פלטפורמת Steam של Valve אינה רק פלטפורמת ההפצה הדיגיטלית המובילה בעולם למשחקי מחשב (PC); היא מפעילה כלכלה וירטואלית בשווי מיליארדי דולרים המונעת מפריטים קוסמטיים הניתנים למסחר במשחקים כגון Counter-Strike 2 (CS2), Dota 2 ו-Team Fortress 2. מכיוון שמלאי הפריטים הווירטואליים מהווה נכסים נזילים וסחירים, חשבונות משתמשים ב-Steam מותקפים באופן שיטתי על ידי מתקפות Credential Stuffing אוטומטיות ורשתות פישינג. Steam Guard Mobile Authenticator הוא הן הכספת הביומטרית הראשית שלכם והן שער הכניסה ההכרחי למסחר עמית-לעמית ללא זמני המתנה והשהיות.
מיפוי Base32 מותאם אישית ללא תנועות ותווים דו-משמעיים, מסונכרן בזמן מול שרתי Valve.
חייב להיות פעיל במשך 7 ימים רצופים (168 שעות) כדי לפתוח מסחר מיידי ולמנוע השהיות escrow של 15 יום.
מוצג פעם אחת בלבד בעת ההרשמה. מבטיח ניתוק מיידי של המאמת במקרה של אובדן המכשיר.
ארכיטקטורת Steam Guard: מדוע 5 תווים אלפאנומריים?
משתמשים הרגילים לטוקנים עשרוניים בני 6 ספרות מ-Google Authenticator או דונגלים בנקאיים מוצאים לעיתים קרובות את פורמט הטוקן של Steam מתמיה. Steam Guard מציג קודים כגון K8MN2 או R7WXY. מדוע סטתה Valve מהפלט העשרוני הרגיל של תקן RFC 6238?
1. מיפוי קנייני בן 26 תווים ומניעת אי-בהירות חזותית
תקן RFC 6238 הרגיל גוזר טוקן בן 6 ספרות על ידי חישוב מספר שלם בן 31 סיביות מתמצית ה-HMAC-SHA1 וחישוב mod 10^6. מהנדסי Valve יישמו מבנה מיפוי חלופי המשתמש באלפבית של 26 תווים:
const STEAM_CHARS = "23456789BCDFGHJKMNPQRTVWXY";
מיפוי זה מפגין הנדסת אבטחה מעולה תוך התחשבות בגורם האנושי. על ידי הסרת תווים בעלי דמיון חזותי (כגון הספרה 0 לעומת האות O, והספרה 1 לעומת האותיות I ו-L), שגיאות הקלדה והעתקה מצטמצמות דרמטית. באופן מכריע, על ידי החרגת כל אותיות התנועה באנגלית (A, E, I, O, U), המחרוזת בת 5 התווים אינה יכולה ליצור בטעות מילים פוגעניות או גסות באנגלית על גבי המסך.
2. סנכרון זמן בזמן אמת באמצעות ITwoFactorService
מאמתי TOTP מסורתיים מסתמכים אך ורק על שעון מערכת ההפעלה של הסמארטפון של הלקוח. סטייה של 30 שניות גורמת לטוקנים שגויים. Valve פותרת זאת בכך שאפליקציית Steam Mobile פונה ישירות לנקודת קצה של חותמת הזמן באשכול שרתי Valve: api.steampowered.com/ITwoFactorService/QueryTime/v0001.
לקוח המובייל מחשב את ההיסט המדויק מול השעון האטומי של שרתי Valve. גם אם המשתמש מכוון ידנית את שעון הסמארטפון שלו שעתיים אחורה, Steam Guard יפיק טוקנים תקינים מתמטית.
