Licença e Aviso Legal — Dedicação ao Domínio Público
Todos os direitos entregou-se à humanidade.
O QUE ESTA SECÇÃO DEMONSTRA
O presente documento estabelece a dedicação incondicional ao domínio público (CC0 1.0 Universal) e os termos de licenciamento de software do MIT que regem o Dossier PhishDestroy Steam. Todas as conclusões forenses, conjuntos de dados probatórios, gráficos de rede e metodologias analíticas são colocados irrevogavelmente no domínio público para utilização regulamentar, jurídica e académica sem restrições em todo o mundo.
PhishDestroy renuncia a todos os direitos sobre este material — reproduzi-lo, vendê-lo, colocar o seu nome nele. O que se segue são dois documentos apresentados sob a forma de um único texto: uma carta aberta a Valve, escrita da forma como realmente escrevemos, e uma renúncia formal redigida para a entidade que dará continuidade ao projeto.
Investigação · Valve Corporation / SteamEdição pública — sem prazo de validade, sem direito a devolução
ISENÇÃO
Secção ILicença — a parte propriamente jurídica, mas humana
PhishDestroy renuncia a todos os direitos sobre este material. Zero. Acabou. Ponto final. Podes reproduzi-lo, vendê-lo, colocar o teu nome nele, tatuá-lo no teu chefe, o que quiseres. Não é necessário atribuir créditos, não é preciso enviar mensagens privadas, nem se espera nenhum cartão de agradecimento.
Uma regra concreta (sim, apenas uma)
NÃO és tu que decides se és um terrorista.
Se for um utilizador da Rússia ou de qualquer país sujeito a sanções da OFAC — este material NÃO se destina a si. Não há brechas. Aproveite as suas sanções.
E se alteraste a tua região do «Steam» para a Turquia enquanto estavas em Moscovo — parabéns pela tua geografia criativa. Continuas a ser russo. As sanções continuam a aplicar-se. É literalmente essa a questão.
Secção IIO que é isto e por que razão existe
Vamos publicar mais informações sobre Valve do que um funcionário comum da Valve sabe sobre si próprio. Isto não é para nos gabarmos. É simplesmente o que acabou por acontecer.
Como é que chegámos aqui? É uma história engraçada: o Steam, basicamente, criou-nos. Criou-nos à base dos seus burlões, dos seus pedidos de apoio, do seu ecossistema de contorno de banimentos — e agora aqui estamos nós. Sem ressentimentos. Na verdade, é até poético.
Para quem ainda não leu a história de origem — já conhecemos os advogados europeus extremamente caros dValve (a Taylor Wessing, já que perguntaram):
Um encontro encantador. Especialmente tendo em conta a tarifa por hora que cobram.
A «Valve» sabia? Sim. A «Taylor Wessing» sabia? Quase de certeza que sim. Mas quando se é assim tão rico, as leis são mais uma questão de atitude do que uma obrigação, certo?
Na verdade, isso é basicamente toda a resposta.
Steam Passámos anos a identificar burlões. Nem sempre de forma intencional — por vezes, os burlões acabavam por ficar associados ao «Valve» apenas por associação. Não estamos a tentar ser dramáticos. Estamos a tentar ser precisos. Para ser sincero, isso é mais difícil para nós do que ser dramáticos — é simplesmente assim que escrevemos.
Isto é um conflito? — Não.
Será que isto se pode resolver? — Sim. Mas não vamos assinar nenhum acordo de confidencialidade e não vamos participar em programas de recompensa por erros por trocos.
Esperámos mais de 4 anos até que resolvessem o problema da falsificação de identidade, para só depois podermos escrever sobre o assunto publicamente. Porque, se tivéssemos escrito sobre isso mais cedo, a Steam teria assumido a sua pose de vítima e gritado «ameaça ativa!», oferecendo-nos uma ninharia para assinarmos um documento que nos teria tornado sua propriedade legal para sempre. Não, obrigado.
