위협 분석표: 대회 허브 피싱 vs 정상 플랫폼 OAuth 비교
CS2 유저를 대상으로 "팀 투표를 부탁한다"거나 "FACEIT 대회 대타가 필요하다"며 유도하는 공격은 가짜 브라우저 창(BitB)을 통해 계정 세션을 탈취하는 피싱 수법입니다.
| 공격 단계 | 피싱 사이트 작동 방식 | 정상 공식 서비스 동작 | 위험 수준 |
|---|---|---|---|
| 최초 유인 | 해킹당한 친구 계정으로 스팀/디스코드 메시지 전송 | 공식 앱 내부에서 정식 초대 발송 | 심각: 소셜 엔지니어링 |
| 로그인 팝업 | 웹페이지 내부 HTML로 그린 가짜 창 (BitB 기법) | OS 독립적인 팝업 창 (화면 밖으로 드래그 가능) | 치명적: 계정 정보 탈취 |
| 사후 피해 | 몰래 Steam Web API 키 등록 후 아이템 거래 가로채기 | 어떠한 대회도 거래 API 키 등록을 요구하지 않음 | 스킨 도난 및 자산 손실 |
브라우저 인 브라우저 (BitB) 피싱 식별법
- 창 이동 테스트: 나타난 스팀 로그인 창을 브라우저 바깥쪽으로 드래그해 보십시오. 웹페이지 경계선에 걸려 밖으로 나가지 않는다면 HTML로 구현된 가짜 창입니다.
- 로그인 상태 유지 여부: 이미 브라우저에 스팀 로그인이 되어 있다면, 정상적인 OpenID 페이지는 아이디/비밀번호나 2차 인증을 묻지 않고 녹색 로그인 (Sign In) 버튼만 표시합니다.
긴급 계정 보호 조치
https://steamcommunity.com/dev/apikey페이지에 접속하여 모르는 도메인이 등록되어 있다면 즉시 API 키 취소를 누릅니다.- 스팀 클라이언트 설정 -> 보안에서 모든 장치 인증 해제를 실행합니다.
- 스팀 비밀번호를 변경하고 보관함에서 새로운 거래 URL을 생성합니다.