L'FBI indaga sui finti giochi su Steam che rubano dati e criptovalute

Per anni, la comparsa occasionale di un gioco infetto su Steam è stata trattata come un incidente isolato: titolo rimosso, comunicato della piattaforma, caso chiuso. Oggi quel modello di risposta non regge più. Tra il 2024 e l'inizio del 2026, il fenomeno ha accumulato abbastanza casi, nomi e danni da attirare l'attenzione dell'FBI, che attraverso la sua divisione di Seattle ha chiesto pubblicamente alle vittime di farsi avanti e condividere informazioni. È un cambio di fase significativo: si passa dall'episodio rimosso dallo store all'ipotesi che il problema sia sistemico, misurabile e perseguibile penalmente.

Steam, la principale piattaforma di distribuzione di videogiochi per PC gestita dalla società Valve, è un bersaglio naturale per chi vuole distribuire software malevolo. Non è solo un negozio digitale: è un canale di aggiornamento automatico, una rete sociale, un sistema di identità e un'infrastruttura di pagamento. Quando un malware — cioè un programma dannoso — entra in questo circuito, il rischio non si limita al singolo computer colpito. Può diventare una compromissione a catena che coinvolge sessioni del browser, account su altri servizi, app di messaggistica e, nei casi più recenti e redditizi, portafogli digitali e criptovalute.

Giochi veri, payload falsi

I titoli citati nell'indagine — tra cui Chemia, Dashverse/DashFPS, Lampy, Lunara, PirateFi, Tokenova e BlockBlasters — sono utili soprattutto per capire la dinamica sottostante. Non si tratta di crack o copie pirata scaricati da siti opachi, ma di software presentato, installato e aggiornato esattamente come un normale videogioco. Il caso PirateFi ha fatto rumore nel 2025 perché nascondeva un infostealer — un tipo di malware progettato non per distruggere i file ma per rubarli silenziosamente — della famiglia Vidar, distribuito tramite un titolo free-to-play rimasto disponibile solo pochi giorni prima di essere rimosso. Un infostealer spiega bene perché l'FBI voglia parlare con le vittime: quello che ruba diventa quasi sempre un punto di accesso ad altro, un'apertura verso altri account, altri servizi, altri danni.

Per chi usa Steam come consumatore abituale, il punto più critico non è necessariamente il momento dell'installazione. In diversi casi documentati negli ultimi anni, la compromissione è arrivata tramite aggiornamenti successivi, quando il software aveva già superato un primo controllo e guadagnato un minimo di fiducia. È un meccanismo che sfrutta proprio uno dei punti di forza delle piattaforme digitali — l'aggiornamento continuo e automatico — trasformandolo in una superficie d'attacco. La domanda smette di riguardare il singolo titolo infetto e diventa strutturale: quanto è difficile, per una piattaforma generalista, distinguere in modo affidabile un aggiornamento legittimo da uno malevolo?

La fiducia nel nome dello store ha sostituito, spesso senza che ce ne accorgiamo, una parte della valutazione del rischio

La risposta di Valve e i suoi limiti

Valve ha già riconosciuto il problema dopo un episodio del 2023. La risposta è stata l'introduzione di una verifica aggiuntiva tramite codice SMS per aggiornare il ramo di distribuzione principale di un gioco già pubblicato. Una misura apparentemente piccola, ma significativa: indica che la piattaforma ha identificato l'aggiornamento automatico spinto all'intera base installata come il principale moltiplicatore di rischio. Questa policy è entrata in vigore con precise regole operative nell'ambito del sistema Steamworks, lo strumento con cui gli sviluppatori gestiscono i propri titoli sulla piattaforma. Al tempo stesso, la verifica via SMS introduce una frizione reale per gli sviluppatori indipendenti e non risolve i due scenari più pericolosi: un account sviluppatore compromesso in modo sofisticato, oppure un profilo creato appositamente per pubblicare un'esca e poi sparire.

BlockBlasters, ovvero quando i numeri fanno rumore

Il caso BlockBlasters rappresenta una soglia sia narrativa che operativa. La vicenda di uno streamer che raccoglieva fondi per cure oncologiche e si è trovato i donatori derubati dal gioco stesso ha dato al caso una visibilità insolita. Ma il dato che ha davvero spostato l'attenzione è quello economico: oltre 150.000 dollari in criptovalute sottratti, con stime sulle vittime che oscillano tra poche centinaia di account e numeri più alti emersi da ricerche indipendenti. Quando i portafogli digitali vengono svuotati, il danno è immediato e misurabile, molto più dei furti di credenziali che restano silenziosi per mesi. Il ruolo della community di ricercatori on-chain nel portare attenzione e stimare i danni ha creato pressione sia sulla piattaforma che sulle autorità, rendendo credibile l'idea che non si tratti di episodi isolati ma di un modello di business strutturato.

