La plataforma Steam de Valve no es solo el principal centro de distribución digital de videojuegos para PC en el mundo; también sustenta una economía virtual multimillonaria impulsada por objetos cosméticos intercambiables en títulos como Counter-Strike 2 (CS2), Dota 2 y Team Fortress 2. Debido a que estos inventarios representan activos digitales líquidos y fácilmente monetizables, las cuentas de Steam son blanco constante de ataques masivos automatizados de relleno de credenciales (credential stuffing) y sofisticadas redes de phishing. El Autenticador Móvil Steam Guard actúa simultáneamente como su bóveda biométrica primaria y como el requisito indispensable para realizar intercambios entre usuarios sin tiempos de espera.
Mapeo Base32 propietario que descarta vocales y caracteres visualmente ambiguos, sincronizado con los servidores atómicos de Valve.
Debe permanecer activo durante al menos 7 días ininterrumpidos (168 horas) para habilitar intercambios directos e instantáneos sin retenciones de 15 días.
Presentado una única vez al configurar el móvil. Permite desvincular inmediatamente el autenticador en caso de extravío o rotura del teléfono.
Arquitectura de Steam Guard: ¿Por qué 5 caracteres alfanuméricos?
Los usuarios acostumbrados a los códigos decimales de 6 dígitos de Google Authenticator, Microsoft Authenticator o dispositivos físicos bancarios suelen desconcertarse ante los códigos dinámicos de Steam. Steam Guard presenta combinaciones como K8MN2 o R7WXY. ¿Por qué razón los ingenieros de Valve decidieron apartarse del estándar RFC 6238 decimal habitual?
1. Mapeo propietario de 26 caracteres y eliminación de ambigüedades visuales
El estándar universal RFC 6238 calcula un código de 6 dígitos obteniendo un número entero de 31 bits a partir del resumen criptográfico HMAC-SHA1 y aplicando una operación de módulo mod 10^6. Valve diseñó una lógica de sustitución alternativa que transforma los bits en una secuencia basada en un alfabeto restringido de 26 caracteres:
const STEAM_CHARS = "23456789BCDFGHJKMNPQRTVWXY";
Este diseño responde a una notable optimización ergonómica y de seguridad humana. Al suprimir caracteres visualmente conflictivos (como el dígito 0 frente a la letra O, o el número 1 frente a las letras I y L), los errores de digitación por parte de los jugadores disminuyen drásticamente. Además, al eliminar por completo todas las vocales en inglés (A, E, I, O, U), se garantiza matemáticamente que el código de 5 caracteres nunca genere de forma accidental términos ofensivos, obscenos o inapropiados en la pantalla.
2. Sincronización temporal en tiempo real mediante ITwoFactorService
Las aplicaciones de autenticación TOTP convencionales dependen de manera exclusiva del reloj interno del sistema operativo del smartphone. Un desajuste de más de 30 segundos provoca que el servidor rechace el código. Valve mitigó este problema haciendo que la aplicación móvil de Steam consulte continuamente su servicio de tiempo en la nube: api.steampowered.com/ITwoFactorService/QueryTime/v0001.
La aplicación cliente determina con precisión milimétrica la desviación horaria respecto a los clústeres atómicos de Valve. De este modo, aunque el usuario retrase intencionadamente el reloj de su teléfono dos horas, Steam Guard continuará produciendo códigos válidos y exactos.
| Mecanismo de Autenticación | Formato del Código | Ventana Temporal | Compatibilidad con Apps TOTP de Terceros | Exención de Retención de Intercambio |
|---|---|---|---|---|
| Autenticador Móvil Steam Guard | 5 Alfanuméricos (M78KQ) | 30 Segundos | Propietario (Requiere extraer shared_secret) | ✅ Inmediato (Tras 7 días activo) |
| Validación por Correo Steam Guard | 5 Alfanuméricos (Vía Email) | Dinámico / Único | Incompatible | ❌ Retención obligatoria de 15 días |
| Estándar RFC 6238 (Ej. 2FA-Tool) | 6 Dígitos Decimales (123456) | 30 Segundos | Estándar universal de la industria | No aplicable al ecosistema de Steam |
Cómo evitar las retenciones de intercambio de 15 días (Política de Trade Escrow)
Antes de finales de 2015, miles de usuarios sufrían el vaciado de sus inventarios a diario mediante suplantaciones y malware. Dado que las transacciones eran instantáneas e irreversibles, los objetos robados se blanqueaban rápidamente a través de cadenas de cuentas intermediarias en cuestión de horas. Para destruir por completo el incentivo financiero del robo de cuentas, Valve implantó las Retenciones de Intercambio (Trade Holds o Escrow) y las Retenciones de Mercado.
