Пароль в Steam давно не решает: аккаунт угоняют через украденную сессию, чужой QR-код и зарегистрированный без вашего ведома API-ключ — во всех трёх случаях пароль злоумышленнику вообще не нужен. Steam Guard закрывает только вход с нового устройства, а дальше начинается менее очевидная механика: холды на обмены, пятидневная блокировка торговой площадки после смены пароля и код отвязки, без которого мобильный аутентификатор снять нельзя. Разбираем, какой уровень защиты что реально даёт, за какие сроки Valve держит вещи и что делать по шагам, если аккаунт уже увели.
Почему одного пароля в Steam не хватает
Аккаунт Steam — это не только библиотека. К нему привязаны платёжные данные, кошелёк, инвентарь CS2 и Dota 2, который на торговой площадке стоит живых денег, а также права доступа в семейную библиотеку, где вместе с вами страдают ещё пять человек. Поэтому угон Steam давно стал отдельным ремеслом со своей экономикой: инвентарь продают в тот же день, а сам аккаунт с большой библиотекой уходит вторым лотом.
Ключевая мысль, которую пропускают почти все инструкции: современные схемы не ломают пароль. Они обходят его. Вор либо получает уже готовую авторизованную сессию, либо заставляет вас самого впустить его в аккаунт, либо закрепляется через технические ключи, которые смена пароля не сбрасывает. Защита строится не вокруг сложности пароля, а вокруг контроля устройств и подтверждений.
Три уровня защиты: что каждый реально закрывает
Steam Guard — это не переключатель «вкл/выкл», а три разных состояния аккаунта с разными последствиями для обменов и торговой площадки.
| Уровень | Как выглядит вход | Что закрывает | Обмены и маркет |
|---|---|---|---|
| Без Steam Guard (почта не подтверждена) | Только логин и пароль | Ничего | Обмены и продажа на площадке недоступны |
| Steam Guard по электронной почте | Код из письма при входе с нового устройства | Вход по утёкшему паролю, если почта не скомпрометирована | Холд обменов и лотов — 15 дней |
| Мобильный аутентификатор в приложении Steam | Код в приложении, обновляется каждые 30 секунд, плюс подтверждение входа тапом | Вход, обмены, вывод лотов на площадку, часть действий с настройками | Холдов нет, если аутентификатор активен 7 дней и дольше |
Здесь источники расходятся, и расхождение важно. Русскоязычные гайды регулярно пишут про «шестизначный код» — это описание Google Authenticator, а не Steam. Код Steam Guard состоит из пяти символов и включает буквы, поэтому вводить его нужно точно как показано, регистр приложение не различает. Второе расхождение — про снятие холдов: часть материалов утверждает, что достаточно просто включить аутентификатор. Действующее правило Valve другое: аутентификатор должен быть активен непрерывно не менее семи дней, и отсчёт начинается заново, если вы его отвязали и привязали снова.
Холды и заморозки: точные сроки, о которые спотыкаются чаще всего
Большая часть паники в духе «Steam украл мои вещи» — это не взлом, а штатные задержки. Их стоит знать заранее, особенно если вы планируете продать инвентарь к распродаже.
| Событие | Что замораживается | Срок |
|---|---|---|
| Обмен без мобильного аутентификатора | Предметы уходят на удержание к обеим сторонам | 15 дней |
| Аутентификатор подключён менее 7 дней | То же удержание, как без аутентификатора | До конца седьмых суток |
| Обмен с другом, добавленным меньше года назад | Удержание предметов | 1 день |
| Смена пароля | Доступ к торговой площадке | 5 дней |
| Отвязка мобильного аутентификатора | Обмены и площадка возвращаются к режиму 15 дней | 15 дней с момента отвязки |
| Новый аккаунт до первой покупки от 5 долларов | Обмены, площадка, чат с незнакомцами | До выполнения условия |
Отдельно про код отвязки. При подключении аутентификатора Steam показывает строку вида R-XXXXX — это код восстановления, единственный способ снять аутентификатор, если вы потеряли телефон. Скриншот этого кода в галерее смартфона, который лежит в облаке под тем же паролем, что и почта, — типичная ошибка, превращающая двухфакторную защиту в декорацию. Код стоит записать отдельно от устройства.
