Nejčastější scam scénáře u skinů, trade offerů a case opening webů

O skiny se dá přijít mnohem rychleji, než se dají vydělat. Většina podvodů přitom nestojí na žádném hackování — stojí na tom, že tě někdo přesvědčí, abys zloději otevřel dveře sám. Tenhle článek je katalog nejčastějších scénářů. U každého najdeš, jak v praxi vypadá a podle čeho ho poznáš. Přečti si ho jednou pozorně a většinu pokusů odhalíš dřív, než vůbec stihnou začít.

Falešný „Steam admin" nebo support

Jak vypadá: Napíše ti někdo, kdo se představí jako administrátor Steamu, zaměstnanec podpory nebo „moderátor obchodování". Tvrdí, že tvůj účet nebo konkrétní item byl „nahlášen jako podvodně získaný", že ti hrozí trade ban, a že se to dá vyřešit jedině tak, že itemy „dočasně odevzdáš k prověření" — typicky poslat je „bezpečnostnímu botovi" nebo „dočasnému úložišti".

Jak ho poznat: Steam s tebou nikdy nekomunikuje přes chat a nikdy tě nevyzývá k odevzdání itemů. Veškerá skutečná podpora běží přes oficiální systém ticketů uvnitř tvého účtu. Kdokoliv, kdo ti píše zprávu a vydává se za „Steam admina", je podvodník — bez výjimky. Žádná role admina, který si přidává hráče do přátel a řeší s nimi itemy v chatu, neexistuje.

Impersonace kamaráda

Jak vypadá: Podvodník si udělá klon profilu tvého skutečného kamaráda — stejné jméno, stejný avatar, okopírované veřejné informace. Pak ti napíše „z nového účtu" (starý mu prý „hackli" nebo „zabanovali") a požádá tě o „půjčení" skinu — na turnaj, na screenshot, na týden. Slibuje, že ho vrátí.

Jak ho poznat: Podívej se, odkdy máte přátelství — klon bude v přátelích pár hodin, ne roky. Zkontroluj level účtu, historii a předchozí aliasy. A hlavně: ověř si to jiným kanálem. Napiš kamarádovi tam, kde spolu normálně mluvíte, nebo mu zavolej. Nikdo, kdo to myslí vážně, nepotřebuje „půjčit" skin — item se dá ukázat přes inspect link bez jakéhokoliv převodu.

Switch itemu na poslední chvíli

Jak vypadá: Dohodnete se na výměně, offer vypadá přesně podle domluvy. Pak ale druhá strana nabídku zruší a pošle novou, „opravenou" — nebo pošle protinabídku. V té nové verzi je item nahrazený podobně vypadajícím, ale výrazně levnějším kouskem: stejný skin na jiné zbrani, horší opotřebení, chybějící StatTrak, jiná fáze u nožů.

Jak ho poznat: Každou novou nabídku kontroluj úplně od nuly, jako bys ji viděl poprvé — přesný název itemu, kvalitu, opotřebení, počet kusů. Finální potvrzení si projdi v mobilní aplikaci Steam Guard, kde vidíš skutečný obsah obchodu. A pokud na tebe někdo tlačí, ať potvrdíš rychle, je to samo o sobě důvod obchod zrušit.

„Ověření skinu" před nákupem

Jak vypadá: Zájemce o tvůj skin tvrdí, že před koupí potřebuje item „ověřit" — jestli není duplikovaný, jestli sedí float, jestli je legitimně získaný. Nabídne, že mu ho pošleš „na ověření botovi" nebo „důvěryhodné třetí straně" a hned pak proběhne obchod.

Jak ho poznat: Žádné ověření, které by vyžadovalo odeslání itemu, neexistuje. Všechno, co se o skinu dá zjistit — float, pattern, samolepky, historie — je vidět přes inspect link, aniž by item opustil tvůj inventář. Poslat skin „na ověření" znamená poslat skin zloději. Tečka.

Phishingové přihlašovací stránky

Jak vypadá: Dostaneš pozvánku do turnaje, prosbu „zahlasuj pro můj tým" nebo nabídku skinu zdarma. Odkaz vede na stránku, která vypadá k nerozeznání od přihlášení přes Steam — často jako vyskakovací okno přímo na stránce. Zadáš jméno, heslo, kód ze Steam Guardu — a právě jsi je odevzdal útočníkovi.

Jak ho poznat: Vždycky zkontroluj adresu v adresním řádku — podvodné domény bývají o písmeno jinak. Falešné přihlašovací „okno" je často jen prvek nakreslený uvnitř stránky: zkus ho myší přetáhnout mimo okno prohlížeče — skutečné okno to umí, falešné ne. Nejjistější pravidlo: nikdy se nepřihlašuj přes odkaz z chatu. Když je hlasování nebo turnaj skutečný, najdeš ho i tak, že adresu zadáš ručně.

