스팀 API 키 사기: 거래가 엉뚱한 계정으로 갈 때

거래 제안을 보냈습니다. 확인창에 뜬 상대는 이름도 사진도 낯익은데 계정만 다릅니다. 이미 눌러 버렸을 수도 있고 누르기 직전에 알아챘을 수도 있습니다. 어느 쪽이든 질문은 두 개가 남습니다. 나간 아이템은 돌아올까. 내 계정은 어디까지 뚫렸을까.

첫 질문의 답은 Valve가 이미 정해 두었습니다. 그래서 이 글은 두 번째 질문에 더 많은 분량을 씁니다. 두 번째는 순서에 따라 결과가 갈립니다. 감염됐을지 모르는 컴퓨터에서 새 비밀번호를 입력하면 그 비밀번호가 다시 새어 나갈 수 있습니다. API 키 하나를 지우고 끝났다고 믿으면 열린 문은 그대로 남습니다.

다루는 것은 다섯 가지입니다. 교환 리디렉션이 무엇인지, API 키를 어디서 확인하고 해지하는지, 세션 정리와 비밀번호 변경을 어떤 순서로 하는지, 가짜 로그인 화면을 어떻게 가르는지, 모바일 확인창이 왜 여전히 마지막 관문인지입니다. 거래 전에 훑는 일반 점검표는 스팀 교환을 승인하기 전에 확인할 것이, 오류 문구와 재시도 판단은 교환 오류 점검 글이 맡고 있어서 여기서는 되풀이하지 않습니다.

근거는 2026년 10월 27일에 직접 열어 읽은 Valve 도움말과 개발자 문서입니다. 영어 원문을 기준으로 삼았고 한국어판은 두 쪽만 대조했습니다. 도움말 링크는 한국어판으로 걸어 두었으니 번역 시점에 따라 문장이 영어와 다를 수 있습니다. 계정을 실제로 침해하거나 API 키를 발급해 본 적은 없습니다. 로그인해야 열리는 API 키 화면도 이 글을 쓰는 동안 보지 못했고 그 한계는 해당 대목에서 다시 적겠습니다. 중간의 장면은 이해를 돕기 위해 만든 가정이며 실제 피해 사례가 아닙니다. 그림도 모두 설명용 도식이지 스팀 화면이 아닙니다.

거래가 바뀌기 전에 계정의 통제권이 먼저 넘어갔습니다#

Valve는 이 수법에 교환 리디렉션 사기라는 이름을 붙여 따로 설명합니다. 줄거리는 짧습니다. 사기꾼이 믿을 만한 계정이라고 여기게 만든 곳으로 아이템을 보내도록 사용자를 설득합니다. 그런데 사기꾼은 그 전에 이미 계정 보안을 침해해 둔 상태입니다. 그래서 거래를 취소하고 그 거래를 자기가 통제하는 사칭 계정으로 돌려놓습니다. 사용자가 휴대폰에서 확인하기 전에 내용을 제대로 읽지 않기를 바랄 뿐입니다.

눈여겨볼 곳은 순서입니다. 계정 침해가 먼저이고 사칭 계정은 그다음입니다. 전체 접근 권한을 얻지 못한 사기꾼은 거래를 리디렉션할 수 없다고 Valve가 직접 적고 있습니다. 이 사건을 거래 상대에게 속은 일로만 분류하면 대응이 어긋납니다.

스팀의 거래 도움말은 사기와 하이재킹을 구분합니다. 사기는 사용자가 그 순간에는 스스로 거래를 마치도록 속는 경우입니다. 하이재킹은 계정이나 컴퓨터가 주인의 허락 없이 다른 사람에게 넘어간 경우입니다. 같은 문서에 따르면 일부 하이재커는 가짜 스팀 사이트나 서드파티 거래 사이트를 내세워 로그인 정보를 넘기게 만듭니다. 리디렉션은 겉으로는 사기처럼 보입니다. 그럴듯한 이유가 있고 재촉이 따라붙으니까요. 그래도 성립하려면 하이재킹이 필요합니다. 저는 그렇게 해석합니다. Valve가 리디렉션을 하이재킹이라고 한 줄로 정의한 문장은 없고 전체 접근 권한 없이는 리디렉션이 안 된다는 앞의 문장이 그 해석을 받칩니다.

그래서 가장 먼저 풀어야 할 일은 계정을 닫고 되찾는 일입니다. 상대와 따지는 일은 그다음입니다.

가령 이런 장면입니다. 외부 사이트에 아이템을 팔려고 거래를 보냈는데 잠시 뒤 같은 이름과 같은 사진을 쓰는 다른 계정에서 거의 같은 제안이 옵니다. 보내는 목록이 같아 보여서 휴대폰 확인창을 눌렀습니다. 지어낸 장면입니다. 비슷한 구도를 제3자 안내인 SteamDB의 스캠 가이드도 피해자 시점으로 적었습니다. 내가 만든 거래가 취소되고 곧바로 복제된 봇 계정에서 같은 모양의 제안이 다시 나타난다는 설명입니다. Valve 문서가 아니고 이 글이 직접 확인한 내용도 아닙니다.

여기서 나온 별명이 API 사기입니다. Valve가 이유를 직접 풀어 줍니다. 스팀에는 사용자와 웹사이트가 데이터 요청을 자동화하거나 특정 API 키를 가진 계정에 변경을 실행하는 데 쓰는 API 도구가 있습니다. 계정의 API 키는 그 계정을 API 시스템에서 식별하고 접근을 허용하는 고유한 열쇠라서 절대 공유하면 안 됩니다. 리디렉션 작업은 계정 주인이 건네준 키나, 하이재커가 피해자 계정에 들어와 직접 발급한 키로 실행될 수 있습니다.

