصلة بموجب قانون الخدمات الرقمية (DSA).

03 عشر سنوات / لقطة من الملف الأصلي 

### تحتاج المدة إلى سجل للإشعارات.

الوقت المنقضي منذ يوليو 2016 (انظر القسم 11) هو مؤشر خاص بالملف. وهو لا يمثل عشر سنوات من الانتهاكات الثابتة لقانون DSA. يجب ربط كل إشعار ببند محدد، والقانون المعمول به، ودليل التسليم، والرد.

المادة 52(3) / الحد الأقصى المنصوص عليه في القانون **6 %**

### من إجمالي المبيعات السنوية على مستوى العالم

الغرامة القصوى في حالة الإخلال بالالتزامات المنصوص عليها في قانون الخدمات الرقمية (DSA)، على أساس السنة المالية السابقة للمزود. ويُعد هذا الحد الأقصى القانوني، وليس غرامة محددة ضد Valve.

المواد 6 و8 و16 / المعيار القانوني 

فيما يتعلق بخدمات الاستضافة ذات الصلة، يمكن أن تؤدي المعرفة المحددة بعدم اتخاذ إجراءات سريعة إلى إلغاء الإعفاء المتعلق بالاستضافة. ويمكن أن يُثبت الإخطار الدقيق بما فيه الكفاية معرفة المحتوى المعني. ولا تفرض قانون خدمات الرقمية (DSA) أي واجب عام للمراقبة؛ كما أن فقدان الإعفاء لا يُثبت بحد ذاته المسؤولية بموجب قانون آخر.

[قانون DSA: المواد 6 و8 و16 و52 و53 و93 والاعتبار 17 ↗](https://eur-lex.europa.eu/eli/reg/2022/2065/oj/eng) [محفوظ 2026-09-20 ↗](https://web.archive.org/web/20260920080125/https://eur-lex.europa.eu/eli/reg/2022/2065/oj/eng)

[مراجعة الشكاوى المحفوظة ↗](https://phishdestroy.io/steam_dossier/ar/steam_enforcement_evidence#support-records)[إنشاء الخط الزمني للحساب →](https://phishdestroy.io/steam_dossier/ar/index#dsar-playbook)[تحليل قانوني واقتصادي شامل →](https://phishdestroy.io/steam_dossier/ar/legal_analysis)

الجزء ج — الأطر القانونية · المادة 17 · الهوية، والعمر، والوصول التجاري 

## القاصرون: تسجيل الدخول بـ Steam لا يُعتبر تحققًا من العمر

السياق وحدود المصدر

لا تظهر بيانات أي قاصر في أي مكان في هذا الملف ولم يتم جمع أي منها: لم يقم المؤلفون بالتسجيل في أي من المنصات المذكورة أو إيداع معلومات فيها أو إتمام عملية تسجيل الدخول إليها. يجب على أي شخص يستند إلى هذا القسم الحفاظ على سرية الأدلة المتعلقة بالأطفال وحجب التفاصيل التي تكشف عن هويتهم من المستندات العامة. يُستشهد هنا بقانون حماية خصوصية الأطفال (COPPA) باعتباره قانونًا خاصًا بخصوصية الأطفال له شروط نطاقه الخاصة — مثل الجمهور المستهدف، والمعرفة الفعلية، والبيانات الشخصية التي تم جمعها — وليس كقاعدة عامة تتعلق بسن المقامرة؛ والشكوى المرفوعة في نيويورك عام 2026 هي ادعاء من قبل سلطة حكومية، وليست حكمًا قضائيًا.

"تسجيل الدخول باستخدام Steam" يثبت وجود الحساب. **هذا لا يثبت شيئًا بشأن العمر** — وفي هذه المواقع، يُعد هذا البوابة الوحيدة الفاصلة بين الطفل والحساب المصرفي. اقرأها مع [القسم 3.1](https://phishdestroy.io/steam_dossier/ar/index#inside-steam-filter): داخل عميل Steam، لا يتم إطلاق التحذير الذي عادةً ما يعرضه المتصفح، لذا لا يراه الطفل أبدًا.

ما الذي يوفره OpenID Steam **هوية الحساب**

معرّف SteamID مُثبت يُستخدم لتسجيل الدخول أو ربط حساب.

ما يجب على المشغل إثباته **شروط الأهلية للمشاركة**

العمر، والولاية القضائية، وأي إجراءات تحقق من الهوية مطلوبة.

الأساس الفني: [وثائق Steamworks OpenID ↗](https://partner.steamgames.com/doc/features/auth#website) [محفوظ 2026-09-21 ↗](https://web.archive.org/web/20260921022335/https://partner.steamgames.com/doc/features/auth). إن إثبات الهوية الموثق لا يُعدّ شهادةً تفيد بأن المستخدم يُسمح له قانونياً بالمقامرة.

قانون حماية خصوصية الأطفال على الإنترنت (COPPA) / الأطفال دون سن 13 عامًا 

### حدد المشغل والبيانات.

ينطبق قانون COPPA على الخدمات المشمولة الموجهة للأطفال، وكذلك على الخدمات التي لديها علم فعلي بأنها تجمع معلومات شخصية من أطفال تقل أعمارهم عن 13 عامًا. وهو قانون خاص بخصوصية الأطفال، وليس قاعدة عامة تتعلق بسن المراهنة. يجب تحديد الفئة المستهدفة، والبيانات الشخصية التي يتم جمعها، ومدى العلم بذلك، وإجراءات الحصول على موافقة الوالدين.

[لجنة التجارة الفيدرالية (FTC): متطلبات قانون حماية خصوصية الأطفال على الإنترنت (COPPA) ↗](https://www.ftc.gov/legal-library/browse/rules/childrens-online-privacy-protection-rule-coppa) [محفوظ 2026-09-21 ↗](https://web.archive.org/web/20260921070051/https://www.ftc.gov/legal-library/browse/rules/childrens-online-privacy-protection-rule-coppa)

الأدلة التي يجب الحفاظ عليها 

### تسجيل مسار العملية بدءًا من تسجيل الدخول وحتى إجراء الإيداع.

الحفاظ على نظام التحقق من السن في الموقع، وصيغة التسجيل، وشروط الأهلية، وعملية الدفع، وسجل الشكاوى. تقييم كل مشغل على حدة. الحفاظ على سرية أي أدلة تتعلق بطفل، وحجب التفاصيل التي تكشف عن هويته من المستندات المعروضة للجمهور.

ومن السجلات ذات الصلة المتعلقة بإنفاذ القانون من قبل الجهات العامة ما يلي: [إعلان عن دعوى قضائية في نيويورك لعام 2026](https://ag.ny.gov/press-release/2026/attorney-general-james-sues-game-developer-promoting-illegal-gambling-through) [محفوظ 2026-09-01 ↗](https://web.archive.org/web/20260901015430/https://ag.ny.gov/press-release/2026/attorney-general-james-sues-game-developer-promoting-illegal-gambling-through)، التي تزعم وجود ضرر يلحق بالمستخدمين الصغار جراء صناديق الغنائم المدفوعة. ولا يُعد هذا استنتاجاً بموجب قانون حماية خصوصية الأطفال على الإنترنت (COPPA).

الجزء ج — الأطر القانونية · القسم 18 · الطلب بموجب المادة 15 من اللائحة العامة لحماية البيانات (GDPR) 

## الطلب. الرد. المقارنة المفقودة.

طلب أربعة أشياء، أحدها السجل الذي سيكشف عن هوية الشخص الذي أضاف مفتاح واجهة برمجة التطبيقات (API) إلى حسابه. **بعد ثلاثة أيام، تم إغلاق التذكرة مع رابط إلى صفحة لا تحتوي على أي منها** — كما أن الجملة التي اختتم بها ذلك يتعارض معها محامو Valve أنفسهم.

لمن هذا الحساب · المصدر والحدود

**هذه اللقطات ليست لـ PhishDestroy.** هذه المعلومات مصدرها صاحب حساب عادي Steam — وهو أحد المشاركين في استطلاع قصير أجراه هذا المشروع، وقد قدم الطلب بنفسه وقدم لقطات الشاشة. الحساب ملكه، والتذكرة ملكه، والمراسلات جرت بينه وبين فريق الدعم Steam. لم يقم هذا المشروع بتقديم الطلب، ولا يمتلك أي حساب على المنصة، وليس طرفًا في هذه التذكرة.

في 16 سبتمبر 2026، قدم طلبًا للوصول إلى البيانات بموجب المادة 15 من اللائحة العامة لحماية البيانات (GDPR) وقانون خصوصية المستهلك في كاليفورنيا (CCPA)، طالبًا على وجه التحديد سجلات تسجيل مفاتيح واجهة برمجة التطبيقات (API)، وسجلات تسجيل الدخول مع عناوين IP، وسجلات تفويض الأجهزة، وسجلات المعاملات. وفي 17 سبتمبر، أحاله الموظف «Logen» إلى صفحة «بيانات الحساب» الخاصة بالخدمة الذاتية. في 18 سبتمبر، أشار إلى أن الفئات المطلوبة لم تكن موجودة في تلك الصفحة وطلب إحالة الأمر إلى فريق الخصوصية أو مسؤول حماية البيانات (DPO). وفي 19 سبتمبر، أغلق الموظف «كال» التذكرة بنفس الإحالة. تم الاحتفاظ بكلتا لقطتي الشاشة أدناه (تم حجب عنوان البريد الإلكتروني لمقدم الطلب؛ SHA-256 في `steam_tos_assets/screenshot-manifest.json`).

إنه الشخص المناسب لتقديم الطلب لسبب بسيط: **يحتوي حسابه على مفتاح واجهة برمجة تطبيقات الويب (Web API) Steam لم يقم بإنشائه، وهو مسجل باسم `localhost`**. **لا يُعرف متى تم إنشاؤه** — ليس بالنسبة له، ولا من أي شيء Valve قد أتاحه له، لأن السجل الوحيد الذي يمكن أن يحدد تاريخه هو سجل تسجيل مفتاح واجهة برمجة التطبيقات (API)، وهو بالضبط الفئة التي حجبها الإغلاق. والمفتاح ليس جديدًا: فهو يسبق علمه به بفترة لا يستطيع قياسها، لنفس السبب.

ويقدم أصحاب حسابات آخرون الطلب نفسه. وسيتم إضافة أي رد يصل إلينا هنا وفقًا للشروط نفسها التي تنطبق على هذين الطلبين — رقم التذكرة، وتاريخ التسجيل، ورمز SHA-256، مع حجب هوية مقدم الطلب — سواء تضمن الرد الفئات المطلوبة أو رفضها.

لا يتخذ هذا المشروع أي موقف بشأن سبب إغلاق التذكرة. لم يُذكر أي سبب في التذكرة نفسها، ولا يُستنتج أي سبب هنا.

**الطلب. الرد. المقارنة.** تابع السجل

الطلب**فئات محددة** مفتاح واجهة برمجة التطبيقات (API)، وتسجيلات تسجيل الدخول، وتسجيلات الأجهزة، وتسجيلات الصفقات

الرد**مرجع بيانات الحساب** افحص عملية استبدال الدعم

الاختبار**ما الذي تم توفيره؟** قارن بين كل فئة من الفئات المطلوبة

اقرأ الطلب المحفوظ لمعرفة الفئات التي طلبها صاحب الحساب.

يشير الرد المحفوظ إلى «بيانات الحساب». وتُظهر لقطات الشاشة نص الرد ونتيجة التذكرة.

وقد طلب أربع فئات محددة. صفحة «بيانات الحساب» التي أُحيل إليها هي أداة التصدير الذاتي الخاصة بـ Valve، ولا يمكن لهذا المشروع سرد محتوياتها لحساب شخص آخر — لذا لم يتم نشر مقارنة كاملة فئةً فئةً هنا. ما هو مسجل هو تصريحه الصادر في 18 سبتمبر بأن الفئات لم تكن موجودة، وقرار إغلاق الملف الصادر في 19 سبتمبر الذي كرر الإحالة دون معالجة هذه الفئات.

الشاشة 1/2 — الطلب (16 سبتمبر) والرد الأول من الوكيل «لوجن» (17 سبتمبر)

Image: [GDPR ticket HT-2YBP-F7JP-D4VB — request and first response](https://phishdestroy.io/steam_dossier/steam_tos_assets/gdpr-ticket-1.png)

المصدر: help.steampowered.com، التذكرة رقم HT-2YBP-F7JP-D4VB · تم تسجيلها في 16–17 سبتمبر 2026 · تم حجب عنوان البريد الإلكتروني لمقدم الطلب 2026-09-21 · الملف: [gdpr-ticket-1.png](https://phishdestroy.io/steam_dossier/steam_tos_assets/gdpr-ticket-1.png) · SHA-256 `da940c731ab9869d226e9d06ccc8a1b393738766b7b0c445a56662623e025a66` ([screenshot-manifest.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/screenshot-manifest.json)).

الشاشة 2/2 — طلب تصعيد (18 سبتمبر) وإغلاق الملف، الموظف "كال" (19 سبتمبر)

Image: [GDPR ticket HT-2YBP-F7JP-D4VB — escalation request and closure](https://phishdestroy.io/steam_dossier/steam_tos_assets/gdpr-ticket-2.png)

المصدر: help.steampowered.com، التذكرة رقم HT-2YBP-F7JP-D4VB · تم تسجيلها في 18–19 سبتمبر 2026 · الملف: [gdpr-ticket-2.png](https://phishdestroy.io/steam_dossier/steam_tos_assets/gdpr-ticket-2.png) · SHA-256 `44844ea7b251f7fd7d79f87ee1578a846606a97b9659d3a53b322120c422219b` ([screenshot-manifest.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/screenshot-manifest.json)).

