진단 매트릭스: 정상 Steam OpenID와 위조 피싱 팝업(BitB) 식별법
스킨 도박이나 가짜 대회 사이트에서 요구하는 "Steam으로 로그인" 시, 웹페이지 내부에 가짜 주소창을 그려 넣는 브라우저 내 브라우저(Browser-in-the-Browser, BitB) 기법이 성행하고 있습니다.
| 검증 요소 | 정상 Steam OpenID 공식 창 | 위조 웹페이지 피싱 팝업 |
|---|---|---|
| 창 드래그 이동 테스트 | 독립 OS 창으로 브라우저 경계선 바깥으로 드래그 가능 | 웹페이지 내부 그래픽으로 브라우저 바깥으로 나가지 못함 |
| 기로그인 상태 인식 | 이미 로그인되어 있다면 비밀번호 요구 없이 프로필 노출 | 아이디, 비밀번호 및 Steam 가드 코드를 수동 입력 강요 |
| 제3자에 제공되는 정보 | 공개된 **SteamID64(고유 숫자 번호)**만 제공됨 | 계정 로그인 정보 일체 및 2단계 인증 세션 탈취 |
피싱 사이트 정보 입력 시 긴급 수습 3단계
https://steamcommunity.com/dev/apikey접속 후 등록된 API 키가 있다면 즉시 취소(Revoke) 클릭.- Steam 설정 -> 보안 메뉴에서 모든 다른 기기 인증 취소 실행.
- 비밀번호를 즉각 변경하고 보관함에서 신규 거래 제안 URL을 재생성하여 이전 링크를 무효화하십시오.