그런데 Valve는 곧바로 선을 긋습니다. 키는 이 사기에 필수가 아닙니다. 컴퓨터나 계정에 접근한 사람은 API 없이도 내 이름으로 동작을 자동화하기 쉽기 때문입니다. 이 문장이 뒤쪽 판단의 바탕입니다. 키는 지워야 하지만 키를 지웠다고 계정이 닫히지는 않습니다.

참고로 한국어판 도움말은 이 대목을 영어 원문보다 단정적으로 번역했습니다. 영어는 키로 실행될 수 있다(may be executed)는 조건부 문장인데 한국어판은 키를 사용하여 수행된다고 읽힙니다. 이 글은 영어 원문의 조건부 표현을 따릅니다.

정리하면 지금 일어난 일은 잘못된 거래 한 건이 아닙니다. 누군가 내 계정을 움직일 수 있었던 기간입니다. 다음 구간에서는 그 기간이 얼마나 넓었는지 가늠해 봅니다.

무엇이 털렸는지는 단서 다섯 가지로 좁힙니다#

무엇이 털렸느냐는 질문에 한 문장으로 답하기는 어렵습니다. 스팀 도움말은 계정이 넘어가는 경로를 여러 개 들고 있는데 리디렉션 문서는 그중 어느 경로였는지 말해 주지 않기 때문입니다. 경로부터 늘어놓고 직접 열어 볼 수 있는 단서로 범위를 좁혀 가겠습니다.

스팀 가드 도움말은 스팀 가드가 켜진 계정이 도난당하는 흔한 방식을 넷으로 정리합니다. 첫째는 인증 이메일 계정의 침해입니다. 스팀 비밀번호를 몰라도 계정명만 알면 재설정으로 들어올 수 있습니다. 둘째는 스팀 가드 파일입니다. 이 파일을 건네주면 비밀번호와 계정명을 아는 사람이 이메일 없이 접근하는데 스팀은 그런 파일을 요구하지 않습니다. 셋째는 악성코드로, 이미 승인된 내 기기에서 그대로 로그인합니다. 넷째는 스팀이나 Valve 직원을 사칭하는 피싱입니다. 오래된 문체의 문서여서 앱의 최신 표기와 다를 수 있다는 점은 감안해야 합니다.

계정 보안 권장 사항에 따르면 악성코드는 불법 복제 소프트웨어, 치트, 가짜 데모나 베타, 음성 채팅 같은 보조 프로그램, 모드·인벤토리 관리 도구로 위장할 수 있습니다. 일반 백신이 못 잡도록 맞춤 제작되기도 합니다. 지갑에 잔액이 생기는 것처럼 노릴 만한 상태가 될 때까지 기다리거나 목적을 이룬 뒤에는 스스로 사라질 수도 있다고 합니다. 리디렉션 문서는 여기에 피싱 사이트를 더해 위험으로 꼽습니다. API 키는 이 목록의 원인이 아닙니다. 접근 뒤에 생기는 결과이거나 도구입니다. 계정 주인이 키를 건네준 경우와 이미 들어온 하이재커가 키를 만든 경우, 문서에 나오는 형태는 이 둘입니다.

문제는 내 사례에서 이 가운데 어느 경로였는지 Valve 문서만으로는 알 수 없다는 점입니다. 대신 다섯 가지를 열어 보면 범위가 줄어듭니다.

단서를 읽을 때 지켜야 할 규칙이 하나 있습니다. 어느 칸에서도 답이 나오지 않았다면 경로를 모르는 것이지 경로가 없는 것이 아닙니다. 그럴 때는 저는 계정, 이메일, 컴퓨터를 모두 의심 대상으로 놓고 시작하는 쪽을 권합니다. 비용을 비교해 보면 이유가 보입니다. 셋을 전부 정리하는 데는 품이 들지만 하나를 빠뜨리면 새 비밀번호를 만든 뒤에도 같은 경로로 다시 들어올 수 있습니다.

거래 URL은 위 경로 목록에 없습니다. 제가 읽은 문서 중에 거래 URL을 계정이 넘어가는 경로로 꼽은 곳은 없었습니다. 그 주소로 무엇을 할 수 있는지는 거래 URL 글에서 따로 다룹니다.

로그인하기 전에: 승인 대기, 컴퓨터, 이메일#

처음 몇 분에 할 일은 세 가지이고 순서에는 이유가 있습니다.

첫째, 아직 누르지 않았다면 아무것도 승인하지 않습니다. 스팀의 거래와 장터 확인 도움말에 따르면 거래 제안을 보내거나 받은 거래를 수락하거나 장터에 올릴 때는 이메일이나 앱에서 확인해야 실행됩니다. 확인하지 않으면 거래는 이뤄지지 않습니다. 제안에 담긴 아이템은 수락되기 전까지 인벤토리에 그대로 있다고 교환 제안 도움말도 설명합니다. 확인창에서 멈췄다면 아이템은 아직 나가지 않은 것입니다.

내가 만들지 않은 거래나 등록의 확인 요청이 와 있으면 Valve는 그 요청을 열어서 취소하라고 안내합니다. 내가 만든 거래라도 받는 계정이 합의한 상대와 다르면 같은 선택이 맞다고 저는 봅니다. 문서에 없는 제 판단입니다. 보낸 제안이 목록에 남아 있다면 영어 도움말의 표기로는 인벤토리의 교환 제안에서 Sent Offers를 열어 Cancel Trade Offer로 취소할 수 있습니다. 한국어 화면에서는 표기가 다를 수 있습니다. 제안은 2주가 지나면 자동으로 만료됩니다.

이미 확인을 눌렀다면 이야기가 달라집니다. 그 경우는 나간 아이템을 다루는 구간에서 다룹니다.

