As contas Steam de vários desenvolvedores de jogos foram recentemente comprometidas e usadas para espalhar malware por meio de atualizações de jogos. Segundo a Valve, menos de 100 usuários instalaram o jogo após a adição do malware e foram informados do risco por e-mail.
Embora este incidente não tenha afetado muitas pessoas, a Valve tomou medidas significativas para evitar que isso aconteça novamente. A partir de 24 de outubro, os desenvolvedores de jogos precisarão passar por uma verificação de identidade de autenticação de dois fatores antes de atualizar a versão padrão de um jogo publicado. A “ramificação padrão” é a versão que o Steam envia para a maioria dos jogadores instalados em atualizações automáticas.
Esta verificação de dois fatores requer o recebimento de mensagens de texto de celular, portanto, os futuros desenvolvedores de jogos Steam devem vincular os números de celular. Para os desenvolvedores que não possuem números de telefone celular, a Valve disse que “lamenta” essa mudança, mas se quiserem continuar a atualizar o jogo, os desenvolvedores devem ter um telefone celular ou outro meio para receber mensagens de texto.
A Valve disse à PCGamer que este “inconveniente” para os parceiros é “uma compensação necessária para manter os usuários do Steam seguros e os desenvolvedores cientes de quaisquer ameaças potenciais às suas contas”.
E a Valve também afirmou que este não foi um incidente isolado. A empresa disse ter visto um aumento recente em “ataques sofisticados” direcionados a contas de desenvolvedores de jogos publicados no Steam.
No futuro, os desenvolvedores do Steam também serão obrigados a realizar a verificação de dois fatores por SMS ao adicionar novos usuários a grupos de empresas. A Valve disse que planeja adicionar verificação de dois fatores a outras operações de back-end do Steam no futuro.
Um dos jogos afetados inclui NanoWar: CellsVSVirus. O desenvolvedor Benoit Freslon disse no Twitter (X) que ele próprio foi vítima de um malware que roubou o token de acesso de seu navegador, permitindo que o invasor acessasse qualquer serviço web em que estivesse logado. “Acho que foi algumas horas antes do hack que lancei o jogo usando minha conta de desenvolvimento”, disse ele.