Te han robado la cuenta de Steam: el orden para recuperarla y que no vuelva a pasar

La contraseña ya no entra. En el correo tienes avisos de cambios de seguridad que no pediste, o ni siquiera eso, porque el correo de la cuenta ya es otro. Lo que pide el cuerpo es pulsar «restablecer contraseña» una y otra vez. El orden que marca Steam Support es otro, y empieza lejos de Steam: en tu PC y en tu correo.

Este artículo es para quien ya no puede entrar en su cuenta. Verás qué ruta de ayuda elegir, qué acepta Steam Support como prueba de propiedad y qué arreglar nada más recuperarla para que la misma persona no vuelva a entrar. Si todavía puedes iniciar sesión y lo que pasa es que tus intercambios acaban en otra cuenta, te sirve más el artículo sobre la estafa de la clave de API, que parte de una cuenta que aún controlas.

Me baso en las páginas de Steam Support, leídas en inglés (y algunas también en coreano) el 31 de octubre de 2026. Los nombres de opciones y botones van en inglés, como aparecen ahí; no he visto la interfaz en español. No he pasado por una recuperación real: lo que no dicen las páginas de Valve lo marco como juicio mío. Las imágenes son maquetas para explicar, no la web de Steam, y los datos que aparecen en ellas son inventados.

Dónde estás bloqueado decide la ruta#

El asistente «Help, I can't sign in» tiene cuatro opciones:

1. «I forgot my Steam Account name or password». 2. «My Steam Account was stolen and I need help recovering it». 3. «I'm not receiving a Steam Guard code». 4. «I deleted or lost my Steam Guard Mobile Authenticator».

Si te cambiaron la contraseña o el correo, empieza por la segunda; es la resaltada en la maqueta, con la nota «Password or email changed? Start with the stolen option». Steam Support dice que puedes pedir la recuperación en cualquier momento, aunque alguien haya cambiado el correo, la contraseña y el número de teléfono de la cuenta.

La segunda nota es «Codes go to an email you lost? The hijacker may own that inbox». Los correos de Steam Guard van a la última dirección registrada en la cuenta, y la ayuda de códigos sugiere mirar el spam y esperar hasta 30 minutos. Si los códigos no llegan porque quien entró cambió el correo, esperar no sirve de nada; en ese caso, a mi juicio, la ruta de cuenta robada es más útil que la de códigos.

La tercera, «Asked for an unknown authenticator? Lost authenticator route, or Support». Si Steam te pide un código de autenticador y tú nunca tuviste uno, puede que quien entró lo haya añadido. No es seguro, pero es motivo de sospecha. La página de restricciones explica que los intercambios creados en los 7 días siguientes a añadir un autenticador móvil se retienen hasta 15 días, precisamente para dar tiempo al dueño a recuperar la cuenta si alguien malintencionado lo añadió. Ese autenticador se quita por la opción 4 o con Soporte, y quitarlo trae 15 días sin intercambios ni Market.

Cuál de las rutas resuelve antes no está documentado. Mandar los problemas de códigos a la 3 y los de autenticador a la 4 es criterio mío.

Antes del botón de restablecer, el PC y el correo#

¿Por qué no restablecer ya? El asistente de cuenta robada («What do I do if my Steam Account is stolen?») pone dos pasos antes del botón:

• Step 1, «Scan your computer»: los keyloggers y el spyware pueden robar la contraseña nueva mientras la escribes.
• Step 2, «Change your email password»: un correo secuestrado puede volver a restablecer Steam y bloquear a Soporte.

Solo con los dos hechos («Only when both are done») llega el Step 3, «Reset my password». Según la página, las cuentas de Steam suelen caer después de que caiga el correo asociado, y hacerlo en este orden evita un segundo robo o que alguien interfiera con Soporte.

Las recomendaciones de seguridad de la cuenta añaden que, si sospechas que te han comprometido, busques aplicaciones y extensiones del navegador maliciosas. Yo iría más lejos: cualquier ayudante de intercambios o extensión instalada hace poco, fuera, salga lo que salga en el análisis.

