Jak bezpečně obchodovat se skiny mimo Steam Marketplace

Skiny v CS2 mají reálnou hodnotu a kde jsou peníze, tam jsou podvodníci. Steam Market je pohodlný, ale má svá omezení, a tak dřív nebo později narazíš na obchod, který se odehrává mimo něj. Tenhle článek není o tom, kde obchodovat — je o tom, jak u toho nepřijít o inventář. Pokud teprve začínáš skiny nakupovat, přečti si nejdřív jak nakupovat skiny, aniž by ses choval jako investor, a pak se vrať sem.

Proč se vůbec obchoduje mimo Steam Market

Steam Market funguje, ale má tři velké limity:

• Peníze zůstávají ve Steamu. Co prodáš, přistane ve Steam peněžence. Můžeš za to koupit hry nebo další skiny, ale reálné peníze z toho nikdy nevytáhneš.
• Poplatky. Z každého prodeje si Steam a hra ukrojí provizi, takže prodávající dostane citelně méně, než kupující zaplatil.
• Cenový strop. U opravdu drahých itemů narazíš na maximální cenu listingu, takže nejdražší kusy se přes Market prodat nedají vůbec.

Právě proto existuje obchodování napřímo (trade offery) a tržiště třetích stran. A právě tam se soustředí drtivá většina podvodů — protože mimo Steam Market už tě nechrání systém, ale hlavně tvoje vlastní návyky.

Zlaté pravidlo: escrow, nebo nic

Pokud obchoduješ za reálné peníze, dělej to jen přes zavedená tržiště, která fungují jako prostředník — item i platba projdou přes systém tržiště (escrow) a k výměně dojde teprve ve chvíli, kdy obě strany splnily svou část. Nebudeme tady jmenovat konkrétní weby; podstatný je princip:

• Tržiště drží item nebo peníze, dokud není obchod dokončený z obou stran.
• Existuje reálná ochrana kupujícího i prodávajícího a řešení sporů.
• Služba má dlouhou historii a dohledatelnou reputaci — ne web, který vznikl minulý měsíc.

A z toho plyne nejdůležitější věta celého článku: nikdy neposílej skin „napřed" na slib, že platba dorazí potom. Jakmile item opustí tvůj inventář dobrovolně potvrzenou výměnou, je pryč. Žádný screenshot konverzace ti ho nevrátí. Kdo po tobě chce item předem „na důvěru", není obchodní partner, ale podvodník — bez výjimky.

Steam Guard Mobile Authenticator není volitelný

Než uděláš jediný obchod, měj aktivní Steam Guard Mobile Authenticator v mobilní aplikaci Steam. Bez něj:

• nemáš potvrzování výměn na druhém zařízení, takže útočníkovi stačí heslo,
• Steam ti navíc obchodování omezuje delšími čekacími lhůtami.

Authenticator znamená, že každou výměnu potvrzuješ v telefonu a vidíš tam přesně, co odchází a co přichází. To je poslední kontrolní bod před nevratným krokem — nepřeskakuj ho automatickým odklepnutím.

Trade offer čti písmeno po písmenu

Klasický trik: podvodník si zkopíruje jméno a avatar tvého kamaráda, obchodního bota tržiště nebo známého tradera a pošle ti nabídku. Na první pohled nerozeznatelné. Proto u každé nabídky kontroluj:

• Přesné jméno účtu — ne zobrazované jméno, to si může nastavit kdokoli. Hledej záměny znaků (velké I místo malého l, nula místo O).
• Úroveň účtu a stáří registrace. Čerstvý účet s úrovní 0, který se vydává za zavedeného bota nebo kamaráda s letitým profilem, je červená vlajka.
• Obsah nabídky položku po položce. Že v ní je „nůž" neznamená, že je to ten správný nůž. Zkontroluj přesný skin, opotřebení a to, co za něj reálně dostáváš. Co konkrétně znamenají float a pattern a proč se kvůli nim liší ceny, rozebíráme v článku Float, wear a pattern u CS2 skinů.

Když ti kamarád píše mimo Steam, ať mu pošleš item, ověř si to s ním jiným kanálem (hlasem, osobně). Ukradené účty se běžně používají právě k okrádání přátel.

