O Steam Guard impede bem uma coisa específica: alguém que tenha apenas sua senha não consegue iniciar a sessão em um novo dispositivo, porque o Steam também pede um código enviado para seu e-mail ou telefone. O autenticador móvel do Steam Guard acrescenta uma segunda função: confirmar trocas e anúncios no Mercado pelo seu telefone. O que o Steam Guard não pode impedir é que você aprove um início de sessão ou uma troca que um golpista preparou, ou a ação de um invasor que já controla seu e-mail ou um PC no qual você iniciou a sessão.
O que é o Steam Guard, em termos simples
O Steam Guard é uma segunda camada de proteção além da sua senha. O Suporte Steam descreve duas formas de usá-lo: códigos enviados por e-mail ou códigos e aprovações pelo aplicativo Steam Mobile, recurso que o Steam chama de autenticador móvel do Steam Guard. Nos dois casos, a verificação entra em ação quando alguém inicia a sessão em um dispositivo que o Steam não reconhece. Um computador ou navegador que já passou pela verificação fica registrado, e é por isso que você não precisa informar um código todos os dias.
O Steam Guard por e-mail normalmente fica ativado por padrão depois que seu endereço de e-mail é verificado e o Steam é reiniciado duas vezes. Você precisa adicionar o autenticador móvel por conta própria, e o Steam permite apenas um autenticador por conta de cada vez.
Códigos por e-mail ou autenticador móvel
Códigos por e-mail
Com o Steam Guard por e-mail, iniciar a sessão em um novo dispositivo faz com que um código seja enviado ao endereço cadastrado na sua conta. Apenas o código mais recente funciona. A proteção é tão segura quanto essa caixa de entrada: se alguém consegue ler seu e-mail, também consegue ler seus códigos do Steam Guard. O Suporte Steam lista uma conta de e-mail comprometida como uma das formas comuns pelas quais contas protegidas pelo Steam Guard ainda são roubadas.
O autenticador móvel
O aplicativo gera um código que muda a cada 30 segundos e só funciona uma vez. Com o autenticador ativado, o Steam oferece três formas de confirmar o início de sessão: escanear um código QR com o aplicativo, aprovar uma notificação no seu telefone ou digitar o código exibido em "Exibir código do Steam Guard". A tela de aprovação por código QR mostra um mapa e a localização aproximada do dispositivo que está iniciando a sessão, o que ajuda você a conferir a solicitação antes de tocar em qualquer coisa.
Com o autenticador ativado, iniciar a sessão em um novo dispositivo exige seu telefone, em vez de um código da sua caixa de entrada. O e-mail continua sendo importante, porque o Steam lista um e-mail comprometido entre as principais formas de roubo de contas, e ele está vinculado à redefinição de senha. Por outro lado, perder o telefone passa a ser o principal risco, e é por isso que o código de recuperação exibido pelo Steam durante a configuração é importante. Se isso já aconteceu, o caminho para recuperar o acesso está explicado em o que fazer depois de perder o telefone com o Steam Guard.
Confirmações de trocas e anúncios no Mercado: a parte que muitos ignoram
O autenticador faz mais do que proteger o acesso. Trocas e anúncios no Mercado da Comunidade Steam são confirmados no aplicativo Steam Mobile, então alguém que consiga entrar na sua conta ainda precisa passar pela confirmação no seu telefone antes que os itens saiam.
Sem o autenticador, o Suporte Steam informa que os itens que saem da conta podem ficar retidos por até 15 dias, o que dá ao titular tempo para cancelar uma troca que não fez. Saiba mais em por que o Steam retém trocas após uma alteração de segurança.
O que uma senha roubada permite e o que ela não permite
- Sem nenhuma proteção do Steam Guard: a senha é a única barreira. Quem a tiver pode iniciar a sessão de qualquer lugar.
- Steam Guard por e-mail: apenas a senha não basta em um novo dispositivo, a menos que o invasor também tenha acesso ao seu e-mail ou esteja usando um computador que você já autorizou.
- Autenticador móvel: apenas a senha não basta para iniciar a sessão em um novo dispositivo ou confirmar trocas, a menos que você aprove a solicitação.
Um código do Steam Guard que você não solicitou deve ser levado a sério. Os códigos para novos dispositivos são enviados quando alguém digita a senha correta, então um código inesperado geralmente significa que alguém conhece sua senha. Altere-a e nunca repasse o código a ninguém.
O que o Steam Guard não pode impedir
Todas as proteções acima pressupõem que a pessoa aprovando a solicitação seja você, conferindo o que está aprovando. É nesse ponto que ocorre a maioria dos casos de perda de conta.
- Aprovar um início de sessão por phishing. Uma página falsa de início de sessão ou uma solicitação para escanear um código QR que você não iniciou pode dar ao invasor um acesso válido que você mesmo aprovou. O Steam Guard fez o que lhe foi solicitado. A tela de aprovação por código QR mostra um mapa e a localização aproximada do dispositivo que está iniciando a sessão, e essa é sua última oportunidade de conferir.
- Redirecionamento de trocas e uso indevido de chaves de API. O Suporte Steam descreve um golpe em que alguém que já tem acesso à sua conta cancela uma troca que você preparou e a reenvia para uma conta parecida, esperando que você confirme no telefone sem ler. O Steam chama isso de redirecionamento de trocas; alguns usuários chamam de "golpe da API". O Steam observa que a chave não é estritamente necessária para isso, então revogá-la é apenas uma parte da solução. Os detalhes estão em como funciona o golpe da chave de API do Steam e como revogar uma chave.
- Um e-mail ou PC comprometido. O Suporte Steam aponta malware em um computador já autorizado e uma conta de e-mail comprometida como formas de contornar o Steam Guard. Um dispositivo já reconhecido não pede um novo código.
- Engenharia social. O Suporte Steam nunca pedirá sua senha ou seus códigos do Steam Guard, e a Valve orienta que você nunca forneça a ninguém um código de recuperação ou remoção enviado por SMS. O Steam Guard não consegue distinguir um código que você digitou no Steam de um que você informou a um desconhecido em uma conversa.
As próprias páginas da Valve explicam isso nas perguntas frequentes sobre o Steam Guard e nas perguntas frequentes sobre o autenticador móvel do Suporte Steam.
O que fazer a seguir
Se você usa apenas o Steam Guard por e-mail, considere mudar para o autenticador móvel do Steam Guard e anotar o código de recuperação em papel. Depois, proteja o endereço de e-mail vinculado ao Steam, porque ele continua sendo o caminho para redefinir a senha. Crie o hábito de ler a tela de aprovação antes de tocar para confirmar, seja para conferir a localização de um início de sessão, seja para conferir o parceiro de troca e a lista de itens. Para revisar todas as configurações de uma só vez, siga a lista de verificação de segurança da conta Steam. Menus e opções mudam com o tempo, então confira as configurações atuais da sua conta enquanto segue as orientações.