Si ni siquiera puedes entrar en tu correo, ese es el primer frente, y se recupera desde tu proveedor de correo; las páginas de Steam no tratan eso.

Si lo intentas tú: qué correo escribir#

El enlace «Reset my password» abre un paso «Find Account» («Change my password») que pide un correo o un número de teléfono; lo que viene después no lo vi. El detalle que importa lo da la página de recuperación de cuentas robadas: el sistema te pide tu correo, no el que la cuenta tenga ahora. Escribirlo ayuda a Steam a identificar la cuenta o a ofrecerte otras opciones si el correo se cambió. En la maqueta, el campo lleva una dirección de ejemplo, [email protected], con dos notas: «Your email», el que usaste y aún controlas, sí; «The new address», el que puso quien entró, no. Si te atascas, la página pide comprobar que estás dando en cada paso lo que Steam pide.

Si la cuenta tenía tu número de teléfono, tienes más opciones, entre ellas restablecer la contraseña por SMS.

Ten presente el coste, que la maqueta pone abajo («After a reset»): restablecer la contraseña por el sitio de ayuda o con Soporte deja 5 días sin intercambios ni Market, o 30 si la cuenta llevaba más de dos meses sin actividad. Cambiarla desde los ajustes del cliente es otra cosa.

Si las búsquedas con tu correo y tu teléfono no encuentran nada, o los códigos solo van a direcciones que ya no controlas, es hora de escribir a Soporte. Ninguna fuente dice que repetir solicitudes de restablecimiento acelere nada.

La prueba de propiedad depende de cómo pagaste#

Si no lo consigues tú, Steam Support verifica y recupera la cuenta. Al escribir, pide una prueba de propiedad, los posibles nombres de inicio de sesión y los posibles correos. La página de pruebas de propiedad dice qué cuenta como prueba: datos de un pago que se usó antes en la cuenta o códigos de productos de tienda activados en Steam. En la maqueta es la página «Providing Proof of Ownership» de una solicitud con número inventado, HT-0000-0000-0000:

En cada caso la página dice que crees la solicitud o la actualices con la prueba. La lista nombra además transferencias bancarias, Culture Voucher y Degica Mobile, que aquí no desarrollo. La nota de abajo de la maqueta, «Also add», recuerda añadir todos los nombres de inicio de sesión y correos que hayas podido usar.

Lo que no aparece: la página solo habla de pagos y códigos. No menciona historial de juego ni otro tipo de pruebas.

Un caso inventado: compraste un juego con tarjeta hace años y luego solo códigos de Steam Wallet de los que no guardaste recibos. Lo que puedes enviar son los datos de esa tarjeta. Mandar varias pruebas probablemente es mejor que una, pero las páginas no dan ninguna cifra.

Lo que yo pondría en la solicitud (ejemplo, no una lista obligatoria): los nombres de inicio de sesión posibles, los correos que usaste, la hora a la que notaste el robo, los correos de alerta de seguridad recibidos y al menos una prueba de pago. La hora y las alertas son añadido mío. Si quien entró gastó saldo del monedero, también lo apuntaría; ningún documento dice qué cambia eso.

Si además quien entró dejó un autenticador y no tienes ni teléfono ni código de recuperación, la FAQ del autenticador dice que hace falta Soporte para quitarlo, con prueba de propiedad si no puedes entrar en el correo actual. Un teléfono de reemplazo con el mismo número permite recuperar por SMS. Lo de mover el autenticador en un cambio de teléfono normal está en cómo mover Steam Guard a un teléfono nuevo.

Quien se ofrece a recuperarla por chat no es Soporte#

En plena recuperación es fácil que alguien aparezca «para ayudar». En la maqueta, un chat firmado «Steam Support Team» dice tres cosas, todas inventadas para el ejemplo: que te recupera la cuenta si le mandas el código que Steam acaba de enviarte, que para verificar que es tuya compres una tarjeta regalo de Steam de 50 USD y le pases el código, y que como lo cambiaron todo, Soporte no puede ayudarte y solo él puede.