الرد الختامي، 19 سبتمبر (نص حرفي):

"يمكنك الاطلاع على البيانات Steam المحفوظة بالفعل في صفحة "بيانات حسابك". ونظرًا لعدم وجود أي معلومات إضافية Steam يمكن لفريق الدعم تقديمها، **سيتم إغلاق هذا الطلب.**"

لم تُقدَّم أي بيانات · لم يُذكر أي أساس قانوني للرفض · لم تُعرض نتيجة التصعيد

**هذه الجملة خاطئة، ومحامو Valve أنفسهم هم من يثبتون ذلك.** تصف الفقرة 1.9 من رسالة المحامي المؤرخة في 1 أكتوبر 2025 الارتباط على مستوى الجهاز الذي يربط جهازًا واحدًا بعشرات الحسابات ([الملحق أ](https://phishdestroy.io/steam_dossier/ar/index#official-memorandum)). وتضمنت نفس الردود 830 صفحة من السجلات المحفوظة ([الملحق ب](https://phishdestroy.io/steam_dossier/ar/index#academic-response)). ولا يظهر أي من هذه المعلومات في صفحة «بيانات الحساب».

لماذا طلب هذا الحساب سجل مفتاح واجهة برمجة التطبيقات (API)؟

لم يختر تلك الفئات الأربع عشوائياً. إن `localhost` المفتاح في حسابه هو **علامة تشير إلى نص برمجي، وليست دلالة على أن شخصًا ما يقوم بكتابة نطاق حقيقي في صفحة المطور** ([القسم 5](https://phishdestroy.io/steam_dossier/ar/index#vulnerability-profile)، [القسم 6](https://phishdestroy.io/steam_dossier/ar/index#hijack-simulation)). السجل الوحيد الذي يوضح من أنشأه ومن أين هو سجل تسجيل مفتاح واجهة برمجة التطبيقات (API). وكان ذلك أول ما طلبه. وهذا ما حجبت الشركة الإفصاح عنه.

المصدر: صاحب الحساب، خلال الاستبيان الخاص بهذا المشروع. تم تشفير لقطات شاشة التذاكر الواردة أعلاه؛ ولم يتم نشر صفحة المفتاح.

التقييم · PhishDestroy

إن إغلاق التذكرة مع بقاء السؤال دون إجابة ليس أمراً عارضاً هنا. بل هو النتيجة الطبيعية. ونحن نتمسك [16,319 سجلات الشكاوى وطلبات الدعم المحفوظة](https://phishdestroy.io/steam_dossier/ar/steam_evidence_archive) و [354 عملية تبادل دعم بعد إزالة التكرارات](https://phishdestroy.io/steam_dossier/ar/steam_enforcement_evidence#support-records) مستمدة منها. هذه التذكرة هي مثال واحد مؤرخ ومستكمل تمامًا على الشكل الذي تتخذه.

تذكرة الدعم — محفوظة HT-2YBP-F7JP-D4VB

نوع الطلب المادة 15 من اللائحة العامة لحماية البيانات (GDPR) - طلب الوصول إلى البيانات الشخصية (DSAR)

حالة التذكرة مغلق في 19 سبتمبر 2026 — لم تُقدَّم أي بيانات

الوكلاء في البورصة "لوجن" (17 سبتمبر)، "كال" (19 سبتمبر)

تم التسجيل 16 سبتمبر 2026

البيانات المطلوبة من الذي سجل مفتاح واجهة برمجة التطبيقات (Web API) المرتبط بهذا الحساب، ومن أي عنوان IP / جهاز / طابع زمني؟

الأساس القانوني المذكور المادة 15 من اللائحة العامة لحماية البيانات (GDPR) — الحق في الاطلاع على البيانات الشخصية

**الإطار القانوني:** تمنح المادة 12(3) المسؤول عن معالجة البيانات مهلة شهر واحد من تاريخ الاستلام (قابلة للتمديد مع تقديم الأسباب). ولم تكن تلك المهلة قد انقضت حتى وقت النشر، ولا يشير هذا الملف إلى حدوث أي مخالفة للموعد النهائي. ويتمثل الاعتراض في جوهر الموضوع: فالرد الختامي يتضمن رابطًا إلى صفحة الخدمة الذاتية، لكنه لا يبيّن أن فئات البيانات الأربع المذكورة قد تم تقديمها، وإذا رفض المسؤول عن معالجة البيانات اتخاذ إجراء، فإن المادة 12(4) تقتضي منه بيان الأسباب وقنوات تقديم الشكاوى. ولا يرد أي منهما في الرد الختامي.

لماذا تعتبر هذه البيانات بالتحديد مهمة؟ 

سجل أحداث مفاتيح واجهة برمجة التطبيقات (Web API) هو السجل الذي يوضح ما إذا كان طرف ثالث قد سجل مفتاحًا باستخدام ملف تعريف ارتباط جلسة مسروق — وهي الآلية الموصوفة في شكاوى سرقة المخزون المحفوظة في أرشيف هذا الملف. إن الكشف عن هوية الشخص الذي سجل مفتاح واجهة برمجة التطبيقات (API)، وعنوان IP الذي استخدمه، والتوقيت الذي تم فيه التسجيل، من شأنه أن:

- اسمح للضحية بمقارنة عنوان IP المستخدم في إنشاء واجهة برمجة التطبيقات (API) بسجل عمليات تسجيل الدخول الخاصة به

- الكشف عن عناوين IP لمراكز البيانات المرتبطة ببنية تحتية معروفة تستخدم في عمليات التصيد الاحتيالي والمقامرة الآلية

- تقديم أدلة يمكن استخدامها في الدعاوى المدنية أو الجنائية ضد الفاعل

- أظهر ما إذا كان صاحب الحساب قد تلقى إشعارًا عند إنشاء المفتاح

**ما يظهر من السجل:** تحتفظ شركة Valve بسجلات على مستوى الجهاز وسجلات ربط الحسابات — وتصفها رسالة محاميها المؤرخة في 1 أكتوبر 2025 (انظر الملحق أ، مذكرة الأدلة — المصدر 1). في التذكرة رقم HT-2YBP-F7JP-D4VB، طلب صاحب البيانات نفس فئة السجلات، وأُغلقت التذكرة بإحالة إلى صفحة الخدمة الذاتية التي أفاد صاحب البيانات أنها لا تحتوي على تلك السجلات. أما مسألة ما إذا كان هذا الرفض قانونياً فهي من اختصاص السلطة الإشرافية؛ والنتيجة هي أن الشخص المعني بالبيانات لا يحصل عليها.

المراسلات — أربع رسائل، ثلاثة أيام

رد اثنان من موظفي الدعم Steam مستخدمين الأسماء الأولى الواردة في التذكرة: «لوجن» في 17 سبتمبر و«كال» في 19 سبتمبر. وقد أحال كلاهما مقدم الطلب إلى صفحة «بيانات الحساب». لا يوجد في التذكرة ما يشير إلى ما إذا كان الطلب قد وصل إلى فريق الخصوصية أو مسؤول حماية البيانات التابع لـ Valve، ولا يحدد الملف هوية الموظفين أو أدوارهم أو كيفية توجيه التذكرة.

16 سبتمبر

تم تقديم طلب بموجب المادة 15 يشمل أربع فئات محددة من البيانات

17–18 سبتمبر

الإحالة إلى بيانات الحساب؛ يطلب مقدم الطلب رفع الأمر إلى مسؤول حماية البيانات

19 سبتمبر

تم إغلاق التذكرة بنفس الإحالة؛ لا توجد بيانات، ولا يوجد أساس محدد

ما الذي تمنحه المادة 15 من اللائحة العامة لحماية البيانات (GDPR) صراحةً للشخص المعني؟ 

المادة 15(1)(أ) أغراض المعالجة — لماذا تحتفظ Valve بالبيانات

المادة 15(1)(ب) فئات البيانات — ما الذي يحتوي عليه Valve

المادة 15(1)(ج) المستفيدون أو فئات المستفيدين — **من تلقى البيانات (مثل: صاحب مفتاح واجهة برمجة التطبيقات)**

المادة 15(1)(د) فترة الاحتفاظ أو معايير تحديدها

المادة 15(3) نسخة من البيانات الشخصية قيد المعالجة — أي سجل مفتاح واجهة برمجة التطبيقات (API) نفسه

المادة 12(3) يرجى الرد في غضون **شهر واحد** من تاريخ الاستلام؛ ويجب الإبلاغ عن أي تمديد خلال ذلك الشهر. ولم تكن المهلة قد انقضت حتى وقت النشر. **المادة 12(4):** وإذا لم يتخذ المسؤول عن المراقبة أي إجراء، فيجب عليه توضيح الأسباب وإبلاغ صاحب الشكوى بقنوات تقديم الشكاوى.

مسار تقديم الشكاوى التنظيمية — لأي مستخدم 

يجوز لأي مستخدم قدم طلبًا بموجب المادة 15 من اللائحة العامة لحماية البيانات (GDPR) إلى Valve ولم يتلقَ ردًّا متوافقًا (أو رفضًا نموذجيًّا خالٍ من البيانات) أن يقدم شكوى إلى السلطة الإشرافية في الدولة العضو في الاتحاد الأوروبي/المنطقة الاقتصادية الأوروبية التي ينتمي إليها. إن فرع شركة Valve في الاتحاد الأوروبي هو شركة Valve GmbH في هامبورغ، لذا فإن السلطة الإشرافية الرئيسية المعنية بالشكاوى العابرة للحدود هي **المفوضة المعنية بحماية البيانات وحرية المعلومات في هامبورغ (HmbBfDI)**. (يقع مقر ممثل المادة 27 التابع لـ (Valve) أيضًا في هامبورغ؛ ولا يُحدد عنوان الممثل بحد ذاته السلطة المختصة.) كما يجوز تقديم شكوى إلى السلطة المختصة في الدولة العضو التي ينتمي إليها مقدم الشكوى بموجب المادة 77.

[نموذج شكوى HmbBfDI ↗](https://datenschutz.hamburg.de/beschwerde) [نص اللائحة العامة لحماية البيانات (المواد 12 و15 و77) ↗](https://eur-lex.europa.eu/eli/reg/2016/679/oj/eng) [محفوظ 2026-09-20 ↗](https://web.archive.org/web/20260920024236/https://eur-lex.europa.eu/eli/reg/2016/679/oj/eng) [إرشادات المجلس الأوروبي لحماية البيانات (EDPB) ↗](https://edpb.europa.eu)

رقم مرجع التذكرة لأي شكوى: **HT-2YBP-F7JP-D4VB** — تم الاحتفاظ بها في هذا الملف كحالة موثقة.

مثال واحد موثق 

### السجلات موجودة؛ لكن صاحب البيانات لم يتسلمها.

وصف محامي Valve سجلات الترابط على مستوى الجهاز في رسالة مؤرخة في 1 أكتوبر 2025. في 19 سبتمبر 2026، أُغلق طلب بموجب المادة 15 يتعلق بنفس فئة السجلات بإحالة إلى صفحة الخدمة الذاتية التي أفاد مقدم الطلب بأنها لا تحتوي على تلك السجلات، دون ذكر أساس قانوني. ويُعد التذكرة رقم HT-2YBP-F7JP-D4VB إحدى الحالات الموثقة؛ أما ما إذا كانت تعكس ممارسة أوسع نطاقًا، فهذا سؤال يخص السلطة الإشرافية، التي يمكنها أن تطلب من Valve تقديم سجلات معالجتها.

المواد 12 و15 و77 من اللائحة العامة لحماية البيانات (GDPR) / السلطة الإشرافية 

يمكن تقديم شكوى بموجب المادتين 12 و15 مباشرةً إلى السلطة الإشرافية المختصة دون أي تكلفة (المادة 77). ويجوز للسلطة فرض تدابير تصحيحية، بما في ذلك إصدار أوامر بالامتثال لطلب الوصول إلى البيانات، وفرض غرامات بموجب المادة 83(5)(ب) في حالة انتهاك حقوق أصحاب البيانات. ويؤدي الاحتفاظ برقم التذكرة الأصلي وأي رد Valve (أو عدم وجوده) إلى تعزيز الشكوى.

[اطلع على نموذج طلب الوصول إلى البيانات الشخصية (DSAR) →](https://phishdestroy.io/steam_dossier/ar/index#dsar-playbook)

الجزء ج — الأطر القانونية · المادة 19 · قانون العقود 

## اتفاقية الاشتراك مقابل البنية الأساسية الخاصة بالمنصة

السياق وحدود المصدر

المؤلفون ليسوا محامين، ولا يُعد أي من هذا نصيحة قانونية. تم اقتباس قانون الضمان الاجتماعي (SSA) من الصيغة المعدلة بتاريخ 10 سبتمبر 2026؛ وقد تختلف الصياغة في صيغة معدلة أخرى، كما أن ترقيم البنود قد تغير عبر الصيغ المختلفة — لذا يجب مراجعة البند في النسخة التي كانت تسري على السلوك المعني. توضح الحجج الواردة في المادتين 25 و32 ما تتطلبه اللائحة، وليس أن سلطة إشرافية قد وجدت مخالفة. وتخضع الأرقام الواردة في الحجة 1 لحدود النطاق المنصوص عليها في القسم 13.

هناك ثلاثة أحكام أساسية في اتفاقية خدمة المستخدم (SSA) تتعارض بشكل غير ملائم مع طريقة بناء المنصة: حظر الاستخدام التجاري مقابل وجود سقف سعري في «الماركت» يدفع المبيعات عالية القيمة إلى خارج المنصة؛ بند مسؤولية المستخدم عن مفاتيح واجهة برمجة التطبيقات (API) في مقابل نقطة نهاية للمفاتيح لم تكن تتطلب، قبل عام 2023، أي عامل مصادقة ثانٍ؛ ولغة الإنفاذ في مقابل سجل عام لا يُظهر أي إجراءات إنفاذ لكل مشغل على حدة. وما إذا كانت هذه التناقضات تؤثر على قابلية الإنفاذ أم لا هو مسألة تخص المحكمة؛ ويحدد هذا القسم الحقائق التي ستُعرض على المحكمة.

