攻擊鏈路矩陣：假冒錦標賽釣魚與官方 OAuth 授權對比
在《絕對武力 2》（CS2）玩家群體中，最常見的盜號手法是偽造賽事邀請（如「幫我們戰隊投票」或「三缺一打錦標賽」）。此攻擊利用偽造瀏覽器視窗竊取 Steam 會話並濫用 Web API。
| 階段 | 釣魚攻擊手法 | 官方正常行為 | 風險評級 |
|---|---|---|---|
| 初始接觸 | 被盜好友私訊傳送投票連結 | 官方賽事透過專屬客戶端推播 | 嚴重：熟人社交工程攻擊 |
| 登入彈窗 | 網頁內嵌 HTML 偽造視窗（BitB） | 瀏覽器原生獨立視窗，可拖出視窗外 | 致命：帳密與令牌直接洩漏 |
| 後續威脅 | 自動註冊 Steam Web API Key 攔截交易 | 正規平台不需要交易 API 權限 | 財產損失：飾品遭轉移 |
識別畫中畫（BitB）瀏覽器偽造
- 拖曳測試：嘗試將 Steam 登入彈窗拖出瀏覽器邊框外。若無法移出網頁，必為 HTML 假元件。
- 免密碼登入驗證：若瀏覽器原本已登入 Steam，正規 OpenID 只會顯示頭像與綠色「登入」按鈕，絕不索取驗證碼。
緊急處置三步驟
// 檢查系統 hosts 文件
Get-Content "C:\Windows\System32\drivers\etc\hosts" | Where-Object { $_ -match "steam" }
- 撤銷 Steam Web API 金鑰：
至
https://steamcommunity.com/dev/apikey，點選 撤銷我的 Steam Web API 金鑰。 - 取消所有裝置授權： 在 Steam 客戶端「安全性」設定中點選 取消所有裝置的授權。
- 重設密碼並更新交易 URL： 於庫存中產生全新的 Trade URL，阻斷舊連結攔截。