為什麼這篇steam驗證很久鄉民發文收入到精華區：因為在steam驗證很久這個討論話題中，有許多相關的文章在討論，這篇最有參考價值！作者soga5731 (Letiz)看板Steam標題[問題] steam guard是不是有漏洞時...
剛剛發現最近買的遊戲被退款
查了一下登入記錄確定帳號被盜
但我有綁信箱驗證 而且信箱有綁手機驗證
我去看信箱的登入記錄也沒問題
那對方到底是怎麼盜進來的…細思極恐
--
※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 36.238.53.41 (臺灣)
※ 文章網址: https://www.ptt.cc/bbs/Steam/M.1634674171.A.B5F.html
→ b34mac2: 會不會在外面電腦登入過 沒登出所以略過認證？10/20 04:15
→ soga5731: 這個我也有確認過 信箱跟steam都沒有其他信任裝置10/20 04:17
推 RaiGend0519: 遠端你的電腦，或者能物理接觸你電腦的人10/20 04:23
→ soga5731: 遠端…我平常不使用的時候會關機 這樣還辦得到嗎 至於10/20 04:31
→ soga5731: 物理性碰觸 這機率完全是0%10/20 04:31
→ reallurker: S G應該是手機的二階段英數字即時認證 繞過這個10/20 05:58
→ reallurker: 我想不需要盜帳號 直接賣這個技術就可以爆富了10/20 05:58
→ eric00169: 刷卡購買的話先打電話問信用卡客服是哪邊申退10/20 06:26
推 articlebear: 你有用綁手機app的steam guard嗎？10/20 06:28
推 Yan239: 請用手機app即時驗證，最近有盜帳號潮，可能Steam有資料10/20 06:36
→ Yan239: 被駭？10/20 06:36
→ IS5F5566: 前幾天突然收到十幾張交換卡牌，可是遊戲根本很久沒碰了10/20 07:03
→ IS5F5566: ，有人遇過這種情形。10/20 07:03
→ IS5F5566: 而且還是同家公司的遊戲，底特律變人，暴雨殺機，兩個靈10/20 07:04
→ IS5F5566: 魂。10/20 07:04
噓 Angesi: 手機驗証被破解 叫他來破我帳號呀 演勒10/20 07:17
→ rneovv: 卡牌是後來才新增的就會給 跟被盜無關= =10/20 07:18
→ suleyman: 請用手機的二階驗證 你這只是綁信箱而已..10/20 08:35
→ laser789: 信箱有綁跟沒綁一樣 只把信箱當安全手段真的遲早被盜10/20 08:44
推 laser789: 搜尋have I been pwned 查自己信箱是不是早就被破解了10/20 08:47
推 hduek153: 信箱驗證真的不太安全 請用行動驗證器10/20 09:08
→ testPtt: 我用信箱驗證 但信箱有手機驗證 應該算安全吧10/20 09:11
不安全 我也是跟你一樣 還是被盜了→ peter0825: 我也收到變人的卡片 嚇到換密碼 看來應該是誤會10/20 09:31
→ Enger: 所以為什麼不裝手機steam guard？10/20 09:43
推 CyBw: 也許是那些救援代碼洩漏10/20 09:58
→ oas: 又一個以為信箱驗證=手機驗證的 還Steam Guard咧...10/20 10:05
推 rukiaark: 特地盜你的帳號 幫你退款 感覺怪怪的..10/20 10:06
推 BDrip: 電腦裡的token被盜走 連登都不用登?10/20 10:22
→ CIDgreen: 手機驗證是輸入手機跳出的五位碼，不是信箱的10/20 10:31
→ CIDgreen: 你還要看信箱代表你沒綁手機10/20 10:31
→ warbreaker: 啊不就信箱被盜10/20 11:01
噓 lovefish81: 又想繳智商稅了嗎10/20 11:31
噓 ziso: 你說的這個叫STEAM GUARD嗎? 那個隨機碼會被破解?10/20 11:38
噓 piAzzOllaN: 要看信箱根本沒綁Steam Guard10/20 11:43
噓 RacingKing: 這觀念比較細思極恐10/20 11:45
推 B10434191: 拿到變人卡片正常的吧這遊戲之前沒卡片現在出了當然10/20 11:52
→ B10434191: 補給你10/20 11:52
噓 stezer: 你的信箱有漏洞10/20 11:57
推 aaaa8247: 你的觀念比較細思極恐10/20 11:57
→ fishxd1096: 題外話，巴哈有人說登入第三方網站後，steam guard直10/20 12:17
→ fishxd1096: 接解除，自動交易出所有物品，各位要登入真的要三思10/20 12:17
推 sunshinecan: 信箱那邊有問題吧10/20 12:47
噓 YeaPa: Steam Guard 是手機app的隨機驗證碼10/20 12:49
這個更慘 連steam guard有email跟手機兩種都不知道→ KOKOLALAMA: 網咖工作經驗，STEAM登入會產生一個英文+亂數檔案，那10/20 13:16
→ KOKOLALAMA: 個檔案有機會讓別人不用信箱驗證，網咖更新平台時會把10/20 13:17