الحجة الأولى / هيكل القيمة السوقية 

### السقف الأقصى للسوق وحظر الاستخدام التجاري

يبلغ الحد الأقصى لعدد العروض في سوق المجتمع Steam حوالي $1,800. وفي خمسة أسواق، وفقًا لمعلومات محدثة (23 سبتمبر 2026)، هناك 248 فئة من منتجات CS2 التي تم تسعيرها بشكل مستقل بأسعار تتجاوز هذا الحد الأقصى في اثنين أو أكثر من هذه الأسواق؛ وهذه المنتجات **لا يمكن بيعها بتلك الأسعار على منصة Valve الخاصة**. يلجأ المالكون الراغبون في الحصول على تلك الأسعار إلى أسواق الجهات الخارجية، التي تعمل عبر حسابات Steam وواجهة برمجة التطبيقات Steam — ويُعتبر استخدامها من قبل إدارة الضمان الاجتماعي (SSA) نشاطًا تجاريًا ما لم يُسمح بذلك صراحةً.

تتجاوز العناصر الحد الأقصى المسموح به في السوق → تسد الأسواق الخارجية هذه الفجوة → تستخدم تلك الأسواق حسابات Steam وواجهة برمجة التطبيقات Steam → تحظر SSA الاستخدام التجاري دون إذن → لم يتم نشر أي سجل للأذونات. لا تنطبق الرسوم المجمعة للسوق المجتمعي البالغة حوالي 15% إلا على المبيعات التي تتم داخل السوق، ولا تنطبق على هذه المعاملات الخارجية.

الحجة الثانية / بنية أمان مفتاح واجهة برمجة التطبيقات (API) 

### تُعد ثغرة مفتاح واجهة برمجة التطبيقات (API) مسألة تتعلق بتصميم المنصة، وليست نتيجة لإهمال المستخدم

قبل عام 2023، كانت نقطة نهاية إنشاء مفتاح واجهة برمجة التطبيقات (API) لـ Steam تقبل طلب POST يحتوي على معرّف جلسة مسروق، وتقوم بإنشاء بيانات اعتماد ذات صلاحيات عالية **دون تأكيد عبر البريد الإلكتروني، أو عامل تأكيد ثانٍ، أو التحقق من الجهاز**. تتبع الشكاوى المتعلقة باختطاف واجهة برمجة التطبيقات (API) التي تم جمعها في هذا التحقيق نمطًا واحدًا: برنامج نصي للمهاجم، وملف تعريف ارتباط جلسة مسروق، وإنشاء مفتاح خفي، واعتراض المعاملات (يتم عرض حمولة الطلب في القسم 8).

تنص المادة 25 من اللائحة العامة لحماية البيانات (GDPR) (حماية البيانات منذ مرحلة التصميم) والمادة 32 (أمن المعالجة) على اتخاذ تدابير تقنية تتناسب مع المخاطر. ويُعد إصدار بيانات اعتماد قابلة للاعتراض التجاري دون عامل ثانٍ أو إخطار المالك مسألة تتعلق بالتصميم تقع على عاتق الجهة المسؤولة عن المعالجة. أما مسألة ما إذا كان يمكن الاعتماد على بند اتفاقية خدمة الأمان (SSA) الذي يُلقي بالمسؤولية على عاتق المستخدم في ظل هذه الخلفية، فهي مسألة تُحال إلى المحكمة والسلطة الإشرافية.

الحجة الثالثة / الرؤية في الوقت الفعلي 

### Valve يتلقى اسم مضيف المصادقة عند كل عملية تسجيل دخول

يصل اسم مضيف المصادقة إلى نقطة نهاية OpenID الخاصة بـ Valve في شكل نص عادي في `openid.return_to` و `openid.realm` (يظهر شكل الطلب في القسم 3). ويُعد استخراجه عملية قياسية. اعتبارًا من 2026-09-22، كان النطاق الرئيسي مدرجًا في «مرشح الارتباط» (Link Filter) في 26 زوجًا، في حين أن المضيف الذي يحمل تسجيل الدخول Steam الخاص به لم يكن مدرجًا فيه. لم تنشر Valve أي سجلات تتعلق بالتنفيذ لكل مشغل على حدة، لذا لا يمكن تحديد ما إذا كانت أي إجراءات أخرى بخلاف «Link Filter» قد طُبقت على هذه المضيفات استنادًا إلى البيانات العامة.

من يتحمل التكلفة؟ 

### النمط السائد في الشكاوى المؤرشفة

في الشكاوى التي تم استعراضها، يتبع رد فريق الدعم على ادعاءات اختطاف مفتاح واجهة برمجة التطبيقات (API) نمطًا واحدًا: رفض استعادة الحساب، والإشارة إلى مسؤولية المستخدم عن الحساب ومفتاح واجهة برمجة التطبيقات الخاص به، وإغلاق التذكرة. لم يتم تقدير أي رقم إجمالي للحسابات المتضررة أو القيمة المفقودة في هذا الملف؛ ولم يتم العثور على أي مصدر لمثل هذا الرقم.

السؤال ليس ما إذا كان المستخدمون الأفراد قد ارتكبوا أخطاء أم لا. بل السؤال هو: من المسؤول عن بنية نظام سمحت، حتى عام 2023، لطلب POST مصحوب بملف تعريف ارتباط مسروق بإنشاء بيانات اعتماد تداول ذات صلاحيات عالية دون إخطار ودون عامل تأكيد ثانٍ؟

وثيقة SSA مقابل عقد SSA 

### إن المحكمة التي تنظر في هذا الملف لن تقرأ قانون الضمان الاجتماعي (SSA) بمعزل عن السياق.

وستقرأه جنبًا إلى جنب مع رسالة المحامي المؤرخة في أكتوبر 2025 التي تصف الترابط على مستوى الأجهزة، وتواريخ تسجيل مضيفي المصادقة، والطوابع الزمنية لتسجيل الدُفعات، وحمولة طلب مفتاح واجهة برمجة التطبيقات (API)، والفترة التي تبلغ عشر سنوات بين إخطارات يوليو 2016 والمنصات التي كانت لا تزال تعمل في سبتمبر 2026. وهذا هو السجل الذي سيتعين على Valve معالجته.

SSA مقارنةً بالسجل / النقاط الرئيسية 

- "ممنوع الاستخدام التجاري" — يؤدي الحد الأقصى المحدد في السوق إلى توجيه المبيعات عالية القيمة إلى أسواق تجارية تابعة لأطراف ثالثة

- "المستخدمون مسؤولون عن مفاتيح واجهة برمجة التطبيقات" — لن يتم تطبيق المصادقة الثنائية على نقطة نهاية المفتاح قبل عام 2023

- "نحن نطبق الإجراءات ضد المخالفين" — لم يتم نشر أي سجل لتنفيذ الإجراءات بحق كل مشغل على حدة منذ يوليو 2016

- "لقد وافقت على الشروط" — في نمط الاختراق، يتم إرسال القبول بواسطة برنامج نصي، وليس من قِبل صاحب الحساب

الخلاصة · ما يثبته السجل وما نطلبه 

## النتائج. السجلات التي نطلبها.

السياق وحدود المصدر

يرتبط كل استنتاج من الاستنتاجات الواردة أدناه بسجل عام مؤرخ في الأقسام أعلاه. وقد وُجِّهت الطلبات إلى السلطات التي يمكنها الحصول على الشيء الوحيد الذي لا يستطيع هذا التحقيق الوصول إليه: سجلات Valve الخاصة بالتنفيذ والوصول والمعالجة.

يأتي كل طلب في أعقاب استنتاج مؤرخ. ويمكن للسلطات أن تطلب الحصول على سجلات لا يمكن لهذا التحقيق المستند إلى مصادر عامة أن يُجبر على الكشف عنها.

ما يثبته السجل العام 

- يتم توثيق 44 منصة نشطة عبر نطاق منفصل قابل للتسجيل — 27 منها مع ملف أدلة منشور لكل مسار، و17 من خلال جمع يدوي ومدرجة بشكل منفصل. اعتبارًا من 2026-09-22، تم حظر النطاق الرئيسي لـ 26 زوجًا في مرشح الروابط Steam، في حين لم يتم حظر المضيف الذي يحمل معلومات تسجيل الدخول الخاصة بها — تم حظر csgogem.com، `api.csgem.com` مسجل منذ مارس 2014. Steam يتلقى اسم المضيف هذا في `openid.realm` و `openid.return_to` عند كل عملية تسجيل دخول. [القسم 3](https://phishdestroy.io/steam_dossier/ar/index#proxy-bypass-explainer)

- في 13 يوليو 2016، أعلنت Valve عن اسم الآلية وحظرتها، وحددت إخطارات محاميها المؤرخة في 20 يوليو 2016 مهلة مدتها عشرة أيام. ولم يُنشر أي سجل إنفاذ خاص بكل مشغل على حدة خلال السنوات العشر التي تلت تلك المهلة. [المادة 11](https://phishdestroy.io/steam_dossier/ar/index#case-study-section)

- كانت نقطة نهاية مفتاح واجهة برمجة التطبيقات (Web API) Steam تصدر بيانات اعتماد ذات امتيازات عالية وقادرة على إجراء المعاملات استنادًا إلى ملف تعريف ارتباط الجلسة وحده، دون أي عامل تأكيد ثانٍ قبل عام 2023. [القسم 5](https://phishdestroy.io/steam_dossier/ar/index#vulnerability-profile)

- تم إغلاق طلب بموجب المادة 15 من اللائحة العامة لحماية البيانات (GDPR) (رقم التذكرة HT-2YBP-F7JP-D4VB) بعد ثلاثة أيام، مع تضمين رابط إلى خدمة المساعدة الذاتية ودون تقديم أي بيانات. [المادة 18](https://phishdestroy.io/steam_dossier/ar/index#gdpr-live-case)

ما نطلبه من كل سلطة 

لجنة المقامرة بولاية واشنطن

أعد فتح ملف عام 2016. واطلب تقريرًا مفصلاً لكل مشغل على حدة يوضح الحسابات والروبوتات ومضيفي العودة التي تم تعطيلها بعد إرسال الإشعارات التي مدتها عشرة أيام، وأي المشغلين استعادوا حق الوصول لاحقًا. [القسم 2](https://phishdestroy.io/steam_dossier/ar/index#wsgc-public-address)

HmbBfDI (هامبورغ؛ Valve GmbH)

التحقق مما إذا كان الرد بموجب المادة 15 قد استوفى واجب الجهة المسؤولة عن معالجة البيانات، والمطالبة بالإفصاح عن سجلات تسجيل مفتاح واجهة برمجة التطبيقات (API) وسجلات الوصول ذات الصلة بتحديد هوية الفاعل. [المادة 18](https://phishdestroy.io/steam_dossier/ar/index#gdpr-live-case)

منسقو الخدمات الرقمية (DSA)

ضع توجيه «auth-host» في السجل باعتباره ملاحظة، ثم قم بتقييم ما إذا كان رد Valve يفي بالتزاماته بمجرد توثيق المعلومات. [المادة 16](https://phishdestroy.io/steam_dossier/ar/index#dsa-accountability)

أي شخص معني بالبيانات

استخدم نموذج المادة 15 لطلب الحصول على نفس السجلات لحسابك الخاص؛ حيث يمكن للسجل المحفوظ أن يحدد من الذي بدأ عملية إعادة الضبط أو أنشأ مفتاحًا. [الملحق (ز)](https://phishdestroy.io/steam_dossier/ar/index#dsar-playbook)

الطلب الوحيد الكامن وراء هذه الحالات الأربع هو نفسه: نشر سجلات الإنفاذ والوصول والمعالجة التي لا يمتلكها سوى Valve. فالتحذير على الصفحة الرئيسية، والرسالة التي تمنح مهلة عشرة أيام، وصفحة الخدمة الذاتية، كلها تمثل تأكيدات على ممارسة السيطرة. أما مسألة ما إذا كانت السيطرة قد مورست أم لا، فهي سؤال لا يمكن للسجلات العامة الإجابة عليه، في حين أن الجهة التنظيمية قادرة على ذلك.

الملاحق — المستندات الرئيسية ومواد العمل

الملحق أ — المراسلات مع المحامين 

## مذكرة الأدلة — المواد المقدمة من المصدر 1

الأساس الاستدلالي وحالة المصادر الخاصة بالمراسلات القانونية التي استند إليها في المواد 1 و18 و19.

**قاعدة الأدلة وحالة المصدر — الوثائق المقدمة من المصدر 1**
المستخدم الذي أدى حظره الدائم إلى إجراء هذا التدقيق ليس موضوعه. ولا يتم هنا النظر في ما إذا كان ذلك الحظر مبررًا أم لا، ولا يدافع هذا الملف عنه ولا يعارضه. فالحساب ليس هو بيت القصيد. ما يهم هو المحتوى: **المصدر 1** — صاحب الحساب المحظور، الذي تلقى المراسلات الواردة أدناه من محامي Valve بصفته صاحب البيانات في طلبه الخاص بموجب اللائحة العامة لحماية البيانات (GDPR) — قام بإحالة تلك المراسلات وملفات القضية المرفقة، إلى جانب حق الاطلاع عليها علنًا. تم حجب الاسم؛ ويتم وصف الوثائق حسب التاريخ وبيانات التعريف الخاصة بالمنتج ورمز التجزئة.

تم إرسال تلك المراسلات استجابةً لطلب مقدم بموجب اللائحة العامة لحماية البيانات (GDPR) أو طلب الوصول إلى البيانات (DSAR). وفي سياق تلك المراسلات، أدرج محامي Valve بيانًا في المحضر، موقّعًا عليه، يصف فيه إمكانيةً كان قسم الدعم Steam قد أخبر المستخدمين سابقًا أنها غير ممكنة من الناحية التقنية. والفقرة المقتبسة أدناه هي ذلك البيان.