Mecánica de activación y plazos del depósito en garantía (Escrow):
- Intercambios sin autenticador móvil activo: Si la cuenta que transfiere los objetos no cuenta con el Autenticador Móvil Steam Guard activo, los artículos son retenidos en depósito preventivo por Steam durante un máximo de 15 días.
- Excepción para amigos de larga duración: Si el destinatario del intercambio ha figurado en su lista de amigos de Steam durante más de 1 año ininterrumpido, el período de retención se reduce a 1 día.
- Publicaciones en el Mercado de la Comunidad: Las ofertas de venta creadas sin confirmación móvil quedan retenidas hasta 15 días antes de mostrarse públicamente en el Mercado de la Comunidad de Steam.
1. Ambos usuarios involucrados en el intercambio deben tener habilitado el Autenticador Móvil Steam Guard en sus cuentas durante al menos 7 días naturales consecutivos (168 horas).
2. El remitente debe autorizar expresamente la oferta saliente en la pestaña "Confirmaciones" de la aplicación móvil de Steam.
3. Ninguna de las dos cuentas debe haber efectuado un cambio reciente de contraseña o eliminación del autenticador en los últimos 7 días.
Confirmaciones móviles y defensa contra estafas con claves API (Scams de Intercepción)
Incluso con el autenticador móvil activado, miles de jugadores son víctimas anualmente de la conocida estafa de clave API de Steam (Steam API Key Scam o Phishing de Intercepción Comercial). Comprender el funcionamiento de este vector de ataque es fundamental para cualquier coleccionista o comerciante de skins.
Cronología detallada del ataque:
- Recolección de credenciales: La víctima ingresa en una página falsa de intercambio de skins, apuestas, votaciones de torneos o apertura de cajas e inicia sesión mediante una ventana simulada de "Iniciar sesión a través de Steam".
- Generación encubierta de la clave Web API: Mediante las cookies de sesión capturadas, el bot del atacante navega en segundo plano a la consola de desarrollo de Steam (
steamcommunity.com/dev/apikey) y crea una clave API asociada al dominio del atacante. - Supervisión e intercepción de ofertas: Días o semanas más tarde, la víctima envía una oferta legítima de intercambio (por ejemplo, un cuchillo de CS2 de 1.000 €) a un bot autorizado de compraventa o a un amigo real.
- Cancelación instantánea y clonación del destinatario: El servidor del ciberdelincuente, que sondea la API de Steam cada 500 ms, detecta la oferta pendiente. De forma instantánea, cancela la oferta auténtica, clona el avatar y el nombre de perfil del destinatario, genera un bot idéntico y remite una nueva oferta a la víctima.
- Confirmación descuidada en el móvil: La víctima abre la app de Steam en su smartphone. Al ver el avatar y el nombre habituales, pulsa "Confirmar intercambio" sin comprobar los datos críticos (antigüedad de la cuenta o nivel de Steam). El valioso objeto se transfiere de inmediato a la cuenta del atacante.
- Audite periódicamente su clave API: Ingrese en
https://steamcommunity.com/dev/apikey. Si usted no es desarrollador y observa una clave registrada, revóquela de inmediato y cambie su contraseña de Steam. - Verifique la antigüedad de la cuenta en la confirmación móvil: Antes de autorizar cualquier intercambio en el móvil, lea atentamente la ficha del destinatario. Steam indica la fecha de registro (ej. "Miembro desde 2018"). Si un intercambio dirigido a un amigo de confianza indica "Miembro desde hoy", cancélelo inmediatamente.
- Regenere su URL de intercambio: En la configuración de privacidad de su inventario de Steam, genere un nuevo enlace comercial para deshabilitar puntos de enlace previamente filtrados.
Anatomía criptográfica: Arquitectura dual de shared_secret frente a identity_secret
En el núcleo de la arquitectura móvil de Valve, Steam Guard genera dos claves criptográficas independientes al momento de la vinculación, las cuales quedan selladas en el almacenamiento aislado de la aplicación móvil:
- shared_secret: Clave simétrica codificada en Base64 utilizada exclusivamente para calcular los códigos de 5 caracteres que se muestran en la pantalla para iniciar sesión en el cliente de escritorio o en el navegador web.
- identity_secret: Clave criptográfica independiente encargada de firmar digitalmente las solicitudes HMAC-SHA1 enviadas a los endpoints de confirmación móvil de Valve (
/mobileconf/getlisty/mobileconf/ajaxop). Esta clave autoriza operaciones críticas e irreversibles: aprobar intercambios y vender activos de alto valor en el Mercado de la Comunidad.
Diversos operadores de bots e intermediarios de skins recurren a aplicaciones de terceros de código abierto, como Steam Desktop Authenticator (SDA), para automatizar confirmaciones desde su ordenador. SDA extrae tanto el shared_secret como el identity_secret y los guarda en archivos JSON con extensión .maFile directamente en el disco duro de Windows.
