Licencia y aviso legal — Dedicación al dominio público
Todos los derechos se rindió ante la humanidad.
LO QUE DEMUESTRA ESTA SECCIÓN
El presente documento establece la cesión incondicional al dominio público (CC0 1.0 Universal) y las condiciones de licencia de software del MIT que rigen el PhishDestroy Steam Dossier. Todos los hallazgos forenses, conjuntos de datos probatorios, gráficos de red y metodologías analíticas se ceden de forma irrevocable al dominio público para su uso sin restricciones con fines normativos, jurídicos y académicos en todo el mundo.
PhishDestroy renuncia a cualquier derecho sobre este material: reproducirlo, venderlo o poner tu nombre en él. A continuación se incluyen dos documentos que adoptan un mismo tono: una carta abierta dirigida a Valve, redactada tal y como solemos escribir, y una renuncia formal redactada para la autoridad que se encargará de llevar adelante el proyecto.
Investigación · Valve Corporation / SteamEdición pública: sin fecha de caducidad, sin posibilidad de devolución
EXENTADO
Sección ILicencia — la parte propiamente jurídica, pero desde un punto de vista humano
PhishDestroy Renuncia a cualquier derecho sobre este material. Cero. Se acabó. Ya está. Puedes reproducirlo, venderlo, poner tu nombre en él, tatuárselo a tu jefe, lo que sea. No hace falta que me des crédito, ni que me envíes un mensaje directo, ni que me mandes una tarjeta de agradecimiento.
Una regla de verdad (sí, solo una)
NO te corresponde a TI decidir si eres un terrorista.
Si eres un usuario de Rusia o de cualquier país sujeto a sanciones de la OFAC, este material NO es para ti. No hay escapatorias. Disfruta de tus sanciones.
Y si has cambiado la región de tu Steam a Turquía mientras estabas en Moscú… enhorabuena por tu creatividad geográfica. Sigues siendo ruso. Las sanciones siguen vigentes. Esa es, literalmente, la cuestión.
Sección IIQué es esto y por qué existe
Publicaremos más información sobre Valve de la que conoce un empleado medio de Valve sobre sí mismo. No es por presumir. Simplemente es lo que ha acabado pasando.
¿Cómo hemos llegado hasta aquí? Es una historia curiosa: Steam, básicamente, nos creó. Nos crió a base de sus estafadores, sus tickets de asistencia y su ecosistema de elusión de bloqueos… y ahora aquí estamos. Sin rencor. De hecho, resulta poético.
Para aquellos que aún no hayan leído la historia de cómo empezó todo, ya hemos conocido a los carísimos abogados europeos de «Valve» (Taylor Wessing, ya que lo preguntas):
Un encuentro encantador. Sobre todo teniendo en cuenta su tarifa por hora.
¿Lo sabía «Valve»? Sí. ¿Lo sabía «Taylor Wessing»? Es casi seguro que sí. Pero cuando se es tan rico, las leyes son más una cuestión de actitud que una obligación, ¿no?
En realidad, eso es más o menos toda la respuesta.
Steam Llevamos años dedicándonos a los estafadores. No siempre de forma intencionada: a veces, los estafadores simplemente acababan teniendo la huella de «Valve» por asociación. No pretendemos ser dramáticos al respecto. Intentamos ser precisos. Para ser sinceros, eso nos resulta más difícil que ser dramáticos: simplemente, así es como escribimos.
¿Se trata de un conflicto? — No.
¿Se puede resolver? — Sí. Pero no vamos a firmar ningún acuerdo de confidencialidad ni vamos a participar en programas de recompensa por errores a cambio de cuatro duros.
Esperamos más de 4 años a que solucionaran el problema de la suplantación de identidad antes de poder escribir sobre ello públicamente. Porque si hubiéramos escrito sobre ello antes, Steam habría puesto su carita de víctima y habría gritado «¡amenaza activa!», y nos habría ofrecido unas migajas a cambio de que firmáramos un documento que nos habría convertido en su propiedad legal para siempre. No, gracias.