둘째, 상대와의 대화를 끊고 기록은 남깁니다. 리디렉션 문서의 조언은 분명합니다. 사기꾼과 일하고 있다고 판단되면 최선은 대화를 끝내는 것이고, 그가 한 말은 전부 사기의 일부입니다. 이미 계정 정보를 모두 바꿨으니 복구할 수 없다는 주장도 거짓입니다. 계정 복구 도움말에 따르면 이메일, 비밀번호, 전화번호가 모두 바뀐 뒤에도 지원팀을 통해 복구할 수 있습니다. 디스코드나 스팀 채팅에서 지원 담당자를 자처하는 사람의 지시를 따르지 말라는 경고는 계정 보안 권장 사항에 있습니다.

남겨 둘 것은 상대 프로필 주소, 제안 내역 화면, 시각입니다. 신고는 문제 계정의 프로필에서 시작합니다. 그런데 계정 보안 권장 사항에 따르면 친구 목록에 보이는 프로필 이름은 사용자가 언제든 바꿀 수 있습니다. 그래서 이름 대신 주소를 복사해 둡니다.

셋째, 컴퓨터와 이메일을 스팀보다 먼저 살핍니다. 순서가 가장 까다로운 대목인데, 공식 문서 두 개가 서로 다르게 적고 있어서 짚고 넘어가야 합니다.

계정 보안 권장 사항은 침해가 의심될 때의 차례를 이렇게 둡니다. 인증된 기기를 확인해 수상하면 모든 기기에서 로그아웃하고 스팀 비밀번호를 바꾸고 이메일과 관련 계정의 보안을 검토한 다음, 시스템에서 악성코드를 검사합니다. 반면 도난 계정 안내 마법사는 계정을 되찾기 전에 두 가지를 먼저 끝내라고 합니다. 컴퓨터 검사와 이메일 비밀번호 변경입니다. 이유도 함께 적혀 있습니다. 키로거 같은 악성 프로그램이 스팀 계정명과 비밀번호를 훔칠 수 있으니 비밀번호를 재설정하기 전에 검사하라는 것입니다. 스팀 계정은 연결된 이메일이 뚫린 뒤에 흔히 침해되므로, 이메일 비밀번호를 바꿔야 두 번째 도난과 지원팀 업무 방해를 막을 수 있다고도 합니다.

두 문서는 서 있는 자리가 다릅니다. 앞의 것은 계정 안에서 아직 움직일 수 있는 사람이 쓰는 점검 목록이고 뒤의 것은 계정을 되찾으려는 사람이 지나는 관문입니다. 그래도 로그아웃과 비밀번호 변경을 먼저 하느냐 검사를 먼저 하느냐는 실제로 어긋나는 대목입니다. 두 문서 어디에도 이 차이에 대한 설명은 없습니다.

저는 둘 중 하나를 고르기보다 컴퓨터를 의심하는 동안은 스팀 로그인을 그 컴퓨터에서 하지 않는 쪽을 택하겠습니다. 평소 쓰던 컴퓨터가 감염됐다면 새 비밀번호는 입력하는 순간 노출됩니다. 마법사가 검사를 먼저 시키는 이유가 정확히 이것입니다. 믿을 만한 다른 기기가 있다면 스팀 쪽 조치는 거기서 먼저 하고 의심스러운 컴퓨터는 그동안 검사를 돌립니다. 다른 사람과 공용이 아닌 내 휴대폰이나 따로 검사해 둔 PC가 후보입니다. 기기가 하나뿐이면 마법사의 순서대로 검사를 먼저 합니다. 이 선택으로 잃는 것은 시간입니다. 검사가 도는 동안 스팀 쪽 조치가 늦어지지만 Valve는 계정이 침해되더라도 확인이 있으면 아이템을 훔치기가 매우 어렵다고 설명하니 그 점이 그나마 위안입니다. 다만 확인하는 기기까지 넘어간 경우는 확인창을 다루는 구간에서 따로 다룹니다.

검사의 한계도 알아 두어야 합니다. 앞서 본 대로 악성코드는 일반 백신을 피하게 만들어지거나 목적을 이룬 뒤 스스로 지워질 수 있다고 Valve가 직접 경고합니다. 깨끗하다는 결과를 안전의 증명으로 쓰지 마세요. 의심스러운 컴퓨터로는 스팀과 이메일에 로그인하지 않는 편이 낫습니다. 검사 도구를 고를 때는 악성코드 도움말의 지침을 따릅니다. 도구는 공식 사이트에서만 받으라고 하고 악성코드 제거 도구를 자처하는 프로그램 중에 악성코드가 많다고 경고합니다. 스팀을 정리해 주거나 최적화해 준다는 프로그램을 내려받아 실행하지 말라는 경고는 모바일 인증기 도움말에도 있습니다.

이메일은 스팀 비밀번호보다 먼저 바꿉니다. 스팀 가드를 켜 두어도 인증 이메일 계정이 뚫리면 계정명만으로 재설정해 들어올 수 있기 때문입니다. 이메일 계정에는 강한 비밀번호와 이중 인증을 쓰고 메일 서비스가 내놓는 보안 권고를 따르라는 것이 계정 보안 권장 사항의 안내입니다. 스팀과 이메일의 비밀번호는 서로 달라야 합니다. 이메일을 건드리지 않고 스팀 비밀번호만 바꾸면 새 비밀번호가 메일을 통한 재설정 경로로 다시 열릴 수 있습니다.

스팀 안에서는 로그아웃, 비밀번호, API 키 순서입니다#

이제 믿을 만한 기기에서 스팀에 들어왔다고 가정합니다.

