Lừa đảo Steam Trade và API key: cách nhận biết, xử lý

Lừa đảo Steam Trade thường không cần “hack hệ thống”. Kẻ gian dùng sợ hãi hoặc lòng tham để khiến bạn tự đăng nhập trang giả, cài malware, duyệt một giao dịch lệch hoặc gửi item cho tài khoản mạo danh. Một biến thể là trade redirection: giao dịch bạn định gửi bị hủy và thay bằng offer tới account có avatar/tên giống người nhận.

Người dùng hay gọi mọi trường hợp là “API scam”, nhưng Valve lưu ý API key chỉ là một khả năng; kẻ gian có toàn quyền account/máy vẫn có thể tự động thao tác mà không cần API. Trọng tâm phải là bảo vệ toàn bộ tài khoản, email và thiết bị.

Trade redirection diễn ra thế nào?

1. Bạn đăng nhập website phishing hoặc chạy phần mềm độc hại.
2. Kẻ gian có quyền truy cập account, phiên đăng nhập hoặc API key.
3. Bạn tạo trade tới một người tin cậy.
4. Offer bị hủy hoặc thay bằng offer tới account giả mạo.
5. Bạn nhìn avatar/tên tương tự và tự Confirm trên Steam Mobile.
6. Item được gửi đi vì xác nhận cuối cùng đã được duyệt.

Steam Mobile hiển thị thông tin người nhận và nội dung trade để bạn kiểm tra. Không xác nhận giao dịch chỉ dựa vào ảnh đại diện hoặc tên hiển thị vì chúng có thể bị sao chép.

Dấu hiệu một yêu cầu là lừa đảo

• Thúc ép “làm ngay” vì account sắp ban hoặc offer sắp hết hạn.
• Người tự nhận admin/Steam Support liên hệ qua Discord hoặc chat.
• Yêu cầu gửi item để kiểm tra duplicate, verify hoặc clean.
• Đòi trade cho “bot”, middleman hoặc tài khoản phụ.
• Hứa trả PayPal, Wallet Code, gift card hoặc CD key sau khi nhận item.
• Gửi link tournament, vote team, free skin hoặc beta launcher.
• Yêu cầu cài anti-cheat, voice app hoặc inventory tool lạ.
• Profile bỗng hiện cảnh báo đe dọa ban.

Valve nói Steam Support sẽ không thay nội dung profile để đe dọa ban. Nếu profile của bạn tự đổi thành cảnh báo, đó là dấu hiệu tài khoản đã bị xâm nhập.

Những gì không thể bảo đảm trong Steam Trade

Không trao item để đổi lấy thứ không thể đặt vào cùng cửa sổ trade. Steam Scam FAQ liệt kê tiền ngoài hệ thống, PayPal, Wallet credit, gift card và CD key là các giao dịch không được bảo vệ trong offer.

Lời hứa	Vì sao nguy hiểm
Gửi tiền sau	Không có bảo đảm trong trade window
Wallet Code/CD key	Có thể giả, used hoặc sai region
Trade làm hai lượt	Lượt sau có thể không bao giờ đến
Middleman giữ hộ	Thêm một account có thể chiếm item
Item kiểm tra rồi trả	Không có lý do kỹ thuật hợp lệ để gửi trắng

Kiểm tra API key của Steam

API key là chuỗi nhận diện cho quyền dùng Steam Web API và không bao giờ được chia sẻ. Nếu bạn không tự tạo nhưng trang steamcommunity.com/dev/apikey có key, hãy revoke. Nếu từng nhập account vào website lạ, revoke key chỉ là một bước, không phải toàn bộ cách xử lý.

1. Tự mở https://steamcommunity.com/dev/apikey.
2. Kiểm tra domain/key có phải do bạn tạo.
3. Revoke key lạ hoặc không còn dùng.
4. Đổi mật khẩu và Sign out everywhere.
5. Kiểm tra email, máy và extension trình duyệt.

Không nhập API key vào bot hoặc website chỉ vì họ nói cần “giữ trade an toàn”.