(Además: la propia «Valve» incumple el acuerdo de confidencialidad. Lo hacen sus propios empleados. Los que están en los puestos más altos. Pero claro, hablemos de los nuestros.)
Sección IIICarta abierta a «Valve» — En serio, lee esto
Valve: si quieres que se elimine este dominio, envíanos un correo electrónico. No es necesario recurrir a un asesor jurídico externo para esa conversación.
Para los que no lo sepan: el Dr. Patrick tiene un máster en Derecho Mercantil Internacional por la Universidad de Aberdeen y —atención— terminó, literalmente, su tesis doctoral en Derecho de las Tecnologías de la Información. Recientemente se ha convertido en socio de Taylor Wessing, un bufete cuyo modelo de negocio consiste en cobrar a empresas como Valve cantidades exorbitantes de dinero para alargar los procesos hasta que la otra parte se quede sin dinero o se agote su paciencia.
No le echamos la culpa. Clientes ricos y culpables que pagan por horas: una jugada profesional muy acertada. Simplemente creemos que tú no deberías financiarlo.
El trato (oferta abierta, sin necesidad de abogados)
El dominio es lo único a lo que Valve puede aspirar de forma realista. La investigación, las remisiones y los recursos asociados ya están en marcha; seguirán adelante con o sin el dominio.
Si quieres el dominio:
Deja que tus expertos en derecho de las tecnologías de la información fijen un precio justo.
50% se destina a la Fundación «SEAL».
Eliminamos el dominio. Sin dramas. Sin tribunales. Listo.
Esto no es una amenaza. Es una oferta clara por lo único que realmente está a tu alcance. No lo conseguirás de ninguna otra forma; así es como están las cosas.
¿Vamos a «perjudicar» directamente a Valve? Probablemente no de una forma que les afecte económicamente. No nos hacemos ilusiones. Pero lo haremos con honestidad, abiertamente, sin buscar influencia, porque no la necesitamos. Necesitamos que el mundo vea lo que siempre ha estado a la vista de todos si uno se tomaba el tiempo suficiente para fijarse.
Disponemos de un5es años de archivos. Lo que los abogados de Valve presentaron durante la fase de presentación de pruebas —los datos a los que tienen acceso los agentes de apoyo, las huellas dactilares, el rastro documental que, literalmente, nos entregaron— es suficiente. No necesitamos filtrarlo sin procesar.
¿Quién se queda con qué?
Las autoridades reguladoras reciben los originales.
Los investigadores y periodistas reciben versiones censuradas (en las que se han eliminado, por razones obvias, las denuncias de las víctimas, los datos de acceso de los menores y los encantadores comentarios de apoyo de Valve).
Entre las cuentas afectadas había menores, a los que no se les notificó nada. Esta conclusión figura en el expediente del regulador, del que se han eliminado los informes de las víctimas y los datos de identificación, ya que es un asunto que debe tratarse ante una autoridad de protección de datos y no en un artículo.
Además, Valve: queremos dejar algo claro antes de que decidas cómo actuar al respecto: PhishDestroy es una comunidad, no una persona. Ya lo supiste cuando enviaste correspondencia legal a la comunidad sin molestarte en hablar con ella; simplemente la aprovechaste para obtener datos y bloqueaste las cuentas.
La comunidad no tiene ningún conflicto con Valve. No fuimos nosotros quienes buscamos esto. Los estafadores que vosotros habéis fomentado nos encontraron a nosotros. Los hemos bloqueado. Y aquí estamos.
Sección III-BLos recursos aliados — una nota dirigida específicamente a Steam
Queremos ser sinceros en cuanto a la estructura de amplificación, porque fingir que no existe sería deshonesto.
Según tenemos entendido, PhishDestroy cuenta con al menos dos recursos aliados que se harán cargo de este material y le darán continuidad.
Lo que eso significa en la práctica:
Cada uno aborda desde su propio punto de vista los temas que se solapan.
Son independientes: no siguen nuestras indicaciones, ni nosotros las suyas. El tema general es el mismo, pero la metodología es diferente.