가장 먼저 열려 있는 세션을 닫습니다. 계정 보안 권장 사항의 한국어판은 인증된 기기를 확인하고 수상한 점이 있으면 모든 기기에서 로그아웃 옵션을 쓰라고 합니다. 오래된 스팀 가드 도움말은 계정 상세 페이지의 스팀 가드 관리에서 인증을 해제하면 계정에 접근할 수 있는 모든 컴퓨터와 기기의 인증이 풀린다고 설명합니다. 메뉴 이름이 문서마다 달라서 화면에 실제로 보이는 이름을 따르는 편이 맞습니다. 스팀 모바일 앱의 인증기를 쓰는 사용자는 계정에 접근한 기기 정보를 앱에서 볼 수 있습니다.

이 단계에는 부작용이 따를 수 있습니다. 스팀 가드 도움말에 따르면 인증을 해제한 기기는 다음 로그인 때 새 기기처럼 취급되어 코드를 요구받습니다. 거래와 장터 제한 도움말은 새로 인증된 기기에서 7일 동안 거래와 장터를 쓸 수 없다고 설명합니다. 모바일 인증기를 7일 이상 써 왔다면 새 기기에 대한 제한은 없습니다. 이 제한은 지원팀도 바꿀 수 없습니다. 모든 기기에서 로그아웃 옵션이 인증 해제와 똑같이 작동하는지는 제가 읽은 문서에 적혀 있지 않습니다. 어느 쪽이든 거래를 못 하게 된다는 이유로 로그아웃을 미룰 일은 아니라고 봅니다. 미뤄서 아끼는 것은 며칠이고 위험은 그보다 큽니다.

다음은 비밀번호이고 길이 둘로 갈립니다.

스팀에 로그인할 수 있다면 클라이언트 설정의 보안 탭에서 비밀번호 변경을 씁니다. 스팀이 계정 이메일로 인증 코드를 보내면 코드를 입력하고 새 비밀번호를 정합니다. 이전에 쓴 비밀번호는 안 되고 강도 요건을 맞춰야 하며 끝나면 확인 메일이 옵니다. 로그인할 수 없다면 로그인 도움말에서 계정이 도난당했다는 항목으로 들어가 비밀번호 재설정을 거칩니다. 자가 복구가 안 되면 끝에 지원팀 문의 양식이 나옵니다. 그때를 대비해 가능한 계정 로그인 이름들과 계정에 쓴 이메일 주소들, 소유 증명을 준비하라고 안내합니다.

변경과 재설정은 같은 말이 아닙니다. 거래와 장터 제한 도움말에 따르면 비밀번호를 잊어서 도움말 사이트나 지원팀으로 재설정하면 5일 동안 거래와 장터가 막히고 계정이 두 달 넘게 활동이 없었다면 30일입니다. 클라이언트 설정에서 변경하는 경우는 이 제한 대상이 아닙니다. Valve의 다른 문서는 모르는 확인 요청이 올 때 도움말 사이트에서 비밀번호를 바꾸라고 안내하니 둘 다 공식 경로입니다. 로그인할 수 있으면 클라이언트 변경을, 없으면 재설정과 그 제한을 택하라는 것이 제 판단입니다. 새 비밀번호는 이메일 비밀번호와 달라야 합니다.

마지막이 API 키입니다. 위치는 steamcommunity.com/dev/apikey입니다. 리디렉션 문서가 이 주소를 직접 적어 두었고 키를 공유했거나 하이재커가 계정을 대신해 키를 요청한 것 같으면 여기서 해지하라고 안내합니다. 개발자 문서에 따르면 사용자 키는 스팀 계정과 그 키에 연결할 도메인 이름만 있으면 스팀 커뮤니티의 등록 페이지에서 발급됩니다. 키 약관은 키를 비밀로 유지하고 제3자와 공유하지 말라고 요구합니다. 키를 알려 달라는 사이트는 Valve가 공유하지 말라고 한 것을 달라는 셈입니다.

이 대목에서 한계를 분명히 해야 합니다. 이 글을 쓰면서 로그인하지 않은 채 이 주소를 열었더니 스팀 로그인 화면으로 넘어갔습니다. 어떤 계정에도 로그인하지 않았기에 로그인한 뒤의 화면, 버튼 이름, 키가 있을 때 무엇이 표시되는지는 보지 못했습니다. SteamDB의 안내에는 키와 도메인이 표시되고 Revoke My Steam Web API Key라는 버튼이 있다고 나오지만 제3자의 설명이며 확인하지 못했습니다. 화면 이름이 다르면 화면에 보이는 해지 항목을 따르면 됩니다.

판단 기준은 단순합니다. 내가 만든 적 없는 키는 지웁니다. 누가 만들었는지 모르겠으면 지웁니다. 직접 개발한 도구에 키를 쓰고 있었다면 해지하는 순간 그 도구가 멈추니 새 키를 발급해야 하는데, 그건 그때 감수할 비용입니다. 화면에 키가 없었다면 키로 들어온 경로는 아니라는 뜻일 뿐입니다. 앞서 본 대로 키는 필수가 아니니 안전의 증거로 쓰지 않습니다.

순서는 비밀번호를 바꾼 뒤에 키를 확인하는 쪽이 낫다고 봅니다. 하이재커의 세션이 남아 있는 채로 키를 지우면 그 세션으로 새 키를 만들 수 있으니까요. Valve가 하이재커는 계정 접근으로 키를 만든다고 설명한 데서 끌어낸 추론입니다. 반대로 비밀번호를 바꾸면 이미 발급된 키가 무효가 되는지는 Valve 문서에 나오지 않습니다. 그래서 비밀번호 변경이 키 해지를 대신한다고 가정하지 않고 둘 다 직접 합니다.

