作者：M15tak3（skyman.soul@gmail.com）

什么！我的 Steam 红信了？

Steam 假红信骗局

过去，我们对网络钓鱼的理解通常很简单：陌生人发来一个链接，点进去是仿冒网站，输入账号密码后被盗号。

但最近出现的“Steam 假红信”事件打破了这种直觉。

攻击者不再满足于制作一个长得像 Steam 的网页，而是通过恶意程序篡改玩家电脑上的 Steam 客户端，让伪造的处罚通知直接出现在 Steam 界面内部。对普通玩家来说，这几乎等同于“官方亲自发来警告”，因此极具欺骗性。

一、“Steam 红信”是什么？

“红信”并不是 Steam 的正式术语，而是玩家对 Steam 账号警告、社区封禁、交易限制或安全通知的俗称。

真正的账号警告来自 Steam 服务端。例如，当账号发布或点赞了钓鱼链接、诈骗内容时，Steam 可能对账号进行限制，并在通知中指出触发处罚的具体内容。相关说明可以参见 Steam 客服：可疑内容导致的账号锁定。

也正因为真正的红信通常与封禁、库存和交易权限有关，许多拥有高价值饰品或多年游戏库存的玩家看到红色警告后，会立即陷入紧张。

攻击者利用的正是这种心理。

二、事件是怎么出现的？

2026 年 8 月下旬，国内玩家社区开始集中出现“Steam 客户端弹出异常红信”的反馈。

受害者看到的并不是浏览器里的普通钓鱼网站，而是 Steam 客户端内部的安全警告。弹窗通常声称：

• 账号存在异常登录；
• 账号涉嫌违规或欺诈；
• 游戏、社区或交易功能已被限制；
• 必须立即联系“Steam 客服”处理。

点击弹窗中的“联系客服”后，玩家会被引导至假客服页面。对方可能要求提供账号信息、验证码和支付密码，也可能要求玩家扫码付款，或者把饰品转移到所谓的“安全账户”。

2026 年 9 月 2 日，《逃离鸭科夫》开发团队发布公告，让这类攻击出现了一起证据链相对清楚的公开案例。

开发团队确认，Steam 创意工坊中的热门 MOD《CF 美国妞厚礼蟹 击杀音效》被植入恶意代码。该 MOD 会篡改本地 Steam 客户端、伪造官方处罚或安全弹窗，并把玩家引向钓鱼客服页面。公告表示，已经有玩家因此遭遇账号被盗和财产损失。

涉事 MOD 一度通过异常点赞和评论进入热门推荐，随后于 9 月 2 日上午被删除，作者“冬郁”及其作品被永久封禁。具体信息可以查看《逃离鸭科夫》关于创意工坊恶意 MOD 的处理与防护建议。

这里需要澄清一个容易被媒体标题混淆的问题：

这不是一次已经证实的 Steam 服务器入侵，而是一次发生在玩家电脑上的客户端劫持。

攻击者没有必要攻破 Valve 的后台。只要能够控制玩家本地运行的 Steam 客户端，就足以制造“Steam 官方正在处罚我”的假象。

三、为什么创意工坊 MOD 能成为传播入口？

Steam 创意工坊本身是一个内容分发平台。工坊里的地图、皮肤、音频替换等静态资源通常不能直接控制计算机，但某些游戏允许 MOD 包含脚本、动态链接库，或者其他会被游戏及其 MOD 加载器执行的代码。