| מנגנון אימות | פורמט קוד | חלון זמן | תאימות ל-TOTP צד שלישי | פטור מהשהיית מסחר (Escrow) |
|---|---|---|---|---|
| Steam Guard Mobile Authenticator | 5 Alphanumeric (M78KQ) | 30 שניות | קנייני (דורש חילוץ shared_secret) | ✅ מיידי (לאחר 7 ימים) |
| אימות Steam Guard באימייל | 5 Alphanumeric (Via Email) | דינמי / חד-פעמי | לא תואם | ❌ השהיית חובה של 15 ימים |
| RFC 6238 סטנדרטי (למשל 2FA-Tool) | 6 Decimal Digits (123456) | 30 שניות | תקן תעשייתי אוניברסלי | אינו רלוונטי למסחר ב-Steam |
עקיפת השהיית מסחר של 15 ימים (מדיניות Trade Escrow)
לפני סוף שנת 2015, אלפי משתמשי Steam נושלו ממלאי הפריטים הווירטואלי שלהם מדי יום באמצעות פישינג ותוכנות זדוניות. מכיוון שעסקאות היו מיידיות ובלתי הפיכות, פריטים גנובים החליפו ידיים דרך רשתות הלבנה תוך שעות ספורות. כדי לפרק את התמריץ המסחרי של גניבת חשבונות, Valve הנהיגה השהיות מסחר (Trade Holds / Escrow) והשהיות שוק (Market Holds).
מנגנוני הפעלת ה-Escrow ותנאי הסף:
- מסחר ללא Mobile Authenticator: אם למשתמש המבצע עסקה אין Mobile Authenticator פעיל בחשבון, פריטים שיוצאים בעסקה מוחזקים בנאמנות (escrow) על ידי Steam למשך עד 15 יום.
- חריג חברים ותיקים: אם מקבל העסקה נמצא ברשימת החברים שלכם ב-Steam במשך יותר משנה אחת רצופה, זמן ההשהיה מתקצר ל-יום אחד.
- הצעות למכירה ב-Community Market: הצעות שנוצרות ללא אישור מובייל מוקפאות ב-escrow עד 15 ימים לפני שיהפכו גלויות ב-Steam Community Market.
1. שני הצדדים בעסקה חייבים להפעיל את Steam Guard Mobile Authenticator בחשבונם במשך לפחות 7 ימים מלאים ורצופים (168 שעות).
2. השולח חייב לאשר את העסקה היוצאת בחלק ה"אישורים" (Confirmations) באפליקציית Steam במכשיר הנייד שלו.
3. אף אחד מהצדדים לא ביצע איפוס סיסמה שאינו מקושר או הסרת מאמת במהלך 7 הימים שקדמו לעסקה.
אישורי מובייל והגנה מפני הונאות מפתח API
גם כאשר Steam Guard מופעל, שחקנים נופלים תכופות קורבן להונאת מפתח ה-API של Steam (Steam API Key Scam / יירוט עסקאות בפישינג). הבנת וקטור תקיפה זה חיונית לכל מי שסוחר ב-skins.
כרונולוגיית ביצוע התקיפה:
- איסוף פרטי התחברות: הקורבן מבקר באתר מזויף למסחר ב-skins, אתר טורנירים או פתיחת תיבות, ומבצע אימות דרך חלון "Sign in through Steam" מתחזה.
- יצירה חשאית של מפתח Web API: באמצעות עוגיות ההתחברות שנלכדו, בוט של התוקף מנווט בחשאי לקונסולת המפתחים של Steam (
steamcommunity.com/dev/apikey) ורושם מפתח API תחת הדומיין של התוקף. - יירוט אוטומטי של הצעת המסחר: ימים לאחר מכן, הקורבן שולח הצעת מסחר המכילה סכין CS2 בשווי $1,000 לבוט מסחר לגיטימי או לחבר.
- ביטול מיידי והתחזות משובטת: השרת של התוקף, שדוגם את ה-Steam Web API מדי 500 מילי-שניות, מזהה את ההצעה הממתינה. הוא מבטל אוטומטית את העסקה האותנטית, מגרד את האוואטר ואת שם הפרופיל של הנמען, יוצר פרופיל בוט זהה ב-Steam, ושולח הצעת מסחר זהה לקורבן.
- אישור פזיז בנייד: הקורבן פותח את אפליקציית Steam בנייד. בראותו את האוואטר המוכר ואת הסכין, הוא לוחץ "Confirm Trade" מבלי לבדוק את תאריך פתיחת החשבון של הנמען או את רמת ה-Steam שלו. הפריט מועבר ישירות למלאי של התוקף.