이 사이트의 다른 글은 같은 상황의 순서를 다르게 적습니다. 스팀 거래가 최대 15일 보류되는 이유와 확인할 점의 비상 대응 목록은 모르는 거래를 취소한 뒤 API 키부터 해지하고, 그다음에 로그아웃과 비밀번호, 이메일, 악성코드 검사를 둡니다. 이 글은 컴퓨터와 이메일 점검을 도난 계정 안내 마법사에서, 로그아웃과 비밀번호의 차례를 계정 보안 권장 사항에서 가져왔고 키를 비밀번호 뒤에 둔 것은 방금 말한 제 추론입니다. Valve의 리디렉션 문서는 키 해지를 안내하면서도 다른 단계와의 순서는 정하지 않으며, 앞서 보았듯 Valve 문서끼리도 차례가 다릅니다.

하나만 고르라면 저는 이 글의 순서를 권합니다. 경로를 모르는 동안에는 키 화면에 로그인하는 것도 의심스러운 컴퓨터에서 하게 될 수 있고, 하이재커의 세션이 열려 있으면 키를 지운 뒤에 새 키가 생길 수 있어서입니다. 이미 믿을 만한 기기로 들어와 있고 모르는 키가 보인다면 먼저 지워도 잃는 것이 없으니 그 순서도 틀리지 않습니다. 어느 쪽이든 한 가지 순서를 끝까지 따르세요. 두 글의 순서를 절반씩 섞지 마시고요.

키로 무엇을 할 수 있는지를 이 글이 목록으로 적지 않는 데도 이유가 있습니다. 지원 문서는 계정에 변경을 실행할 수 있다고만 말합니다. 공개된 IEconService 레퍼런스에는 거래 이력과 제안을 조회하는 항목, 게시자 전용 캐시 갱신 항목만 보이고 계정을 바꾸는 호출이 무엇인지는 적혀 있지 않습니다. 둘 사이의 간격을 추측으로 메우지는 않겠습니다.

진짜 로그인 화면과 가짜를 가르는 기준#

Valve가 리디렉션 사기의 출발점이 가짜 로그인 화면이라고 직접 말한 것은 아닙니다. 다만 하이재킹의 정의에 가짜 스팀 사이트나 서드파티 거래 사이트로 로그인 정보를 넘기게 만드는 경우가 들어 있고, 리디렉션 문서도 피싱 사이트와 악성코드 설치를 위험으로 꼽습니다. 그러니 가짜를 가려내는 기준은 재발 방지에서 큰 몫을 합니다. 네 가지를 봅니다.

첫째는 호스트입니다. 계정 피싱 안내는 공식 스팀 로그인이 steampowered.com이나 steamcommunity.com 도메인으로만 연결된다고 말합니다. 계정 보안 권장 사항은 store.steampowered.com, steamcommunity.com, help.steampowered.com을 같은 맥락에서 적습니다. 읽어야 할 것은 주소에 스팀이라는 글자가 들어 있는지가 아니라 호스트 이름 자체입니다. 진짜 이름 뒤에 다른 도메인을 붙인 주소를 읽는 법은 거래 URL 글에 있으니 여기서는 되풀이하지 않습니다. 모바일 인증기 도움말도 나쁜 사람들이 영리한 철자 변형으로 Valve의 링크처럼 보이게 만든다고 경고하며 의심스러우면 누르지 말라고 합니다.

둘째는 출발점입니다. 그 화면에 어떻게 도착했는지를 봅니다. 리디렉션 문서는 링크를 따라가거나 애플리케이션을 설치하거나 로그인 정보를 주지 말라고 합니다. 계정 보안 권장 사항은 친구가 보낸 링크도 한 번 더 확인하라고 하는데, 친구 계정이 도용됐을 수 있기 때문입니다. 로그인이 필요한 페이지는 주소창에 직접 입력하거나 즐겨찾기로 여세요. 이 글의 API 키 주소도 링크를 믿지 말고 직접 입력해서 열면 됩니다.

셋째는 서드파티 사이트의 스팀으로 로그인입니다. 개발자 문서에 따르면 스팀은 OpenID 제공자 역할을 할 수 있어서 사이트가 사용자에게 스팀 이름과 비밀번호를 입력하게 하지 않고도 SteamID를 인증할 수 있습니다. 입력하게 하는 것은 API 약관 위반이라고도 적혀 있습니다. 약관은 로그인 때 사용자의 스팀 비밀번호를 가로채거나 저장하지 말라고 요구합니다. 이 원칙을 적용하면 스팀으로 로그인을 누른 뒤 비밀번호를 받는 화면은 steamcommunity.com 호스트에 떠야 합니다. 사이트가 자기 화면 안에 스팀 이름과 비밀번호 칸을 직접 그려 놓았다면 Valve가 설명한 방식과 다릅니다. 다만 두 문서 모두 오래됐습니다. 약관은 2010년 7월에 갱신됐고 개발자 문서 페이지는 아직 팀 포트리스 2 아이템 데이터만 제공한다고 적혀 있어서 세부 절차가 아니라 원칙으로만 인용합니다. SteamDB는 팝업 로그인 창이 사실은 페이지 안에 그려진 가짜라면 브라우저 창 밖으로 끌어낼 수 없다는 점검법을 소개합니다. 이 글이 시험해 보지 않은 제3자 팁입니다.

넷째는 앱의 승인 요청입니다. 모바일 인증기 도움말에 따르면 QR 코드로 로그인할 때 앱은 로그인 시도의 지도와 대략적인 위치 같은 정보를 담은 확인 화면을 보여 주고, 정보가 맞을 때 승인하라고 합니다. 로그인 알림을 눌러 승인하는 방식도 있습니다. 승인하는 것은 내가 직접 연 스팀 로그인 창에서 내가 시작한 시도뿐이어야 합니다. 내가 시작하지 않은 알림은 승인하지 않습니다. SteamDB는 가짜 투표나 경품 페이지가 자기들이 연 스팀 로그인 창의 QR 코드를 보여 주고 스캔하게 만든다고 설명하지만 이 역시 제3자의 설명이며 확인하지 못했습니다. Valve 문서에서 확인한 것은 앱의 확인 화면이 시도 정보를 보여 준다는 점까지입니다.