Esta práctica destruye el principio de seguridad fuera de banda (Out-of-Band) de la autenticación de dos factores. Cuando un malware ladrón de información (infostealer como RedLine, Lumma o Vidar) infecta el PC de juegos, localiza automáticamente estos archivos .maFile. Con ellos en su poder, el ciberdelincuente no necesita tener acceso a su smartphone: su red de bots carga las credenciales, genera los códigos de acceso, invalida sus intercambios legítimos y aprueba las transferencias de todo su inventario en cuestión de segundos.
Revocación de emergencia: El código supremo de recuperación R
Durante el proceso de configuración del Autenticador Móvil Steam Guard, tras ingresar el código de verificación por SMS, la aplicación móvil exhibe en pantalla un código que comienza por la letra R seguida de 5 dígitos (por ejemplo, R12345). Este es su Código de Revocación (R-Code).
Propósito y alcance del Código R:
A diferencia de los códigos de respaldo de Google o Discord (que permiten un inicio de sesión único para acceder a la cuenta), el código R de Steam no sirve para iniciar sesión. Su función arquitectónica exclusiva es desvincular y revocar de forma unilateral e inmediata el autenticador móvil de su cuenta.
Si su teléfono resulta extraviado, dañado irremediablemente o robado en un país extranjero donde no dispone de cobertura móvil para recibir SMS, puede ingresar en cualquier navegador web, pulsar en "No tengo acceso a mi Autenticador Móvil de Steam Guard", ingresar el código R y el autenticador quedará desvinculado al instante, sin requerir confirmaciones telefónicas ni esperas.
Almacenar una captura de pantalla del código R en la galería de fotos del smartphone anula totalmente su utilidad: si pierde o le sustraen el dispositivo, perderá simultáneamente el código de recuperación. Anótelo en un soporte físico fuera de línea o custódielo en un gestor de contraseñas cifrado (1Password, Bitwarden, KeePassXC).
Cambiar de móvil sin sufrir retenciones de intercambio (Migración fluida)
Al renovar su dispositivo móvil Android o iPhone, muchos usuarios cometen el grave error de eliminar primero el autenticador en el teléfono antiguo, lo que provoca automáticamente una retención de intercambio de 15 días. Para evitar este bloqueo, utilice el procedimiento oficial de migración directa de Valve:
NO desactive el autenticador en el teléfono antiguo
Conserve la aplicación intacta en su móvil anterior. Desvincularlo manualmente degrada la seguridad de la cuenta a validación por email, activando de inmediato el bloqueo comercial obligatorio de 15 días.
Instale la app oficial de Steam en el nuevo dispositivo
Descargue la aplicación oficial desde Google Play Store o Apple App Store. Abra la app e introduzca su nombre de usuario y contraseña habituales.
Seleccione "Mover el autenticador a este dispositivo"
Cuando el sistema solicite el código de Steam Guard, pulse en "Ayuda, ya no tengo acceso a los códigos de mi Autenticador Móvil de Steam Guard". A continuación, elija la opción "Mover autenticador a este dispositivo".
Confirme mediante el código de verificación por SMS
Valve remitirá un código de seguridad de 6 dígitos mediante SMS a su número telefónico registrado. Ingréselo en el nuevo móvil. Valve transferirá las claves criptográficas al nuevo dispositivo y revocará el acceso en el teléfono antiguo.
✅ Este procedimiento reduce las restricciones de intercambio al mínimo indispensable (habitualmente solo 2 días de enfriamiento preventivo en lugar de los 15 días completos).
Protocolo de recuperación ante desastres en tres niveles
Nivel 1: Pérdida del teléfono, pero conserva su número telefónico
Solicite un duplicado de la tarjeta SIM a su operadora telefónica. Desde el navegador web del ordenador, inicie sesión en Steam, seleccione "No tengo acceso a mi autenticador" y elija la verificación por SMS. Ingrese el código recibido para desvincular el dispositivo antiguo o habilitar uno nuevo.
Nivel 2: Teléfono y número extraviados, pero conserva el Código R
Acceda a help.steampowered.com -> "Ayuda, no puedo iniciar sesión" -> "He eliminado o perdido mi Autenticador Móvil de Steam Guard" -> "Ya no tengo acceso a este número de teléfono". Introduzca su código R##### guardado. Steam desvinculará el autenticador inmediatamente.
Nivel 3: Pérdida absoluta (Sin teléfono, sin número y sin Código R) — Comprobación de titularidad
Deberá enviar una solicitud formal de soporte a Valve aportando pruebas fehacientes de propiedad de la cuenta:
- Claves de CD de juegos físicos: Fotografías nítidas de la caja original del juego donde se aprecie claramente la pegatina de la clave de producto junto con el número de su ticket de soporte escrito a mano en un papel.