- בדקו את דף מפתח ה-API שלכם: נווטו אל
https://steamcommunity.com/dev/apikey. אם אינכם מפתחים ומופיע שם מפתח פעיל, בטלו אותו מיד (Revoke) ושנו את סיסמת ה-Steam שלכם. - בדקו את ותק החשבון באפליקציית הנייד: בעת אישור עסקה באפליקציית Steam, בדקו בקפידה את פרטי הנמען. Steam מציגה את שנת ההרשמה המדויקת (למשל, "Member since 2017"). אם עסקה שיועדה לשותף ותיק מציגה "Member since today", בטלו אותה מיד.
- אפסו את כתובת ה-Trade URL: בהגדרות המלאי שלכם, הפיקו כתובת URL חדשה להצעות מסחר כדי לפסול נקודות קצה שדלפו בעבר.
אנטומיה קריפטוגרפית: ארכיטקטורה כפולה של shared_secret מול identity_secret
מתחת למכסה המנוע של ארכיטקטורת האפליקציה של Valve, תוכנת Steam Guard מסתמכת על שני מפתחות קריפטוגרפיים נפרדים שנוצרים בעת הרישום ונשמרים נעולים באחסון המקומי המאובטח (sandbox) של הסמארטפון:
- shared_secret: מפתח סודי בקידוד Base64 המשמש אך ורק לגזירת קודי ה-TOTP בני 5 התווים המוצגים על מסך המכשיר עבור התחברויות לתוכנת שולחן העבודה ולדפדפן.
- identity_secret: מפתח קריפטוגרפי עצמאי המשמש לחתימה דיגיטלית על טוקנים של HMAC-SHA1 הנשלחים לנקודות קצה של אישורי מובייל ב-API של Valve (
/mobileconf/getlistו-/mobileconf/ajaxop). מפתח זה מאשר פעולות בלתי הפיכות: אישור עסקאות יוצאות והעמדת פריטים יקרי ערך למכירה ב-Steam Community Market.
סוחרי פריטים וירטואליים רבים בהיקפים גדולים פונים לכלי עזר שולחניים בקוד פתוח של צד שלישי כמו Steam Desktop Authenticator (SDA) כדי להפוך אישורי עסקאות לאוטומטיים. SDA מחלץ הן את ה-shared_secret והן את ה-identity_secret, ושומר אותם כקובצי JSON בטקסט גלוי או בהצפנה חלשה (.maFile) במערכת הקבצים המקומית של Windows.
זרימת עבודה זו משמידה את עקרון האבטחה הבסיסי של אימות דו-שלבי: הפרדת חומרה מחוץ-לפס (Out-of-Band - OOB). כאשר סוס טרויאני לגניבת מידע (כגון RedLine, Lumma או Vidar) מדביק מחשב גיימינג, הוא סורק במיוחד את כונני האחסון בחיפוש אחר קובצי .maFile. לאחר שנגנבו, התוקף אינו זקוק כלל לגישה פיזית לטלפון שלכם; רשת הבוטים האוטומטית שלו טוענת את הסודות שלכם, מייצרת טוקני התחברות תקינים, מבטלת את העסקאות האמיתיות שלכם וחותמת על אישורי מובייל חדשים כדי לחסל את כל המלאי שלכם תוך דקות.
ביטול לשעת חירום: כוחו העליון של ה-R-Code
כאשר אתם נרשמים ל-Steam Guard Mobile Authenticator, לאחר אימות קוד ה-SMS הסלולרי שלכם, האפליקציה מציגה קוד המתחיל באות R ואחריה 5 ספרות (למשל, R12345). זהו קוד הביטול שלכם (Revocation Code / R-Code).
העוצמה והתפקיד של ה-R-Code:
בשונה מקודי גיבוי של Google או Discord (המעניקים סשן התחברות חד-פעמי), ה-R-Code של Steam אינו מאפשר התחברות לחשבון. תפקידו הארכיטקטוני הבלעדי הוא לבטל ולנתק באופן חד-צדדי את מאמת המובייל מהחשבון שלכם.
אם הטלפון שלכם נגנב, נפל למים, או אבד בחו"ל במקום שבו לכרטיס ה-SIM שלכם אין נדידה (roaming), תוכלו לפתוח כל דפדפן במחשב, ללחוץ על "אין לי גישה לקודי Steam Guard Mobile Authenticator", להזין את ה-R-Code שלכם, והמאמת יוסר מיד ללא צורך ב-SMS או באישור מהמכשיר הנייד.
