Jak mě málem podvedli na Steamu a ve hře Rust – sofistikovaný scam, o kterém musíte vědět

Stala se mi jedna kuriozní věc, o kterou bych se rád podělil. I přesto, že jsem ajťák, tyhle věci znám a jsem na ně docela opatrný, tak jsem se málem napálil. A přiznám se, že doteď, když o tom přemýšlím, tak si říkám, jak moc to bylo důvěryhodné a jak blízko jsem byl tomu, abych naletěl.

Co je vlastně hra Rust, ve kterém se to celé odehrálo?

Než se pustím do samotného příběhu, krátce přiblížím, o co vlastně jde. Rust je multiplayerová survival hra od britského studia Facepunch, které stojí také za populárním Garry's Modem. Hra poprvé vyšla v prosinci 2013 v režimu Early Access a plného vydání se dočkala až v únoru 2018 – celých pět let tedy běžela ve fázi, kdy si ji hráči mohli koupit jako rozpracovanou a aktivně pomáhat s jejím vývojem.

Zajímavé je, že Rust začínal jako klon DayZ (survival mod pro ARMA 2), ale vývojáři se postupně rozhodli jít vlastní cestou – nejprve odstranili zombíky, pak přidávali zvířata, zbroje, zbraně, bunkry a stavební systém. Dnes má hra prodáno přes 12 milionů kopií a pravidelně patří mezi nejhranější tituly na Steamu.

Princip je jednoduchý, ale návykový:

• Spawnete se na ostrově s kamenem a pochodní

• Musíte farmit resources (dřevo, kámen, kov)

• Postavíte si base (dům/úkryt/bunkr), kterou chráníte před ostatními hráči

• Sbíráte loot z tzv. monumentů (mapové lokace jako Launch Site, Oil Rig atd.)

• Raidujete cizí základny, nebo se naopak bráníte raidům

Raidování je přitom jádrem celé hry – hráči se snaží prorazit cizí bunkry pomocí výbušnin (tzv. booms, rakety, C4, gunpowder) a ukrást loot. Velké klanové bases jsou tak přirozeně cennější, protože na nich pracuje víc lidí. A právě tohle hraje v mém příběhu důležitou roli.

Server navíc dělá tzv. wipe – většinou jednou týdně nebo jednou měsíčně (tzv. Force Wipe každý první čtvrtek v měsíci) se všechno smaže a začíná se od nuly. Takže dostat hotovou clan base zadarmo by byl reálně velký jackpot.

Jak to celé začalo – "Vyhrál jsi base zdarma!"

Hrajeme s kamarády pravidelně na Warbandits serverech (což je populární síť anglicky mluvících Rust serverů). Jednoho dne, když jsme zrovna byli rozjetí v raidech na sousedy, se do textového chatu na serveru ozval nějaký hráč, že nabízí celou clan base zadarmo – kdo první uhodne číslo od 0 do 50, tak ji dostane.

Říkal jsem si "proč ne, for fun" a jen tak ze srandy jsem napsal jedničku. A ejhle – přišla mi privátní zpráva (Warbandits má na to vlastní plugin, kterým jdou in-game posílat PM), že jsem uhodl a vyhrál.

Hned jsem zpozorněl. To byl první bod, kdy jsem měl varovné znaménko.

Chtěl, abych se s ním spojil přes Discord a zavolali si. Normálně bych to okamžitě zařízl – volat s nějakým random cizincem na Discordu, to není nic, co bych dělal rád. Ale argumentoval tím, že mi bejsku jen chce předat, nastavit autorizaci a tak.

A tady přišla moje chyba v úsudku: free loot se v Rustu vždycky hodí. Pár booms, rakety, trochu gunpowderu, případně se jen mrknout na design jejich bunkru – clan bases bývají pěkně velké a mně přišlo zajímavé se aspoň podívat, jak je stavějí. Takže jsem Discord poslal.

Discord call – a tady začaly opravdové divnosti

Poslal mi odkaz, zavolal jsem a oni mě přidali do jejich Discord skupiny. Vypadala naprosto legitimně – měli nějaké vlákna, kanály, prostě klasický klanový Discord. V callu byl ten borec, co mi psal, a dalších pět lidí.