→ KOKOLALAMA: 那檔案一起上傳，然後有客人發現來店裡都不用驗證，砍10/20 13:18
→ KOKOLALAMA: 掉那個檔案就正常了，感覺是BUG。10/20 13:18
→ r85270607: 只有信箱的steam guard 跟沒有一樣10/20 13:22
噓 YummyMcGee: 你這是信箱被盜 和steam guard無關10/20 13:41
→ YummyMcGee: 你整篇打完不覺得奇怪怎麼都沒出現"steam guard"嗎?10/20 13:42
→ YummyMcGee: 自己講完還能下結論是steam guard有漏洞 我也是服了10/20 13:42
噓 R910402: 細思幾孔10/20 13:58
→ soga5731: 怎麼一堆看不懂中文的…慘 都說了信箱有綁手機otp 而10/20 14:11
→ soga5731: 且信箱的登入記錄完全沒異常 這也能扯到信箱被盜 XD10/20 14:11
※ 編輯: soga5731 (1.175.158.231 臺灣), 10/20/2021 14:15:04
※ 編輯: soga5731 (1.175.158.231 臺灣), 10/20/2021 14:18:14
→ edwin96017: 有連繫客服嗎? 遊戲退款也是退到錢包裡吧?退信用卡也10/20 14:18
→ edwin96017: 是退到你刷的卡吧?特意盜帳來退款?還有其他損失嗎?10/20 14:19
→ edwin96017: 順便問 你登錄是看信箱還是看手機?10/20 14:20
→ edwin96017: 然後退款紀錄 看一下有沒有寫什麼原因10/20 14:21
噓 deray: 講半天你根本只是信箱驗證 而不是二階段10/20 14:22
講半天你根本看不懂什麼叫信箱有綁手機驗證→ soga5731: 客服只有說退款完成的遊戲不能取消退款只能重新購買10/20 14:22
→ soga5731: 好笑的是他們也不會審核一下 我都爽玩 4小時了 結果盜10/20 14:23
→ soga5731: 我帳號的人一句”游戏卡顿 请求退款”連簡轉繁都沒有10/20 14:23
→ soga5731: 就能過審XDD10/20 14:23
→ deray: 這才是steam guard10/20 14:25
※ 編輯: soga5731 (1.175.158.231 臺灣), 10/20/2021 14:26:28→ soga5731: 又一個不知道steam guard有分手機跟信箱兩種的 唉10/20 14:28
→ edwin96017: 你那款遊戲怎麼買的?是有分兩種所以在問你是用哪一種?10/20 14:29
→ edwin96017: 他都能登入你信箱 你怎麼還相信他不會刪掉紀錄?XD10/20 14:30
→ soga5731: 所以結論還是我信箱被盜 還是我再發一篇 google的手機10/20 14:33
→ soga5731: otp是不是有漏洞 好了10/20 14:33
→ edwin96017: 你那張圖只有綁信箱 並沒有"綁手機"10/20 14:34
→ edwin96017: 然後一個一個問題來 才能找出答案啊 你退款錢呢?10/20 14:35
→ edwin96017: 信箱的手機OTP 跟STEAM的手機OTP是不同公司啊10/20 14:36
→ soga5731: 我那張圖只是想給某樓看 綁信箱驗證也叫steam guard10/20 14:38
→ soga5731: 至於退款的錢 他是退到我錢包裡 但如果再晚一點發現可10/20 14:38
→ soga5731: 能會被拿去買別人的物品庫10/20 14:38
→ edwin96017: 你先去升級成 "Steam Guard 行動驗證器"吧10/20 14:43
→ soga5731: 那我知道了 結論是google的otp有漏洞 謝謝各位的指教10/20 14:44
→ soga5731: 問題已解決 不再回覆10/20 14:44
→ edwin96017: 你信箱都綁了STEAM也綁一綁啊10/20 14:49
→ edwin96017: 然後還有改密碼 不管哪邊出問題=你的帳密已經洩漏了10/20 14:53
推 saiya: 你的圖裡面有兩個步驟,你只做第1步不算完成10/20 16:15
→ saiya: 要做完第2步 用STEAM APP開啟 STEAM GUARD 才算完10/20 16:16
→ saiya: @@ 我看錯了 抱歉10/20 16:17
→ deray: 取消信箱綁定刷破問題都沒有，另外檢查一下信箱是不是被設10/20 16:50
→ deray: 定自動轉寄而不自知。10/20 16:50
推 lazioliz: 信任裝置可以仿冒吧10/20 16:52
→ rofellosx: 會記錄信任裝置IP來源10/20 17:32
噓 ltytw: 林董才被用信任裝置盜走頻道 = =10/20 18:02
噓 kevgeo: 你這種只要信箱被盜不是就慘了嗎?10/20 18:45
→ kevgeo: 登入之後 認證碼寄到信箱 能盜你信箱的就收到認證碼啦10/20 18:45
推 hms5232: 推文是不是誤會了什麼 只開信箱收驗證碼也叫 steam guard10/20 19:57