Как угоняют аккаунты Steam в 2026
За последние два года центр тяжести сместился с классического фишинга на схемы, где жертва сама выполняет нужное действие.
Вход по чужому QR-коду
Steam разрешает входить в клиент, отсканировав QR-код мобильным приложением. Схема простая: жертву просят «проголосовать за команду», «зайти на турнирный сайт» или «подтвердить участие в розыгрыше», подсовывая свой QR-код. Сканирование означает, что вы авторизуете сессию злоумышленника на его компьютере — пароль он при этом не узнаёт и не нуждается в нём. Приложение перед подтверждением показывает, откуда пришёл запрос: если вы сейчас не запускаете Steam на своём ПК, подтверждать нечего.
Кража сессии вредоносной программой
Инфостилеры вытаскивают из системы файлы сессии, и украденный доступ работает без пароля и без кода Steam Guard — для Steam это уже авторизованное устройство. Признак: в аккаунт заходят, но никаких писем о входе с нового устройства не приходит. Смена пароля тут обязательна, но недостаточна: нужно принудительно закрыть все сессии через «Управление Steam Guard» → «Деавторизовать все устройства», а до этого вычистить сам компьютер, иначе новая сессия утечёт следом.
Закрепление через Web API key
Самая недооценённая часть. Получив доступ, злоумышленник регистрирует на аккаунте ключ Steam Web API. Ключ живёт отдельно от пароля и позволяет отслеживать и отменять ваши обмены: вы отправляете предмет другу, скрипт отменяет обмен и мгновенно выставляет встречное предложение на подставной аккаунт, а вы подтверждаете его, не глядя. Проверить и удалить ключ нужно вручную на странице steamcommunity.com/dev/apikey — после любого инцидента это обязательный шаг наравне со сменой пароля.
| Схема | Что просят сделать | Что выдаёт обман |
|---|---|---|
| QR-вход | Отсканировать код «для голосования» | Запрос на вход приходит, когда вы сами Steam не открывали |
| Окно в окне (browser-in-browser) | Войти через «всплывающее окно Steam» | Окно не вытаскивается за пределы браузера, адресная строка нарисована картинкой |
| Фальшивая жалоба | Написать «сотруднику Steam Support» в мессенджер | Valve не связывается с игроками в Discord и Telegram |
| Клон профиля друга | Принять срочный обмен | Дата создания аккаунта свежая, инвентарь пуст, друзей нет |
| Сайты «обмена скинов» | Авторизоваться через Steam | Домен отличается от steamcommunity.com хотя бы одним символом |
Аккаунт угнали: порядок действий
Порядок здесь важнее скорости — шаги, сделанные в неверной последовательности, приходится повторять.
- Сначала почта, потом Steam. Почтовый ящик — корень всей цепочки восстановления. Если он тоже скомпрометирован, любые действия в Steam злоумышленник откатит. Верните контроль над почтой и включите на ней двухфакторную защиту.
- Проверьте компьютер. Если причина в стилере, смена пароля с заражённой машины бессмысленна: новый пароль уедет туда же. Меняйте пароль с телефона или другого устройства.
- Смените пароль Steam через help.steampowered.com, раздел «У меня не получается войти». Самообслуживание работает, пока привязана хотя бы почта или телефон.
- Деавторизуйте все устройства в настройках Steam Guard — это убивает украденную сессию.
- Удалите Web API key на steamcommunity.com/dev/apikey, даже если вы его никогда не создавали.
- Проверьте привязки: адрес почты, номер телефона, способы оплаты и активные подписки. Отдельно посмотрите историю покупок — угнанные аккаунты часто используют для покупок с привязанной карты.