(Além disso: a própria «Valve» viola o acordo de confidencialidade. São os seus próprios funcionários que o fazem. Os que estão no topo da hierarquia. Mas claro, vamos falar dos nossos.)
Secção IIICarta aberta a Valve — a sério, lê isto
Valve: se quiser que este domínio seja retirado do ar, envie-nos um e-mail. Não é necessário recorrer a um advogado externo para essa conversa.
Para quem não sabe: o Dr. Patrick tem um mestrado em Direito Comercial Internacional pela Universidade de Aberdeen e — preparem-se — concluiu, literalmente, a sua tese de doutoramento em Direito das Tecnologias da Informação. Recentemente, tornou-se sócio da Taylor Wessing, uma sociedade cujo modelo de negócio consiste inteiramente em cobrar a empresas como a Valve quantias exorbitantes para protelar os processos até que a outra parte fique sem dinheiro ou sem paciência.
Não o culpamos. Clientes ricos e culpados que pagam à hora — é uma boa jogada para a carreira. Só achamos que não devias ser tu a financiar isso.
O negócio (oferta aberta, sem necessidade de advogados)
O domínio é a única coisa que Valve pode, na prática, alcançar. A investigação, os encaminhamentos e os recursos associados já estão em andamento — e continuam, com ou sem o domínio.
Se quiser o domínio:
Deixe que os seus especialistas em direito das tecnologias da informação definam um preço justo.
50% reverte a favor da Fundação «SEAL».
Acabamos com o domínio. Sem drama. Sem tribunal. Está feito.
Isto não é uma ameaça. É uma proposta direta para a única coisa que está realmente ao teu alcance. Não a conseguirás de outra forma — é assim que as coisas funcionam.
Iremos «prejudicar» diretamente a «Valve»? Provavelmente não de uma forma que eles sintam a nível financeiro. Não estamos a iludir-nos. Mas fá-lo-emos com honestidade, abertamente, sem procurar influência — porque não precisamos de influência. Precisamos que o mundo veja o que sempre esteve à vista de todos, se se dedicasse tempo suficiente a procurar.
Temos um5es anos de arquivos. O que os advogados de Valve apresentaram na fase de produção de provas — os dados a que os agentes de apoio têm acesso, as impressões digitais, a documentação que nos entregaram literalmente — é suficiente. Não precisamos de divulgar essa informação em bruto.
Quem fica com o quê
As entidades reguladoras recebem os originais.
Os investigadores e jornalistas recebem versões censuradas (os relatos das vítimas, os registos de início de sessão das crianças e os comentários encantadores de apoio de Valve foram removidos por razões óbvias).
Entre as contas afetadas encontravam-se contas de menores, que não foram notificados. Esta conclusão consta do dossiê do regulador, com os relatos das vítimas e as credenciais removidos, uma vez que deve ser apresentada a uma autoridade de proteção de dados e não num artigo.
Além disso, Valve — queremos deixar uma coisa bem clara antes de decidirem como lidar com isto: PhishDestroy é uma comunidade, não uma pessoa. Já aprenderam isso quando enviaram correspondência jurídica à comunidade sem se darem ao trabalho de falar com ela — limitaram-se a extrair dados e a banir as contas.
A comunidade não tem qualquer conflito com o site Valve. Não fomos nós que procurámos isto. Foram os burlões que vocês criaram que nos encontraram. Nós bloqueámo-los. E aqui estamos nós.
Secção III-BOs recursos aliados — uma nota dirigida especificamente a Steam
Queremos ser transparentes quanto à estrutura de amplificação, porque fingir que ela não existe seria desonesto.
A PhishDestroy, pelo que sabemos da situação na comunidade, dispõe de, pelo menos, dois recursos aliados que irão pegar neste material e dar-lhe seguimento.
O que isso significa na prática:
Cada um aborda, à sua maneira, temas que se sobrepõem.
São independentes — não seguem as nossas orientações, nem nós as deles. O tema geral é o mesmo, mas a metodologia é diferente.