שמירת צילום מסך של ה-R-Code בגלריית התמונות של הסמארטפון מרוקנת אותו מתוכן: כאשר הטלפון נאבד או נשבר, ה-R-Code נאבד יחד איתו. רשמו אותו על גבי נייר פיזי או שמרו אותו בכספת סיסמאות מוצפנת (1Password, Bitwarden, KeePassXC).
שדרוג טלפונים: מעבר שלב-אחר-שלב ללא השהיות מסחר
בכל פעם שגיימרים משדרגים את מכשיר ה-iPhone או ה-Android שלהם, רבים עושים את הטעות ומסירים תחילה את המאמת מהטלפון הישן, מה שמפעיל השהיית מסחר מענישה של 15 יום ב-escrow. במקום זאת, פעלו לפי נתיב ההעברה הרשמי והחלק של Valve:
אל תסירו את המאמת מהטלפון הישן
השאירו את המכשיר הישן כפי שהוא. הסרה ידנית מורידה את הגנת החשבון לאימות באימייל בלבד, מה שמחיל מיד השבתת מסחר חובה.
התקינו את אפליקציית Steam בטלפון החדש
הורידו את אפליקציית Steam הרשמית מ-Apple App Store או Google Play Store. הפעילו את האפליקציה והזינו את שם המשתמש והסיסמה שלכם.
בחרו באפשרות "Move authenticator to this device"
כאשר תתבקשו להזין את קוד ה-Steam Guard הנוכחי, הקישו על "Please help, I no longer have access to my Steam Guard Mobile Authenticator codes" (עזרה, אין לי עוד גישה לקודי ה-Steam Guard). לאחר מכן בחרו ב-"Move authenticator to this device" (העבר מאמת למכשיר זה).
אשרו באמצעות קוד אימות ב-SMS
Steam שולחת קוד אימות בן 6 ספרות ב-SMS למספר הטלפון הרשום שלכם. הזינו קוד זה בטלפון החדש. Valve תעביר את חומרי המפתח הקריפטוגרפיים למכשיר החדש שלכם ותבטל את ההרשאה של הטלפון הישן.
✅ תהליך העברה זה שומר על השהיות המסחר למינימום האפשרי (בדרך כלל השהיה קצרה של יומיים בלבד במקום 15 ימי escrow מלאים).
תוכנית התאוששות מאסון בת שלושה שלבים
דרג 1: הטלפון אבד, אך מספר הטלפון נשמר
השיגו כרטיס SIM חלופי מחברת הסלולר שלכם. בדפדפן במחשב, התחברו ל-Steam, בחרו באפשרות "אין לי גישה למאמת שלי", ובחרו בשחזור באמצעות SMS. הזינו את הקוד כדי להסיר את המכשיר הישן או להגדיר מכשיר חדש.
דרג 2: הטלפון ומספר הטלפון אבדו שניהם, אך ה-R-Code זמין
נווטו אל help.steampowered.com -> "Help, I can't sign in" -> "I deleted or lost my Steam Guard Mobile Authenticator" -> "I no longer have access to this phone number". הזינו את קוד ה-R##### השמור שלכם. Steam תבטל את קישור המאמת באופן מיידי.
דרג 3: אובדן מוחלט (ללא טלפון, ללא מספר, ללא R-Code) — הוכחת בעלות
פתחו פניית תמיכה ידנית מול Valve. עליכם לספק הוכחת בעלות על החשבון הקבילה מבחינה משפטית:
- מפתחות CD-Key של משחקים פיזיים: תצלומים ברורים של קופסאות משחק פיזיות המציגות את מדבקת ה-CD-Key לצד מספר פניית התמיכה שלכם כתוב בכתב יד.
- אימות כרטיס אשראי: שם בעל הכרטיס, כתובת לחיוב, חברת האשראי ו-4 הספרות האחרונות ששימשו לרכישות ב-Steam.
- קבלות תשלום מצד שלישי: מזהה חשבונית PayPal (Invoice ID) או מספרי קבלות עסקה של אמצעי תשלום מקושרים לרכישות ב-Steam.
- כרטיסי מתנה פיזיים של Steam Wallet: תצלומים של כרטיסי Steam Wallet פיזיים (שנשרטו או שטרם נשרטו).
