- A Steam soha nem kér felhasználónevet és jelszót külső oldalon — a bejelentkezési ablak kizárólag a steamcommunity.com címen létezik.
- A leggyakoribb módszer az API-kulcs ellopása: a cserédet törlik, és egy azonos másolattal helyettesítik, amely a csalóhoz megy.
- A végső ellenőrzés mindig a mobilalkalmazásban történik: ott látszik pontosan, mit és kinek adsz.
- Egyetlen szolgáltatás sem tudja „pénzért levenni a cserezárat” — minden ilyen ajánlat csalás.
A CS2 leltár valódi pénz, és köré egy egész csalóipar épült. Mégis, szinte minden hangzatos „feltörték a fiókomat” történet három-négy tipikus módszerre vezethető vissza, és mindegyik megtörik egyetlen elemi szokáson: ellenőrizni azt, amit megerősítesz.
Nézzük meg, hogyan működnek valójában a 2026-os módszerek, mi árulja el a hamis oldalt, és mit tegyél, ha a tárgyak már eltűntek.
A biztonságos csere aranyszabálya
Pontosan egyetlen képernyő van, amelyen a csere visszafordíthatatlanná válik — a megerősítés a Steam mobilalkalmazásában. Minden, ami előtte történt, visszavonható: az ajánlat elutasítható, a lap bezárható, a munkamenet lezárható.
1. módszer: a Steam API-kulcs ellopása
A legelterjedtebb és a legalattomosabb módszer. A felhasználó felmegy egy adathalász oldalra, „bejelentkezik”, a támadó pedig pontosan annyi hozzáférést szerez a fiókhoz, hogy web API-kulcsot hozzon létre. Onnantól minden automatikusan zajlik.
-
Elküldesz egy normális cserét
Például egy platform botjának vagy egy ismerősnek — az ajánlat teljesen hétköznapinak látszik.
-
A csaló szkriptje törli
Az API-kulcs lehetővé teszi a fiókodon lévő csereajánlatok valós idejű megtekintését és törlését.
-
Megérkezik az ajánlat másolata
Ugyanaz a tárgylista, ugyanaz az avatar és név — de a címzett a csaló fiókja.
-
Megerősíted a „saját” cserédet
Sietségben a megerősítés automatikusan átmegy, és a tárgyak rossz helyre kerülnek.
Pontosan egy védekezés létezik: a böngészőben lévő oldal helyett a mobilalkalmazás megerősítő képernyőjét nézni. Az alkalmazás a valódi címzett fiókot mutatja, és ezt nem lehet hamisítani.
2. módszer: hamis oldalak és ikerdomainek
Az adathalász platformok pixelre pontosan lemásolják az ismert szolgáltatások felületét, és csak a címben térnek el: egy plusz kötőjel, másik domainvégződés, latin l az i helyett, egy hozzáadott szó, például „-trade” vagy „-gg”.
- Olvasd el a domaint betűnként. Nem a logó, nem a design alapján — a címsor alapján, karakterről karakterre.
- Ellenőrizd, hová vezet a bejelentkezés. A „Bejelentkezés Steammel” megnyomásakor a címsorban érvényes tanúsítvánnyal kell megjelennie a steamcommunity.com címnek.
- Hagyd figyelmen kívül a privát üzenetek linkjeit. Discord-meghívók, profilkommentek, „ajándék a tornán való részvételért” — az adathalászat szokásos terjesztési csatornái.
- Ne bízz a keresőhirdetésekben. A csalók rendszeresen vásárolnak hirdetési pozíciókat népszerű szolgáltatások nevére.
3. módszer: hamis botok és „tárgyellenőrzés”
Ír neked egy „platformalkalmazott”, és arra kér, küldj skineket egy botnak ellenőrzésre, feloldásra vagy „tulajdonos-igazolásra”. A Steamen semmilyen tárgyellenőrzés nem létezik — ez kitalált eljárás.
Valódi szolgáltatásbot
- Az ajánlat a platformon lévő fiókodból nyílik meg
- A Trade URL-en kívül semmit nem kér
- Soha nem ír neked elsőként
- A csere tartalma egyezik az oldalon lévő kosárral
Csaló fiók
- Steamen vagy Discordon ír „kedvező ajánlattal”
- Arra kér, küldj tárgyakat „ellenőrzésre”
- Siettet: időzítő, „az ajánlat mindjárt lejár”
- Pénzért felajánlja a „cserezár levételét”
4. módszer: tárgycsere a cereablakban
A játékosok közti közvetlen ügyletek klasszikusa: a cereablakban egy vizuálisan hasonló skin van — ugyanaz a fegyver, ugyanaz a minta, de más kopási osztály, matricák nélkül vagy StatTrak nélkül. Az árkülönbség tízszeres is lehet.