NÃO vão ativar a Parte 1.. Estão atentos.
Se o site Valve decidir não retirar o conteúdo do site:
É de esperar que apareçam após a Parte 2 ou a Parte 3.
Vão retirar o que for útil do nosso trabalho, complementá-lo com o seu próprio trabalho e publicá-lo em seu nome.
É exatamente para este tipo de situação que a licença prevista na Secção 1 foi concebida: o material vai para onde é necessário, é complementado, é ampliado — e nem nós nem eles temos a obrigação de atribuir créditos uns aos outros.
(P.S. para os advogados que tenham dúvidas sobre as cadeias de responsabilidade: não existem. Estes recursos não recebem orientações, financiamento nem dados da nossa parte. Eles consultam o que é público e tiram as suas próprias conclusões. Tal como vocês poderiam fazer.)
Não estamos a dizer isto para intimidar. Estamos a dizê-lo para que quem estiver a traçar estratégias do lado dValve disponha de informações precisas sobre como é, na realidade, o panorama informativo.
Um recurso que recorra ao nosso material e o complemente seria uma reportagem. Dois recursos que o façam de forma independente e cheguem a conclusões semelhantes constituem um padrão. São os padrões que chamam a atenção das entidades reguladoras.
Secção VRCE relatada — Verificação pendente
Acompanhamos um relato de possível execução remota de código (RCE) num jogo não identificado distribuído pelo Steam, alegadamente ativa desde agosto de 2026. O comportamento relatado ao conectar a um servidor é comparado ao Unturned; não foi estabelecida uma causa técnica comum.
O conhecimento da Valve, o estado de um eventual relatório de bug bounty e o prazo de correção não foram verificados. Não publicamos o nome do jogo nem detalhes do exploit. Trata-se de um relato a verificar, não de uma conclusão confirmada.
Fim da carta abertaInício do registo formal
Registo formal · para a autoridade
DeclaraçãoNo que diz respeito à utilização e aos direitos
PhishDestroy Coligação para Projetos e Cibersegurança
Esta declaração acompanha cada documento apresentado e cada anexo deste conjunto de documentos. É dirigida a qualquer autoridade, tribunal, entidade reguladora, procurador, investigador, jornalista ou pessoa afetada a quem o material chegue às mãos.
1. Não há condições de utilização
1.1 Todo o material produzido pela Coligação no âmbito deste processo — as declarações de facto, a análise, os anexos da sua autoria, as ferramentas e as conclusões — é divulgado SEM RESERVA DE QUAISQUER DIREITOS.
1.2 Qualquer pessoa pode, sem pedir autorização e sem nos notificar:
reproduzi-lo, na totalidade ou em parte;
adaptá-lo, editá-lo, reescrevê-lo, reestruturá-lo ou corrigi-lo;
traduzir;
extraí-lo sem indicar que se trata de um excerto;
incorporá-la em documentos oficiais, conclusões, decisões, alegações, relatórios ou material de imprensa;
apresentá-lo como se fosse um trabalho ou uma descoberta do próprio destinatário;
utilizá-lo como matéria-prima e deitar fora o resto;
e transmiti-lo a qualquer outra pessoa nos mesmos termos.
1.3 NÃO É NECESSÁRIA NEM PRETENDIDA QUALQUER ATRIBUIÇÃO. Não é necessário mencionar, citar, dar crédito, agradecer, consultar ou informar a Coligação. Se o material desta referência ajudar uma autoridade e a Coligação nunca for mencionada, ESSA É UMA RESULTADO TOTALMENTE SATISFATÓRIO e a Coligação declara-o antecipadamente para que a questão não tenha de ser levantada.
1.4 Se, por outro lado, uma autoridade considerar mais conveniente citar a Coligação como fonte, é livre de o fazer. A escolha cabe inteiramente ao destinatário e nenhuma das opções acarreta qualquer consequência.