这意味着，一旦扩展内容获得了执行权限，恶意代码就可能以当前用户的权限进行操作，例如：

• 读取和修改本地文件；
• 启动其他进程；
• 访问网络；
• 修改注册表和启动项；
• 读取浏览器或客户端保存的数据；
• 在用户登录后继续运行。

这并不意味着“所有创意工坊 MOD 都不安全”，而是说明创意工坊中的热门度、订阅量和好评数量不能代替代码审查。

在此次事件中，恶意作者还被指通过刷评论和点赞提高 MOD 排名。于是，玩家原本用于判断可信度的“热门”和“高赞”，反而成了攻击者的传播工具。

整个攻击过程可以简化为：

恶意 MOD 进入创意工坊
        ↓
刷点赞、评论和热度
        ↓
玩家订阅并运行游戏
        ↓
恶意代码在本地执行
        ↓
修改或劫持 Steam 客户端
        ↓
显示伪造的账号红信
        ↓
引导玩家联系假客服
        ↓
骗取凭据、令牌、饰品或钱款

四、假红信是怎样“长进”Steam 客户端的？

Steam 桌面客户端并不完全由传统的原生窗口组成。商店、社区、好友和部分通知界面大量使用了类似网页前端的技术，并由客户端内置的浏览器组件负责显示。

这给了本地恶意程序几种可能的劫持方式：

1. 修改 Steam 的界面资源或 JavaScript 文件；
2. 向 Steam 使用的浏览器组件注入代码；
3. 劫持帮助和客服页面的跳转地址；
4. 在 Steam 窗口上方覆盖高度相似的伪造窗口；
5. 拦截启动游戏等操作，强制显示虚假警告。

公开的同类客户端劫持研究中，研究者曾发现 Steam UI 的 JavaScript 文件被修改、浏览器组件被注入，以及注册表启动项被用于维持恶意程序持续运行。这些资料能够说明此类攻击在技术上如何实现，但在没有完整样本哈希对应关系的情况下，不应直接断言所有“假红信”都来自同一个木马家族。相关防御性分析可以参考 Steam Threat Analysis Platform。

从攻击效果看，恶意程序不需要完整复制整个 Steam，只需控制玩家最关心的几个环节：

• 打开 Steam 时显示红色警告；
• 启动游戏时阻止操作；
• 点击帮助时跳转到钓鱼页面；
• 隐藏或干扰举报入口；
• 在页面中显示玩家真实的头像、用户名和 Steam ID。

这些信息大多可以从本地 Steam 客户端或公开个人资料中取得，并不能证明“客服能够访问 Steam 后台”。但在受害者看来，假客服能够准确说出自己的账号信息，会显得非常可信。

