Pemulihan Akaun Kena Hack: Steam Tetap Jadi Standard Emas

Pemulihan Akaun Kena Hack: Steam Tetap Jadi Standard Emas

Satu pagi, anda bangun, pegang kopi, dan cuba log masuk ke akaun yang menyimpan pembelian game lima tahun lepas. Tak boleh. Email dah ditukar, password dah ditukar, dan apa-apa 2FA yang anda pasang kini berada di tangan attacker, bukan anda. Kebanyakan pengambilalihan bermula jauh sebelum skrin log masuk — di Malaysia, scam kod QR sahaja melesapkan RM28.67 juta.

Apa yang berlaku selepas itu bergantung sepenuhnya pada platform mana library anda berada — dan perbezaan antara mereka bukan sikit-sikit. Steam ialah standard emas. Yang lain buat anda bergaduh untuk dapatkan balik. (Jelasnya, "standard emas" ialah penilaian artikel ini — Valve sendiri tak guna istilah itu. Apa yang Steam dokumentasikan ialah proses bukti pemilikan yang berpegang pada pembayaran.)

Apa sebenarnya yang "pemulihan akaun" itu uji

Sebelum bandingkan platform, baik faham apa pemulihan itu sebenarnya. Anda telah hilang kawalan terhadap satu credential. Syarikat yang pegang akaun anda tak tahu — dan tak ada cara untuk tahu — sama ada manusia di hujung tiket itu pemilik atau pencuri. Kedua-duanya ada password yang sama. Kedua-duanya boleh huraikan library game yang sama.

Jadi platform kena pilih bukti pemilikan: sesuatu fakta yang pemilik sebenar hampir pasti tahu dan pencuri tidak. Memilih bukti yang susah dipalsukan ialah keseluruhan permainan — untuk akaun manusia dan, semakin hari, untuk agen AI yang juga perlukan identiti. Platform berbeza dalam apa yang mereka pilih, dan satu pilihan itu menentukan sama ada cerita berakhir dalam 10 minit atau 10 minggu.

Steam: bukti pemilikan, bina atas wang

Pilihan Steam ialah yang paling kuat. Dia sandarkan pemilikan kepada bukti pembayaran: empat digit terakhir kad yang benar-benar digunakan untuk beli game dalam akaun, CD key atau activation code yang anda taip, kod Steam Wallet, atau resit pembelian lama. Kalau anda pernah guna credit/debit card dalam akaun, anda ada credential pemulihan yang tak boleh dipalsukan — sebab pencuri tak mungkin miliki nombor kad yang digunakan untuk beli barang bertahun-tahun lepas.

Mekanismenya memang bagus:

• Wizard tak boleh log masuk di help.steampowered.com membawa anda melalui pilihan pemulihan, termasuk tiket "bantu, akaun Steam saya dicuri."
• Steam Support sahkan pemilikan melalui FAQ Bukti Pemilikan — maklumat pembayaran, CD key, dan fakta akaun lain yang buktikan pemilikan.
• Steam Support tak pernah minta password anda. Password dan Steam Guard code ialah dua benda yang staf yang disahkan tak pernah perlukan, jadi mana-mana mesej yang minta kedua-duanya ialah scam secara definisi.

Bukti berasaskan wang berfungsi sebab ia objektif. Rekod pembelian sama ada wujud dalam akaun atau tidak. Ia bukan ujian personaliti, bukan penilaian, dan pada dasarnya mustahil untuk dipalsukan. Inilah sebabnya "hantar empat digit terakhir mana-mana kad yang anda pernah bayar" selesaikan kebanyakan kes dalam satu tiket.

PlayStation: lorong nombor siri

Proses pemulihan Sony berfungsi — untuk orang yang simpan rekod secara paranoid. Pemulihan akaun PlayStation berpegang kepada identiti konsol dan bukti pembelian: online ID, email log masuk, dan yang paling kritikal nombor siri konsol serta resit pembelian untuk konsol atau game.

Itu syarat yang sangat tinggi untuk kebanyakan orang. Siapa yang beli PS4 pada 2018 tak ada resit. Ramai pemilik tak pernah tengok pelekat nombor siri, dan pada mesin yang anda tukar bertahun-tahun lepas, maklumat itu memang dah tak ada. Reddit penuh dengan pengguna yang stuck di situ — duduk dalam perbualan support yang asyik minta "benda kecil" yang mereka tak ada lagi, sambil melihat pembelian digital bertahun-tahun tergantung.

Secara adil, ini bukan zero help. Akaun yang kena hack di mana pemilik masih tahu email dan tarikh lahir boleh melalui halaman pemulihan akaun rasmi dengan peluang untuk berjaya. Tapi sebaik sahaja serangan tukar butiran pemulihan hubungan, fallbacknya ialah lorong nombor siri — dan di situlah cerita gembira berakhir.