ويتمثل التحليل الإضافي الذي أجراه المؤلفون للمقتطف المستخرج من السجل في **تم استبعادها من هذا الملف** في انتظار إجراء مراجعة مستقلة. ولا يُعتمد عليها في أي جزء آخر من هذا التحقيق.

الاعتراف المسجل في السجل: القياس عن بُعد المستمر على مستوى الجهاز 

في الفقرة 1.9 من الرسالة المنسوبة إلى محامي Valve، يذكر محامو Valve ما يلي: *"في الفترة ما بين عامي 2019 و2023، تم استخدام هذا الحساب بشكل أساسي من جهاز استُخدم أيضًا لتسجيل الدخول إلى عشرات الحسابات المسروقة Steam."*

**الحقيقة:** يصف محامي Valve هنا الارتباط على مستوى الأجهزة عبر الحسابات على مدى أربع سنوات. وقد أبلغت خدمة الدعم ضحايا السرقة بأن تتبع الأغراض المسروقة أو ربط الحسابات بالأجهزة أمر غير ممكن من الناحية التقنية. Steam Guard إن عملية تفويض الأجهزة موثقة علنًا، لذا فإن وجود سجلات لكل جهاز ليس أمرًا جديدًا في حد ذاته؛ أما الجديد فهو التأكيد الكتابي من المحامي بأن تلك السجلات يتم الاحتفاظ بها وربطها عبر الحسابات على مدى فترات تمتد لعدة سنوات.

**لماذا يُعد هذا الأمر مهمًا:** إن الارتباط الذي يمكن أن يربط جهازًا واحدًا بعشرات الحسابات المخترقة على مدار أربع سنوات ينتمي إلى نفس فئة السجلات التي ذكرت «دعم» أنها لا تستطيع استخدامها لصالح الضحايا. ومن شأن السجلات من تلك الفئة أن تسمح بتحديد الحسابات والأجهزة في سلسلة السرقة وإعادة البيع. أما الأسئلة التي يتعين على السلطة الإشرافية الإجابة عليها فهي: ما هي السجلات الموجودة، ومدة الاحتفاظ بها، والأسس التي تستند إليها منع إطلاع أصحاب البيانات عليها.

المصدر: رسالة محامي Valve المؤرخة في 1 أكتوبر 2025، الفقرة 1.9، وملحقها بصيغة PDF المكون من 830 صفحة · الذي تلقّاه المصدر 1 استجابةً لطلب مقدم بموجب المادة 15 من اللائحة العامة لحماية البيانات (GDPR) · تم تسجيل قيمة SHA-256 للملحق في [disclosure-audit.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/regulatory-review/disclosure-audit.json) · لم يتم نشر نص الرسالة نفسها؛ كما تم حذف أسماء الحسابات وبيانات الأطراف الثالثة.

الحالة: فتح

المواد المصدرية متاحة عبر أرشيف الأدلة.

الملحق ب — ملف PDF الناتج · فحص عملية حجب المعلومات 

## التعديل الذي أُجري على ملف PDF المُقدَّم هو تعديل شكلي: فالنص المُغطَّى لا يزال قابلاً للاستخراج

رد محامي Valve على طلب الاطلاع بموجب اللائحة العامة لحماية البيانات (GDPR) بملحق من 830 صفحة، حيث تم تغطية الأجزاء المحجوبة بالطلاء فوق النص بدلاً من حذفها. **902,270 أحرف تقع أسفل الأشرطة السوداء وتظهر مباشرةً باستخدام أداة استخراج النص** — بما في ذلك معرّفات الأطراف الثالثة التي كان الغرض من الأشرطة هو إخفاءها. ولا يُنشر هنا سوى الأرقام الإجمالية؛ ولا يتم إعادة نشر أي محتوى مشمول، كما لا يُنشر الملحق نفسه.

1. ما توصلت إليه عملية فحص الهندسة 

الرد بموجب المادة 15 من اللائحة العامة لحماية البيانات (GDPR) المؤرخ في **1 أكتوبر 2025** وقد رافق ذلك ملحق بصيغة PDF من 830 صفحة (بيانات تعريف منتج Aspose.PDF لـ .NET، تم إنشاؤها وتعديلها في نفس التاريخ). وأجرى المؤلفون فحصًا هندسيًّا على مستوى الصفحة: ففي كل صفحة، تم تحديد المستطيلات غير الشفافة شبه السوداء التي تم رسمها بعد طبقة النص، وتم عد الأحرف القابلة للاستخراج الموجودة تحتها.

تم القياس على الملف الناتج

902,270

لا يزال من الممكن استخراج الأحرف الموجودة أسفل الأشرطة السوداء

أرقام محصورة، وليست تقديرية. هذا هو العدد الإجمالي للشخصيات المشمولة — وليس عدد الضحايا أو حالات إعادة تحديد الهوية أو الحوادث.

830 / 830

الصفحات المتأثرة — كل الصفحات

986

مستطيلات فوق نص قابل للاستخراج

1,329

إجمالي عدد المستطيلات السوداء غير الشفافة

يتم رسم الأشرطة السوداء فوق طبقة النص؛ وهي لا تحذف النص. ويمكن استخراج النص الموجود أسفل الأشرطة باستخدام أدوات PDF القياسية. ولا يتم نشر سوى الأرقام الإجمالية؛ ولا يتم هنا إعادة نشر أي محتوى مغطى.

عرض تجريبي جنائي: فصل الطبقات

نموذج تراكب متجه لبرنامج ASPOSE.PDF لـ .NET (الملحق، ص. 412)

تم تقديم بلاغ ضد الحساب: [تسجيل الدخول: redacted_user_667]

السبب الذي قدمه المستخدم: [نص: "أبلغ المستخدم عن وجود عناصر مكررة في المخزون وسلوك تجاري غير لائق..."]

الخلفية: <path fill="#000" /> عيب: بقاء دفق UTF-8 الأساسي سليمًا

المصدر: الملحق بصيغة PDF المرفق برسالة المحامي المؤرخة في 1 أكتوبر 2025 (830 صفحة، بيانات تعريف المنتج من Aspose.PDF لـ .NET) · تم حساب العدد بواسطة المؤلفين، باستخدام الطريقة وعدد الصفحات في [disclosure-audit.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/regulatory-review/disclosure-audit.json) · قيمة SHA-256 للملحق المسجل في الملف نفسه · الملحق نفسه غير منشور.

2. لماذا يعد هذا الأمر مهمًا بالنسبة لرد صاحب البيانات 

**أرسل محامي Valve هذا الملف إلى صاحب البيانات ردًا على طلبه الهام بالاطلاع على سجلاته الخاصة.** الشرائط الموضوعة عليها هي مجرد إجراء تجميلي: فالنص الموجود تحتها لم يُحذف أبدًا، لذا فإن معرّفات الجهات الخارجية التي فُرضت عليها تلك الشرائط لإخفائها قد وصلت إلى المستلم مع الملف. إن عملية الحجب التي يمكن إزالتها باستخدام أداة استخراج النص لا تحجب أي شيء، كما أنها تجعل المستلم غير قادر على تحديد ما تم الكشف عنه وما لم يتم الكشف عنه.

المادة 15(4) هي السبب وراء وجود تلك القيود أصلاً: فلا يجوز أن يؤثر الحق في الحصول على نسخة سلباً على حقوق وحريات الآخرين. وهذا هو الالتزام الذي لم تلتزم به هذه العملية. أما ما إذا كان يمكن وصف ذلك بأنه انتهاك للبيانات الشخصية بموجب المادة 4(12)، فهذا أمر تقرره السلطة الإشرافية؛ فالكشف نفسه قابل للقياس في الملف، ويمكن لأي شخص يمتلك نفس البايتات إعادة إنتاجه — فقد نُشرت قيمة SHA-256، بينما لم يُنشر الملحق.

**ما كان موجودًا تحت القضبان لم يكن أرقام حسابات.** كانت تلك هي مجموعة تقارير المستخدمين المرفوعة ضد مقدم الطلب، مع ذكر أسماء مؤلفيها: Steam عملية تسجيل دخول، والتي — نظرًا لأن عملية تسجيل الدخول نادرًا ما تُستخدم في Steam فقط — تحدد هوية الشخص الذي يقف وراءها — **وفقًا لتقديرات المؤلفين، يمكن تحديد هوية أكثر من 60% من المستخدمين المذكورين في الوثيقة بشكل كامل** — إلى جانب النص الأصلي غير المحجوب لما كتبوه. ويتضمن هذا النص تمنيات بالموت وإهانات موجهة إلى جنسية مقدم الطلب. وبعض الأشخاص الذين تم تحديد هويتهم على هذا النحو هم من القاصرين. **وقد سلمت الجهة المنتجة قائمة بأسماء الصحفيين إلى الشخص الذي أبلغوا عنه**، وهو بالضبط الضرر الذي صيغت المادة 15(4) لمنعه.

**ترتيب الأحرف في الملف لا يقل أهمية عن محتواه.** قوبل الطلب في البداية بمطالبة بتقديم مزيد من إثباتات الهوية، بحجة أن عنوان البريد الإلكتروني المستعار الخاص بطالب المعلومات لم يتضمن اسمه؛ وتم حظر الحساب نهائيًا خلال فترة التأخير التي تلت ذلك. أما الرسالة التي سلمت البيانات أخيرًا، بعد مرور أكثر من ستة أسابيع على انتهاء المهلة المنصوص عليها في المادة 12(3)، فقد هددت المستلم بالملاحقة الجنائية وحجبت بقية بياناته الخاصة حتى يشرح نشاط حسابه للمحامي. كما يوضح الكشف عن هذه المعلومات مسألتين لم تجب عليهما Valve علنًا: تُظهر السجلات المقدمة أن ربط الحسابات يعود إلى عام 2019، بالإضافة إلى بيانات قياس عن بُعد داخلية لم يسبق لـ Valve أن وصف عمقها.

**نطاق هذا القسم:** تقتصر الملاحظة الواردة هنا على آليات عملية التحرير، وفقًا لما تم قياسه في الملف بصيغته النهائية. أما التحليل الإضافي الذي أجراه المؤلفون للسجلات النهائية، فقد تم حجبها في انتظار إجراء مراجعة مستقلة، ولا يُعتمد عليها في أي جزء آخر من هذا الملف.

الدليل: رسالة المحامي المؤرخة في 1 أكتوبر 2025 وملحقها بصيغة PDF (تم تسجيل رمز SHA-256 في ملف التدقيق)؛ [قياسات ملفات PDF على مستوى الصفحة والطريقة ↗](https://phishdestroy.io/steam_dossier/steam_tos_assets/regulatory-review/disclosure-audit.json). وقد وردت بالتفصيل تسلسل الأحداث المتعلقة بالطلب، ورفض الطلب المذكور في الصفحة 8، ووصف السجلات التي تم الكشف عنها، في رواية PhishDestroy، [«كلبي في مواجهة نخبة محاميي اللائحة العامة لحماية البيانات»، 17 أغسطس 2026 ↗](https://phishdestroy.medium.com/my-dog-vs-elite-gdpr-lawyers-the-valve-data-breach-nobody-is-talking-about-f6f7683d813d) [محفوظ 2026-08-21 ↗](https://web.archive.org/web/20260821155801/https://phishdestroy.medium.com/my-dog-vs-elite-gdpr-lawyers-the-valve-data-breach-nobody-is-talking-about-f6f7683d813d). تم حذف أسماء الحسابات وبيانات الأطراف الثالثة هنا؛ ولم يتم إعادة نشر أي شيء يقع ضمن نطاق الأعمدة.

> **في الصفحة 8 من خطاب التغطية، تم رفض جزء من الطلب، مع توضيح السبب كتابةً:** لا يمكن تقديم معلومات أكثر تفصيلاً بسبب الحماية التي تحظى بها البيانات الشخصية للمستخدمين الآخرين لمنصة Steam… — لا يمكن تقديم إجابة أكثر تفصيلاً، لأنه يجب حماية البيانات الشخصية لمستخدمين آخرين Steam. وكان الملحق المكون من 830 صفحة ضمن الحزمة نفسها. ما كانت تخفيه الأشرطة السوداء لم يكن أرقام الحسابات: بل كانت البلاغات المرفوعة ضد مقدم الطلب، مع ذكر أسماء مقدميها، ومرفقة بالرسائل الأولية غير المحجوبة. كان صاحب الحساب قد طلب من Valve، من خلال محاميه، الحصول على ملفه الخاص؛ لكن ما استطاع استخلاصه منه كان ملفات أشخاص آخرين. لا يوجد في هذا الملحق ما يوضح من قام برسم المربعات. ما يثبته هو أن الحماية Valve التي تم التذرع بها كأساس لحجب المعلومات هي نفس الحماية التي فشلت هذه الوثيقة نفسها في توفيرها، في نفس المغلف، وفي نفس اليوم.

الملحق ج — المستندات المرفقة 

## مستندات الدعم والمراسلات القانونية

تنسيق سجل الأرشيف، ومؤشرات إلى المرفقين اللذين تمت مناقشتهما بالتفصيل في أجزاء أخرى من هذا الملف، بدلاً من تكرارهما هنا. يوضح كل تعليق ما تمثله الصورة وما لا تمثله.

حيث تُناقش المستندات الأخرى 

المستند أ: إخطار يوليو 2016 (إعادة البناء) تم عرضها

تم عرضها مباشرةً، وليس كصورة شاشة، في [المادة 11 — الإشعار الصادر في يوليو 2016](https://phishdestroy.io/steam_dossier/ar/index#valve-demand-letter). إعادة صياغة بناءً على النص الذي نقلته وسائل الإعلام في 21 يوليو 2016؛ وليست نسخة ممسوحة ضوئيًا من النسخة الأصلية.