Gli infostealer sono diventati un'industria

I report di analisi delle minacce sul 2024 e 2025 descrivono gli infostealer come una vera industria: milioni di macchine compromesse, miliardi di credenziali raccolte, e un mercato in cui l'accesso a kit preconfezionati e pannelli di gestione è acquistabile a costi relativamente bassi. Famiglie di malware come Vidar fanno parte di una più ampia economia delle credenziali rubate che si è consolidata negli ultimi anni. Per chi attacca, nascondere un eseguibile malevolo dentro un finto gioco free-to-play non è un colpo di ingegno: è un modo efficiente per ottenere distribuzione e abbassare le difese psicologiche della vittima. Il contesto — è su Steam — sostituisce spesso, senza che ce ne rendiamo conto, una parte della valutazione del rischio che faremmo davanti a un file scaricato da uno sconosciuto.

C'è poi un aspetto meno evidente ma centrale per chi segue il mondo del gaming: la collisione tra sicurezza e creatività tecnica. Alcuni giochi del tutto legittimi fanno cose che, viste da un antivirus, assomigliano a comportamenti sospetti — accesso a file locali per i salvataggi, overlay grafici, strumenti di modding, auto-aggiornamenti aggressivi, interazioni con driver di sistema per le performance o per i sistemi anti-cheat. Un filtro troppo rigido genera falsi positivi e penalizza gli sviluppatori indipendenti; uno troppo permissivo lascia spazio a campagne mordi-e-fuggi. Questa zona grigia è uno dei motivi per cui molte piattaforme finiscono per muoversi in modo reattivo: rimozione, notifica, misure progressive. L'FBI che chiede alle vittime di parlare segnala che la sola reazione non basta più.

La rimozione di un gioco dallo store non è la fine della storia per chi indaga

Cosa fare se sei stato coinvolto

Per chi ha installato uno dei titoli citati nell'indagine nel periodo 2024–2026, la domanda concreta è: sono a rischio, e cosa faccio adesso? Le indicazioni operative non richiedono paranoia, ma metodo. Vale la pena trattare l'evento come una possibile compromissione di credenziali, non come un semplice caso di gioco rimosso. In pratica: cambiare le password a partire dall'account email e da Steam, aggiornare le credenziali di tutti i servizi in cui si riutilizzano le stesse combinazioni, verificare l'integrità dei metodi di autenticazione a due fattori (2FA), controllare accessi e sessioni attive. Se si usano portafogli digitali hot — cioè connessi a internet — o estensioni del browser per le criptovalute, la superficie d'attacco include anche le seed phrase (le frasi di recupero del portafoglio), le sessioni aperte e le autorizzazioni concesse alle app. Non trascurare i dispositivi secondari: il browser su cui si è ancora loggati, i client di messaggistica, eventuali password manager.

L'invito dell'FBI a collaborare non è un generico appello a sporgere denuncia. È un modo per trasformare l'esperienza delle vittime in prove investigative concrete. Gli attaccanti che usano store legittimi stanno acquistando, di fatto, un pezzo della reputazione della piattaforma. Se l'indagine riuscirà a ricostruire la filiera — da chi ha caricato i file, a chi ha gestito i server di comando e controllo e la monetizzazione — il segnale più importante non sarà la rimozione di un altro titolo, ma la dimostrazione che usare un canale trusted non garantisce impunità legale.

Il nodo aperto per Valve e per il settore

Rimane una tensione difficile da sciogliere. Steam è grande perché è aperto, e perché pubblicare e aggiornare un gioco è relativamente semplice rispetto a piattaforme più chiuse. Ma è proprio quella apertura a rendere plausibile, per un criminale, usare un gioco come vettore di malware. Se la risposta della piattaforma sarà solo più frizione a valle — verifiche SMS, tempi di attesa, controlli incrementali — gli attori malevoli si sposteranno semplicemente verso canali dove la reputazione è ancora spendibile. Se invece la frizione si sposterà a monte — identità e storia degli sviluppatori, controlli sugli aggiornamenti, periodi di quarantena — sarà l'ecosistema dei giochi indipendenti a pagare un costo operativo e culturale significativo. Nel frattempo, la variabile che conta per l'utente resta la più scomoda: la presenza di un gioco su uno store noto non può più essere una garanzia automatica di sicurezza, soprattutto quando quel gioco promette guadagni, airdrop o utilità crypto dentro la trama.