NO van a actuar en la Parte 1.. Están al tanto.
Si Valve decide no retirar la página web:
Es de esperar que aparezcan tras la «Parte2» o la «Parte3.».
Tomarán lo que les resulte útil de nuestro trabajo, lo complementarán con el suyo propio y lo publicarán bajo su propia autoría.
Esto es precisamente para lo que está pensada la licencia de la sección 1: el material llega a donde tiene que llegar, se complementa, se amplía… y ni nosotros ni ellos nos debemos mutuamente ninguna atribución.
(P. D. para los abogados que se pregunten por las cadenas de responsabilidad: no hay ninguna. Estos recursos no reciben instrucciones, financiación ni datos nuestros. Leen lo que es de dominio público y sacan sus propias conclusiones. Igual que haríais vosotros.)
No decimos esto para intimidar. Lo decimos para que quienquiera que esté elaborando estrategias por parte de «Valve» disponga de información precisa sobre cómo es realmente el entorno informativo.
Un recurso que recopile nuestra información y la complemente sería un reportaje. Dos recursos que lo hagan de forma independiente y lleguen a conclusiones similares constituyen un patrón. Los patrones son lo que llaman la atención de las autoridades reguladoras.
Sección VRCE notificada — Pendiente de verificación
Seguimos un aviso de posible ejecución remota de código (RCE) en un juego no identificado distribuido por Steam, supuestamente activa desde agosto de 2026. El comportamiento descrito al conectarse a un servidor se compara con Unturned; no se ha establecido una causa técnica común.
No están verificados el conocimiento de Valve, el estado de un posible informe de recompensas por errores ni el plazo de corrección. No publicamos el nombre del juego ni los detalles del exploit. Es un aviso pendiente de verificación, no un hallazgo confirmado.
Fin de la carta abiertaComienza el plazo de inscripción
Estilo formal · para las autoridades
DeclaraciónEn cuanto al uso y los derechos
PhishDestroy Coalición para los Proyectos y la Ciberseguridad
Esta declaración acompaña a cada documento presentado y a cada prueba adjunta en este expediente. Va dirigida a cualquier autoridad, tribunal, organismo regulador, fiscal, investigador, periodista o persona afectada a quien llegue este material.
1. No hay condiciones de uso
1.1 Todo el material elaborado por la Coalición en el marco de este expediente —las exposiciones de los hechos, el análisis, las pruebas documentales que ha elaborado, las herramientas y las conclusiones— se publica SIN RESERVA ALGUNA DE DERECHOS.
1.2 Cualquier persona puede, sin pedir permiso y sin avisarnos:
reproducirlo, total o parcialmente;
adaptarlo, editarlo, reescribirlo, reestructurarlo o corregirlo;
tradúcelo;
extraerlo sin indicar que se trata de un extracto;
incorporarla en documentos oficiales, conclusiones, resoluciones, escritos procesales, informes o material de prensa;
presentarlo como si fuera obra propia del destinatario o como si fueran conclusiones propias del destinatario;
utilizarlo como materia prima y desechar el resto;
y transmitirlo a cualquier otra persona en las mismas condiciones.
1.3 NO SE EXIGE NI SE SOLICITA NINGÚN TIPO DE ATRIBUCIÓN. No es necesario nombrar, citar, mencionar, dar las gracias, consultar ni informar a la Coalición. Si el material de esta referencia resulta de ayuda a una autoridad y nunca se menciona a la Coalición, ESE RESULTA UN RESULTADO TOTALMENTE SATISFACTORIO, y la Coalición lo declara por adelantado para que no sea necesario plantear la cuestión.
1.4 Si, por el contrario, una autoridad considera más conveniente citar a la Coalición como fuente, es libre de hacerlo. La elección depende exclusivamente del destinatario y ninguna de las dos opciones conlleva consecuencia alguna.
