Valve hat am 9. Dezember 2015 neue Schutzregeln für den Handel mit virtuellen Gegenständen auf Steam erläutert. Nach Angaben des Unternehmens werden monatlich rund 77.000 Konten kompromittiert und anschließend geplündert. Die Zahl sei mit dem wachsenden Handel mit Gegenständen aus Spielen wie Dota 2 und Counter-Strike gestiegen.
Virtuelle Gegenstände als Ziel organisierter Angriffe
Valve beschreibt den Diebstahl von Inventargegenständen als eigenes Geschäftsmodell für spezialisierte Angreifer. Betroffen seien nicht nur neue oder unerfahrene Nutzer, sondern auch professionelle Counter-Strike-Spieler, Reddit-Mitwirkende und Händler. Nach einer Kontoübernahme würden die Gegenstände schnell weitergereicht und verkauft.
Die Plattform hatte bereits Funktionen zum Sperren kompromittierter Konten, zusätzliche Warnungen und den SteamOS-Unterbau von Valve entwickelt. Für den Handel wurde nun die mobile Steam-Guard-Authentifizierung zum entscheidenden Schutzmechanismus. Sie bestätigt die Transaktion auf einem separaten Gerät und verhindert, dass ein Angreifer einen kompromittierten PC allein für die Freigabe nutzt.
Handelsfristen ohne aktive Zwei-Faktor-Authentifizierung
Wer Gegenstände über Steam handelt, braucht laut Valve eine seit mindestens sieben Tagen aktivierte mobile Steam-Guard-Authentifizierung und eingeschaltete Handelsbestätigungen, um die Transaktion ohne zusätzliche Wartezeit abzuschließen. Fehlt diese Absicherung, hält Steam die Gegenstände bis zu drei Tage zurück. Zwischen Nutzern, die mindestens ein Jahr befreundet sind, sollte die Frist höchstens einen Tag betragen.
Valve begründete die Regel mit dem Zeitfenster, das für die Erkennung einer Kontoübernahme und die Wiederherstellung des Zugangs benötigt wird. Der Handel bleibt damit auch ohne mobilen Authenticator möglich, verschiebt die Auslieferung der Gegenstände aber auf einen späteren Zeitpunkt.