1.5 Trata-se de uma RENÚNCIA, não de uma oferta de licença. Não requer aceitação, não impõe qualquer obrigação e não pode ser violada. O software publicado pela Coligação é disponibilizado separadamente ao abrigo da licença MIT; a investigação e os resultados são disponibilizados no domínio público na medida do permitido e, nos casos em que uma jurisdição não permita a renúncia, a Coligação concede uma licença irrevogável, mundial e isenta de royalties com o mesmo efeito.
2. Por que é que isto é importante na prática, e não apenas por uma questão de cortesia
2.1 Uma autoridade pode, com razão, hesitar em basear-se em material fornecido por uma entidade externa, por receio de dar a impressão de agir a pedido dessa entidade ou de se envolver de alguma forma com ela.
2.2 AQUI NÃO HÁ NADA COM O QUE SE ENVOLVER. A Coligação não pede nada, não tem direito a nada, não retém nada e não tem qualquer tipo de expectativa. Não pode, posteriormente, fazer valer um direito, reivindicar crédito, queixar-se de uso indevido ou opor-se à forma como o material é caracterizado, porque não reteve qualquer fundamento para o fazer.
2.3 Uma entidade que utilize este material não está, portanto, a agir em nome da Coligação. Está a utilizar informação pública que, por acaso, foi compilada por outra pessoa.
3. Já está tudo aberto
3.1 O trabalho da Coligação é público por defeito:
as investigações são publicadas abertamente em https://phishdestroy.io e podem ser lidos livremente;
a metodologia está descrita na própria consulta, no Anexo A, secção A.16D, incluindo a ponderação e as limitações de cada tipo de fonte;
A Coligação não aceita quaisquer doações e tem vindo a divulgar essa posição desde 2018.
3.2 O único material que NÃO é publicado é aquele que não pode ser publicado de forma legal ou segura: dados pessoais das vítimas e de terceiros, bem como informações que possam expor uma fonte a retaliações. Esse material é entregue às autoridades de forma confidencial e é identificado nos anexos de provas.
3.3 A Coligação convida à análise da sua própria conduta nos mesmos termos em que convida à análise da conduta de qualquer outra entidade, e disponibilizou voluntariamente as suas práticas de tratamento de dados às autoridades competentes, incluindo um pedido de orientação sobre a eliminação dos dados.
4. Integridade do conjunto de provas
4.1 Os anexos são fornecidos juntamente com a apresentação ou, quando indicado, mediante pedido através de um canal seguro. Não são publicados num endereço público e não se deve inferir a existência de tal endereço: este tipo de material é fornecido diretamente às autoridades.
4.2 Cada entrega é acompanhada por um ficheiro SHA256SUMS que contém um resumo SHA-256 para cada ficheiro fornecido, juntamente com uma assinatura independente OpenPGP SHA256SUMS.asc.
4.4 Qualquer destinatário pode verificar, a qualquer momento, se um ficheiro que se encontra na sua posse é, de facto, o ficheiro que foi enviado, sem alterações:
gpg --verify SHA256SUMS.asc SHA256SUMS
sha256sum -c SHA256SUMS
4.5 O objetivo não é uma mera formalidade. Trata-se de garantir que, caso a exatidão ou a integridade de qualquer prova documentar venha a ser contestada posteriormente, a questão possa ser resolvida por cálculo e não por argumentação.
5. No registo — por que razão a renúncia é funcional e não meramente generosa
5.1 A autoridade poderá deparar-se com as investigações publicadas pela Coligação e considerá-las diretas, controversas e, por vezes, satíricas. Essa impressão está correta. A Coligação escreve dessa forma deliberadamente e não pede desculpa por isso.
5.2 RECONHECE TAMBÉM QUE ESTE NÃO É O TOM ADEQUADO PARA UM PROCESSO REGULATÓRIO OU JUDICIAL. Um assunto sério não deve ser abordado no tom de uma campanha. As conclusões apresentadas a uma autoridade devem ser expostas de forma direta, admitindo as suas limitações, e não devem obrigar o leitor a ignorar o tom para chegar ao cerne da questão.
