脅威分析表：偽大会ハブ詐欺 vs 公式 OAuth 連携
CS2 プレイヤーを狙う「チームの投票をしてほしい」「大会の欠員補充で参加してほしい」という勧誘は、偽のブラウザウィンドウで認証情報を盗むフィッシング詐欺の典型です。
| 攻撃フェーズ | 詐欺サイトの手口 | 公式サービスの挙動 | 危険度 |
|---|---|---|---|
| 誘導 | 乗っ取られたフレンドからのチャット | ゲーム内または公式ハブからの招待 | 警戒：ソーシャルエンジニアリング |
| 偽ログイン画面 | ページ内に描画された偽ウィンドウ（BitB） | OS標準の独立ウィンドウ（画面外へ移動可） | 致命的：アカウント情報の流出 |
| 事後被害 | 勝手に Steam API キーを生成しトレード妨害 | 大会参加にトレード API 権限は一切不要 | 深刻：アイテムの不正持ち出し |
BitB（ブラウザ内ブラウザ）詐欺の見分け方
- ウィンドウのドラッグ判定: 表示された Steam ログインダイアログを、ブラウザの枠外までドラッグしてみてください。枠外に出せない場合、それは HTML で描画された偽物です。
- 既ログイン状態のスキップ: 普段ブラウザで Steam にログインしていれば、正規の OpenID はアカウント選択と「サインイン」ボタンのみが表示され、パスワードや二段階認証は要求されません。
緊急時の対応手順
// hosts ファイルの改ざん確認スクリプト
Get-Content "C:\Windows\System32\drivers\etc\hosts" | Where-Object { $_ -match "steam" }
- Steam Web API キーの取り消し:
公式の API 管理ページ（
https://steamcommunity.com/dev/apikey）を開き、身に覚えのないキーがあれば直ちに「取り消し」を実行します。 - 全デバイスからのサインアウト: Steam クライアントの「セキュリティ」から「すべてのデバイスの認証を解除」をクリックします。
- パスワード変更とトレード URL の再生成: パスワードを変更し、インベントリから新しいトレード URL を再発行してください。