Proč jsou ukradené herní účty cennější, než si myslíte

Když se řekne „ukradli mi herní účet", většina lidí si představí ztrátu pár her. Realita je drsnější. Po červnovém odhalení databáze s 24 miliardami záznamů, kterou popsali výzkumníci z Cybernews a tvořily ji převážně infostealer logy, stojí za to vysvětlit, proč jsou herní účty na černém trhu žádané zboží – a co s nimi útočníci skutečně dělají.

Skiny a inventář: digitální zboží s reálnou cenou

Účet v CS2, Dotě 2 nebo na marketplace se skiny může mít inventář v hodnotě stovek až tisíců korun. Vzácné skiny, nože nebo sběratelské předměty se obchodují za skutečné peníze a jejich převod je rychlý a špatně vratný. Pro útočníka je to ideální: ukradne, převede na svůj účet nebo prodá a oběť má smůlu.

Právě proto bývá u kradených účtů terčem číslo jedna inventář. Nejde o „jen pár her" – jde o aktivum, které lze okamžitě zpeněžit.

Uložená platební karta a nákupy

Druhý důvod je banálnější: na herním účtu bývá uložená platební karta nebo zůstatek v peněžence (Steam Wallet, kredit na PSN či Xboxu). Útočník s přístupem může nakupovat hry a vnitroherní měnu, případně přes dárkové kódy převést hodnotu pryč. I když banka transakce nakonec zablokuje, je to administrativa, blokace karty a ztracený čas.

Sociální inženýrství: účet jako odrazový můstek

Tohle je nejméně viditelná, ale často nejnebezpečnější část. Ukradený účet není jen kořist – je to nástroj. S důvěryhodně vypadajícím účtem útočník:

• píše vašim přátelům z friend listu a láká je na podvodné „výhodné nabídky" nebo falešné odkazy,
• rozesílá phishing přes Steam chat, Discord nebo herní zprávy, kterému vaši kamarádi spíš uvěří, protože přichází od známého,
• zneužívá navázané účty (Discord, e-mail), aby se dostal hlouběji.

Jeden ukradený účet se tak snadno změní v lavinu dalších. Proto se vyplatí být obezřetný i u zpráv, které přijdou od „kamaráda" – obzvlášť pokud obsahují odkaz nebo žádost o login.

Prodej účtů: účet jako komodita

Existuje celý šedý trh s prodejem herních účtů. Hodnotu zvyšuje cokoli, co se těžko získává znovu: vzácné skiny, vysoký rank, odznaky, odemčené postavy, stará registrace nebo přístup k betám. Útočník nemusí účet ani „vytěžit" sám – stačí ho přeprodat dál.

A tady se kruh uzavírá k úniku 24 miliard záznamů. Infostealer logy obsahují přesně to, co útočníkům usnadňuje hromadné přebírání účtů: uložená hesla z prohlížeče, cookies a session tokeny. Pokud navíc oběť používá stejné heslo na víc službách, funguje credential stuffing – automatické zkoušení dvojice e-mail + heslo napříč desítkami služeb – a jeden únik kdekoli ohrozí celé portfolio účtů.

Co to znamená pro běžného hráče

Žádná z těchto kauz neznamená, že právě váš účet je prolomený – to nelze bez ověření tvrdit. Znamená to ale, že herní účet je atraktivnější cíl, než se zdá, a že obrana je naštěstí jednoduchá a stejná jako u jakéhokoli jiného účtu: unikátní heslo na každou službu (ideálně přes správce hesel) a vícefaktorové ověření přes autentizační aplikaci. To samo o sobě srazí většinu hromadných útoků, protože ty stojí a padají na opakovaných heslech a chybějícím druhém faktoru.

Časté dotazy

Můj inventář nemá velkou hodnotu – jsem mimo riziko? Ne nutně. I „obyčejný" účet má cenu jako nástroj pro sociální inženýrství vůči vašim přátelům a jako položka k přeprodeji.

Jak útočníci obejdou 2FA, když ho mám zapnuté? Nejčastěji přes ukradený session token, ne přes heslo. Proto po jakémkoli podezření změňte heslo a odhlaste všechna zařízení – tím se aktivní relace zruší.

Stačí mě ochránit antivirus? Pomáhá, ale není to celé. Infostealery se šíří hlavně přes neoficiální „cheaty", módy a launchery, takže klíčová je i obezřetnost při instalaci softwaru.

Závěr

Ukradený herní účet není drobná nepříjemnost, ale aktivum se skiny, případnou platební kartou, sociálním dosahem na vaše přátele a tržní hodnotou pro přeprodej. Odhalení 24 miliard záznamů ukázalo, jak masově dnes útočníci pracují s ukradenými údaji. Dobrá zpráva je, že obrana se nezměnila: unikátní hesla a vícefaktorové ověření udělají z atraktivního cíle nepohodlnou práci, které se útočník raději vyhne.

Konkrétní postup pro Steam, Epic, Xbox, PlayStation, Riot i Battle.net jsme sepsali zvlášť:

Zabezpečte si herní účty

Zdroje a další čtení