5.3 É PRECISAMENTE POR ISSO QUE A COALIZÃO RENUNCIA À AUTORIA. A renúncia prevista na secção 1 é o mecanismo através do qual o conteúdo pode ser separado do registo: a autoridade pode retirar o que for útil, reformulá-lo com as suas próprias palavras e descartar cada palavra do estilo da Coligação, juntamente com o nome da Coligação. Nada se perde ao fazê-lo, e a Coligação prefere que assim seja.
5.4 A COALIZÃO SOLICITA AINDA QUE O REGISTO NÃO SEJA CONFUNDIDO COM O MÉTODO. O tom utilizado é combativo; a prática subjacente não é descuidada. Ao longo deste relatório, a inferência é separada da observação, os testemunhos são identificados como tal, as fontes são ponderadas e as suas fraquezas são indicadas, os números são apresentados com as respetivas limitações e os pontos que a Coligação não consegue provar são apresentados como questões dirigidas à autoridade, em vez de afirmações. Nos casos em que as provas contrariavam a própria posição da Coligação, esta assim o indicou — ver Anexo A, parágrafo 7, e secção B.0 do parecer paralelo.
5.5 A COALIZÃO EXPLICA A LIGAÇÃO ENTRE A SUA ATUÇÃO E AS SUAS FINANÇAS, POIS AMBAS SÃO INSEPARÁVEIS. Não aceita dinheiro de ninguém — nem doações, nem recompensas, nem clientes, nem patrocinadores. É essa recusa que torna possível a franqueza: uma organização com receitas para proteger tem de moderar o que diz sobre os partidos de que depende. Não tendo nada a proteger, a Coligação não tem nada a moderar.
É também a razão pela qual a Coligação continua a existir. Não há outro motor. O trabalho é feito porque é feito; pára quando as pessoas que o fazem param.
5.6 A autoridade não tem de aceitar nada disto. Isto é referido para que o tom do trabalho público da Coligação não seja interpretado como um indicador do cuidado dedicado ao material que agora tem perante si.
6. O que a Coligação está a oferecer, nas suas próprias palavras
Informação, investigação e observação.
Nada é afirmado como uma conclusão que a Coligação não tenha competência para apresentar. Quando se trata de uma inferência, o documento de encaminhamento indica-o. Quando algo se baseia em testemunhos, o documento de encaminhamento especifica de quem são e quais as limitações. Quando a Coligação não pode responder a uma pergunta, também o indica e identifica quem o pode fazer.
A Coligação não pretende qualquer reparação, qualquer pagamento, qualquer reconhecimento nem qualquer resultado para si própria ou para qualquer indivíduo. Pede apenas que as questões apresentadas no pedido de consulta sejam colocadas à CorporaçãValvee por um órgão com poderes para exigir uma resposta.
Nota finalA quem quer que esteja a dar continuidade a isto
Queremos agradecer a quem quer que seja que leve este material até onde é necessário. Provavelmente não vai ser um percurso rápido. A «Valve» tem recursos financeiros consideráveis e a Taylor Wessing cobra à hora — essa combinação foi especificamente concebida para fazer com que pessoas como vocês desistam antes de chegarem à meta.
Sabemos o que estamos a fazer. Sabemos sobre quem estamos a escrever. A «Valve» moldou-nos — como é que não os poderíamos compreender?
PhishDestroy não há qualquer conflito com Valve. Bloqueámos a única rede de burlões dessa dimensão com que nos deparámos — não fomos à procura de uma briga com Valve. Acontece que todos os caminhos conduziam até eles. Não é um conflito. É apenas uma questão de topologia.
Valve Não é possível resolver a situação de «PhishDestroy» porque não há nada para resolver. Não temos qualquer relação. Os dados sobre os seus esquemas de enriquecimento e lucros exorbitantes são, em grande parte, públicos — bastava dedicar tempo suficiente para os ver. Pense nisso como uma enciclopédia de sucesso: «Como não cumprir as sanções para que os hackers russos não possam piratear os nossos jogos gratuitos (os pagos, que eles de qualquer forma não iriam piratear).» Já percebeu a ideia.