الملحق باء: تذكرة GDPR رقم HT-2YBP-F7JP-D4VB تم إغلاقه في 19 سبتمبر 2026

توجد اللقطتان المحفوظتان، ورموز التجزئة SHA-256 الخاصة بهما، والتحليل الكامل في [المادة 18 — القضية الجارية المتعلقة باللائحة العامة لحماية البيانات (GDPR)](https://phishdestroy.io/steam_dossier/ar/index#gdpr-live-case). تم تقديم الطلب في 16 سبتمبر 2026؛ وأُغلق مع تضمين رابط إلى صفحة «بيانات الحساب»، دون أي بيانات ودون ذكر أي أساس قانوني للرفض.

الملحق ج: أرشيف الأدلة (سجل نموذجي) كما هو موضح

مثال على سجل محفوظ من الأرشيف القابل للبحث الذي يضم المنشورات العامة على GitHub وReddit ومنشورات المراجعة؛ كل ادعاء في الأرشيف يحمل مصدره الخاص ويحتاج إلى اختبار إثباتي خاص به.

Image: [Exhibit C: Example of a saved archive record](https://phishdestroy.io/steam_dossier/steam_tos_assets/archive-record.png)

الملحق ج · مثال على سجل محفوظ في أرشيف الأدلة (مشكلة عامة على GitHub كما تم حفظها في إصدار 2026-09-17). يوضح تنسيق السجل فقط. · الملف: [archive-record.png](https://phishdestroy.io/steam_dossier/steam_tos_assets/archive-record.png) · SHA-256 `329abcc434407981fc8d203201f80ec650c61de70a88fcfbb69860aebf8e5613` ([screenshot-manifest.json](https://phishdestroy.io/steam_dossier/steam_tos_assets/screenshot-manifest.json)).

الملحق د — جمع المصادر 

## سجلات أولية مختارة

ستة سجلات من الأرشيف — ثلاث مشكلات على GitHub في أنظمة التتبع الخاصة بـ Valve وثلاثة حسابات على Reddit تتعلق بنتائج دعم مثيرة للجدل. ويظل كل مصدر مرفقًا بالادعاء والنص المحفوظ والسؤال الذي يثيره.

1 / 6

اختر سجلًا مصدرًا 

GH-01 / GITHUB فتح في الإصدار المحفوظ

### مفاتيح الأجهزة، التي طُلبت في عام 2016

ValveSoftware / steam-for-linux · #4521 · 2016-06-27

طلب أحد المستخدمين من Valve دعم مفاتيح U2F المادية كعامل ثانٍ بديل. وتحمل المشكلة المحفوظة كل من علامتي «طلب ميزة» و«تمت المراجعة»، مع تسجيل حالتها على أنها «مفتوحة».

> أطلب توفير دعم جهاز U2F USB كبديل في منصة Steam.
> 
> [مقتطف من المشكلة المطروحة على GitHub ↗](https://github.com/ValveSoftware/steam-for-linux/issues/4521)

سجل موثق

طلب مؤرخ للحصول على إجراء حماية إضافي للحساب، نُشر في نظام تتبع المشكلات الخاص بـ Valve وحُددت حالته بـ «تمت مراجعته».

المطالبة بالمساءلة

نشر قرار المنتج وتاريخ الرد والحماية الممنوحة بعد المراجعة.

[قراءة السجل المحفوظ](https://phishdestroy.io/steam_dossier/ar/steam_evidence_archive?source=GitHub&record=484)[افتح GitHub ↗](https://github.com/ValveSoftware/steam-for-linux/issues/4521)

[في الملف: إجراءات حماية الحساب →](https://phishdestroy.io/steam_dossier/ar/index#consent-analysis) الأرشيف رقم 484 · الإصدار 2026-09-17

GH-02 / GITHUB فتح في الإصدار المحفوظ

### تقارير الأعطال التي لا تتضمن خيارًا فعّالًا لرفض الاشتراك

ValveSoftware / steam-for-linux · #6459 · 2019-08-18

يصف المبلغ مشكلة في عميل Steam بتاريخ 12 أغسطس 2019 على نظام أوبونتو 16. ويذكر أن تعطيل وجهة التحميل التلقائي عند التعطل لم يستمر بعد إعادة التشغيل، وقد أرفق التكوين ذي الصلة.

> إذا قمت بتعطيل `ServerURL`، فإنه يتم استبداله بعد كل عملية إعادة تشغيل.
> 
> [مقتطف من المشكلة على GitHub ↗](https://github.com/ValveSoftware/steam-for-linux/issues/6459) [محفوظ 2026-04-19 ↗](https://web.archive.org/web/20260419051343/https://github.com/ValveSoftware/steam-for-linux/issues/6459)

سجل موثق

شكوى محددة تتعلق بالخصوصية تتضمن تاريخ العميل ونظام التشغيل ومقتطفًا من الإعدادات. المشكلة المحفوظة لا تزال مفتوحة.

المطالبة بالمساءلة

حدد التحقيق، والإصدارات المتأثرة، والتغيير الذي أدى إلى تفعيل خيار الانسحاب.

[قراءة السجل المحفوظ](https://phishdestroy.io/steam_dossier/ar/steam_evidence_archive?source=GitHub&record=467)[افتح GitHub ↗](https://github.com/ValveSoftware/steam-for-linux/issues/6459) [محفوظ 2026-04-19 ↗](https://web.archive.org/web/20260419051343/https://github.com/ValveSoftware/steam-for-linux/issues/6459)

[في الملف: طلب السجلات ذات الصلة →](https://phishdestroy.io/steam_dossier/ar/index#dsar-playbook) الأرشيف رقم 467 · الإصدار 2026-09-17

GH-03 / GITHUB فتح في النسخة المحفوظة

### تم الإبلاغ عن إساءة استخدام تذكرة المصادقة إلى Valve

ValveSoftware / Source-1-Games · #3857 · 2022-02-26

يدعي المؤلف أن إدارة الخادم احتفظت بـ Steam تذاكر مصادقة بعد انقطاع اتصال اللاعبين، واستخدمت قوائم خادم مضللة. ويطالب المنشور Valve بالتعامل مع هذا السلوك.

> لجعل خوادمهم تبدو مزدحمة.
> 
> [مقتطف من مشكلة GitHub ↗](https://github.com/ValveSoftware/Source-1-Games/issues/3857)

سجل موثق

تم تقديم تقرير عام عن إساءة الاستخدام عبر أداة التتبع الخاصة بـ Valve في 26 فبراير 2022. وحالته المحفوظة هي «مفتوح»؛ ويتضمن التقرير روابط إلى لقطات شاشة.

المطالبة بالمساءلة

تقديم نتائج التحقيق وسجل الإجراءات التصحيحية المتعلقة بحالة إساءة استخدام تذكرة المصادقة التي تم الإبلاغ عنها.

[قراءة السجل المحفوظ](https://phishdestroy.io/steam_dossier/ar/steam_evidence_archive?source=GitHub&record=768)[افتح GitHub ↗](https://github.com/ValveSoftware/Source-1-Games/issues/3857)

[في الملف: نطاق مجموعة البيانات →](https://phishdestroy.io/steam_dossier/ar/index#evidence-base) الأرشيف رقم 768 · الإصدار 2026-09-17

RD-01 / REDDIT سيرة المؤلف

### 44 عملية شراء متنازع عليها في السوق

r/DotA2 · لم يُكشف عن اسم المستخدم · 2022-07-07

أفاد المؤلف بوقوع 44 عملية شراء غير مصرح بها على منصة «ماركت» في 6 يوليو 2022، وخسائر بلغت حوالي $500+. ويشير إلى أن المصادقة الثنائية كانت مفعَّلة، ويصف الردود النمطية المتكررة التي تلقاها من فريق الدعم.

> هذه هي المذكرة الثانية التي أرسلتها، وما زلت لم أتلقَ ردًا من Steam لا يكون مجرد نسخ ولصق لنموذج آلي.
> 
> [مقتطف من المنشور على موقع Reddit ↗](https://www.reddit.com/r/DotA2/comments/vt76ov/funds_stolen_through_steam_market_disappointed/) [محفوظ 2025-03-20 ↗](https://web.archive.org/web/20250320082450/https://www.reddit.com/r/DotA2/comments/vt76ov/funds_stolen_through_steam_market_disappointed/)

سجل موثق

تقرير مؤرخ عن عمليات شراء متنازع عليها، يتضمن روابط إلى لقطات شاشة للمعاملات ورداً من فريق الدعم. المبالغ والأحداث الواردة في التقرير هي وفقاً لما ذكره المؤلف.

المطالبة بالمساءلة

قم بمطابقة عمليات الشراء المتنازع عليها مع سجلات المعاملات والجلسات. اشرح الأسباب التي استند إليها فريق الدعم في اتخاذ قراره.

[قراءة السجل المحفوظ](https://phishdestroy.io/steam_dossier/ar/steam_evidence_archive?source=Reddit&record=4533)[افتح Reddit ↗](https://www.reddit.com/r/DotA2/comments/vt76ov/funds_stolen_through_steam_market_disappointed/) [محفوظ 2025-03-20 ↗](https://web.archive.org/web/20250320082450/https://www.reddit.com/r/DotA2/comments/vt76ov/funds_stolen_through_steam_market_disappointed/)

[في الملف: الدعم والإنفاذ →](https://phishdestroy.io/steam_dossier/ar/index#enforcement-standard) الأرشيف رقم #4,533 · الإصدار 2026-09-17

RD-02 / ريديت سيرة المؤلف

### حظر دائم وإغلاق باب الاستئناف

r/ohnePixel · لم يُكشف عن اسم المستخدم · 2024-12-09

يعترض المؤلف على الحظر الدائم، ويقول إن الدعم استند إلى شكوى بشأن تحويل مشبوه للحساب وإبلاغات من أعضاء المجتمع. ويذكر المؤلف التذاكر التي تم إغلاقها وخططه لطلب بياناته الشخصية.

> شرحت لهم موقفي وطلبت مزيدًا من التفاصيل، لكنهم مصممون على قرارهم ويقومون بإغلاق التذاكر الخاصة بي.
> 
> [مقتطف من المنشور على موقع Reddit ↗](https://www.reddit.com/r/ohnePixel/comments/1hahqx2/permanently_banned_steam_account_without_a_clear/)

سجل موثق

حساب طلب دعم محفوظ، يتضمن الأسباب التي يذكرها المؤلف لدعم الطلب، بالإضافة إلى روابط لأربع صور. ويُستمد تاريخ النشر من ملف التصدير المحدد الخاص بالطلب.

المطالبة بالمساءلة

حدد الأدلة التي تدعم الحظر الدائم، وإجراءات المراجعة المتاحة للطعن فيه. إن إغلاق ملف الاستئناف لا يشكل تبريرًا للقرار.

[قراءة السجل المحفوظ](https://phishdestroy.io/steam_dossier/ar/steam_evidence_archive?source=Reddit&record=4766)[افتح Reddit ↗](https://www.reddit.com/r/ohnePixel/comments/1hahqx2/permanently_banned_steam_account_without_a_clear/)

[في الملف: طلب السجلات ذات الصلة →](https://phishdestroy.io/steam_dossier/ar/index#dsar-playbook) الأرشيف رقم #4,766 · الإصدار 2026-09-17

RD-03 / ريديت سيرة المؤلف

### إعادة تعيين عملية الاسترداد وخسارة مُبلغ عنها بقيمة $10,000

r/legaladvice · تم حجب اسم المستخدم · 2025-05-09

يدعي المؤلف أن فريق الدعم أعاد تعيين بيانات اعتماد الحساب وأوقف إجراءات حماية الحساب بعد أن قدم شخص آخر طلب استعادة. ويشير إلى خسارة مبلغ يقدر بحوالي 0 دولار أمريكي من حساب غير نشط.

> Steam قام فريق الدعم بإعادة تعيين كلمة المرور الخاصة بي وأوقف جميع إجراءات الأمان الخاصة بحسابي.
> 
> [مقتطف من المنشور على موقع Reddit ↗](https://www.reddit.com/r/legaladvice/comments/1kipjde/got_10k_stollen_from_steam_inventory_due_to_steam/)

سجل موثق

ادعاء محفوظ بشأن تجاوز عملية الاسترداد لإجراءات حماية الحساب. تسجل المشاركة المحفوظة ما قاله كاتبها إن فريق الدعم أبلغه به.

المطالبة بالمساءلة

حدد هوية الشخص الذي أذن بإعادة الضبط، وأدلة الملكية التي تم قبولها، وسجل الوصول. تُعد استعادة الحساب جزءًا من ضوابط نظام الأمان Valve.

[قراءة السجل المحفوظ](https://phishdestroy.io/steam_dossier/ar/steam_evidence_archive?source=Reddit&record=4592)[افتح Reddit ↗](https://www.reddit.com/r/legaladvice/comments/1kipjde/got_10k_stollen_from_steam_inventory_due_to_steam/)

[في الملف: طلب السجلات ذات الصلة →](https://phishdestroy.io/steam_dossier/ar/index#dsar-playbook) الأرشيف رقم #4,592 · الإصدار 2026-09-17

ستة سجلات مختارة. تصف أوصاف GitHub عملية البناء المحفوظة. وتحفظ منشورات Reddit روايات المؤلفين.

[قم بتنزيل الألبومات الستة ↓](https://phishdestroy.io/steam_dossier/steam_tos_assets/selected-evidence-records.json)

تتضمن النسخة القابلة للبحث ما يلي: **16,319 سجلات منفصلة**: 393 سجلاً على Trustpilot، و5,635 سجلاً على Reddit، و2,395 سجلاً على GitHub، و276 سجلاً على مواقع الويب، و7,620 سجلاً على الويكي. قد تتعلق عدة سجلات بنفس الحدث. أما ملف التصدير الرئيسي المنفصل المكون من 40,448 أسطر، فيتميز بنطاق مختلف.

