Steam Web APIキー乗っ取り詐欺の構造的脅威
『Counter-Strike 2』（CS2）、『Dota 2』、『Team Fortress 2』を中心とするSteamコミュニティエコノミーでは、日々膨大な額のゲーム内スキンやバーチャルアイテムが取引されています。Valveは不正ログインを防ぐために「Steamガード モバイル認証（2段階認証）」を導入しましたが、詐欺グループの手口も急速に進化し、開発者向け正規ツールである Steam Web API を悪用した極めて巧妙な中間者詐欺へと移行しました。
パスワードや登録メールアドレスを直接書き換える旧来のアカウント乗っ取りと異なり、APIキー詐欺は被害者が通常通りログインしてゲームをプレイできるため、発覚が遅れやすい特徴を持ちます。背後で攻撃者のサーバープログラムが被害者のアカウントと連携し、ミリ秒単位でトレードオファーを監視・強制キャンセル・偽装差し替えする権限を握っています。
Steamトレード詐欺の攻撃手法比較マトリクス
被害に遭いやすい主要な4つの詐欺・アカウント侵害の手口と特徴比較は以下の通りです：
| 攻撃種別 | 主な侵入経路 | Steamガードの回避・迂回手口 | アイテム搾取・差し替えの手法 | 被害者の認知難易度 | 緊急初動対応手順 |
|---|---|---|---|---|---|
| Steam Web API詐欺 | 大会投票や無料ケース開封などの偽ログイン | セッショントークンを窃取し裏でAPIキーを発行 | Botが正規オファーをミリ秒でキャンセルし同名Botから再申請 | 極めて困難（モバイル承認画面のアイコンが同一） | APIキー即時無効化、全端末認証解除、PW変更、Trade URL再発行 |
| 直接フィッシング詐欺 | 無料スキン配布や偽の当選通知リンク | フィッシング画面でモバイルワンタイムパスを要求 | アカウントへ直接侵入しコミュニティ市場で投げ売り | 容易（不審なログイン通知やメールが届く） | Steamサポートへ初期登録証拠を添えて復旧申請 |
| 不正ブラウザ拡張機能 | スキン自動査定などを謳う拡張プラグイン | ブラウザのDOMセッションへ悪意あるJSを注入 | Webブラウザ上で送信先トレードURLを改ざん | ブラウザ内限定（ネイティブクライアントでは無害） | 該当拡張機能の削除、ブラウザキャッシュの完全消去 |
| Discord QRコード詐欺 | Discord Nitro配布などを騙るログインQRコード | ユーザーがSteamモバイルアプリでQRをスキャン | 攻撃者が正規のWebセッションを確立 | 中程度（別端末でのログイン通知が届く） | Steamガード設定から「他のすべてのデバイスの認証を解除」 |
ミリ秒単位の差し替え手口：クローンBotの動作フロー
被害者が騙される決定的なメカニズムは、攻撃者の自動化スクリプトがコンマ数秒で実行する「キャンセルとクローン生成」です：
- 偽サイトでのSteam認証：被害者が大会トーナメントの投票サイトやアイテム交換サイトにアクセスし、「Steamでログイン」を実行します。この際、バックエンドで攻撃者のサーバーがアカウントのWeb API Keyを無断生成します。
- APIによる高頻度ポーリング：攻撃者の監視サーバーは、Steamの
IEconService/GetTradeOffers/v1エンドポイントを500ミリ秒ごとにポーリングし、送信トレードオファーを常時監視します。 - 正規トレードの検知：被害者が友人や正規の取引所Botに高額スキンを渡そうとトレードオファーを作成（ステータスが
TradeOfferStateActiveに変化）した瞬間を捉えます。 - 即時キャンセルとクローン差し替え：
- 200ミリ秒以内に、攻撃者のスクリプトがAPI経由で
CancelTradeOfferを呼び出し、正規オファーを強制取り消しします。 - 同時に、相手のアカウント情報（アバター画像、表示名、プロフィール文）を即座にスクレイピングします。
- 待機していた「詐欺用クローンBot」がまったく同じ名前とアイコンに身を偽り、被害者へ全く同じアイテムを要求する偽のトレードオファーを即時再送信します。
- 200ミリ秒以内に、攻撃者のスクリプトがAPI経由で
- モバイル認証時の誤認：被害者がスマホのSteamアプリで最終承認画面を開くと、相手の名前とアイコンが送信予定だった友人や正規Botと完全に同一であるため、疑わずに「確認」をタップしてしまい、アイテムが永久に奪われます。
被害拡大を防ぐ4ステップの緊急初動手順
意図しないトレードのキャンセルが発生したり、APIキー詐欺の兆候を感じた場合は、直ちに次の手順を実行してください：
-
Web APIキーの確認と無効化： 安全なブラウザで公式の開発者ページを開きます：
https://steamcommunity.com/dev/apikey- 開発者でない一般ユーザーの場合、通常はドメイン名入力を求める「空の登録フォーム」が表示されます。
- すでに何らかのドメイン（
localhostや不審なURL）が登録されている場合、アカウントは現在進行形で侵害されています。 - 直ちに 「Steam Web API キーの取り消し（Revoke）」 ボタンをクリックしてください。
-
全端末のセッション認証を一括解除： Steamクライアントを開き、Steam -> 設定 -> セキュリティ -> 他のすべてのデバイスの認証を解除 を実行します。これにより、攻撃者が保持しているWebクッキーやログインセッションが強制遮断されます。
-
アカウントパスワードの即時変更： パスワードを変更することで、Valveの認証サーバー側でセッショントークンが無効化されます。
-
トレードURLの再生成： トレードオファーのプライバシー設定を開きます：
https://steamcommunity.com/id/me/tradeoffers/privacy「サードパーティのサイト」項目で 「新しい URL を作成」 をクリックします。流出した古いトレードURLが無効化され、監視を断ち切ることができます。
モバイル承認画面で確認すべき絶対ルール
Steamガードのモバイル承認画面では、アバター画像や表示名を信用してはいけません。
承認画面で受取人の詳細をタップし、「メンバー登録日（Member Since）」 と 「Steamレベル（Steam Level）」 を必ず確認してください。長年の友人がレベル50・登録10年であるのに対し、画面上の受取人が「レベル0・登録日：昨日」となっている場合、それは100%偽装クローンBotです。直ちに承認を拒否してください。なお、ValveはAPI詐欺等によって失われたアイテムの個別復旧・補償は行わない方針を定めています。
365Finds Steamセキュリティ＆API監査ツール
大切なアイテムコレクションをサイバー犯罪から保護するために、高額トレードを行う前に 365Finds Steamセキュリティ＆API監査ツール をご利用ください。アカウント内の不審なAPIキー登録の有無、トレードURLの安全性をワンクリックで診断し、偽装Botを見破るチェックリストを提供します。