1.5 El presente documento es una RENUNCIA, no una oferta de licencia. No requiere aceptación, no impone ninguna obligación y no puede ser incumplido. El software publicado por la Coalición se distribuye por separado bajo la licencia MIT; la investigación y los resultados se ceden al dominio público en la medida máxima permitida y, en aquellos casos en que una jurisdicción no permita la renuncia, la Coalición concede una licencia irrevocable, mundial y libre de derechos de autor con el mismo efecto.
2. Por qué esto es importante en la práctica, y no solo por una cuestión de cortesía
2.1 Una autoridad puede tener dudas fundadas a la hora de basarse en información facilitada por un tercero, por temor a que parezca que actúa a instancias de dicho tercero o a verse implicada de alguna manera con él.
2.2 AQUÍ NO HAY NADA CON LO QUE ENREDARSE. La Coalición no pide nada, no se le debe nada, no retiene nada y no tiene expectativa alguna. No podrá posteriormente hacer valer ningún derecho, atribuirse el mérito, quejarse de un uso indebido ni oponerse a cómo se caracterice el material, ya que no ha conservado ningún fundamento sobre el que basarse para hacerlo.
2.3 Por lo tanto, una autoridad que utilice este material no está actuando en nombre de la Coalición. Simplemente está utilizando información pública que, casualmente, ha sido recopilada por otra persona.
3. Ya está todo abierto
3.1 El trabajo de la Coalición es público por defecto:
Las investigaciones se publican abiertamente en https://phishdestroy.io y se pueden leer libremente;
La metodología se detalla en la propia remisión, en el anexo A, sección A.16D, incluyendo la ponderación y las limitaciones de cada tipo de fuente;
La Coalición no acepta donaciones y ha hecho pública esta postura desde el 2018.
3.2 El único material que NO se publica es aquel que no puede publicarse de forma legal o segura: los datos personales de las víctimas y de terceros, así como la información que podría exponer a una fuente a represalias. Dicho material se facilita a las autoridades de forma confidencial y se identifica en los anexos de pruebas.
3.3 La Coalición invita a que se examine su propia conducta en las mismas condiciones en que invita a examinar la de cualquier otra persona, y ha puesto a disposición de las autoridades competentes, de forma voluntaria, la información relativa a su gestión de datos, incluida una solicitud de instrucciones sobre su eliminación.
4. Integridad del conjunto de pruebas
4.1 Los anexos se adjuntan a la solicitud o, cuando así se indique, se facilitan previa solicitud a través de un canal seguro. No se publican en ninguna dirección pública y no debe deducirse ninguna dirección de este tipo: este tipo de material se facilita directamente a las autoridades.
4.2 Cada entrega va acompañada de un archivo SHA256SUMS que recoge un resumen SHA-256 de cada archivo suministrado, junto con una firma independiente de OpenPGP SHA256SUMS.asc.
4.3 La clave de firma se encuentra publicada en https://phishdestroy.io/.well-known/pgp-key.txt y en keys.openpgp.org. Su marca distintiva aparece en el membrete de cada documento de este conjunto.
4.4 Cualquier destinatario puede comprobar en cualquier momento que el archivo que tiene en su poder es el mismo que se le envió, sin modificaciones:
gpg --verify SHA256SUMS.asc SHA256SUMS
sha256sum -c SHA256SUMS
4.5 El objetivo no es una mera formalidad. Se hace para que, si en el futuro se cuestiona la exactitud o la integridad de alguna prueba documental, la cuestión pueda resolverse mediante un cálculo y no mediante una discusión.
5. A propósito de la inscripción: por qué la exención es funcional y no solo un gesto de generosidad
5.1 Es posible que las autoridades se topen con las investigaciones publicadas por la Coalición y las consideren directas, polémicas y, en ocasiones, satíricas. Esa impresión es acertada. La Coalición escribe así de forma deliberada y no se disculpa por ello.
5.2 ASIMISMO, RECONOCE QUE ESTE NO ES EL TONO ADECUADO PARA UN PROCEDIMIENTO REGULATORIO O JUDICIAL. Un asunto grave no debe tratarse en el tono de una campaña. Las conclusiones presentadas ante una autoridad deben exponerse de forma directa, admitiendo sus limitaciones, y no deben obligar al lector a hacer caso omiso del tono para poder llegar al fondo del asunto.