API key scam: nejzákeřnější trik současnosti

Steam API klíč je vývojářský nástroj, který umožňuje programově pracovat s tvým účtem — mimo jiné vidět a rušit tvoje trade offery. Scam funguje takhle:

1. Phishingem nebo „ověřením" tě někdo přiměje vygenerovat a předat API klíč (nebo se ti ho vytáhne po přihlášení na falešné stránce).
2. Ty pak uděláš legitimní obchod s tržištěm nebo traderem.
3. Podvodníkův skript tvou skutečnou nabídku na poslední chvíli zruší a okamžitě podstrčí identicky vypadající nabídku od svého bota se zkopírovaným jménem a avatarem.
4. Ty potvrdíš, protože „přesně tuhle výměnu" čekáš — a item odejde podvodníkovi.

Pravidla jsou jednoduchá:

• Nikdy nedávej svůj Steam API klíč třetí straně. Žádná legitimní služba pro běžného hráče ho k „ověření účtu" nepotřebuje.
• Pokud po tobě někdo chce API klíč jako „ověřovací krok", právě ti popsal, že tě chce okrást.
• Občas se podívej na stránku správy API klíče ve svém Steam účtu — pokud tam je klíč, který sis vědomě nevytvořil, okamžitě ho zruš a změň heslo.

Phishing: falešný Steam vypadá jako pravý Steam

Falešné přihlašovací stránky Steamu jsou dnes pixel-perfect kopie. Liší se jedinou věcí: doménou. Proto:

• Před zadáním přihlašovacích údajů zkontroluj URL v adresním řádku — celou, ne jen začátek. Záměna písmen, pomlčka navíc nebo jiná koncovka znamená stop.
• Nepřihlašuj se přes odkazy z chatů, komentářů a e-mailů typu „hlasuj pro můj tým", „vyhrál jsi skin" nebo „tvůj item byl nahlášen". To jsou klasické návnady.
• Přihlášení přes Steam na webech třetích stran probíhá přes oficiální doménu Steamu — pokud tě formulář žádá o heslo jinde, zavři to.

„Middleman" podvody

Starý trik, který pořád funguje: protistrana navrhne, že obchod „pojistí" nezávislý prostředník — důvěryhodně vypadající profil, klidně s falešnými referencemi. Middleman je ovšem komplic. Jakmile mu pošleš item „do úschovy", obchod skončil. Skutečnou úschovu dělá systém tržiště, ne cizí člověk z chatu. Nabídku lidského middlemana ber automaticky jako pokus o podvod.

Princip nad všemi triky: nadstandardní nabídka je návnada

Konkrétní scamy se mění, návnada je pořád stejná: nabídka výrazně lepší, než odpovídá trhu. Někdo ti chce přeplatit „protože končí s hraním", vyměnit dražší skin za levnější, přihodit bonus navíc. Polož si jedinou otázku: proč by to racionální člověk dělal? Neexistuje odpověď, která nekončí tím, že jsi cíl. Stejná střízlivost se mimochodem vyplatí i u otevírání beden — spočítali jsme to v článku Case opening vs. přímá koupě skinu.

Checklist před každým obchodem

• Mám aktivní Steam Guard Mobile Authenticator.
• Obchoduji přes zavedené tržiště s escrow, ne „na důvěru".
• Nikdy neposílám item napřed na slib platby.
• Zkontroloval jsem přesné jméno, úroveň a stáří účtu protistrany.
• Prošel jsem trade offer položku po položce, včetně toho, co dostávám.
• Svůj Steam API klíč jsem nikdy nikomu nedal a vím, že žádný nemám vygenerovaný cizí.
• Přihlašuji se jen po kontrole celé URL.
• Nabídka odpovídá tržní ceně — pokud je „příliš dobrá", odcházím.

Když už se to stalo

Žádná panika nepomůže, rychlost ano:

1. Změň heslo ke Steam účtu z čistého zařízení.
2. Zruš svůj Steam API klíč, pokud nějaký existuje.
3. Deautorizuj všechna zařízení ve Steam Guard nastavení a zkontroluj, že authenticator máš pod kontrolou ty.
4. Zkontroluj e-mail navázaný na účet — jestli byl kompromitovaný, zabezpeč nejdřív ten.
5. Nahlas podvodníkův účet přes Steam a případ přes oficiální podporu Steamu.

A jedno upřímné upozornění: potvrzené výměny se zpětně neruší a s vrácením itemů nepočítej. Právě proto má smysl všechna pravidla výš dodržovat předtím — po potvrzení výměny už za tebe nikdo nic nezachrání.

Závěr

Bezpečné obchodování se skiny nestojí na znalosti každého nového triku, ale na pár železných návycích: escrow místo důvěry, authenticator v telefonu, kontrola každého znaku v trade offeru, API klíč nikomu a zdravá nedůvěra ke všemu, co zní příliš dobře. Podvodníci spoléhají na spěch a chamtivost. Vezmi jim obojí a nemají nic.