A tady byla druhá podivnost, která mi sice tehdy prolétla hlavou, ale neřešil jsem ji dostatečně: server, na kterém hrajeme, má team limit 3 hráče. Takže jich v klanovém callu nemělo být šest, ale maximálně tři. To byl další varovný signál, který jsem v zápalu kecání nereflektoval.

On se mě začal ptát, jak dlouho hraji Rust, odkud jsem, co obvykle hraji za role a spoustu dalších otázek. Tak jsme si docela pokecali. Já jsem mu říkal, že bejsku vlastně ani nepotřebuju, že máme vlastní velkou a i dost lootu, ale že mě baví a zajímá vidět, jak ostatní dělají třeba ten bunker design.

Zeptal jsem se ho, kde na mapě ta základna vlastně stojí. Odpověděl, že u Launch Site (jeden z hlavních monumentů na mapě). Tak jsem říkám: "Aha, u Launch Site, to jak jsou tam ty dva shopy?" A on vůbec nevěděl, o jakých shopech mluvím – což je fakt divné, když by to měla být jeho base,  jeho klanu a na tom samém serveru.

Tohle byl už třetí očividný red flag. Ale on hned plynule přešel dál – prý se teď do hry nemůže připojit, protože sedí v letadle. Přitom mi před chvílí psal zprávu přímo ve hře. To už bylo samo o sobě absurdní.

Klasická taktika – zahltit oběť a nenechat ji přemýšlet

A přesně tohle je nejdůležitější moment celého příběhu, na který bych chtěl upozornit každého:

On mě nenechal ani na vteřinu přemýšlet. Furt mě zasypával otázkami, komentáři – klasická "keep busy" technika, aby oběť neměla čas si jednotlivé podivnosti dát dohromady.

Říkal, že by mi chtěl dát sleeping bag (spawn point), aby mě mohl označit do bejsky. A že by mi chtěl i unauthorizovat turrety. Ale že mu to prý nejde a potřeboval by to udělat přes Rust+ (oficiální companion appka pro Rust).

Tak jsem říkal, ať to zkusí. On na to, že to nejde, protože je v letadle (!), a zeptal se, jestli bych mu nenasdílel obrazovku a on to přes mě "všechno nastaví".

Což je technicky úplný nesmysl – ja nejsem v jeho týmu ani v jeho bejsce, z mé obrazovky by tedy nešlo nic nastavit. Ale já jsem v té rychlosti neměl čas to logicky rozpitvávat. Říkal jsem si: "Nemám co ztratit, tak to zkusím."

Moment, kdy mi to docvaklo

Nasdílel jsem screen. On chtěl navíc ovládat myš i klávesnici. Schválil jsem to.

A teď přišel ten zlom. Místo toho, aby otevíral Rust+ nebo hru jako takovou, se mi začal:

• hrabat ve Steam inventáři

• dívat se, jaké mám na účtu itemy, skiny a hry

• začal tam něco řešit se Steam gift kartou

Bylo mi okamžitě jasné, že si chce něco poslat přes Steam a na můj účet zaplatit – typicky se jedná o scam, kdy podvodník využije vašeho účtu k nákupu skinů, které pak převede na svůj účet, nebo si nechá poslat gift kartu.

Podvodník přitom pořád mlel pantem, ptal se na další a další otázky, snažil se mě zahltit slovy, abych neměl čas zareagovat a o ničem přemýšlet. Když mi ale docvaklo, co se děje, okamžitě jsem call položil.

On mi hned psal zprávu: "Proč jsi to položil?"

Odpověděl jsem prostě: "I'm not interested in your scam."

A během vteřiny mě zablokoval, vyhodil ze skupiny a zmizel. Jako by nikdy neexistoval.

Co na tom bylo tak nebezpečné? Zápis z praxe

Tohle je přesně ten typ podvodu, před kterým oficiálně varuje i Facepunch na stránkách Rustu a Valve ve Steam Scam FAQ. Tyto tzv. screen-share scamy jsou v komunitách kolem Rustu, CS2 a dalších her se Steam inventářem poměrně rozšířené a bohužel funkční. Podle komunitních průvodců na Steam Community se podvodníci často uchylují i k nástrojům typu Chrome extenze, které dokáží vytvořit falešný inventář s drahými skiny a falešnou trade history – tím získávají důvěryhodnost.