🛡️ טיפול לאחר פריצה: פרוטוקול תגובה לתקרית ב-6 שלבים
אם זיהיתם פעילות חשודה בחשבון, עסקאות חריגות או שאתם חוששים שפרטיכם נגנבו, בצעו מיידית את רשימת הפעולות הקריטית הזו לבלימת התקרית:
- כפו החלפת סיסמה: עדכנו מיד את סיסמת ה-Steam הראשית שלכם ממכשיר משני נקי ומאובטח או מהסמארטפון. שינוי סיסמת המאסטר מסיים באופן מיידי את כל טוקני הסשן הפעילים בדפדפנים.
- בטלו הרשאות מכל המכשירים הפעילים: נווטו אל פרטי חשבון Steam -> ניהול Steam Guard -> לחצו על "בטל הרשאה לכל המכשירים האחרים" (Deauthorize all other devices). פעולה זו מוחקת את עוגיות ההתחברות הפעילות בכל התקנות שולחן העבודה ואפליקציות המובייל.
- בטלו מפתח Web API שנפרץ: בקרו בכתובת
steamcommunity.com/dev/apikeyולחצו על "Revoke My Steam Web API Key" כדי לנתק את החיבורים של בוט התוקף. - צרו מחדש כתובת Trade Offer URL: בהגדרות פרטיות הצעות המסחר במלאי שלכם, הפיקו קישור חדש כדי לשבור כל מעקב של סורקים אוטומטיים.
- הפעילו הגנת Steam Family View: הגדירו קוד PIN בן 4 ספרות של Family View המגן על גישה למלאי ולמסחר. גם אם תוקף משיג שוב עוגיית סשן ברשת, הוא לא יוכל לצפות במלאי או לבצע עסקאות ללא הקשת קוד ה-PIN.
- בצעו חיטוי מלא של עמדת הקצה: הריצו סריקת נוזקות מקיפה עם Windows Defender או Malwarebytes כדי לטהר סוסים טרויאניים לגניבת מידע לפני הפעלת Steam במחשב הגיימינג הראשי שלכם.
שאלות נפוצות (FAQ)
האם ניתן להשתמש בתוכנת שולחן עבודה (כגון SDA - Steam Desktop Authenticator) במקום בטלפון? ▼
אף שתוכנות קוד פתוח של צד שלישי כמו SDA יכולות לחלץ את סוד ה-Steam שלכם ולהפוך אישורי עסקאות לאוטומטיים, הפעלת מאמת על אותו מחשב המשמש לגיימינג ולגלישה באינטרנט הורסת את גבול האבטחה הבסיסי של "מחוץ לפס" (Out-of-Band). אם תחנת העבודה שלכם נדבקת בסוס טרויאני לגניבת מידע, התוקפים לוכדים את קובץ הנתונים של ה-SDA שלכם ומרוקנים את המלאי תוך שניות. טלפונים ניידים פיזיים ייעודיים נותרים תקן הזהב.
מדוע העסקאות שלי מוגבלות לאחר שינוי סיסמת ה-Steam שלי? ▼
כדי למנוע מתוקף שמפצח או מנחש את הסיסמה שלכם לרוקן מיד את המלאי שלכם, Valve אוכפת השהיית מסחר אוטומטית של בין יומיים ל-7 ימים בעקבות איפוס סיסמה. המגבלה מוסרת אוטומטית ברגע שתקופת ההשהיה מסתיימת.
האם מצב Steam Family View מונע חטיפת חשבון? ▼
מצב Family View מספק הגנה לעומק (Defense-in-Depth) משמעותית ביותר! על ידי דרישת קוד PIN משני בן 4 ספרות כדי לגשת למלאי, להצעות מסחר ולתכונות החנות, תוקף המשיג גישה לסשן הרשת הפעיל שלכם אינו יכול ליזום עסקאות או לצפות במלאי מבלי לפתור תחילה את אתגר ה-PIN.
הפקת קודי 2FA אוניברסליים באופן מאובטח
מעוניינים להפיק קודי TOTP סטנדרטיים לפי RFC 6238 עבור חשבונות המשחקים, הענן והרשתות החברתיות שלכם? השתמשו במחשבון ה-100% לא מקוון בצד הלקוח של 2FA-Tool.