- Ellenőrizd a tárgy teljes nevét a zárójelben lévő osztállyal együtt.
- A floatot és a matricákat vizsgálattal ellenőrizd, ne „ránézésre”.
- Gondolj a StatTrakra és a Souvenirre — vizuálisan a tárgyak szinte azonosak.
- Ne egyezz bele „a többit később fizetem” típusú ügyletekbe: a Steamen nincs letéti szolgáltatás.
Steam-beállítások, amelyeket érdemes bekapcsolni
| Beállítás | Hol kapcsold be | Mit ad |
|---|---|---|
| Mobil hitelesítő | Steam alkalmazás → Steam Guard | Megszünteti a 15 napos visszatartást, és kötelező cseremegerősítést ad |
| E-mailes megerősítés | Fiókbeállítások | Értesítések belépésekről és jelszóváltásokról új eszközökről |
| API-kulcs ellenőrzése | steamcommunity.com/dev/apikey | Egy idegen kulcs visszavonása leállítja a cserék automatikus lecserélését |
| Eszközök kijelentkeztetése | Beállítások → Biztonság | Megszünteti az összes idegen aktív munkamenetet |
Mit tegyél, ha a skinek már eltűntek
2025 júliusa óta a károsultaknak van valódi visszaszerzési eszközük — a Trade Protection szerinti visszavonás. Nyers, de működik.
-
Szerezd vissza az irányítást a fiók felett
Változtass jelszót, vond vissza az API-kulcsot, jelentkeztesd ki az összes eszközt, ellenőrizd a csatolt e-mail-címet.
-
Ellenőrizd a határidőt
A visszavonás csak az elmúlt 7 nap cseréire érhető el — a tárgyaknak Trade Protected státuszúaknak kell lenniük.
-
Indítsd el a cserék visszavonását
A mechanika mindent vagy semmit: az időszak összes védett cseréje visszaáll, a tisztességesekkel együtt.
-
Fogadd el a következményeket
A visszavonás után a fiók 30 napot kap kereskedés és Steam Market nélkül, és minden aktív hirdetést levesznek.
A csalók nem törik fel a Steamet — rávesznek, hogy te nyomd meg a „megerősítés” gombot. Az egyetlen szokás, amely megvédi a leltárat: minden alkalommal végigolvasni a megerősítő képernyőt. A szabály, amely több leltárat ment meg, mint bármelyik vírusirtó
Arról, hogyan működnek a törvényes kereskedési botok, és miben térnek el a hamisítványoktól, a CS2 cserebotok cikkben olvashatsz. Arról pedig, miért van szükségük a szolgáltatásoknak cserelinkre, és miért biztonságos megadni, a Trade URL a Steamen anyagban.
Gyakori kérdések
Veszélyes megadni egy oldalnak a Trade URL-emet?
Nem. A cserelink csak azt teszi lehetővé, hogy ajánlatot küldjenek neked — az elfogadás vagy elutasítás kizárólag rajtad múlik. A jelszó, a Steam Guard kódok és az API-kulcs a veszélyes, nem a Trade URL.
Hogyan ismerem fel, hogy egy skincsere-oldal hamis?
Olvasd el a domaint betűnként, figyelj a hasonló karakterekre és a fölösleges kötőjelekre, győződj meg róla, hogy a bejelentkezés valóban a Steam OpenID-n megy keresztül (steamcommunity.com a címsorban), és nézd meg az oldal korát és a valódi véleményeket. A Steam-jelszó bekérése száz százalékig adathalászat jele.
Mit tegyek, ha már megadtam az adataimat egy gyanús oldalon?
Változtass Steam-jelszót, vond vissza az API-kulcsot a steamcommunity.com/dev/apikey címen, jelentkeztesd ki az összes eszközt, és nézd át az aktív munkameneteket. Ha a tárgyak már elmentek, 7 napon belül használd a Trade Protection szerinti visszavonást.
Segít a Trade Protection visszaszerezni az ellopott skineket?
Igen, ha a csere óta kevesebb mint 7 nap telt el. A visszavonás az adott időszak összes védett cseréjét érinti, és 30 napos kereskedési korlátozással jár, viszont a tárgyak visszakerülnek a tulajdonoshoz.
