Matriz de vectores de ataque: phishing de torneos frente a OAuth oficial
En Counter-Strike 2, las invitaciones de conocidos pidiendo "votos para un torneo" o "sustitutos en FACEIT" suelen ocultar estafas mediante ventanas de navegador falsificadas (BitB).
| Fase del ataque | Mecánica de la estafa | Comportamiento legítimo | Nivel de riesgo |
|---|---|---|---|
| Contacto inicial | Amigos con cuentas robadas vía chat | Invitaciones dentro de la app oficial | Crítico |
| Ventana emergente | Elemento HTML que imita a Chrome (BitB) | Ventana nativa independiente del SO | Crítico: Robo de credenciales |
| Explotación posterior | Registro de clave Steam Web API | Nunca se solicitan permisos de API comercial | Robo de inventario de skins |
Cómo identificar el ataque Browser-in-the-Browser (BitB)
- Arrastre fuera del marco: Intente arrastrar la ventana de login fuera del navegador. Si queda atrapada dentro de la página, es un fraude visual.
- Sesión activa en el navegador: Si ya ha iniciado sesión en Steam en su navegador habitual, OpenID oficial muestra su perfil directamente y solo solicita pulsar el botón de confirmación sin pedir contraseñas.
Protocolo de contención de emergencia
- Acceda a
https://steamcommunity.com/dev/apikeyy revoque cualquier clave que aparezca registrada. - Desautorice todos los dispositivos en Steam -> Parámetros -> Seguridad.
- Cambie la contraseña de su cuenta y genere una nueva URL de intercambio.