메시지에도 같은 기준을 적용합니다. 스팀 지원을 자처하는 메시지는 help.steampowered.com에서 온 것이 아니면 무시합니다. 스팀 지원팀은 친구 목록으로 연락하지 않고 비밀번호나 인증기 코드도 묻지 않습니다. 문자로 온 인증기 복구 코드나 제거 코드를 남에게 알려 주는 일은 매우 위험하다고 Valve가 적었습니다.

스팀 가드가 켜져 있다고 피싱에서 자유로워지는 것도 아닙니다. 계정 피싱 안내는 스팀 가드를 켜 두었다고 해서 계정 피싱 시도로부터 완전히 안전한 것은 아니니 어떤 사이트에 접속하는지 늘 의식하라고 말합니다.

이미 입력해 버렸다면 그 비밀번호는 유출된 것으로 다룹니다. 로그인 전 점검 구간으로 돌아가 이메일과 컴퓨터부터 보고 믿을 수 있는 기기에서 스팀 비밀번호를 바꾸세요. 한 가지 더 있습니다. 화면의 생김새만으로 가짜를 판별하는 방법은 제가 읽은 어떤 문서에도 없습니다. 잘 만든 복제품은 눈으로 구분되지 않을 수 있으니 디자인보다 호스트와 출발점을 기준으로 삼으세요.

모바일 확인창은 마지막 관문이고, 읽을 때만 관문입니다#

이 사건 뒤에는 모바일 확인이 의미가 있느냐는 의문이 자연스럽게 따라옵니다. 확인창을 거쳤는데도 아이템이 나갔으니까요. 그런데 Valve의 설명을 따라가 보면 확인이 실패한 것이 아니라 읽히지 않은 것입니다.

거래와 장터 확인 도움말은 확인을 거래가 완료되기 전에 사용자가 거래를 검증하는 마지막 단계로 정의합니다. 계정이나 컴퓨터가 침해되더라도 확인이 있으면 공격자가 아이템을 훔치기 매우 어렵다고도 말합니다. 확인을 끄는 선택지는 이제 없습니다. 리디렉션 사기는 이 관문을 부수지 않고 통과합니다. 침해된 계정에서 거래를 취소하고 사칭 계정으로 돌린 거래를 사용자가 직접 승인하게 만듭니다. 확인은 읽을 때만 관문이고 반사적으로 누르면 통로가 됩니다. 한 번 확인한 거래는 되돌릴 방법이 없다고 사기 FAQ에 분명히 적혀 있습니다. 거래 보호라는 좁은 예외는 나간 아이템을 다루는 구간에서 다룹니다.

그렇다면 무엇을 읽어야 할까요. Valve는 모바일 확인 화면에 거래가 리디렉션됐는지 알 수 있는 정보가 모두 있다고 하면서도 어떤 항목이 표시되는지는 나열하지 않습니다. 제가 읽은 문서에도 확인 화면의 구성은 없습니다. 권장 거래 관행 문서는 거래 제안 화면이 친구로 지낸 기간, 스팀 레벨, 계정 나이, 관리자로 있는 그룹 같은 정보를 보여 준다고 적는데 이는 제안 화면의 이야기입니다. 확인 화면에 그대로 있다는 말은 아닙니다.

그래서 읽는 기준은 제 판단으로 세웠습니다. 받는 계정과 아이템 목록을, 거래를 정하던 시점에 정해 둔 기준과 맞춰 봅니다. 기준은 내가 합의한 상대의 프로필과 아이템·수량입니다. 예를 들면 거래 사이트의 주문 화면이 알려 준 프로필입니다. 직전에 내가 만든 거래 화면과 비교하면 안 됩니다. SteamDB에 따르면 리디렉션된 제안은 방금 만든 거래와 똑같아 보이도록 복제된 계정에서 다시 나옵니다. 이 묘사가 맞다면 직전 화면과 비교하는 검사는 통과하게 설계된 셈입니다. 독립된 기준과 맞춰 봐야 합니다.

맞춰 볼 수 없으면 취소합니다. 취소하면 거래를 다시 보내는 비용만 들지만 잘못된 거래를 확인하면 되돌릴 방법이 없습니다. 상대가 서두르는 것도 신호입니다. 사기 FAQ는 압박을 무시하라고 합니다. 교환 제안은 2주가 지나야 만료되니 몇 분 안에 결정하라는 요구는 거래 규칙에서 나온 것이 아닙니다.

휴대폰 인증기가 없다면 확인은 이메일로 옵니다. 사기 FAQ에는 확인 이메일을 상대에게 전달하게 만드는 수법이 올라 있습니다. 상대가 그 메시지의 링크로 거래를 대신 확인합니다. 확인 이메일이나 링크는 누구에게도 전달하지 마세요.

