Um amigo da lista chama no chat: “olha essa oferta de troca, entra aí”. O link abre uma página igual à da Steam, você digita usuário, senha e o código do celular, e em minutos a conta está esvaziada. Esse é o golpe do link de troca, um dos mais comuns entre jogadores de PC. Veja como ele funciona, como reconhecer a página falsa e como deixar a conta bem protegida.
Como o golpe do link de troca funciona
- A mensagem. Pode vir de um amigo cuja conta foi invadida ou de um desconhecido. Os pretextos mudam: “veja minha oferta de troca”, “vote no meu time”, “teste esse jogo”, “você foi indicado a um torneio”.
- O link. Ele leva a uma página que imita a Steam, às vezes com uma janela de login desenhada dentro da própria página.
- O login falso. Você digita usuário e senha. Muitas páginas pedem em seguida o código do Steam Guard, e o golpista usa os dados na hora, na conta verdadeira.
- O saque. A conta é acessada, os itens são enviados para outro perfil por ofertas de troca e o seu perfil é usado para enganar seus amigos.
Há variações. Em uma delas, o golpista oferece uma troca em que o item parece igual, mas é de outro valor. Em outra, alguém se apresenta como “intermediário de confiança” e pede que você envie o item primeiro. Também existe o falso suporte, que diz que a sua conta foi denunciada e pede senha para “resolver”.
Como reconhecer a página falsa
- Endereço. Os endereços oficiais da loja e da comunidade são o steampowered.com, com o subdomínio store, e o steamcommunity.com. Desconfie de letras trocadas, hífens extras e endereços que só contêm o nome “steam” em algum ponto.
- Parte final do domínio. Em um endereço como steamcommunity.com.exemplo.xyz, quem manda é o final: o domínio verdadeiro ali é outro.
- Janela dentro da janela. Algumas páginas desenham um login falso que parece um pop-up. Um pop-up de verdade pode ser arrastado para fora da janela do navegador, o falso não.
- Código fora do app. A Steam não pede o código do Steam Guard em chat nem em outro site.
- Pressa. “Aceite em cinco minutos” é pressão para você não conferir.
- Mensagem estranha de amigo. Se o texto não parece com quem escreve, confirme por outro canal antes de clicar.
Em caso de dúvida, não clique: abra o aplicativo da Steam ou digite o endereço oficial no navegador e veja se há mesmo uma oferta ali.
Como proteger a conta antes do golpe
- Ative o Steam Guard no aplicativo da Steam no celular. O autenticador móvel aprova logins e trocas, e ter ele ativo costuma evitar esperas longas em trocas. As regras podem mudar, então confira a ajuda da Steam.
- Use senha forte e exclusiva, diferente de todas as outras contas. O texto como criar uma senha forte ajuda a montar e lembrar.
- Proteja o e-mail da conta. Quem controla o e-mail controla a conta. Ative a verificação em duas etapas nele também.
- Revise cada oferta de troca no aplicativo, conferindo itens que saem, itens que entram e o perfil de quem ofereceu.
- Desconfie de intermediários. Ninguém precisa ficar com o seu item para que uma troca aconteça.
- Não instale programas enviados por desconhecidos “para testar” ou “para ver a oferta”.
- Mantenha o sistema e o antivírus atualizados no computador que você usa para jogar.
Se um link já chegou na caixa de mensagens e você quer uma segunda opinião antes de decidir, a ferramenta Isso é golpe? recebe o endereço (ou o texto da mensagem) e devolve uma nota de 0 a 10 de risco, os motivos e o que fazer. Ela soma sinais objetivos, como imitação de marcas e formato do endereço, a uma análise de inteligência artificial. A nota é só uma estimativa, e o jeito mais seguro continua sendo não abrir o link e verificar pelo app. Há uma versão gratuita, com conta e limite mensal.
Se a conta já foi roubada
- Se ainda tem acesso, troque primeiro a senha do e-mail da conta e depois a da Steam, de preferência num aparelho que você sabe que está limpo.
- Saia de todos os aparelhos. Procure nas configurações de segurança da conta a opção de desautorizar ou sair de todos os dispositivos (o nome pode variar).
- Revise o autenticador. Remova o autenticador antigo e configure um novo no seu celular.
- Se usa chave de API da Steam, revogue a atual, porque golpistas podem usá-la para alterar ofertas de troca.
- Abra um chamado no suporte da Steam, pelo site oficial, explicando datas, itens e o que aconteceu.
- Avise seus amigos, para que ninguém clique no link que saiu do seu perfil.
- Passe um antivírus no computador, para o caso de ter baixado algum programa.
- Não pague “recuperadores de conta” que aparecem em comentários. É um segundo golpe.
Se o prejuízo foi grande, registre boletim de ocorrência. O guia phishing: o que é e como identificar uma mensagem falsa explica por que páginas falsas enganam tanta gente, e golpes na compra de jogos e contas de console reúne outros golpes do mundo dos jogos.
Na dúvida, aplique a regra de bolso do jogador: link de troca recebido por mensagem não se abre, se confere pelo aplicativo. Leva trinta segundos e protege anos de coleção.