V mém případě to bylo sofistikované hned v několika bodech:

1. Realistický vstupní háček – "vyhrál jsi clan base" na serveru, kde se opravdu běžně něco takového může stát. Hráči běžně přenechávají bejsky a loot před wipem - já dělám to samé.

2. Funkční Discord skupina – vypadala aktivně, měla kanály, více členů, klanové logo. Na první pohled nic podezřelého.

3. "Kalibr" hráče – uměl mluvit, znal terminologii, ptal se jako zkušený hráč.

4. Neustálé zahlcení – to je ta hlavní zbraň. Nedal mi šanci přemýšlet.

5. Výmluvy na technické problémy – "jsem v letadle", "nejde mi připojit", "udělejme to přes můj Rust+". Všechno logicky pokulhává, ale v rychlosti to zní věrohodně.

Proč Steam účty?

Málokdo si uvědomuje, kolik peněz se ve Steamu fyzicky povaluje. Skiny v CS2 se běžně obchodují za tisíce eur, některé vzácné kousky klidně za desítky tisíc. Rust má vlastní skiny v hodnotě i několika set dolarů, já sám jich mám přes 2000. Pak jsou tu gift karty, peněženka Steamu, tradeable itemy z her jako Team Fortress 2, Dota 2 a další. Steam účet zkušeného hráče může mít snadno inventář za desítky až stovky tisíc korun, aniž by si toho majitel byl plně vědom.

Proto jsou Steam účty tak lákavý cíl.

Co si z toho odnést – praktická doporučení

Pokud jste aktivní hráči na Steamu, zapamatujte si následující:

• Nikdy nesdílejte obrazovku s někým, koho neznáte osobně. A už vůbec mu nedávejte možnost vzdáleného ovládání.

• Nikdy nevolejte na Discord s cizími hráči ze serveru kvůli herním výhrám, darům, obchodům.

• Oficiální Steam Support ani Facepunch vás nikdy nekontaktují proaktivně. Na stránkách Rustu přímo píší: "Facepunch vás nikdy nekontaktuje."

• Pokud "výhra" závisí na tom, že půjdete mimo oficiální platformu (Discord, externí link, vzdálená plocha), je to 99% podvod.

• Pokud vás někdo cíleně zahlcuje hovorem a nenechá vás přemýšlet, je to záměr. Položte telefon a vratťe se k tomu střízlivě za pět minut.

• Ceny v inventáři vám nikdy nikdo cizí "neověřuje" – žádný "item checker", žádný "verification tool", žádný "Steam employee". To všechno jsou lži.

• Dávejte pozor i na Steam Guard kódy – nikdy je nikomu nepište, nikdy nepotvrzujte trade nebo přihlášení, které jste sami neiniciovali.

Co dodat závěrem

Přiznám se, že mě to dost překvapilo, jak daleko jsem se nechal dostat. Jsem z oboru IT, takovéhle věci znám, jsem přirozeně opatrný – a přesto mi nechybělo moc k tomu, abych naletěl. Kdyby na mě podvodník nevyrukoval tak hrubě s tou Steam gift kartou a inventářem, ale hrál to ještě chvilku chytřeji, možná bych ten moment rozpoznání propásl.

Scamy jsou čím dál sofistikovanější. Ať už jde o falešné policajty, kteří v Česku volají seniorům, phishing emaily, nebo tyhle herní podvody – všechny mají jedno společné: pracují s rychlostí, emocemi a vaším pocitem, že o něco přicházíte, když nezareagujete hned.

Tak si dávejte pozor. A hlavně – pokud máte byť jen špetku pochybnosti, zavěste, odpojte se, zavřete okno. Vrátit se k tomu můžete vždycky, podvodník si na vás ale v tu chvíli už nepočká – protože podvodník o čas přijít nesmí. A přesně proto je rychlost jeho hlavní zbraní.

Buďte ostražití, protože ve Steamu leží hodně peněz – a scameři jsou úplně všude.