Kiểm tra từng trade trước khi Confirm

• Đúng account nhận, không chỉ cùng nickname/avatar.
• Đúng số lượng, chất lượng và hiệu ứng của từng item.
• Không có item giá trị cao bị giấu giữa nhiều item rẻ.
• Hai bên trao đổi trong cùng một offer.
• Không có offer cũ vừa bị hủy bất thường.
• Không ai đang gọi điện/chia sẻ màn hình thúc ép.

Nếu trade thay đổi dù chỉ một chi tiết, từ chối và bảo mật account. Đừng cố tạo lại nhiều lần trong khi kẻ gian có thể đang theo dõi.

“+rep” và profile lâu năm có đáng tin?

Không đủ. Valve cảnh báo bình luận “+rep” có thể được tạo dễ dàng bởi nhóm độc hại. Account lâu năm, nhiều game hoặc inventory đẹp cũng có thể đã bị chiếm quyền. Xác minh người nhận bằng kênh độc lập và vẫn kiểm tra offer cuối cùng.

Nếu đã bấm link nhưng chưa đăng nhập

Đóng trang, không tải file và xóa download chưa chạy. Kiểm tra domain trong lịch sử để báo cáo. Nếu trình duyệt tự tải extension/app hoặc bạn đã cấp permission, gỡ nó và quét malware.

Nếu đã đăng nhập hoặc quét QR giả

1. Sign out everywhere trong Authorized Devices.
2. Đổi mật khẩu Steam trên thiết bị sạch.
3. Đổi mật khẩu email và bật xác thực hai lớp.
4. Revoke Steam API key lạ.
5. Kiểm tra trade offers, confirmations, Market và Purchase History.
6. Quét malware và gỡ ứng dụng/extension gần đây.
7. Liên hệ Steam Support nếu mất quyền truy cập hoặc item.

Đọc cách kiểm tra QR login Steam và quy trình khôi phục account để làm đủ các bước.

Nếu item đã bị gửi đi

Dừng giao dịch tiếp theo, chụp offer/trade history và report các account liên quan bằng chức năng Report Player. Valve cho biết trade đã confirm không có cách đảo ngược thông thường và không khôi phục item bị scam vì việc tạo thêm bản sao ảnh hưởng nền kinh tế item.

Không trả tiền cho “recovery agent” hứa lấy lại item; đây thường là vòng lừa đảo thứ hai. Steam Support chính thức không làm việc qua Discord, Telegram hoặc Zalo.

Cách phòng tránh lâu dài

• Dùng Steam Guard Mobile và bảo mật email riêng.
• Không tái sử dụng password giữa Steam và email.
• Chỉ đăng nhập trên domain Valve chính thức.
• Không chạy cheat, crack, “optimizer” hoặc inventory tool lạ.
• Kiểm tra Authorized Devices và API key định kỳ.
• Không trade khi mệt, vội hoặc đang bị gây áp lực.
• Xác minh account người nhận ở bước Confirm cuối.

Câu hỏi thường gặp

Không có API key lạ thì account chắc chắn an toàn?

Không. Valve nói trade redirection không bắt buộc API key nếu kẻ gian có quyền account hoặc máy. Hãy kiểm tra toàn bộ thiết bị, email và malware.

Steam Support có kiểm tra item bằng trade không?

Không. Yêu cầu gửi item để verify, clean hoặc tránh ban là lừa đảo.

Trade Hold có ngăn mọi vụ mất item không?

Hold tạo thêm thời gian bảo vệ nhưng không thay việc kiểm tra offer. Giao dịch bạn tự xác nhận vẫn có thể gây mất item.

Có thể tin người quen nhắn từ account cũ không?

Không tuyệt đối; account của họ có thể bị chiếm hoặc bị mạo danh. Xác minh qua kênh độc lập trước giao dịch giá trị.

Nguồn chính thức: Steam Support - Scam: Trade Redirection, Scam FAQ và Account Security Recommendations.