5.3 ESA ES PRECISAMENTE LA RAZÓN POR LA QUE LA COALICIÓN RENUNCIA A LA AUTORÍA. La renuncia que figura en la sección 1 es el mecanismo mediante el cual se puede separar el contenido del registro: la autoridad puede tomar lo que le resulte útil, reformularlo con sus propias palabras y descartar cada palabra del estilo de la Coalición, junto con el nombre de esta. Al hacerlo no se pierde nada, y la Coalición lo prefiere así.
5.4 LA COALICIÓN TAMBIÉN PIDE QUE NO SE CONFUNDA EL REGISTRO CON EL MÉTODO. El tono utilizado es combativo; la práctica subyacente no es descuidada. A lo largo de esta remisión, se separa la inferencia de la observación, se identifica el testimonio como tal, se evalúan las fuentes y se señalan sus puntos débiles, se presentan las cifras con sus limitaciones, y los puntos que la Coalición no puede demostrar se plantean como preguntas dirigidas a la autoridad, en lugar de como afirmaciones. Cuando las pruebas iban en contra de la propia posición de la Coalición, esta así lo ha señalado; véase el anexo A, párrafo 7, y sección B.0 de la remisión paralela.
5.5 LA COALICIÓN EXPLICA LA RELACIÓN ENTRE SU FORMA DE ACTUAR Y SUS FINANZAS, YA QUE AMBAS SON INSEPARABLES. No acepta dinero de nadie: ni donaciones, ni recompensas, ni clientes, ni patrocinadores. Esa negativa es lo que hace posible su franqueza: una organización con ingresos que proteger debe moderar lo que dice sobre los partidos de los que depende. Al no tener nada que proteger, la Coalición no tiene nada que moderar.
Esa es también la razón por la que la Coalición sigue existiendo. No hay ningún otro motor. El trabajo se lleva a cabo porque se lleva a cabo; se detiene cuando las personas que lo realizan dejan de hacerlo.
5.6 La autoridad no tiene por qué aceptar nada de esto. Se señala esto para que el tono de la labor pública de la Coalición no se interprete como un indicador del cuidado que se ha puesto en el material que ahora tiene ante sí.
6. Lo que ofrece la Coalición, según sus propias palabras
Información, investigación y observación.
No se afirma nada como una conclusión sobre la que la Coalición no tenga legitimación para pronunciarse. Cuando se deduce algo, el informe así lo indica. Cuando algo se basa en un testimonio, el informe señala de quién es y con qué limitaciones. Cuando la Coalición no puede responder a una pregunta, también lo indica e identifica quién puede hacerlo.
La Coalición no busca ninguna reparación, ningún pago, ningún reconocimiento ni ningún resultado para sí misma ni para ninguna persona en particular. Solo pide que las preguntas formuladas en la remisión sean planteadas a la corporacióValve por un organismo con facultades para exigir una respuesta.
Nota finalA quienquiera que se encargue de esto
Queremos dar las gracias a quienquiera que se encargue de hacer llegar este material a su destino. Probablemente no será un proceso rápido. «Valve» tiene mucho dinero y Taylor Wessing cobra por horas; esa combinación está diseñada específicamente para que personas como tú se rindan antes de llegar a la meta.
Sabemos lo que hacemos. Sabemos sobre quiénes escribimos. «Valve» nos ha forjado; ¿cómo no íbamos a entenderlos?
PhishDestroy No hay ningún conflicto con Valve. Hemos bloqueado la única red de estafadores de esa envergadura con la que nos hemos topado; no hemos ido a buscar pelea con Valve. Simplemente resultó que todos los caminos conducían hasta ellos. No es un conflicto. Solo es una cuestión de topología.