→ hms5232: 和是不是APP根本無關 明明是可以選要信箱還是APP收驗證碼10/20 19:58
→ hms5232: 看清楚再來講好嗎10/20 19:58
推 est: 有些人沒搞清楚也可以很嗆...10/20 20:24
→ horstyle0411: 所以最後是Email被盜喔?10/20 20:36
我email有綁手機chrome app的二次驗證但上面有不少網友認為是email被盜
或許真的是這樣吧
雖然我去檢查過google帳戶
也說沒有可疑的行動
遇到一堆不看內文的(或是看不懂中文?）
我看了頭也是很痛
→ shadowblade: 剛也去開行動驗證了,感謝(?10/20 20:39
※ 編輯: soga5731 (110.26.131.43 臺灣), 10/20/2021 20:52:58
→ horstyle0411: 喔喔~ 沒認真看10/20 21:48
→ horstyle0411: 除了側錄 應該就是漏洞了吧?10/20 21:52
→ horstyle0411: 剛剛測試一下Google刪除裝置紀錄，至少還會顯示已刪10/20 22:01
→ horstyle0411: 除裝置28天10/20 22:01
→ horstyle0411: 假如28天那邊沒有 應該就不是信箱被盜用?10/20 22:02
整個google帳戶都檢查過了 確實沒什麼異樣→ suleyman: 總之你要安全就是綁手機驗證 綁信箱的用處不大10/20 22:21
→ suleyman: 而且你信箱都願意開手機驗證了 steam幹麻不開...10/20 22:21
我有去綁steam app了 感謝提醒→ suleyman: 另外你可以去steam的說明裡看10/20 22:22
→ suleyman: "受 Steam Guard 保護的帳戶還有被竊取的可能嗎？"10/20 22:22
→ suleyman: 裡面就有提到不需登入信箱也能登入的幾種可能10/20 22:25
→ oas: 被釣魚網頁釣中 帳密驗證碼資安資障會自己送上 什蟆尬都沒用.10/20 22:41
※ 編輯: soga5731 (110.26.131.43 臺灣), 10/20/2021 22:45:59
推 a5480277: 透過steam退款 我記得steam會有信件通知你 你有收到嗎?10/20 23:52
推 a5480277: 補充一下我想問的好了 Gmail可以查登入時間+ip10/21 00:22
→ a5480277: 想說收到退款信時，如果是透過信箱盜帳號的話 應該可以10/21 00:23
→ a5480277: 看看那個時間點的信箱登入紀錄10/21 00:24
信箱登入記錄完全無異常 安全性檢查也無異常推 LAODIE: 不是阿 錢退到那去了原po有頭緒嗎？10/21 00:26
→ a5480277: 他有用推文說 錢退到他的錢包了10/21 00:28
噓 YummyMcGee: 喔10/21 01:12
先幫你的中文程度上香\｜/※ 編輯: soga5731 (1.175.158.231 臺灣), 10/21/2021 01:54:28
噓 Angesi: 假的 証據呢 假消息 開罰200萬元！10/21 09:04
噓 YummyMcGee: 讚10/21 09:58
崩潰到只剩噓文的功能了嗎QQ※ 編輯: soga5731 (1.175.158.231 臺灣), 10/21/2021 15:36:33
→ mothertime: 很簡單啊，從手機盜就不會經過二階段認證10/22 00:44
→ oscarku: 信箱裡有一半的steam 通知是假的，騙你去釣魚網站改密碼10/22 08:29
→ oscarku: 。10/22 08:29
推 roy31317: 87%自己點進釣魚網站送幸福而不自知 幾乎沒第二種可能10/22 18:23
噓 YummyMcGee: 呵呵10/23 22:39
多噓一點欸崩潰仔 如果這樣能讓你的悲慘生活增添一點樂趣的話 我也算是日行一善※ 編輯: soga5731 (1.175.158.231 臺灣), 10/23/2021 23:13:38
噓 YummyMcGee: 爽10/25 14:17
日行一善經驗值+1※ 編輯: soga5731 (61.227.199.149 臺灣), 10/26/2021 03:03:59
噓 YummyMcGee: Go10/26 14:04
悲慘生活裡的小確幸+1（2/999）※ 編輯: soga5731 (61.227.199.149 臺灣), 10/26/2021 23:42:32
噓 YummyMcGee: Ya10/28 20:11
看來你今天又過得不順遂了 小確幸+1※ 編輯: soga5731 (36.238.49.70 臺灣), 10/29/2021 04:54:19
噓 YummyMcGee: +111/04 20:22
都差點把你這個小可憐蟲給忘了※ 編輯: soga5731 (110.28.197.7 臺灣), 11/08/2021 04:23:30
噓 YummyMcGee: +1 11/08 07:49
→ YummyMcGee: ？ 11/23 19:27
噓 YummyMcGee: ！ 11/23 19:29
→ soga5731: 崩潰仔怎麼還在崩潰 多去外面走走吧不要整天坐在 03/06 01:06
→ soga5731: 電腦前 03/06 01:06