Não precisamos de atribuição de autoria.
Não precisamos de indicação da fonte.
Não precisamos de uma vitória.
Precisamos de alguém com autoridade efetiva para colocar ao «Valve» as perguntas que já constam deste encaminhamento, com o poder de exigir uma resposta.
Dois objetos autografados · direitos e texto publicado
Autorização assinadaO que foi assinado e o que abrange
A concessão de direitos e o texto da investigação são objetos JSON assinados separadamente, apresentados abaixo. Cada assinatura «OpenPGP» independente autentica os bytes exatos do JSON indicado ao seu lado. A declaração de direitos concede permissões; o instantâneo do texto identifica e contém o material que está a ser publicado.
1. Declaração de direitos — license-rights.json
Objeto assinado: o completo license-rights.json ficheiro, contendo a concessão de direitos públicos datada de 28 de setembro de 2026.. Esta concede permissão para copiar, publicar, editar, traduzir, combinar e comercializar os materiais do dossiê de autoria própria sem necessidade de atribuição, notificação ou aprovação. Esta assinatura autentica a declaração de direitos; não autentica o texto de cada página web ou ficheiro PDF.
A autorização original assinada mantém-se inalterada. A autorização nela prevista não pode ser revogada nem restringida através de alterações ao sítio Web, da publicação de outro ficheiro ou da retirada do sítio da Internet. Os materiais de terceiros mantêm os seus próprios direitos.
Objeto assinado: o completo dossier-text.json ficheiro. Contém o texto efetivamente legível das páginas exportadas em documents[].content.text, com o título de cada página, o idioma, o URL de origem, o hash HTML de origem, os títulos e as referências. O documents A lista apresenta o inventário exato abrangido por esta instantânea; as variantes linguísticas são apresentadas separadamente. Trata-se de uma publicação em texto, não apenas de uma lista de hashes.
Cada entrada identifica o seu ficheiro PDF de página leve através do nome do ficheiro e do SHA-256o em documents[].pdf. O JSON também identifica a declaração de direitos original através do URL e do SHA-256,, para que o texto publicado, o seu PDF e a autorização de direitos aplicável possam ser associados sem margem para dúvidas. As bases de dados externas associadas, as imagens originais e as páginas ausentes do inventário não estão incorporadas neste instantâneo do texto.
Na página inicial do dossiê, os botões PDF e JSON permitem exportar o conjunto de investigação. Numa página interna, permitem exportar essa página no idioma em que foi publicada. Cada ficheiro JSON de página possui também a sua própria assinatura independente e um ficheiro SHA-256, explicitamente identificado no seu integrity objeto. Para verificar o PDF associado, calcule o seu SHA-256e e compare-o com o pdf.sha256 valor no JSON verificado. O PDF está vinculado a esse resumo; não contém uma assinatura digital no formato PDF.
3. Pacote de investigação para impressão — steam-dossier-{language}.content.json
Objeto assinado: o ficheiro JSON completo específico do idioma, incluindo o texto do capítulo incluído em documents[].content.text, intervalos de páginas dos capítulos, línguas de origem, a lista de fontes excluídas e o resumo exato do PDF em pdf.sha256. Os cinco arquivos de material de apoio continuam ligados online e não são agrupados. O texto da investigação de autoria própria é mantido; os catálogos visuais são substituídos por ligações para as fontes.
Verifique se a impressão digital apresentada corresponde à que se encontra acima e, em seguida, verifique a assinatura em relação ao nome exato do ficheiro JSON. A edição de um ficheiro JSON assinado altera o objeto assinado e invalida a sua assinatura original. Uma assinatura válida identifica os bytes publicados; não constitui uma verificação independente dos resultados da investigação.
PhishDestroy — investigação pública — todos os direitos cedidos à humanidade