La anatomía del ataque por secuestro de la Steam Web API
El ecosistema comercial de la comunidad de Steam mueve millones de dólares al año en objetos cosméticos para juegos como Counter-Strike 2, Dota 2 o Team Fortress 2. Aunque Valve implementó el autenticador móvil Steam Guard para neutralizar los accesos no autorizados, las redes de ciberdelincuencia han adaptado sus métodos valiéndose de una herramienta legítima de la plataforma: la Steam Web API.
A diferencia del robo de cuentas tradicional, donde el atacante cambia el correo y la contraseña, el secuestro de la clave API es una amenaza invisible. La víctima conserva el acceso a su cuenta y puede seguir jugando con normalidad, ignorando que un programa automatizado dispone de permisos para supervisar, cancelar y sustituir intercambios entre jugadores en milésimas de segundo.
Matriz comparativa: Vectores de estafa en intercambios de Steam
Para identificar la amenaza con rapidez, conviene comparar el secuestro de API con otros ataques habituales:
| Tipo de ataque | Vía de entrada principal | Método de evasión de Steam Guard | Mecanismo de robo del intercambio | Grado de visibilidad | Procedimiento de emergencia |
|---|---|---|---|---|---|
| Secuestro de Steam Web API | Inicio de sesión falso en torneos o webs de apuestas | Roba cookies de sesión y crea una clave API oculta | Cancela la oferta legítima al milisegundo y envía una oferta clon | Casi indetectable (foto y nombre idénticos en el móvil) | Revocar clave API, desautorizar dispositivos, cambiar contraseña y regenerar Trade URL |
| Phishing de credenciales clásico | Webs de skins gratuitas o enlaces de sorteos | Pide el código dinámico del autenticador en la web falsa | Accede a la cuenta y malvende el inventario en el mercado | Alta (notificaciones inmediatas de inicio de sesión) | Contactar con el Soporte de Steam aportando justificantes de compra |
| Extensión de navegador maliciosa | Complementos que prometen autotasación de inventario | Inyecta scripts de JavaScript en la sesión web | Manipula el enlace de intercambio en el navegador | Limitado al navegador (el cliente de Steam no se altera) | Eliminar extensiones sospechosas y limpiar la caché del navegador |
| Phishing mediante código QR en Discord | Códigos QR prometiendo Discord Nitro o acceso a betas | La víctima escanea el código con la app móvil de Steam | El atacante abre una sesión autenticada en remoto | Media (llega aviso de inicio de sesión en nuevo equipo) | Desautorizar todos los dispositivos en Steam Guard |
El mecanismo de intercepción: Cómo operan los bots clon
El peligro crítico del secuestro de la clave API reside en la automatización en tiempo real:
- Infiltración inicial: La víctima se registra en un portal fraudulento mediante el botón "Iniciar sesión con Steam". El servidor del atacante aprovecha la sesión para registrar una clave API de desarrollador sin que el usuario lo perciba.
- Monitorización por sondeo continuo: El bot malicioso consulta el endpoint
IEconService/GetTradeOffers/v1de Steam cada 500 milisegundos para vigilar los intercambios salientes. - Detección del intercambio legítimo: En cuanto el usuario envía una oferta a un amigo o a una plataforma comercial reconocida (estado
TradeOfferStateActive), el script detecta la transacción. - Cancelación inmediata y sustitución:
- En menos de 200 milisegundos, el script ejecuta una llamada a
CancelTradeOfferpara cancelar el envío original. - A la vez, recopila los datos públicos del destinatario (nombre en pantalla, avatar y descripción).
- Un bot clon adopta al instante esa misma identidad y envía una nueva oferta a la víctima solicitando exactamente los mismos objetos.
- En menos de 200 milisegundos, el script ejecuta una llamada a
- La trampa en la confirmación móvil: Cuando la víctima abre la app de Steam para validar el envío, ve el avatar y el nombre que esperaba. Si confirma sin comprobar datos adicionales, los objetos van a parar a manos de la red criminal.
Protocolo de contención de emergencia en 4 pasos
Si notas que tus intercambios se cancelan solos o sospechas de una intrusión en tu API, aplica estas medidas de inmediato:
-
Comprobar y revocar la clave Web API: Entra desde un navegador limpio en la web oficial:
https://steamcommunity.com/dev/apikey- Si no desarrollas herramientas, deberías ver un formulario en blanco solicitando un "Nombre de dominio".
- Si ya aparece un dominio asignado (como
localhosto una dirección web desconocida), tu cuenta está comprometida. - Pulsa inmediatamente en Revocar mi clave de la API web de Steam.
-
Desautorizar todos los dispositivos remotos: En el cliente de Steam, accede a Steam -> Parámetros -> Seguridad -> Desautorizar todos los demás dispositivos. Esto desconectará al instante cualquier sesión activa del atacante.
-
Cambiar la contraseña principal: Actualizar la clave forzará la renovación de los hashes y certificados de sesión en los servidores de Valve.
-
Regenerar la URL de intercambio: Accede a tus opciones de privacidad de intercambios:
https://steamcommunity.com/id/me/tradeoffers/privacyEn el apartado "Sitios de terceros", haz clic en Crear nueva URL para invalidar enlaces filtrados anteriormente.
Regla fundamental en la confirmación móvil
En la app móvil de Steam Guard, jamás tomes como prueba definitiva el nombre o la foto de perfil. Esos elementos pueden replicarse en cuestión de milésimas de segundo.
Entra en los detalles del destinatario en la pantalla de confirmación y revisa con atención su Fecha de registro (Member Since) y su Nivel de Steam (Steam Level). Si estás intercambiando con un amigo de hace años y el perfil que aparece tiene nivel 0 y fue creado hace dos horas, rechaza la operación al instante. Valve no devuelve los objetos transferidos en intercambios aceptados por el usuario.
Auditor de seguridad y API de Steam 365Finds
Para proteger el valor de tu inventario antes de realizar transacciones importantes, utiliza el Auditor de Seguridad y API de Steam de 365Finds. Permite verificar si existen claves API registradas de manera inadvertida, comprueba la integridad de tu enlace de intercambio y te guía con una lista de comprobación para evitar el engaño de los bots clon.