Соскамился Steam-бот от Aladdin [SWIFT Bot]

Сегодня ночью скамнулся очередной Steam-бот.
Почему я знал об этом заранее, как избежать подобных ситуаций и что делать, если это уже произошло?

1. Безопасность вашего аккаунта

1.1 Какие данные можно передавать?

Вы решили воспользоваться ботом для работы со Steam или связанными с ним площадками. Если вы доверяете разработчику, можно передать только:

Cookies из браузера
или
Логин и пароль + код Steam Guard
или
Логин и пароль + shared_secret из .maFile

Объясняю простыми словами:

Куки — это ваша текущая сессия Steam. Она позволяет делать всё то, что вы можете сделать в браузере без дополнительных подтверждений (в том числе входить на сайты). Она будет действительна какое-то время.

Логин + пароль + код Steam Guard — разовый доступ к аккаунту. Возможности ровно такие же как и в первом случае.

Логин + пароль + shared_secret — с этим набором бот сможет генерировать коды Steam Guard (как SDA), пока вы не удалите Guard. Shared переводится как совместный, само название говорит о том, что он не такой уж и опасный.

1.2 Какие данные нельзя передавать?

Коротко: все остальные.

Разберёмся подробнее на примере тех данных, что собирает бот от Аладдина:

identity_secret — используется для проведения всех операций, требующих дополнительного подтверждения через Steam Guard (в том числе отправка трейдов). Передавать его — передать полный контроль над аккаунтом.

API key — нужен для сбора подробной информации о пользователе, отслеживания, запрашивания и отмене (не принятия). Если ключ уже создан, его можно получить из браузера.

steamid — не понимаю зачем его требуют. Очевидно, что после логина в стим, вы можете посмотреть его в браузере.

Важное замечание:
Неважно, в каком виде вы предоставляете данные — отправляете ли вы их по сети или запускаете программу у себя на компьютере. Если программа получила доступ к данным, она может использовать их как угодно: ничто не помешает ей, например, переслать их с вашего компьютера на устройство злоумышленника.

1.3 Выводы:

Теперь вы понимаете, почему я изначально не доверял этому боту.

Напоминаю: для покупки скинов на торговой площадке не нужно никаких дополнительных подтверждений. Не нужны identity_secret или API key.

Лучше несколько раз перепроверить и переспросить у третьих лиц, зачем нужны те данные, что вы собираетесь передать.

Продолжение здесь