여기서 인증기가 없는 계정과 있는 계정을 나눠 봐야 합니다. 거래와 장터 보류 도움말에 따르면 인증기로 7일 이상 보호하지 않은 계정에서 나가는 아이템은 최대 15일 동안 스팀이 보류하고 그 사이 계정 주인은 처음 보는 거래를 발견해 취소할 수 있습니다. 보류 중인 수락된 거래를 취소하면 보호 목적으로 7일의 거래 쿨다운이 생깁니다. 인증기를 쓴 지 7일이 넘으면 이 보류가 없습니다. 확인과 수락이 끝나면 스팀이 아이템을 붙잡아 두는 구간이 따로 없습니다. 다만 Counter-Strike 2 아이템은 계정의 보호 수준과 상관없이 거래 보류나 에스크로 대상이 아니라 확인 직후 바로 넘어갑니다. CS2 아이템에는 이 보류를 두 번째 기회로 기대할 수 없고, 되돌릴 길은 나간 아이템을 다루는 구간의 거래 보호 7일뿐입니다. 다른 게임은 이 문서에 나오지 않습니다. 보류의 자세한 규칙은 거래 보류와 장터 보류 글에 있습니다. 결론은 하나입니다. 인증기가 있는 계정에서는 확인창이 사실상 유일한 점검 기회입니다. 없는 계정에는 CS2 이외 아이템에 한해 보류라는 두 번째 기회가 있지만 그 기간 안에 스스로 알아챌 때만 쓸모가 있습니다. 어느 쪽이 안전한지 비교한 자료는 읽은 문서에서 찾지 못했고 Valve는 인증기를 가장 높은 수준의 보호로 설명할 뿐입니다.

한계가 하나 더 있습니다. 확인은 확인을 받는 기기가 내 것일 때 의미가 있습니다. 공격자가 인증기까지 장악하면 무슨 일이 일어나는지는 이 글이 읽은 문서에 설명이 없어서 주장하지 않겠습니다. 알 수 있는 것은 한 계정에 인증기가 한 기기에만 붙는다는 점입니다. 그러니 내 앱이 내 계정의 코드와 확인 요청을 더 이상 받지 못한다면 인증기가 다른 기기로 옮겨졌을 가능성을 의심해 볼 만합니다. 이건 문서에 없는 추정입니다. 그때는 로그인 도움말의 인증기 분실 항목으로 가서 복구를 시작합니다.

이미 나간 아이템에 기대할 수 있는 것과 없는 것#

확인까지 눌렀다면 아이템 이야기를 피할 수 없습니다. 정책부터 읽겠습니다.

아이템 복구 정책은 계정에서 나간 아이템을 이유와 상관없이 복구하지 않는다고 못박습니다. 거래, 장터 판매, 삭제, 선물을 가리지 않습니다. 이유도 적혀 있습니다. 아이템은 복구 요청이 들어올 즈음 이미 여러 손을 거쳤을 수 있어서 복구하려면 복제하거나 다른 선의의 사용자 인벤토리에서 빼앗아야 합니다. 복제는 모두의 아이템 가치를 떨어뜨립니다. 거래 도움말도 불공정하게 거래됐다고 느끼는 아이템은 돌려주지 않으며 예외가 없다고 말합니다. 내 사례를 심사한 결과가 아니라 정책 문장입니다. 확률은 어디에도 적혀 있지 않고 이 글도 만들어 내지 않겠습니다.

그러면 신고는 무슨 소용일까요. 신고 안내에 따르면 스캠이나 하이재킹을 당했을 때는 상대 프로필의 메뉴에서 Report Player(한국어 화면의 표기는 다를 수 있습니다)를 눌러 항목을 고르고 상호작용을 적습니다. 지원팀에 티켓을 내는 것보다 프로필 신고가 낫다고 합니다. 두 계정 사이의 상호작용 정보가 가장 잘 담기고 검토도 빠르다는 이유입니다. 사기 도움말에 따르면 스캠이 확인된 계정은 거래와 장터를 포함한 커뮤니티 이용이 금지될 수 있습니다. 친구의 계정이 개입돼 있다면 도용됐을 가능성이 크고, 신고하면 주인이 보안을 회복할 때까지 지원팀이 추가 오용을 막을 수 있습니다. 신고는 더 이상의 피해를 막는 수단이지 내 아이템을 돌려받는 길이 아닙니다. 리디렉션 문서는 대화에 쓰인 외부 채팅이나 이메일 계정도 해당 서비스의 신고 기능으로 알리라고 합니다. 신고 안내에는 중재자가 신고된 계정의 실제 사용 기록으로 확인되는 위반에만 조치한다는 말도 있습니다. 신고했다고 결과가 보장되지는 않습니다.

정책에는 좁은 예외가 하나 있습니다. 지원 게임이 Counter-Strike 2뿐인 거래 보호입니다. 되돌리면 한 건이 아니라 최근 7일 안의 보호 대상 거래가 모두 되돌아가고, 되돌리기를 시작한 계정은 30일 동안 거래와 장터가 제한됩니다. 조건은 거래 안전 점검 글의 복구 한계 대목에 정리돼 있으니 여기서는 이 사건에서 따로 볼 점 하나만 짚습니다. 되돌릴 수 있는 기간이 7일이고, 되돌리기 전에 내가 먼저 계정을 통제하고 있어야 합니다. 컴퓨터와 이메일, 세션과 비밀번호를 정리하는 데 쓴 시간도 그 7일에서 빠집니다. CS2 아이템이 걸려 있다면 순서는 지키되 미적거리지 마세요.

복구했다고 곧바로 거래할 수 있는 것도 아닙니다. 비밀번호 재설정, 새 기기, 인증기 제거, 보류 거래 취소 같은 조치마다 짧게는 며칠, 길게는 30일까지 거래와 장터 제한이 걸릴 수 있고, 일정은 거래 보류 글의 제한 설명에 정리돼 있습니다. 지원팀은 이 제한을 바꿀 수 없다고 하니 화면에 표시된 사유와 만료일을 기준으로 삼으세요. 제한을 풀어 주겠다는 제안은 지원팀에서 온 것이 아닙니다.