La página de Steam sobre la estafa de la denuncia falsa desmonta las tres. Los empleados de Valve nunca te contactan por ningún chat, ni Steam Chat ni Discord; el sitio de ayuda es la única forma de hablar con Soporte. Pedir una compra o el código de una tarjeta regalo para «verificar» la propiedad es señal de estafa, y que la cuenta no se pueda recuperar porque cambiaron todos los datos es falso. Las recomendaciones de seguridad añaden que Steam Support no usa la red de amigos y no pide claves de CD ni datos de compras con tarjeta salvo que tú hayas contactado por el sistema de Soporte.

Las señales de la maqueta («Scam signs»): Soporte escribiéndote por chat, que te pidan un código de Steam Guard, una tarjeta regalo o una compra para «verificar» y la frase «Your account can't be recovered». El Soporte real está en help.steampowered.com y en ningún otro sitio. Esa página está escrita para la estafa de la denuncia falsa; aplicarla a quien te ofrece ayuda con la recuperación es interpretación mía.

Dos avisos más de la misma página. Hay malware que bloquea la biblioteca y muestra alertas que te mandan a chatear con un «agente»; las alertas legítimas llevan a help.steampowered.com, y ese malware hay que quitarlo. Y si los mensajes vienen de la cuenta de un amigo, lo más probable es que se la hayan robado, y conviene denunciarla.

En la primera hora, que no vuelva a entrar#

Recuperar la contraseña no corta todos los accesos de quien entró. Pueden quedar dispositivos que autorizó, un autenticador o un número que puso, datos de contacto que cambió. Este es el orden de la maqueta, con «Deauthorize all devices» marcado como «Do this first»:

1. Dispositivos: desautoriza todos. La FAQ de Steam Guard dice que, si la cuenta estuvo comprometida, desautorices todos los dispositivos desde Account Details, «Manage Steam Guard»; eso desautoriza todos los equipos y dispositivos con acceso, y cada uno tendrá que volver a pedir un código de Steam Guard. Las recomendaciones de seguridad hablan también de revisar Authorized Devices y de la opción «Sign out everywhere». La dirección de Manage Steam Guard sin sesión muestra un formulario de acceso; la página con la sesión iniciada no la vi. 2. Autenticador: ¿está en tu teléfono? Una cuenta solo puede tener un autenticador a la vez. Si tu app ya no da códigos para esta cuenta, puede que lo hayan movido o quitado; es una inferencia, no algo que digan los documentos. 3. Teléfono y correo: tuyos y verificados. Solo se puede asociar un número a la cuenta, y se gestiona en Contact Info, en Account Details. Un correo verificado aparece como «Verified» en esa misma página. 4. Código de recuperación: apúntalo. Está en la app Steam Mobile, Steam Guard, icono del engranaje, «Recovery Code». Los códigos de respaldo salen de Account Details, «Manage Steam Guard», con un código SMS, y la FAQ pide imprimirlos, no guardarlos ni hacerles capturas. 5. Clave de API y confirmaciones. Dónde se ve la clave y cómo decidir está en el artículo de la estafa de la clave de API. Si hay solicitudes de confirmación que tú no creaste, ábrelas y cancélalas, como dice la página de confirmaciones.

Pongo los dispositivos primero porque, mientras quede abierta una sesión de quien entró, cualquier arreglo de los pasos 2 a 5 se puede deshacer. Es mi orden, no el de Valve. El artículo de las retenciones de 15 días pone primero revocar la clave de API en su lista de urgencia, pero parte de alguien que aún controla la cuenta y tiene intercambios retenidos; si acabas de recuperarla, yo empezaría por los dispositivos.

Desautorizar tiene un precio. Un dispositivo desautorizado parece nuevo la próxima vez que inicias sesión, y un dispositivo recién autorizado no puede intercambiar ni usar el Market durante 7 días, salvo que la cuenta lleve al menos 7 días con el autenticador móvil.