五、这是一种“技术攻击＋社会工程”的组合

单纯伪造一张红色弹窗并不一定能盗号。真正让攻击成功的，是恶意程序和社会工程的配合。

1. 权威感

警告显示在 Steam 客户端里，而不是陌生网站里。玩家天然会认为它来自 Valve。

2. 紧迫感

弹窗通常声称账号即将永久封禁，或者库存存在风险，让受害者没有时间冷静核实。

3. 损失厌恶

拥有高价值饰品和多年游戏库存的玩家，比起“支付一笔验证费用”，更害怕整个账号被封。

4. 个性化信息

假客服能够显示玩家的头像、用户名和 Steam ID，进一步强化其“官方身份”。

5. 操作控制

部分恶意程序会阻止玩家正常启动游戏或打开支持页面，让受害者误以为限制已经真实生效。

因此，这类攻击真正劫持的不只是 Steam 客户端，也是玩家对“官方界面”的信任。

六、Steam 手机令牌为什么不一定能完全阻止它？

Steam Guard 手机验证器仍然非常重要，但它不是对所有盗号方式都绝对有效。

传统钓鱼主要盗取账号和密码，手机令牌可以增加一道验证。但如果恶意程序已经运行在玩家电脑上，它还可能尝试窃取：

• 已登录会话；
• 本地身份凭据；
• 浏览器 Cookie；
• Steam 登录令牌；
• 玩家主动提供的验证码；
• 玩家亲自确认的恶意交易。

尤其是在假客服的引导下，受害者可能主动批准登录或交易请求。此时，双重验证并不是被技术绕过，而是被社会工程“借用”了。

所以更准确的说法是：手机令牌能显著降低风险，但不能替代干净的运行环境和基本的安全判断。

七、怎样判断红信是真是假？

首先，不要因为通知出现在 Steam 客户端内部，就默认它一定是真的。

在另一台干净设备上查看

使用手机 Steam App 或另一台可信设备检查账号状态。如果只有一台电脑显示严重封禁或安全警告，而其他设备完全正常，本地客户端被篡改的可能性很高。

检查客服链接的真实域名

Steam 官方登录和支持页面使用以下域名：

• help.steampowered.com
• store.steampowered.com
• steamcommunity.com
• www.steampowered.com

需要检查的是地址栏中的实际域名，而不是页面上的 Logo、标题或链接文字。相似拼写、额外前后缀以及“看起来像 Steam”的域名都不可信。

观察对方是否要求付款

Steam 官方不会要求玩家通过扫码、转账、礼品卡或购买指定商品来解除封禁，也不会要求把饰品转移到所谓的安全账户。

凡是出现“付费验证”“充值解冻”“资金审查”或“安全库存”等说法，都应直接视为诈骗。

不要相信主动联系你的“客服”

Valve 员工不会通过 Discord、QQ、Steam 聊天或其他即时通信工具主动处理账号处罚。官方支持应由玩家通过 Steam Support 网站主动发起。

八、如果下载过涉事 MOD，应当怎样处理？

如果电脑可能已经运行过恶意代码，处理顺序十分重要。

第一步不是马上修改密码，而是先清理电脑。否则，新密码可能再次被仍在运行的恶意程序窃取。

建议按照以下顺序操作：

1. 立即断开网络，停止在可疑电脑上登录账号；
2. 取消订阅涉事 MOD，并删除对应本地文件；
3. 更新安全软件和病毒库，执行全盘扫描；
4. 重启后再次扫描，检查异常进程和启动项；
5. 完整卸载 Steam，并清理遭到篡改的客户端残留；
6. 从 Steam 官方网站重新下载客户端；
7. 确认系统干净后，在可信设备上修改 Steam 密码；
8. 同时修改绑定邮箱密码，并启用邮箱双重验证；
9. 在 Steam 的授权设备页面退出所有可疑会话；
10. 启用 Steam Guard 手机验证器；
11. 检查交易、市场、库存和账号资料是否出现异常；
12. 如已失去账号控制，通过 help.steampowered.com 提交恢复申请。

如果涉及转账或较大金额损失，还应保存聊天记录、付款记录、恶意文件信息和页面截图，并及时报警。

九、这次事件真正值得警惕的地方

过去，玩家判断钓鱼的经验通常是：“只要不离开官方客户端，就不会有问题。”

假红信事件说明，这条经验已经不够可靠。

当恶意代码进入本地计算机后，客户端界面本身也可能成为攻击者的一部分。一个页面是否显示在 Steam 窗口里，不再能够证明它来自 Steam 服务端。

真正可靠的判断依据，应当是：

• 通知是否能在多个可信设备上同步验证；
• 链接是否属于官方域名；
• 操作是否符合官方支持流程；
• 是否要求付款、转移物品或提供验证码；
• 本地客户端和操作系统是否可能已被恶意程序控制。

这次攻击并没有攻破 Steam 的服务器，却攻破了许多玩家心中最重要的一条安全边界——“我亲眼在官方客户端里看到的东西一定是真的”。

而这，或许正是“假红信”比普通钓鱼网站更加危险的原因。

参考资料

1. 《逃离鸭科夫》关于创意工坊恶意 MOD 的处理与防护建议
2. Steam 客服：可疑内容导致的账号锁定
3. Steam 客服：账号安全建议
4. Steam Threat Analysis Platform

本文2026-09-07首发于M15tak3のBlog，最后修改于2026-09-07

本博客所有文章除特别声明外，均采用 BY-NC-SA 许可协议。转载请注明出处！