API key scam: tichý únos trade offerů

Jak vypadá: Tohle je nejzákeřnější scénář, protože přichází se zpožděním. Po úspěšném phishingu si útočník na tvém účtu vygeneruje Steam Web API klíč — a jinak nic nezmění. Heslo funguje, všechno vypadá normálně. Klíč mu ale umožňuje sledovat a rušit tvoje trade offery. Když pak pošleš legitimní nabídku kamarádovi nebo obchodnímu botovi, skript ji okamžitě zruší a vytvoří identicky vypadající nabídku směrem na klon příjemce. Ty ji v mobilu potvrdíš v domnění, že potvrzuješ svůj původní obchod — a itemy odejdou zloději.

Jak ho poznat: Varovný signál číslo jedna: tvoje trade offery se „samy" ruší nebo obchody končí u někoho jiného, než jsi čekal. Preventivně si občas zkontroluj svůj API klíč v nastavení účtu — pokud sis ho nikdy vědomě neregistroval, má být prázdný. Po jakémkoliv podezřelém přihlášení udělej kompletní úklid: změna hesla, odvolání API klíče, odhlášení všech zařízení a vygenerování nové trade URL.

Rigged case opening weby

Jak vypadá: Weby třetích stran slibují „lepší šance než oficiální bedny", efektní animace a bonusy. Z YouTube a TikToku se na ně valí promo kódy od influencerů, které ti „zdarma" nabijí kredit. Pak to jde podle scénáře: pravděpodobnosti nejsou nijak ověřitelné, výhry z promo kreditu nejdou vybrat, dokud nevložíš vlastní peníze, a když se konečně dostaneš k výběru, item nedorazí nebo má zlomek slibované hodnoty.

Jak ho poznat: Netransparentní pravděpodobnosti jsou samy o sobě diskvalifikace — když web neumí prokazatelně doložit šance, předpokládej, že jsou nastavené proti tobě. Promo kód od influencera není dárek, ale návnada: tvůrce je placený za to, že tě přivede. Tenhle typ webů stojí na stejných mechanikách jako hazard — a míří hlavně na mladší hráče, kteří s nimi mají nejmenší zkušenost. Víc o tom, jak se otevírání beden srovnává s obyčejným nákupem, najdeš v článku case opening vs. přímá koupě skinu. A pokud skin prostě chceš, kup ho napřímo a s rozmyslem — vyjde to skoro vždycky líp.

„Giveaway" streamy s QR kódy

Jak vypadá: Narazíš na stream — často ukradený záznam známého hráče puštěný ve smyčce — který slibuje rozdávání skinů. Stačí prý naskenovat QR kód na obrazovce a „přihlásit se do slosování" přes Steam.

Jak ho poznat: QR kód v tomhle kontextu zneužívá funkci přihlášení přes mobilní aplikaci. Když kód naskenuješ a přihlášení potvrdíš, nepřihlašuješ se do soutěže — přihlašuješ útočníka do svého účtu. Žádná legitimní soutěž nevyžaduje, abys někomu potvrzoval přihlášení přes QR kód. Nikdy.

Red flags, které platí napříč scénáři

• Tlak na čas. „Musíš to potvrdit hned, jinak nabídka padá." Legitimní obchod počká.
• Nabídka výhodnější než trh. Když ti někdo nabízí víc, než item stojí, neplatí itemem — platí tvojí důvěrou.
• Přesun komunikace mimo Steam. Discord, Telegram, e-mail — mimo Steam nefunguje žádná jeho ochrana a podvodník po sobě snáz zamete stopy.
• Cokoliv „dočasného". Dočasné odevzdání, dočasné půjčení, dočasné ověření. Itemy se převádí natrvalo; „dočasně" je slovo podvodníků.
• Odkazy z chatu. Přihlašovací stránky si otevírej sám, ručně.

Checklist prevence

1. Měj zapnutý mobilní Steam Guard a každý obchod čti v mobilu položku po položce.
2. Používej unikátní heslo pro Steam i pro e-mail, který je k němu navázaný.
3. Nikdy se nepřihlašuj přes odkaz nebo QR kód, který ti někdo poslal.
4. Občas zkontroluj svůj API klíč — nemáš-li pro něj důvod, má být prázdný.
5. Trade URL ber jako polosoukromý údaj a po každém podezření ji vygeneruj znovu.
6. Promo kódy na case opening weby ignoruj, ať je říká kdokoliv.
7. Při obchodech mimo oficiální trh se drž zásad z návodu jak bezpečně obchodovat se skiny mimo Steam.

Co dělat, když už se to stalo

Jednej rychle a v tomhle pořadí: změň heslo, odhlas všechna zařízení, odvolej API klíč a vygeneruj novou trade URL. Zkontroluj i e-mailovou schránku — pokud měl útočník přístup k ní, změna hesla na Steamu nestačí. Profil podvodníka nahlas přímo ve Steamu a založ ticket na podpoře; u varování počítej s tím, že odcizené itemy se většinou vrátit nedají. Nakonec dej vědět kamarádům — klon tvého profilu může v tuhle chvíli obcházet tvůj friend list. A hlavně: neber to jako ostudu. Tyhle scénáře jsou vyladěné roky praxe na tisících hráčů. Nejlepší, co s tou zkušeností můžeš udělat, je poslat ji dál.