ESET sobre gamers: como devs detectam tokens e phishing

Quando li a matéria do Sapo.pt sobre o alerta da ESET para armadilhas voltadas a gamers, a primeira coisa que me veio à cabeça não foi “coitado do jogador”. Foi: dev é presa fácil, justamente porque mexe com credenciais o dia inteiro. Segundo o Sapo.pt, a campanha aproveita chats, trocas de skins, promessas de moedas e ficheiros “extras” para roubar contas e plantar malware. Vou traduzir isso para a nossa realidade — porque o mesmo vetor que derruba um gamer pode abrir a porta do seu repositório, do seu console AWS ou da sua conta na Binance.

Por que devs são alvo premium (mesmo sem jogar)

Gamers e devs compartilham três coisas que criminosos adoram: contas antigas com valor acumulado, bibliotecas de credenciais reutilizadas e pouca disciplina para ativar segundo fator em tudo. Na minha experiência, o pior inimigo da segurança não é o hacker — é a fadiga de 2FA. Você ativa no GitHub, ativa no banco, pula no Steam “porque é só um joguinho”. Aí vem um link de trade e pronto.

Quando o atacante mira devs, o ganho é exponencial: a mesma conta de e-mail que está no seu Steam costuma ser a mesma do Stripe, da AWS, do npm. Engenharia social em chat é só a porta de entrada. O jackpot é o movimento lateral depois.

A anatomia do golpe (que a ESET descreveu, mas eu vou abrir em código)

A esteira quase sempre segue quatro passos: contato no chat, redirecionamento para uma página externa, captura de token e persistência. Trocar a skin por uma “arma lendária grátis” é só a desculpa para você clicar. O link leva para um clone de login (Steam, Riot, Discord, Twitch, Epic) ou baixa um .exe disfarçado de “mod trainer”.

A parte técnica que ninguém fala: hoje, muitos desses kits já não pedem senha. Pedem token de sessão. O Steam usa cookies HttpOnly e um steamLoginSecure; o Discord usa tokens dentro do localStorage e do IndexedDB. Um stealer roda no navegador (via injeção ou via arquivo .lnk malicioso) e lê isso em milissegundos. Trocar a senha depois não impede nada se o token já foi usado em outra cidade cinco minutos antes.

Na prática: detectando tokens vazados e links falsos

Trago duas funções em Python que já usei em pipelines de CI para impedir que devs e gamers joguem credenciais no log. A primeira vasculha texto em busca de tokens do Discord (útil se você usa chat interno e quer varrer antes de exportar logs). A segunda valida URLs de trade do Steam — porque phishing aqui é 90% lookalike de domínio.

import re
from urllib.parse import urlparse

# Regex oficial do Discord para tokens v3
# (atualizado em 2024; rodar testes antes de usar em prod)
DISCORD_TOKEN = re.compile(
    r'[MN][A-Za-z\d]{23,}\.[A-Za-z\d_-]{6,}\.[A-Za-z\d_-]{27,}'
)

def find_discord_tokens(text: str) -> list[str]:
    """Devolve tokens do Discord encontrados em texto/log."""
    return DISCORD_TOKEN.findall(text)

def is_legit_steam_offer(url: str) -> bool:
    """Checagem barata pra diferenciar trade real de phishing."""
    ALLOWED = {"steamcommunity.com", "help.steampowered.com"}
    try:
        p = urlparse(url)
        if p.scheme != "https":
            return False
        if p.hostname not in ALLOWED:
            return False
        if "tradeoffer" not in p.path and "/trade" not in p.path:
            return False
        return True
    except ValueError:
        return False

# Exemplo
print(is_legit_steam_offer("https://steamcommunity.com/tradeoffer/new/123"))
# True
print(is_legit_steam_offer("https://steamcommun1ty.com/tradeoffer/new/123"))
# False (domínio com '1' no lugar de 'i')

Repare no truque do “1” no lugar de “i”. Esse tipo de troca de caractere (homógrafo) não é descuido — é a isca. Robôs de phishing usam IDN homograph attacks via Punycode (steamcommunity.com virou steamcοmmunity.com com um “omicron” grego). Se você rodar urlparse sem normalizar, o hostname aparece “limpo” — mas o navegador renderiza com caractere parecido. Quem constrói plataforma precisa comparar o domínio normalizado em Punycode (idna) antes de emitir qualquer redirect.

A parte que ninguém aplica: rate-limit e WebAuthn em gaming

Steam, Riot e Epic já suportam Steam Guard e autenticadores. Mas devs constroem plataformas menores (sites de torneios, hubs de clan, marketplaces de itens NFT) sem metade dessa defesa. Se você toca um projeto do tipo, três coisas barateiam muito o ataque:

WebAuthn em vez de TOTP. Phishing-resistant por construção: o token vale só pro domínio certo. Steam Guard mobile já faz isso internamente, mas integrações custom quase nunca usam.
Device-bound session tokens. Token salvo em cookie HttpOnly+SameSite=Strict+Secure, rotacionado a cada login e revogado por geolocalização suspeita.
Rate-limit agressivo em endpoints de trade. Bots varrem esses endpoints de madrugada. Limite por IP+fingerprint, não só por IP, porque atacante atrás de proxy residencial passa batido.