- Datos de pago con tarjeta de crédito/débito: Nombre completo del titular, dirección de facturación, entidad bancaria emisora y los últimos 4 dígitos de la tarjeta utilizada para compras en Steam.
- Comprobantes de pago digitales: Identificadores de facturas de transacciones de PayPal, transferencias bancarias o recibos oficiales vinculados a la tienda de Steam.
- Tarjetas de regalo físicas de Steam Wallet: Fotografías de tarjetas físicas prepago, tanto raspadas como sin raspar.
🛡️ Protocolo de contención post-incidente: Lista de verificación de respuesta a incidentes en 6 pasos
Si detecta movimientos no autorizados en su cuenta, intercambios anómalos o sospecha que sus credenciales han sido interceptadas por ciberdelincuentes, ejecute de inmediato esta lista de acciones urgentes de contención:
- Cambio inmediato de contraseña maestra: Modifique su contraseña de Steam desde un dispositivo secundario totalmente limpio. Cambiar la contraseña principal invalida de forma inmediata todas las cookies de sesión web activas.
- Desautorizar todos los dispositivos activos: Acceda a Detalles de la cuenta -> Administrar Steam Guard -> pulse en "Desautorizar todos los demás dispositivos". Esta acción fuerza el cierre de sesión en todas las instalaciones de escritorio y aplicaciones móviles vinculadas.
- Revocar claves Web API sospechosas: Diríjase a
steamcommunity.com/dev/apikeyy haga clic en "Revocar mi clave de la API web de Steam" para anular los accesos automatizados de los bots maliciosos. - Regenerar el enlace de ofertas de intercambio: En la configuración de privacidad de su inventario, cree una nueva URL de intercambio comercial para romper cualquier seguimiento programado.
- Activar la protección del Modo Familiar (Family View): Configure un código PIN de 4 dígitos que bloquee el acceso a su inventario, a la tienda y a los intercambios. Incluso si un intruso obtiene una sesión activa, no podrá visualizar ni transferir objetos sin conocer el PIN.
- Análisis completo de seguridad en el ordenador: Ejecute un escaneo exhaustivo antimalware fuera de línea con Windows Defender o Malwarebytes para erradicar cualquier troyano espía antes de volver a iniciar sesión en su PC habitual.
Preguntas frecuentes (FAQ)
¿Puedo utilizar software de escritorio (como SDA - Steam Desktop Authenticator) en lugar de un teléfono móvil? ▼
Aunque herramientas comunitarias de código abierto como SDA permiten extraer las claves y automatizar confirmaciones de intercambio en lotes, ejecutar el autenticador en el mismo PC utilizado para jugar y navegar destruye el principio de seguridad fuera de banda (Out-of-Band). Si su ordenador se infecta con un troyano espía o infostealer, los atacantes se apoderarán de su archivo .maFile y vaciarán su inventario en cuestión de segundos. El uso de un teléfono móvil físico independiente sigue siendo el estándar más seguro recomendado.
¿Por qué se restringen mis intercambios tras cambiar la contraseña de Steam? ▼
Para evitar que un atacante que descubra o vulnere su contraseña se apropie de su inventario de manera instantánea, Valve aplica de forma automática un período de enfriamiento comercial de 2 a 7 días tras cualquier restablecimiento de contraseña. Esta medida de seguridad es automática y la restricción se suspende por sí sola una vez transcurrido el tiempo estipulado.
¿El Modo Familiar de Steam (Family View) previene el secuestro de la cuenta? ▼
¡El Modo Familiar constituye una extraordinaria capa de defensa en profundidad! Al requerir un PIN numérico de 4 dígitos para acceder al inventario, a las ofertas de intercambio y a la tienda, cualquier atacante que intercepte su cookie de sesión web activa no podrá transferir artículos ni tramitar intercambios sin resolver primero el desafío del código PIN.
Prueba tu Clave Secreta 2FA en 2FA-Tool
¿Necesita generar códigos de seguridad RFC 6238 estándar para sus cuentas de videojuegos, servicios en la nube o redes sociales? Utilice nuestra calculadora TOTP 100% privada y fuera de línea ejecutada en su propio navegador.
📚 Guías de Seguridad Relacionadas
Cómo transferir cuentas 2FA a un nuevo teléfono mediante códigos QR sin conexión y sincronización en la nube.
Prevención contra robos de sesión, custodia de códigos de emergencia y configuración de autenticación segura.
Protocolos de restablecimiento de emergencia en Google, Microsoft, Steam, Binance, Apple y Discord.