- Подключите мобильный аутентификатор и сохраните код отвязки офлайн.
- Если почта уже сменена злоумышленником — заводите обращение в Steam Support и готовьте подтверждения владения: чеки о покупках, номера ключей активации, последние цифры карты, дату создания аккаунта.
Что Valve возвращает, а что нет
Сам аккаунт при доказанном владении возвращают — это рутинная процедура поддержки. С предметами ситуация другая: Valve с 2016 года не восстанавливает вещи, отданные в обменах, включая обмены, совершённые злоумышленником с угнанного аккаунта. Логика простая: предмет уже ушёл третьим лицам и цепочка перепродаж может насчитывать десятки шагов. Именно поэтому холд на 15 дней — не издевательство, а окно, в которое ещё можно всё отменить.
Деньги за покупки, сделанные с вашего аккаунта посторонним, рассматривают отдельно, и здесь стоит помнить общие правила возврата: возврат за игру в Steam оформляется в течение 14 дней при наигранных менее чем двух часах, а деньги по умолчанию возвращаются в кошелёк Steam. Списание средств с привязанной карты — повод обращаться не только в Valve, но и в банк.
Частые ошибки
- Steam Desktop Authenticator на том же диске, что и всё остальное. Сторонний аутентификатор хранит файл maFile — по сути слепок вашей защиты. Утечка этого файла равна утечке аккаунта, а синхронизация папки в облако делает утечку вопросом времени.
- Привязка к рабочей или школьной почте. Потеря доступа к домену вместе с увольнением или выпуском означает потерю канала восстановления.
- Подтверждение обмена «на автомате». Мобильное приложение показывает, что именно уходит и что приходит. В схеме с API-ключом это последний рубеж, и он работает, только если читать текст подтверждения.
- Один пароль на Steam и почту. Классика, которая обесценивает всю цепочку восстановления разом.
- Смена пароля перед продажей инвентаря. Пять дней без торговой площадки посреди распродажи — неприятный сюрприз, о котором Steam предупреждает мелким шрифтом.
- Вход через «удобные» сторонние сайты. Настоящая авторизация Steam всегда происходит на steamcommunity.com в обычном окне браузера, а не во всплывающем блоке внутри страницы.
Кому этот минимум не понадобится
Если аккаунт пустой, инвентаря нет, карта не привязана, а библиотека собрана из пары кооперативных игр на двоих, мобильный аутентификатор действительно избыточен: почтового Steam Guard хватит. Разница появляется в момент, когда в аккаунте оказывается что-то ликвидное — инвентарь, кошелёк или большая библиотека, которую жалко собирать заново.
Коротко
- Steam Guard по почте закрывает вход, но оставляет холд обменов и лотов на 15 дней; снимает его только мобильный аутентификатор, активный не меньше семи дней.
- Код Steam Guard состоит из пяти символов с буквами, а не из шести цифр — инструкции про «шестизначный код» описывают чужое приложение.
- Смена пароля блокирует торговую площадку на пять дней, отвязка аутентификатора возвращает пятнадцатидневные холды.
- Современные угоны обходят пароль: чужой QR-код, украденная сессия и зарегистрированный Web API key работают без него.
- После инцидента обязательны четыре действия: почта, смена пароля с чистого устройства, деавторизация всех устройств, удаление API-ключа.
- Аккаунт Valve вернёт при доказанном владении, отданные в обменах предметы — нет.
- Код отвязки R-XXXXX хранится отдельно от телефона, иначе потеря устройства превращается в обращение в поддержку на недели.
Отдельный случай — предзаказы игр без рублёвого ценника: там к вопросам безопасности аккаунта добавляются правила возврата и региональные ограничения. Разбор на свежем примере: подготовка к CONTROL Resonant и её цена в Steam.
Отдельный сюжет — сам игровой прогресс: даже при полностью защищённом аккаунте он переезжает между машинами только через облачные сохранения Steam, и работают они далеко не у каждой игры.