아이템을 되찾아 주겠다며 접근하는 사람에게도 같은 논리가 적용됩니다. 돈이나 자격 증명을 주면 안 됩니다. 사기 FAQ는 계정을 장악한 사기꾼에게도 돈을 주지 말라고 합니다. 사기를 이미 시작한 사람이 계정을 돌려줄 가능성은 낮고 추가 금액만 요구할 것이라는 설명입니다. 지원팀은 비밀번호를 묻지 않습니다. 이 문서들은 복구 대행에 관해 직접 쓰지 않았으므로 위 문장들을 적용한 이 글의 해석입니다.

복구한 뒤에 확인할 것과 다음 거래의 기준#

비밀번호를 바꾸고 키를 지웠다고 끝나지 않는 이유는 경로를 모르기 때문입니다. 경로가 닫혔는지는 시간이 지난 뒤에 다시 보아야 알 수 있습니다.

며칠 쓰고 나서 API 키 화면을 다시 엽니다. 내가 지운 키 자리에 새 키가 생겼다면 누군가 계정에 다시 접근했다는 뜻입니다. 하이재커가 접근 권한으로 키를 만든다는 Valve의 설명에서 끌어낸 추론입니다. 키가 다시 보이면 길이 아직 열려 있다는 뜻이니 컴퓨터와 이메일 단계로 돌아갑니다. SteamDB도 새 사이트에 처음 로그인한 뒤에는 키 화면을 다시 확인하라고 권합니다. 제3자 조언이라 확인은 못 했지만 위 추론과 방향이 같아서 같이 적어 둡니다.

그다음은 기기 목록입니다. 인증된 기기와 앱에 보이는 기기 정보가 내 기기만 남았는지 봅니다. 계정 보안 권장 사항대로 스팀은 보안 변경을 이메일로 알리니, 받은편지함에 내가 하지 않은 변경 알림이 새로 오지 않는지도 한동안 지켜봅니다. 프로필 내용도 마찬가지입니다. 제재를 암시하는 변화가 다시 나타나면 침해가 이어지고 있다는 신호로 읽으면 됩니다.

인증기가 원래 없었다면 이제 붙입니다. 거래와 장터 제한 도움말에 따르면 인증기를 추가해도 기존 제한이 곧바로 사라지지는 않고, 추가한 뒤 7일 안에 만든 거래는 여전히 최대 15일 보류될 수 있습니다(CS2 아이템은 보류 대상이 아닙니다). 그 7일은 위험이 아니라 보호가 작동하는 기간입니다. 설정 방법은 설정 안내를 따르면 되고, 복구 뒤에 확인할 것은 두 가지입니다. 설정 끝에 받은 복구 코드를 적어 둔 곳이 있는지, 계정에 복구용 전화번호가 등록돼 있는지입니다.

인증기를 이미 쓰고 있었다면 문제를 풀겠다고 제거했다가 다시 붙이지 마세요. 제거하면 15일 동안 거래와 장터가 막힙니다.

마지막으로 거래를 다시 시작하는 기준입니다. 키 화면이 비어 있어야 하고 기기 목록에는 내 기기만 남아야 합니다. 인증기는 내 폰에 있어야 하고 이메일과 컴퓨터도 정리돼 있어야 합니다. 거기에 새 이상이 없는 상태가 며칠 이어졌다면 다시 시작할 수 있습니다. 며칠이면 충분한지는 어느 문서에도 없습니다. 이 기준은 제 판단이니 이상 없는 날이 쌓일수록 믿음이 커진다는 정도로만 읽어 주세요. 첫 거래를 소액으로 시험해 보라는 조언은 하지 않겠습니다. 한 번 잘 끝난 거래가 경로가 닫혔다는 증거가 되지는 않으니까요. 대신 확인창을 다루는 구간의 읽는 법, 곧 받는 계정과 아이템을 합의한 기준에 맞추는 습관을 매번 적용하세요.

지금까지의 순서를 한 번에 정리합니다.

1. 모르는 확인 요청은 열어서 취소하고, 내가 만든 거래도 받는 계정이 합의와 다르면 승인하지 않습니다. 2. 상대와의 대화를 끊고, 신고에 쓸 프로필 주소와 제안 내역을 남깁니다. 3. 믿을 만한 기기를 정하고 의심스러운 컴퓨터는 검사합니다. 이메일 비밀번호를 먼저 바꿉니다. 4. 모든 기기에서 로그아웃하고, 로그인 가능 여부에 따라 비밀번호를 변경하거나 재설정합니다. 5. API 키 화면에서 내가 만들지 않은 키를 해지하되, 키가 없어도 안전하다고 단정하지 않습니다. 6. 인증기와 복구 수단을 점검하고, 확인창은 합의한 기준에 맞춰 읽습니다. 7. 프로필에서 상대 계정을 신고하고, CS2 아이템이 있고 7일 안이면 거래 내역에서 거래 보호 되돌리기의 대가를 읽은 뒤 결정합니다. 8. 며칠 뒤 키, 기기, 메일, 프로필을 다시 열어 새 이상이 없는지 확인합니다.

이 글이 답하지 못한 것도 분명합니다. 내 사례에서 어떤 경로로 접근했는지, 비밀번호를 바꾸면 기존 API 키가 멈추는지, 모바일 확인 화면에 정확히 무엇이 표시되는지, 인증기까지 장악당했을 때 무슨 일이 일어나는지, 정책 밖에서 아이템이 돌아올 가능성이 얼마인지입니다. 이 다섯 가지는 읽은 문서에서 답을 찾지 못했고 이 글도 추측하지 않았습니다. 확실한 것은 두 가지입니다. Valve는 계정을 되찾는 일이 언제든 가능하다고 하고, 나간 아이템은 돌려주지 않는다고도 합니다. 남은 일은 더 잃지 않는 쪽에 써야 합니다.