[البحث في الأرشيف الكامل ↗](https://phishdestroy.io/steam_dossier/ar/steam_evidence_archive) · [إنشاء ملف البيان ↗](https://phishdestroy.io/steam_dossier/steam_tos_assets/archive_manifest.json) · [نطاق مجموعة البيانات وأعدادها →](https://phishdestroy.io/steam_dossier/ar/index#evidence-base)

الملحق (هـ) — دراسة حالة 

## ArchiSteamFarm وبند الأتمتة

أداة مفتوحة المصدر لجمع نقاط البطاقات، تذكر في قسم «الأسئلة الشائعة» الخاص بها أنها تعمل على ملايين الحسابات، وهو ما يتعارض مع بند اتفاقية الاشتراك (§ 4.C) الذي يحظر استخدام الأتمتة. الآليات — ما يتعين على مزرعة البطاقات شراؤه من Valve قبل أن تتمكن من إنتاج أي شيء، ولماذا تشكل كل طريقة لسحب الأموال من البطاقة انتهاكًا للترخيص، وسجل الإنفاذ، ومن يتولى الإشراف على اقتصاد البطاقات — موضحة بالكامل في [الملحق الخامس ↗](https://phishdestroy.io/steam_dossier/ar/card_economy).

تنص المادة 4.C من اتفاقية الاشتراك Steam على ما يلي:

"لا يجوز لك استخدام أي شكل من أشكال البرامج النصية أو الروبوتات أو الماكرو أو أي أنظمة أخرى لا يتحكم فيها الإنسان (يُشار إليها فيما يلي بـ «الأتمتة») للتفاعل مع المحتوى والخدمات على Steam بأي شكل من الأشكال." — [Steam اتفاقية الاشتراك، المادة 4.ج (الحالية) ↗](https://store.steampowered.com/subscriber_agreement/) [محفوظ 2026-09-18 ↗](https://web.archive.org/web/20260918014700/https://store.steampowered.com/subscriber_agreement/)

**Valve يطبق هذا البند. وهو بارع جدًّا في ذلك.** الأسئلة الشائعة حول **ArchiSteamFarm (ASF)** — أداة مفتوحة المصدر تصفها وثائقها بأنها تعمل على **أكثر من بضعة ملايين من الحسابات Steam** منذ الإصدار الأول قبل أكثر من 11 عامًا — يعيد عرض ثلاث رسائل من فريق الدعم Steam التي فرضت حظرًا دائمًا على المستخدمين الذين أداروا شبكات روبوتات. Valve اكتشف هذه الشبكات، وسمّاها، وقام بإيقافها. ولذلك، فإن السؤال المهم هنا ليس ما إذا كان Valve قادرًا على كشف الأنشطة الآلية على نطاق واسع.

المسؤول عن المشروع [ArchiSteamFarm الأسئلة الشائعة](https://github.com/JustArchiNET/ArchiSteamFarm/wiki/FAQ) يتناول خطر فرض الحظر بشكل مباشر:

"هذا أمر مستبعد للغاية بالنظر إلى أن ASF تُستخدم في أكثر من بضعة ملايين من حسابات Steam، منذ إصدارها الأول الذي حدث قبل أكثر من 11 عامًا — لكنه يظل احتمالاً واردًا، بغض النظر عن احتمالية حدوثه الفعلية."

"Valve يعترف بوضوح بوجود 'Steam المتسكعين'، كما هو مذكور هنا، لذا إذا سألتني، فأنا متأكد تمامًا من أنه لو لم يكونوا راضين عن وجودهم، لكانوا قد اتخذوا إجراءً ما بالفعل بدلاً من الإشارة إلى أنهم قد يتسببون في مشاكل من ناحية VAC. **الكلمة المفتاحية هنا هي «ألعاب التسكع» (idlers)، مثل ASF، وليس «ألعاب التسكع» (game idlers).**"

— ArchiSteamFarm الأسئلة الشائعة، JustArchiNET. [المصدر: ويكي GitHub ↗](https://github.com/JustArchiNET/ArchiSteamFarm/wiki/FAQ) · تم التحقق من نصه حرفياً 2026-09-22

وترد نفس الأسئلة الشائعة على السؤال «هل تم حظر أي شخص بسبب ذلك؟» بقولها: **نعم**، ويورد ما كتبه Steam Support إلى ثلاثة منهم:

1,000+ روبوتات · تم حظر التداول 
*"يبدو أن هذا الحساب قد استُخدم لإدارة شبكة من حسابات الروبوتات. ويُعد استخدام الروبوتات انتهاكًا لاتفاقية المشترك Steam."*

أكثر من 170 روبوتًا · تم حظرهم نهائيًا، تخفيضات شتاء 2017 
*"تم استخدام هذا الحساب لجمع بطاقات قابلة للتداول بشكل غير قانوني على Steam، بالإضافة إلى أنشطة أخرى ذات صلة، وليس فقط الأنشطة التجارية. وقد تم حظر الحساب بشكل دائم، ولا يمكن لفريق الدعم Steam تقديم أي دعم إضافي بخصوص هذه المسألة."*

أكثر من 120 روبوتًا · تم حظرهم نهائيًا 
*"تم استخدام هذا الحساب وحسابات أخرى لإغراق البنية التحتية لشبكتنا، وهو ما يشكل انتهاكًا لقواعد السلوك عبر الإنترنت Steam."*

— Steam رسائل الدعم المنشورة في قسم الأسئلة الشائعة ArchiSteamFarm، تحت عنوان «هل تم حظر أي شخص بسبب ذلك؟». [المصدر ↗](https://github.com/JustArchiNET/ArchiSteamFarm/wiki/FAQ) · تم التحقق من صحة النص حرفياً 2026-09-22

**ضع السجلين جنبًا إلى جنب.** تم تحديد مستخدم خاص يمتلك 1,000 روبوتات تجميع النقاط، وأُبلغ بأن «استخدام الروبوتات يُعد انتهاكًا لاتفاقية المشترك Steam»، وتم حذفه نهائيًّا. أما المنصات التجارية الواردة في هذا الملف، فتدير حسابات آلية Steam كنشاط أساسي لها، على نطاق أوسع بكثير، وتقوم بالمصادقة من خلال OpenID الخاص بـ Valve عند كل عملية تسجيل دخول — ولم يتم نشر أي سجل إنفاذ لكل مشغل على حدة بالنسبة لأي منها. **هذه الفقرة صالحة. والسؤال هو: إلى من تستهدف؟**

لا تُوجه إلى ASF أي تهمة هنا، وتفسيرها لموقف Valve هو تفسيرها الخاص — حيث يذكر مؤلفه بوضوح أن «ASF غير مخولة من قبل Valve». تُستخدم الأداة هنا كأداة قياس: فهي تُظهر أن Valve تكشف شبكات الروبوتات، وتسميها كتابةً، وتحظرها بشكل دائم. ويمكن لـ Valve أن ينهي الجدل بجملة واحدة من خلال نشر قائمة بالأتمتة التجارية التي يصرح بها، والسجل الخاص بكل مشغل حول الإجراءات التي اتخذها تجاه البقية.

أين يؤثر «تجميع البطاقات» على إيرادات Valve

تُباع بطاقات التداول المُنتجة في سوق المجتمع Steam، الذي يفرض رسومًا إجمالية تبلغ حوالي 15% على كل عملية بيع تتم داخل السوق؛ يجب أن يكون الحساب قد أنفق $5.00 دولار أمريكي على Steam قبل أن يتمكن من الحصول على أي بطاقة على الإطلاق؛ كما تتطلب الحصول على البطاقات امتلاك اللعبة أو إجراء مشتريات داخل اللعبة. لم يتم تقدير أي رقم إجمالي للإيرادات هنا — حيث يتم ذكر حجم التشغيل فقط كما هو موضح في الأسئلة الشائعة الخاصة بـ ASF. كما تسجل الأسئلة الشائعة Valve من السمات المميزة *"Steam العاطلون"* (تجميع البطاقات) من *"المتسكعون في الألعاب"*؛ انظر [الأسئلة الشائعة حول ASF ↗](https://github.com/JustArchiNET/ArchiSteamFarm/wiki/FAQ). وترد التفاصيل الكاملة لهذه الآليات في [الملحق الخامس — المقياس](https://phishdestroy.io/steam_dossier/ar/card_economy#scale) و [فخ الاستخدام التجاري](https://phishdestroy.io/steam_dossier/ar/card_economy#licence).

الموضوع ArchiSteamFarm — تجميع البطاقات آليًّا

المقياس المحدد ملايين الحسابات (وفقًا للأسئلة الشائعة الخاصة بـ ASF — لم يتم التحقق من العدد الدقيق للحسابات النشطة)

محسوبة، وليست مقتبسة 10,880,610 إجمالي عدد إدخالات واجهة برمجة التطبيقات (API) في المجموعة Steam الخاصة بـ ASF (5,360,499 غير محدودة، كما يوضح Steam) — إن كلمة «الملايين» الواردة في الأسئلة الشائعة ليست قصة، بل هي إحصاء للأعداد. 88.97% لا تنطوي على Steam أي نوع من الحظر. [إحصاء الحظر الكامل ↗](https://phishdestroy.io/steam_dossier/ar/enforcement_audit)

المعلومات الواردة في الوثائق الخاصة بالأداة 

- يقوم برنامج ASF بتسجيل الدخول إلى الحسابات في وضع «headless» ويبقي الألعاب في وضع الخمول لانتظار ظهور البطاقات دون تشغيل عميل Steam (وفقًا لوثائق المشروع).

- تشير «الأسئلة الشائعة» إلى أن «Valve» على علم بوجود «Steam» من المتسكعين، وأنه «لو لم يكونوا راضين عنهم، لكانوا قد اتخذوا إجراءً ما بالفعل».

- لم يتم الإبلاغ عن أي إجراءات إنفاذ موجهة منذ أكثر من 11 عامًا (وفقًا للأسئلة الشائعة)؛ وتبلغ الرسوم الإجمالية لمبيعات البطاقات الناتجة داخل «Community Market» حوالي 15% وفقًا لـ Steam.

- تنص «الأسئلة الشائعة» على حد أقصى موصى به يبلغ عشرة حسابات لكل مشغل، وتُعزى هذه التوصية إلى Valve: «تستند هذه التوصية إلى إرشادات داخلية Valve، بالإضافة إلى اقتراحاتنا الخاصة.» ولم تنشر Valve أي إرشادات من هذا القبيل.

- الحد الأقصى التقني، وفقًا لنفس الأسئلة الشائعة: «يمكنك تشغيل ما يصل إلى 100-200 روبوت باستخدام عنوان IP واحد ومثيل واحد من ASF.»

- يتم تسجيل وقت اللعب المزيف بواسطة Valve — «يتم تحديثه عادةً كل 30 دقيقة تقريبًا» — وتُدرج الفقرة § 4.C «تزوير إحصائيات اللعب (مثل تضخيم عدد الانتصارات أو الهزائم، أو نقاط الخبرة، أو وقت اللعب)» ضمن الأفعال المحظورة.

المصادر 

[ويكي الأسئلة الشائعة الرسمي لـ JustArchi ASF ↗](https://github.com/JustArchiNET/ArchiSteamFarm/wiki/FAQ) [ArchiSteamFarm مستودع ↗](https://github.com/JustArchiNET/ArchiSteamFarm) [محفوظ 2026-09-24 ↗](https://web.archive.org/web/20260924181709/https://github.com/JustArchiNET/ArchiSteamFarm)

بند الأتمتة واضح وصريح؛ فقد ذكرت الأسئلة الشائعة الخاصة بـ ASF منذ سنوات أن الأداة تعمل على ملايين الحسابات؛ ولم يتم الإبلاغ عن أي إجراءات إنفاذ موجهة ضدها. والفجوة بين القاعدة وتطبيقها هي ما يظهر في السجلات؛ ولم يتم تحديد سببها هنا.

[المعرض الكامل اقتصاد البطاقات: العملية، والنطاق، والترخيص، والجهة التي تشرف عليه ↗ ما الذي يتعين على المزرعة شراؤه من Valve قبل أن تتمكن من إنتاج بطاقة واحدة؛ السطران من الفقرة § 4.C اللذان يصفان زراعة البطاقات من خلال آثارها؛ لماذا كل طريقة لصرف قيمة البطاقة تشكل خرقًا للترخيص الذي كتبه Valve بينما يفرض Valve رسومًا عند المدخل؛ سجل الإنفاذ بما في ذلك موجة VAC في يونيو 2025 وحظر السلسلة عن طريق رقم الهاتف المشترك؛ والموظف Valve ومشرفو المجتمع الذين تم العثور عليهم وهم يديرون خدمات تداول البطاقات وقوائم الحظر حول Steam.](https://phishdestroy.io/steam_dossier/ar/card_economy) [إحصاء الحظر لم نسأل Valve عن مساحة المزرعة. بل قمنا بحسابها. ↗ 10,880,610 إجمالي الحسابات (المحدودة وغير المحدودة) التي تمت قراءتها من مجموعة Steam الخاصة بـ ArchiSteamFarm، والتي ينضم إليها البرنامج تلقائيًّا بشكل افتراضي عند التشغيل الأول ما لم يقم المستخدم بإلغاء تحديد إعداد الانضمام إلى المجموعة (بما يشمل كلاً من مزارع الروبوتات التجارية واللاعبين العاديين الذين تركوا الإعداد الافتراضي كما هو). 88.97% لا يخضعون لأي نوع من حظر Steam؛ ومن بين الـ 11% الذين يخضعون للحظر، فإن 99.8% منها عبارة عن حظر تجميلي من المجتمع لا يمنع التداول أبدًا. بعد المقارنة مع SteamRep، يتضح أن 67.77% من المحتالين المدرجين في القائمة يظلون أحرارًا بمجرد رفع الحظر المفروض بموجب نظام مكافحة الغش. مع تحليلات حسب تاريخ التسجيل والموقع الجغرافي ومدة البقاء — الحجم الحقيقي، مقاسًا وليس مجرد سرد.](https://phishdestroy.io/steam_dossier/ar/enforcement_audit)

الملحق (و) — دفتر الأستاذ العملي 

## اختر قاعدة. افحص السجلات المطابقة.

السياق وحدود المصدر

اختر بندًا من بنود اتفاقية الاشتراك أو قواعد السلوك عبر الإنترنت؛ حيث يعرض السجل المنصات المسجلة المصنفة تحت هذا البند، مع ذكر نطاقها الرئيسي، ومضيف المصادقة المعلن، ونتيجة «تصفية الروابط» المحفوظة. ويصف السجل نطاق سجلات هذا التحقيق، ولا يمثل استنتاجًا بوجود انتهاك من جانب أي منصة.