Valve No se puede resolver la situación de «PhishDestroy» porque no hay nada que resolver. No tenemos ninguna relación. Los datos sobre sus esquemas de enriquecimiento y sus beneficios desmesurados son, en gran medida, públicos; solo hay que dedicar el tiempo suficiente a buscarlos. Piensa en ello como una enciclopedia del éxito: «Cómo no cumplir las sanciones para que los hackers rusos no puedan piratear nuestros juegos gratuitos (los de pago, que de todos modos no piratearían)». Ya te haces una idea.
No necesitamos la autoría.
No necesitamos que se cite la fuente.
No necesitamos ganar.
Necesitamos a alguien con autoridad real para plantear a Valve las preguntas que ya figuran en esta remisión, y que tenga la facultad de exigir una respuesta.
Autorización firmadaQué se ha firmado y qué abarca
A continuación se muestran, por separado, los objetos JSON de la concesión de derechos y el texto de investigación. Cada firma independiente OpenPGP autentifica los bytes exactos del JSON que figura junto a ella. La declaración de derechos concede permisos; la instantánea del texto identifica y contiene el material que se publica.
1. Declaración de derechos — license-rights.json
Objeto firmado: el completo license-rights.json Archivo que contiene la concesión de derechos de uso público con fecha del 28 de septiembre de 2026.. En ella se concede permiso para copiar, publicar, editar, traducir, combinar y comercializar los materiales del dossier sin necesidad de atribución, notificación ni autorización. Esta firma autentifica la declaración de derechos; no autentifica el texto de cada página web o PDF.
La autorización original firmada se mantiene sin modificaciones. La concesión de derechos que en ella se establece no puede revocarse ni restringirse mediante cambios en el sitio web, la publicación de otro archivo o la retirada del sitio de la red. Los materiales de terceros conservan sus propios derechos.
Objeto firmado: el completo dossier-text.json archivo. Contiene el texto legible de las páginas exportadas en documents[].content.text, con el título de cada página, el idioma, la URL de origen, el hash del código HTML de origen, los encabezados y las referencias. El documents La lista recoge el inventario exacto que abarca esta instantánea; las variantes lingüísticas se enumeran por separado. Se trata de una publicación de texto, no solo de una lista de hash.
Cada entrada identifica su PDF de página ligera mediante el nombre de archivo y el SHA-256o en documents[].pdf. El archivo JSON también identifica la declaración de derechos original mediante la URL y el SHA-256,, de modo que el texto publicado, su PDF y la autorización de derechos correspondiente puedan relacionarse sin necesidad de conjeturas. Las bases de datos externas vinculadas, las imágenes originales y las páginas que no figuran en el inventario no están incluidas en esta instantánea del texto.
En la página de inicio del dossier, los botones «PDF» y «JSON» permiten exportar el conjunto de documentos de investigación. En una página interior, permiten exportar esa página en el idioma en el que se ha publicado. Además, cada archivo JSON de página cuenta con su propia firma independiente y su propio archivo SHA-256, cuyo nombre se indica explícitamente en su integrity objeto. Para verificar el PDF asociado, calcula su SHA-256 y compáralo con el pdf.sha256 valor en el JSON verificado. El PDF está vinculado a ese resumen; no incluye una firma digital en formato PDF.
3. Paquete de investigación imprimible — steam-dossier-{language}.content.json
Objeto firmado: el archivo JSON completo específico para cada idioma, que incluye el texto del capítulo incluido en documents[].content.text, los rangos de páginas de los capítulos, los idiomas de origen, el inventario de fuentes excluidas y el resumen exacto del PDF en pdf.sha256. Los cinco archivos de material complementario siguen estando vinculados en línea y no se agrupan. Se conserva el texto de la investigación original; los catálogos visuales se sustituyen por enlaces a las fuentes.
Comprueba que la huella digital que se muestra coincida con la de arriba y, a continuación, verifica la firma con el nombre exacto del archivo JSON. La edición de un archivo JSON firmado modifica el objeto firmado e invalida su firma original. Una firma válida identifica los bytes publicados; no constituye una verificación independiente de los resultados de la investigación.
PhishDestroy — investigación pública — todos los derechos cedidos a la humanidad