Erros comuns que devs cometem (jogando ou codando)

Lista prática, sem moralismo. Já vi cada um desses em produção:

Reusar e-mail principal para tudo. Cadastro no Epic com o mesmo e-mail do GitHub. Vazou um, vazou o outro. Use aliases (Plus Addressing: voce+steam@gmail.com).
Confiar no “só falta ativar 2FA depois”. Depois é tarde. Ative no momento do cadastro. O custo é um minuto; o reembolso é sua conta inteira.
Salvar token em variável de ambiente sem rotação. STEAM_API_KEY=... commitado, exposto em dump de processo, replicado em CI. Token vaza e ninguém percebe porque ninguém monitora quem está usando.
Clicar em “veja aqui suas partidas” recebido por DM. Discord Webhook abuse: atacante cria webhook em servidor seu, dispara notificação falsa com link encurtado. O link parece legítimo porque vem “do servidor”.
Rodar trainer/cheat em máquina de trabalho. A desculpa “é só pra testar” já queimou estagiário. Treinador vem com infostealer quase sempre. Use uma máquina separada, de preferência em rede isolada.
Esquecer o filho jogando no mesmo Windows do repositório. O ESET lembrou — e vale reforçar: jovens compartilham localização, escola, horários. Isso não é fofoca. É dado para montar perfil de engenharia social contra a família.

Hardening que aplico em mim e recomendo em projeto

Três regras que funcionam e não atrasam a vida:

YubiKey ou Titan Key para contas de alto valor (Steam, Discord com servidor grande, GitHub, AWS). Nem todo site suporta, mas onde suporta, é impenetrável por phishing tradicional.
Senhas distintas por domínio, geradas por gerenciador (Bitwarden, 1Password). Não tem mais o que pensar aqui: o modelo mental “uma senha forte por todos os lados” está morto desde 2017.
Verificação parental ativa se houver adolescente em casa: o Steam tem Family View, o Xbox tem child account, o PlayStation tem family management. Ativar custa dois cliques e bloqueia boa parte da superfície.

E uma que devs esquecem: monitorar e revogar. Toda semana, abro https://steamcommunity.com/dev/apikey, https://discord.com/developers/applications e revogo o que não uso. É um hábito pequeno que pega supply-chain attack cedo.

FAQ

Como saber se minha conta Steam foi invadida?

Verifique três lugares: Account Details → Recent activity (logins com IP estranho), Authorized Devices (saia de tudo que não reconhece) e o inventário de itens (movimentações sem logoff). Tokens roubados costumam ser usados em janelas de 6 a 24 horas antes da revogação manual.

Mod ou trainer é sempre malware?

Não sempre, mas a taxa é alta. Trainer assinada por comunidade pequena raramente passa por análise AV; o vetor mais comum é DLL injection que também serve para injetar stealer. Regra prática: tudo que promete “aimbot grátis” ou “boost de XP” sem código aberto auditável é suspeito.

Autenticação por SMS basta contra esses golpes?

SMS é melhor que nada, mas é o fator mais fraco disponível (SIM swap, interceptação SS7). Use authenticator app ou hardware key. E cuidado: se o atacante clonar sua sessão antes do login, o 2FA nem entra em ação — por isso proteção de token e device binding importam tanto quanto o segundo fator.

Desenvolvedor indie de jogo precisa se preocupar com isso?

Sim, e mais do que imagina. Loja indie que vendeu 10 mil cópias tem base de e-mails suficiente para virar alvo de credential stuffing em outras plataformas. Faça rate-limit, implemente WebAuthn, e nunca exponha chaves de SteamWorks, Discord bot token ou Riot API key em repositórios públicos — mesmo que seja “variável de exemplo”.

O que faço se já cliquei no link suspeito?

Três passos, em ordem: (1) desconecte-se da internet; (2) rode um antimalware offline (Kaspersky Rescue Disk, ESET SysRescue); (3) troque senhas de outro dispositivo confiável e revogue tokens de sessão. Não tente “limpar” e continuar — extraia o que importa, formate, e mova. Conta de jogo é trocável; chave SSH vazada do seu servidor de cliente, não.

Como reportei aqui e em outras análises: cibersegurança não é produto caro nem paranoia — é higiene de ofício. Implementa e segue o jogo.

Gostou? Me segue no GitHub e deixa um comentário se tiver dúvida ou quiser aprofundar algum ponto.