اختر بندًا للاطلاع على المنصات الموسومة، ومضيفي المصادقة، ونتائج «تصفية الروابط» المحفوظة. افتح كل مصدر لاختبار المقارنة.

الملحق (ز) — من نموذج الرفض إلى السجل الأصلي 

## دليل إجراءات DSAR: طلب الأدلة

استخدم المادة 15 من اللائحة العامة لحماية البيانات (GDPR) لطلب البيانات الشخصية المتعلقة بإنشاء مفتاح واجهة برمجة التطبيقات (API)، واستعادة الحساب، والوصول إلى خدمات الدعم. ويمكن أن يساعد السجل المحفوظ في تحديد من قام بإجراء ما، وما الذي اعتمدت عليه المنصة في ذلك.

- 01 

### احتفظ بخطك الزمني.

احفظ إشعارات الحساب والتذاكر ومعرّفات المعاملات وتواريخها بتوقيت UTC. قم بتأمين الحساب وراجع خيارات الاسترداد المتاحة للعبة والمعاملة.

[Steam معلومات حول الحماية التجارية ↗](https://help.steampowered.com/en/faqs/view/365F-4BEE-2AE2-7BDD)

- 02 

### اطلب الحصول على بياناتك المحفوظة.

اطلب الحصول على الطوابع الزمنية، وعناوين IP للمصدر، والأحداث الرئيسية في دورة حياة المفتاح، وتأكيدات الأمان، وإجراءات الاسترداد المتعلقة بالحساب. وقم بتضمين أحداث الوصول إلى الدعم والمستلمين عندما تكون تلك البيانات ذات صلة بك.

- 03 

### احتفظ بسجل التسليم.

استخدم مسار الاتصال الخاص بالخصوصية الخاص بـ Valve. وتبلغ المدة المعتادة للرد شهرًا واحدًا؛ ويجب توضيح أسباب أي تمديد ضروري لمدة تصل إلى شهرين إضافيين خلال ذلك الشهر الأول.

[Valve مسار الاتصال الخاص بالخصوصية ↗](https://store.steampowered.com/privacy_agreement/#8) [محفوظ 2026-09-21 ↗](https://web.archive.org/web/20260921021648/https://store.steampowered.com/privacy_agreement/)

- 04 

### قارن بين الردود.

قم بمطابقة السجلات مع الجدول الزمني الخاص بك. اطلب توضيح أسباب أي إغفالات، ثم استخدم مسار الشكوى عبر السلطة الإشرافية إذا لزم الأمر. احتفظ بالرد تمامًا كما ورد إليك.

نطاق التطبيق / المادة 15 

يشمل حق الوصول البيانات الشخصية المحفوظة، بما في ذلك البيانات الموجودة في سجلات التسجيل. ولا يضمن هذا الحق الحصول على كل وثيقة داخلية أو سجلات أعيد تجميعها أو بيانات غير محجوبة تتعلق بأشخاص آخرين. اطلب نسخة واضحة وأسباب أي قيود مفروضة.

[إرشادات مجلس أوروبا لحماية البيانات (EDPB) بشأن الوصول، الفقرات 2 و4–6 ↗](https://www.edpb.europa.eu/system/files/2023-04/edpb_guidelines_202201_data_subject_rights_access_v2_en.pdf) · [المواد 12 و15 و77 من اللائحة العامة لحماية البيانات (GDPR) ↗](https://eur-lex.europa.eu/eli/reg/2016/679/oj/eng) [محفوظ 2026-09-20 ↗](https://web.archive.org/web/20260920024236/https://eur-lex.europa.eu/eli/reg/2016/679/oj/eng)

طلب الوصول إلى البيانات الخاصة بالشخص المعني اللائحة العامة لحماية البيانات (GDPR) / المادة 15

### أمان الحساب وسجلات الوصول

يرجى استبدال الحقول الموضوعة بين الأقواس قبل الإرسال.

```
To: Valve Privacy Team
Subject: Article 15 GDPR request — account security records

Account / SteamID: [YOUR ACCOUNT IDENTIFIER]
Relevant period (UTC): [START] to [END]
Related support tickets: [TICKET REFERENCES]

I request a copy of the personal data concerning me that you retain for this period, including:

1. API-key registration, confirmation, use and revocation events, with available timestamps, source IP addresses, registered domains, device or user-agent information and non-secret key identifiers.

2. Recorded account-recovery actions, password/email/phone changes, Steam Guard removals or resets, confirmation events and the account-related evidence relied on to authorize those actions.

3. Personal data in support-access and administrative-action logs concerning my account, including available dates, purposes, actions and the support entity involved, subject to applicable rights of others.

4. Account-related records used to determine any sanction, and available records of my complaints, reviews and responses.

Please also provide the applicable processing purposes, categories, recipients, retention periods or criteria, and available information about sources where data were not obtained from me.

Where processing relies on my consent, please provide the retained record of the consent relied upon and the wording presented at that time.

Please provide an intelligible electronic copy with time zones and field definitions. Please do not include active credentials or secret tokens. If any requested data are not held, please say so. For any withheld data, please identify the scope and legal basis of the restriction and provide the remainder.

Please acknowledge receipt and respond within the applicable Article 12 period, explaining any necessary extension. I also ask you to preserve relevant existing records while this request is handled.

Name: [YOUR NAME]
Date: [DATE]
```

[تنزيل ملف .txt](https://phishdestroy.io/steam_dossier/steam_tos_assets/dsar-request-template.txt)

ما الذي يمكن أن يوفره عنوان IP لمركز البيانات 

### أي تباين يُعد دليلاً يستدعي التحقيق.

يمكن أن يكون طلب مفتاح واجهة برمجة التطبيقات (API) الصادر من شبكة مركز بيانات، كما في مثال مزود خدمات الاستضافة الذي أُثير في هذا التحقيق، ذا صلة عند مقارنته بسجلات تسجيل الدخول والتأكيدات والخط الزمني للمستخدم. ولا يكفي عنوان IP وحده لتحديد هوية الفاعل أو لإبطال كل تدابير الحماية تلقائيًا. وقد تؤدي الأدلة التي تشير إلى أن جهة معادية هي التي قدمت الموافقة المسجلة إلى الطعن في الاعتماد على تلك الموافقة؛ أما الأسس القانونية الأخرى ومسائل المسؤولية فتتطلب تحليلًا منفصلاً.

[اطلع على الشكوى المحفوظة المتعلقة بالحظر واللائحة العامة لحماية البيانات (GDPR) →](https://phishdestroy.io/steam_dossier/ar/steam_enforcement_evidence#support-records)

الملحق ح — تحليل أرشيف «وايباك ماشين» · إحصاءات الدعم المنشورة 

## حجم الدعم. أوقات الاستجابة المنشورة.

السياق وحدود المصدر

Valve تنشر إحصاءات الدعم اليومية على `store.steampowered.com/stats/support`. تحتفظ أرشيفات «Wayback Machine» بلقطات تاريخية لهذه الصفحة من عام 2018 إلى عام 2026. ولا تتوافق نسبة الحجم إلى عدد الموظفين التي تشير إليها هذه الأرقام مع المراجعة البشرية لكل تذكرة في أوقات الاستجابة المنشورة.

قارن أرقام الدعم المؤرشفة لـ Valve عبر اللقطات المحفوظة. توضح المنهجية ما يمكن لهذه الأرقام قياسه وما لا يمكنها قياسه.

حجم الأعمال مقابل وقت الاستجابة المنشور (2018 → 2026)

### طابوران أمام مكتب الدعم الواحد، كما يتضح من 21 لقطة شاشة محفوظة.

Valve تنشر أرقام الدعم المباشر على `store.steampowered.com/stats/support`. كل نقطة من النقاط الواردة أدناه تمثل الحد الأدنى Valve نفسه، كما ورد في تلك الصفحة في اليوم الذي قام فيه «أرشيف الإنترنت» بتسجيلها — وليست تقديرًا من جانبنا. وكلا السلسلتين تمثلان نفس القياس بنفس الوحدة، لذا فإنهما تنتميان إلى محور واحد ويمكن مقارنة كل منهما بالأخرى مباشرةً.

**طلبات استرداد الأموال** — المبلغ Valve محتفظ به **أمان الحساب واستعادته** — الحساب الذي فقدته

**49–55 دقيقة** الحد الأدنى لمعدل الاسترداد في كل عملية تسجيل في الفترة من فبراير 2018 إلى أغسطس 2026. وعلى مدار ثماني سنوات ونصف، يتغير هذا الحد بأقل من ست دقائق، في حين يتغير حجم الاسترداد اليومي بمقدار تسعة أضعاف.

**2.4 ساعة → 8.7 ساعة** يبلغ الحد الأدنى لوقت استعادة الحساب حوالي 2.4 ساعة في كل قراءة حتى ديسمبر 2022، باستثناء قراءة واحدة. أما في القراءات الثلاث لعام 2026، فقد سجل Valve أوقاتًا تبلغ 10.9 ساعة و5.8 ساعة و8.7 ساعة.

**×2.8 → ×13** إلى أي مدى يكون استرداد الأموال أبطأ من عمليات رد المبالغ، وفقًا للأرقام التي نشرها Valve نفسه. ظل الوضع ثابتًا لمدة خمس سنوات، ثم اتسعت الفجوة — والطابور الذي أصبح أبطأ هو ذلك الذي يتحمل فيه المستخدم، وليس Valve، التكاليف من جيبه الخاص.

المصدر: 21 نسخة محفوظة على موقع Wayback Machine لـ [store.steampowered.com/stats/support](https://web.archive.org/web/20260810154631/https://store.steampowered.com/stats/support)، من 2018-02-03 إلى 2026-08-10؛ الاستخراج في `VALVE_EVIDENCE_PACK/databases/steam_support_stats_history.json`. اقرأ القيم الحدية مع الأرقام: يوضح الرسم البياني *أدنى* الحد الأعلى للنطاق Valve نسخ. ويُعد الحد الأعلى المنشور أسوأ في كلا الخطين — حيث تراوحت مدة استرداد الأموال بين 1.5 ساعة و1.5 يوم، وتراوحت مدة استعادة الخدمة بين 7.0 ساعات و3.6 أيام. تم أرشفة لقطتين في نسخة مترجمة من نفس الصفحة Valve — 2018-11-03 باللغة التشيكية، و2020-03-25 باللغة الفرنسية — وتم تمييزهما بـ (cs) و(fr) في الجدول؛ وتظهر أرقامهما هنا مع ترجمة كلمات الوحدات والرقم كما نُشرت، بينما تُحفظ سلاسل النص الأصلية حرفياً في ملف الاستخراج. نشرت كل لقطة وقت استجابة لكلتا قائمتي الانتظار، ولم يتم استيفاء أي نقطة على أي من الخطين. تم تمييز الرقم الوحيد لاستعادة البيانات لمدة 15 دقيقة البالغ 2020-10-21 على الرسم البياني وتركه كما هو: فهو يظهر في لقطة واحدة فقط ولا توجد أي لقطة أخرى تقترب منه بأي درجة من الدرجات. لا توجد أي قراءة بين 2022-12-08 و2026-02-01؛ وقد تم تظليل تلك الفجوة التي تبلغ 38 شهرًا في السجل، ولم يتم رسم أي خط عبرها. تصف هذه الأرقام أوقات الاستجابة المنشورة. وهي لا تُظهر ما يحدث داخل التذكرة، ولم تنشر Valve أي أرقام تتعلق بعدد الموظفين يمكن مقارنة هذه الأرقام بها.