Xbox / Microsoft: gelung automatik

Pemulihan akaun Microsoft terkenal mesin. Borang pemulihan akaun beri skor pada senarai semak trivia akaun — tahun penciptaan, password lama, pembelian terkini, peranti yang anda log masuk dari — dan sama ada terima jawapan anda atau hantar anda balik ke mula.

Keluhan berulang merentasi forum pengguna ialah anda duduk dalam gelung automatik di mana templat tolak maklumat anda, kemudian satu-satunya laluan eskalasi ialah... satu salinan borang yang sama. Bila anda sedang memulihkan akaun Xbox yang email, password, dan pilihan pemulihan semua ditukar dalam petang yang sama, trivia seperti "apakah password terakhir anda?" ialah sesuatu yang hanya attacker tahu sekarang.

Ini kecacatan reka bentuk, bukan masalah kakitangan: pemulihan gaya kuis hanya boleh dipercayai apabila pemegang akaun mengekalkan kebersihan yang bersih (email pemulihan yang anda masih kawal, kod pemulihan sendiri, authenticator yang terikat pada peranti yang anda masih miliki). Kehilangan akaun Microsoft jarang "tiada proses langsung" — ia ialah "proses andaikan anda sudah melindungi diri sendiri," dan itulah andaian yang mangsa tak layak untuk buat.

Epic Games: underrated, sebenarnya okay

Pengambilan popular masukkan Epic dalam baldi "tak berguna." Itu tak adil. Epic ada aliran pemulihan akaun yang sebenar dan berdokumentasi: selamatkan email dalam akaun, tukar password, semak akaun yang dipautkan, kemudian jika email log masuk itu sendiri ditukar, hantar permintaan pemulihan dengan bukti pemilikan — biasanya email asal atau akaun platform yang dipautkan.

Ia tak seelok Steam — Epic support terkenal hantar orang melalui beberapa pusingan "buktikan anda anda" sebelum eskalasi — tapi ia proses yang berfungsi, bukan jalan mati. Kalau anda guna, jangkaan realistik anda sepatutnya "lambat tapi boleh survive," bukan "hopeless."

Perbandingan jujur

Tiada platform yang "-100% gagal." Nuansa yang salah label: kualiti pemulihan berdasarkan seberapa sukar bukti pilihan platform untuk dipalsukan. Steam pilih bukti paling kuat, jadi dia paling mudah. Sony pilih bukti paling lupa, jadi dia paling susah. Itulah sahaja perbezaannya.

Apa yang anda patut buat sebelum (bukan selepas)

• Guna authenticator app, bukan SMS. SMS 2FA hanya satu SIM-swap daripada menjadi alat attacker. Steam Guard, authenticator app, atau hardware key melebihi setiap pilihan lain.
• Simpan resit pembayaran anda. "Empat digit terakhir kad yang anda guna pada 2019" ialah polisi insurans paling murah dalam gaming.
• Jaga email, bukan hanya akaun game. Pemulihan setiap platform pada akhirnya melalui email yang berdaftar. Jika peti mel itu compromise, platform sedang berlumba dengan attacker dari belakang.
• Jangan beri Steam Guard code atau password kepada sesiapa yang claim sebagai support. Staf Steam yang disahkan tak pernah akan minta. Anggap sesiapa yang minta sebagai pencuri yang sudah hampir berjaya.

Reka bentuk pemulihan Steam bukan kebetulan yang menggembirakan — ia hasil daripada memilih fakta yang boleh disahkan berbanding fakta yang mudah dilupa. Selebihnya industri ada nombor telefon untuk masalah ini. Mereka hanya belum angkat lagi.

Sumber:

• Steam Support — I can't sign into my Steam account
• Steam Support — Proving that you own an account
• Steam Support — Account stolen (staf tak pernah minta password)
• PlayStation — How to recover your account
• Microsoft — How to recover a hacked or compromised Microsoft account
• Epic Games — Account recovery help
• CISA — Implementing Phishing-Resistant MFA (SMS terdedah kepada SIM swap)

Sumber

• Valve: Steam Support — Providing Proof of Ownership
• Valve: Steam Support — Account Stolen (never ask for your password)
• Valve: Steam Support — I can't sign into my Steam account
• Sony Interactive Entertainment: PlayStation — How to recover your account
• Microsoft: Microsoft — How to recover a hacked or compromised Microsoft account
• Epic Games: Epic Games — Account recovery help
• CISA: CISA — Implementing Phishing-Resistant MFA