Mira también el inicio de sesión recordado. Si lo dejas activo, Steam pide la contraseña solo de vez en cuando; se puede quitar en la pestaña Security de los ajustes del cliente. El malware puede entrar desde un dispositivo ya autorizado, y si te dejaste la sesión abierta en un cibercafé, desautoriza los dispositivos en los que no confíes.

¿Cuándo volver a poner saldo? Según las recomendaciones de seguridad, hay malware que espera a que la cuenta valga la pena, por ejemplo cuando tiene fondos en el monedero. Yo no recargaría hasta terminar con el PC, el correo y los dispositivos.

Si te devolvió la cuenta Soporte, puede que Steam Guard aparezca como desactivado y sin el botón para activarlo. La FAQ de Steam Guard dice que reinicies Steam.

Objetos, monedero y restricciones: qué esperar#

Los objetos que salieron no vuelven. La página de recuperación remite a la política de restauración de objetos, que dice que los objetos que dejaron la cuenta, por la razón que sea, no se restauran, porque pueden haber cambiado de manos y habría que duplicarlos o quitárselos a usuarios que no tienen culpa. Es la nota «Items that left: Not restored, for any reason» de la maqueta. Sin autenticador, los intercambios y las ventas del Market se retienen 15 días para que el dueño pueda descubrirlos y cancelarlos; cancelar un intercambio aceptado y retenido deja 7 días sin intercambiar. Con Counter-Strike 2 es distinto: según su página, los objetos de CS2 no tienen retenciones y se intercambian al momento, protejas o no la cuenta, y solo se pueden revertir con la Trade Protection de 7 días.

Del monedero, ninguna página de Valve que leí dice si se devuelve el saldo que gastó quien entró («Wallet spent by a hijacker: No Valve page read says either way. Report it in the ticket»). El Acuerdo de Suscriptor dice que el titular de la cuenta responde de los cargos que haga cualquiera que la use, que salvo negligencia o culpa de Valve, Valve no responde del uso fraudulento del acceso, y que debes avisar a Valve sin demora si tus credenciales pueden estar comprometidas.

Las restricciones que la maqueta pone bajo «Trading and Market restrictions» son las de la página de restricciones:

Steam Support no puede modificar estas restricciones («Steam Support cannot modify these restrictions»), y el motivo suele mostrarse cuando intentas un intercambio o una acción del Market. Cómo se combinan si se solapan, la página no lo dice. Añade que las cuentas sin Steam Guard desde hace 15 días, o con él desactivado, no pueden intercambiar ni usar el Market; que activar hace poco el Steam Guard por correo bloquea el Market 15 días, también si lo quitas y lo vuelves a activar; y que añadir el autenticador a una cuenta que ya tenía Steam Guard por correo no trae otra restricción que las retenciones de 7 días, mientras que una cuenta sin protección queda 15 días.

Para el Market hay otra condición: hace falta una compra correcta de hace más de 7 días y menos de un año. Una devolución de cargo (chargeback) la anula, y solo cuentan las compras posteriores.

Antes de darlo por terminado#

La lista «Before you call it done» de la maqueta:

• PC analizado y contraseña del correo cambiada.
• Todos los dispositivos desautorizados.
• El autenticador y el número de teléfono son tuyos.
• Código de recuperación apuntado.
• Intercambios retenidos y confirmaciones revisados.

Y dos preguntas que las páginas de Steam no responden («Not answered by Steam's pages»): cuánto tarda la verificación de Soporte y si se devuelve el saldo que gastó quien entró. Tampoco dicen qué prueba vale para una cuenta sin compras ni códigos, ni cómo se suman las restricciones que se solapan.

Steam avisa por correo de los cambios de seguridad, así que vigila ese buzón. Y para no repetir: los inicios de sesión oficiales van a steampowered.com o steamcommunity.com, y Steam Guard no hace la cuenta del todo inmune al phishing. Yo abro las páginas de inicio de sesión escribiendo la dirección o desde un marcador. Antes del próximo intercambio, repasa la lista de comprobación de intercambios.