فتح كل لقطة في شكل جدول

كل لقطة محفوظة، كما نُشرت

| التقاط | المبالغ المستردة / اليوم | الرد بشأن استرداد المبلغ | معدل الاسترداد في اليوم | استجابة الإنقاذ |
| --- | --- | --- | --- | --- |
| 2018-02-03 | 98,788 | 50.12 دقيقة إلى 1.52 ساعة | 25,662 | 2.51 ساعة إلى 1.80 يوم |
| 2018-05-07 | 60,494 | 53.83 دقيقة إلى 1.47 يوم | 24,226 | من 2.45 ساعة إلى 2.22 يومًا |
| 2018-08-02 | 69,084 | 50.27 دقيقة إلى 1.59 ساعة | 28,953 | من 2.44 ساعة إلى 22.17 ساعة |
| 2018-11-03 (cs) | 63,410 | 49.28 دقيقة إلى 1.54 ساعة | 33,910 | 2.42 ساعة إلى 1.31 يومًا |
| 2019-02-01 | 76,305 | 50.13 دقيقة إلى 1.52 ساعة | 35,164 | من 2.44 ساعة إلى 2.04 يوم |
| 2019-05-18 | 78,951 | 51.03 دقيقة إلى 3.12 ساعة | 27,514 | من 2.46 ساعة إلى 20.39 ساعة |
| 2019-09-07 | 78,941 | 50.65 دقيقة إلى 1.66 ساعة | 28,812 | من 2.42 ساعة إلى 13.59 ساعة |
| 2019-12-13 | 69,589 | 50.77 دقيقة إلى 1.55 ساعة | 25,322 | من 2.45 ساعة إلى 1.13 يوم |
| 2020-03-25 (fr) | 139,278 | 49.45 دقيقة إلى 1.53 ساعة | 32,302 | من 2.48 ساعة إلى 3.62 يومًا |
| 2020-06-26 | 278,504 | 48.98 دقيقة إلى 2.29 ساعة | 20,343 | من 2.39 ساعة إلى 6.99 ساعة |
| 2020-10-21 | 107,633 | من 50.80 دقيقة إلى 1.54 ساعة | 20,688 | 15.33 دقيقة إلى 8.62 ساعة |
| 2021-03-20 | 158,956 | 50.80 دقيقة إلى 1.64 ساعة | 25,760 | من 2.34 ساعة إلى 11.62 ساعة |
| 2021-06-26 | 547,907 | 51.93 دقيقة إلى 6.73 ساعات | 29,728 | من 2.40 ساعة إلى 15.63 ساعة |
| 2021-10-10 | 170,103 | 51.88 دقيقة إلى 3.25 ساعات | 23,989 | من 2.39 ساعة إلى 13.05 ساعة |
| 2022-01-31 | 354,386 | 53.65 دقيقة إلى 8.09 ساعات | 24,391 | من 2.42 ساعة إلى 15.29 ساعة |
| 2022-05-09 | 172,555 | 51.83 دقيقة إلى 1.65 ساعة | 23,289 | من 2.41 ساعة إلى 16.90 ساعة |
| 2022-09-05 | 153,453 | 53.67 دقيقة إلى 4.15 ساعات | 23,594 | من 2.45 ساعة إلى 1.22 يومًا |
| 2022-12-08 | 181,075 | 54.83 دقيقة إلى 6.67 ساعات | 27,111 | من 2.46 ساعة إلى 18.89 ساعة |
| 2026-02-01 | 317,762 | من 50.30 دقيقة إلى 1.52 ساعة | 47,197 | من الساعة 10:91 إلى الساعة 21:30 |
| 2026-05-09 | 246,776 | 50.12 دقيقة إلى 1.52 ساعة | 35,264 | من 5.81 ساعة إلى 15.60 ساعة |
| 2026-08-10 | 373,244 | 52.05 دقيقة إلى 2.07 ساعة | 45,319 | من 8.73 ساعة إلى 16.52 ساعة |

الملاحظة الرئيسية:

عبر **21 نسخة محفوظة على موقع Wayback** في الفترة من 2018-02-03 إلى 2026-08-10، تراوحت طلبات الاسترداد اليومية بين **60,494** (مايو 2018) إلى **547,907** (يونيو 2021) — أ **9.1× الفارق**. يبلغ الرقم لعام 2026 373,244 (+278% مقارنةً ببيانات فبراير 2018).

خلال تلك السنوات التسع نفسها، لم يخرج الحد الأدنى المعلن لوقت الاستجابة لطلبات الاسترداد عن **49–55 دقيقة** النطاق: حركة إجمالية استغرقت أقل من ست دقائق، في حين تضاعف حجم العمل الكامن وراءها تسع مرات.

إذا قرأ الشخص كل تذكرة لمدة 5 ثوانٍ فقط، فإن معالجة 373,244 تذكرة يوميًا (حسب الوضع الحالي) ستستغرق **22 موظفًا يعملون على مدار الساعة طوال أيام الأسبوع** فقط لفتحها وإغلاقها؛ وفي ذروتها (547,907، يونيو 2021) يرتفع هذا الرقم إلى 32.

إذا كان وقت الاستجابة المنشور يعكس وقت معالجة كل تذكرة (حوالي 52 دقيقة لكل تذكرة)، فإن العدد الضمني للموظفين العاملين في الوقت نفسه سيكون في حدود **13,500 وكلاء** عند الحجم الحالي و~20,000 عند الذروة. لم يتم العثور على أي رقم موثق بشأن عدد الموظفين الداعمين لـ Valve؛ ولم يتم افتراض أي رقم هنا.

ما يلي: لا تتوافق نسبة الحجم إلى عدد الموظفين مع المراجعة البشرية لكل تذكرة في أوقات الاستجابة المعلنة. وتتوافق الأرقام مع عملية مراجعة أولية مؤتمتة إلى حد كبير؛ ولم يتم الإعلان عن النسبة التي تخضع للمراجعة البشرية.

لماذا يعد هذا الأمر مهمًا للامتثال للائحة العامة لحماية البيانات (GDPR) 

تحظر المادة 22 من اللائحة العامة لحماية البيانات (GDPR) اتخاذ القرارات الفردية الآلية حصريًّا التي تنطوي على آثار قانونية جوهرية، دون توفير الحق في المراجعة البشرية عند الطلب. وإذا كانت قرارات الدعم (إغلاق التذاكر، وإجراءات الحساب، ورفض طلبات الحصول على البيانات) تُتخذ بالكامل بواسطة برامج آلية، فإن كل قرار من هذا القبيل «يؤثر بشكل كبير» على المستخدم قد يشكل انتهاكًا للمادة 22.

تذكرة **HT-2YBP-F7JP-D4VB** (القسم 18) أُغلق بعد ثلاثة أيام بإحالة نموذجية دون الخوض في الأساس القانوني المذكور. ولا يمكن تحديد ما إذا كان شخص ما قد راجعه أم لا من خلال التذكرة؛ وهذا سؤال يمكن للسلطة الإشرافية أن توجهه إلى Valve بموجب المادة 22 والمادة 15(1)(ح).

المصدر: لقطات من Wayback Machine لموقع store.steampowered.com/stats/support (2018-02-03، 2021-06-26، 2026-08-10) — البيانات المستخرجة إلى VALVE_EVIDENCE_PACK/databases/steam_support_stats_history.json (21 لقطة، 2018–2026). ملاحظة: وقت الاستجابة «~52 دقيقة» هو الحد الأدنى لفئة استرداد الأموال؛ أما وقت الاستجابة المتعلق بأمن الحساب فكان يتراوح بين 2.4 و16.5 ساعة عبر نفس اللقطات. 2021-06-26 هو الذروة على الإطلاق (547,907 طلبات استرداد الأموال)، وليس نقطة وسط ثابتة — فقد ارتفع الحجم ~6 أضعاف في الفترة 2020–2021 ثم انخفض جزئيًا قبل أن يتعافى ليصل إلى 373 ألفًا في عام 2026.

الملحق الأول — نطاق مجموعة البيانات · الأعداد التي يمكن إعادة إنتاجها 

## احسب عدد السجلات. تحقق من النطاق.

السياق وحدود المصدر

احسب عدد السجلات، ثم تحقق من صحة الادعاءات: فكل رقم من الأرقام الواردة أدناه يمكن استنتاجه من جديد من الملفات المنشورة.

افحص مجموعات البيانات الأساسية، وأعد حساب الأعداد، وافصل بين الصفوف المصدر والحوادث الفريدة.

يحتوي ملف CSV الرئيسي على **40,448 صفوف**. ومن بين هذه، **36,516** تأتي من موجز «Discord-AntiScam» الخاص بحالات التصيد الاحتيالي. أما الباقي **3,932** تشمل الصفوف موقع GitHub، والمراجعات، ونتائج البحث، ومحتوى المنتديات، ومصادر أخرى، مما يوفر فهرسًا شاملاً للمواضيع التي أبلغ عنها أعضاء المجتمع والتقارير الأمنية.

داخل ملف CSV هذا، تم تصنيف 1,690 صفوف تحت تصنيف المجموعة «ثغرات أمنية لم يتم إصلاحها»، والتي تمثل المشكلات التاريخية التي واجهها المستخدمون وحالات الكشف عن الثغرات الأمنية. ويتطلب تتبع هذه التقارير مراجعة الجدول الزمني الخاص بكل إصدار من إصدارات البرنامج، بالإضافة إلى سجل التصحيحات العامة.

يُعد الأرشيف القابل للبحث الذي يضم 16,319 سجلًا نسخة منفصلة ومُنظمة مع قائمة بيانات خاصة بها، وقد صُمم من أجل الاستكشاف المحلي الدقيق لمطالبات المستخدمين وتقارير الحوادث المحددة.

> لإنشاء سجل تدقيق موثوق، يجب التحقق من صحة كل سجل يبلغ عنه المستخدم بمقارنته بالجداول الزمنية الموثقة لعمليات البناء وسجلات التصحيحات السابقة.

سجلات المجموعة المنفصلة للجزء الثاني **231,829 معرّفات الإدراج الفريدة**، بما في ذلك 33,509 في فئة التسجيل الآلي و198,320 التي تم وضع علامة عليها على أنها تحويلات غير مُثبتة. يتطابق معدل SHA-256 لملف الإدخال مع القياس المحفوظ. تصف هذه الأرقام محاولات الإدراج والتحويلات الملحوظة بدلاً من قيم المعاملات النهائية أو إجماليات السرقات التي تم التحقق منها، مما يسلط الضوء على الحاجة إلى سجلات المنصات الأساسية لقياس الأثر الاقتصادي الدقيق. [سرد القياسات والقيم التجزئية ↗](https://phishdestroy.io/steam_dossier/steam_tos_assets/part2-measurements.json)

[ملف CSV الرئيسي ↗](https://phishdestroy.io/steam_dossier/VALVE_EVIDENCE_PACK/databases/TOTAL_VALVE_SCANDALS_MASTER_DB.csv) · [قائمة محتويات الأرشيف القابلة للبحث ↗](https://phishdestroy.io/steam_dossier/steam_tos_assets/archive_manifest.json) · [فحص السجلات المصدرية ↗](https://phishdestroy.io/steam_dossier/ar/steam_evidence_archive)

الملحق (ي) — نبذة عن هذا التحقيق 

## Valve لا تنشر أي سجلات تتعلق بإنفاذ القانون. *لقد صنعنا واحدًا.*

مستقل. غير تجاري. مبني على البيانات العامة حصريًّا. تم تقديمه إلى الجهات التنظيمية.

**88.97%** أسطول الأتمتة لم يتأثر — لا يوجد حظر من أي نوع

**67.77%** من بين 51,732 من المحتالين الذين صدرت بحقهم أحكام، أفلتوا من العقاب

**$26.8M+** الحد الأدنى للإنفاق في المتاجر من قبل الأسطول غير المحدود

**3.6%** نطاقات المقامرة التي تم حجبها بواسطة «مرشح الروابط» الخاص بـ Valve

**8 سنوات** من الحوادث الأمنية الموثقة

**ما هو هذا.** ملف تحليلي حول منصة Steam التابعة لشركة Valve — بما في ذلك سجلها في مجال إنفاذ القوانين، واقتصادها القائم على «زراعة البطاقات»، وإطارها القانوني، والبنية التحتية للمصادقة التي يستخدمها مشغلو المقامرة عبر مرحل OpenID الخاص بـ Steam. يمكن التحقق من صحة كل رقم من مصدرين: واجهة برمجة التطبيقات (API) العامة الخاصة بـ Valve ومجموعات البيانات المنشورة إلى جانب هذا التحقيق.

**لمن يُعد هذا البرنامج.** الهيئات التنظيمية التي تتمتع بسلطة قضائية على Valve — وهي السلطة الإشرافية المعنية باللائحة العامة لحماية البيانات (GDPR) في هولندا، ومكتب مكافحة غسل الأموال (FinCEN)، ولجنة الأوراق المالية والبورصات (SEC)، ومنسق الخدمات الرقمية بموجب قانون الخدمات الرقمية (DSA)، وهيئة حماية المستهلك والمنافسة (UOKiK)، وأي هيئة إنفاذ قانونية تحقق في التدفقات المالية المرتبطة بـ Steam. وكذلك للصحفيين والباحثين وكل مستخدم تعرض لحظر دائم لحسابه، أو رُفض طلب استرداد أمواله، أو سُرق مخزونه، وقيل له إنه لا يوجد حق في الاستئناف.

**المطلب الوحيد.** Valve تحتفظ بهذه البيانات بدقة تامة — مع إرفاق أسباب الحظر، ومساحة الهوية الكاملة، وفي الوقت الفعلي. ويمكنها تنفيذ كل استعلام في هذا الملف في غضون ثوانٍ، وقد اختارت عدم نشر أي جزء منه. والسؤال المطروح على أي سلطة مختصة بسيط: *لماذا لا؟*

**ما لا يدعيه المؤلفون.** لم يتم إتمام أي عملية تسجيل دخول إلى Steam على أي منصة تابعة لجهة خارجية خلال هذا العمل. إن عنوان URL الخاص بـ OpenID المقدم هو الذي يحدد معلمات الطلب، وليس عملية تسجيل الدخول المكتملة. ولا يُعد وجود نطاق منفصل قابل للتسجيل دليلاً بحد ذاته على التهرب. تعد تواريخ التسجيل حدودًا دنيا للوقت الذي يمكن أن يكون فيه المضيف قد ظهر لأول مرة في طلب OpenID؛ وهي لا تثبت الاستخدام المستمر. لا يدعي المؤلفون معرفة أو نية Valve: فكل بيان بشأن Valve مرتبط بوثيقة عامة مؤرخة أو بملاحظة مؤرخة. وحيثما تعذر إثبات ادعاء ما بوثيقة مصدر، تم حذفه.

من نحن 

PhishDestroy — محققون مستقلون. لا توجد أي صلة بشركة Valve أو بأي منصة مذكورة هنا. تم استخدام حساب Steam واحد فقط لتوثيق طلب «اللائحة العامة لحماية البيانات» (GDPR) الوارد في القسم 18.

إخلاء المسؤولية القانونية 

تحقيق غير تجاري ولامركزي يهدف إلى خدمة المصلحة العامة. تُقدَّم جميع البيانات «كما هي» دون أي ضمانات. ولا يُعد هذا المنشور قرارًا قضائيًّا.

المجال العام

الترخيص 

تم التنازل عن جميع الحقوق لصالح البشرية. يُسمح بالنسخ والتكييف والنشر — دون الحاجة إلى ذكر المصدر. الوصول من منطقة خاضعة لرقابة مكتب مراقبة الأصول الأجنبية (OFAC): محظور. [الترخيص الكامل وإخلاء المسؤولية →](https://phishdestroy.io/steam_dossier/ar/license_disclaimer)