Jabarkan Privasi dan keamanan dari Steam

Popularitas Steam telah menyebabkan layanan diserang oleh peretas. Suatu upaya terjadi pada bulan November 2011, ketika Valve sementara menutup forum komunitas, mengutip potensi ancaman peretasan ke layanan. Beberapa hari kemudian, Valve melaporkan bahwa peretasan telah membahayakan salah satu basis data pelanggannya, yang berpotensi memungkinkan para pelaku untuk mengakses informasi pelanggan; termasuk kata sandi terenkripsi dan rincian kartu kredit. Pada saat itu, Valve tidak mengetahui apakah para penyusup benar-benar mengakses informasi ini atau menemukan metode enkripsi, tetapi tetap memperingatkan pengguna untuk waspada terhadap aktivitas penipuan.

Valve menambahkan fungsionalitas Steam Guard ke klien Steam pada Maret 2011 untuk melindungi akun dari pembajakan melalui skema phishing, salah satu masalah dukungan terbesar yang dimiliki Valve pada saat itu. Steam Guard diiklankan untuk memanfaatkan perlindungan identitas yang disediakan oleh prosesor Core generasi kedua Intel dan perangkat keras motherboard yang kompatibel, yang memungkinkan pengguna mengunci akun mereka ke komputer tertentu. Setelah terkunci, aktivitas akun tersebut di komputer lain harus terlebih dahulu disetujui oleh pengguna di komputer yang terkunci tersebut. API Dukungan untuk Steam Guard tersedia untuk pengembang pihak ketiga melalui Steamworks. Steam Guard juga menawarkan otentikasi dua faktor berbasis risiko yang menggunakan kode verifikasi satu kali yang dikirim ke alamat email terverifikasi yang terkait dengan akun Steam; ini kemudian diperluas untuk memasukkan otentikasi dua faktor melalui aplikasi seluler Steam, yang dikenal sebagai Steam Guard Mobile Authenticator. Jika Steam Guard diaktifkan, kode verifikasi dikirim setiap kali akun digunakan dari mesin yang tidak dikenal.

Pada 2015, antara inventaris permainan berbasis Steam, kartu perdagangan, dan barang virtual lainnya yang dilampirkan ke akun pengguna, Valve menyatakan bahwa potensi nilai moneter telah menarik peretas untuk mencoba mengakses akun pengguna untuk keuntungan finansial, dan terus mendorong pengguna untuk mengamankan akun dengan Steam Guard, saat perdagangan diperkenalkan pada tahun 2011. Valve melaporkan bahwa pada bulan Desember 2015, sekitar 77.000 akun per bulan dibajak, memungkinkan para pembajak untuk mengosongkan inventaris item pengguna melalui fitur perdagangan. Untuk meningkatkan keamanan, perusahaan mengumumkan bahwa pembatasan baru akan ditambahkan pada Maret 2016, di mana penangguhan 15 hari ditempatkan pada item yang diperdagangkan kecuali jika diaktifkan, dan diautentikasi dengan Steam Guard Mobile Authenticator.

ReVuln, sebuah firma penelitian kerentanan komersial, menerbitkan sebuah makalah pada Oktober 2012 yang mengatakan protokol peramban Steam menimbulkan risiko keamanan dengan mengaktifkan eksploitasi jahat melalui klik pengguna sederhana pada steam:// URL di browser. Ini adalah kerentanan serius kedua dari perangkat lunak terkait permainan setelah masalah baru-baru ini dengan platform distribusi permainan milik Ubisoft, Uplay. Platform IT Jerman Heise online merekomendasikan pemisahan yang ketat antara permainan dan data sensitif, misalnya menggunakan PC yang didedikasikan untuk permainan, bermain permainan dari instalasi Windows kedua, atau menggunakan akun komputer dengan hak terbatas yang didedikasikan untuk permainan.

Pada bulan Juli 2015, bug dalam perangkat lunak memungkinkan siapa saja untuk mereset kata sandi ke akun mana pun dengan menggunakan fungsi "lupa kata sandi" dari klien. Para pemain dan streamer profesional profil tinggi kehilangan akses ke akun mereka. Pada bulan Desember 2015, jaringan pengiriman konten Steam salah konfigurasi sebagai tanggapan atas serangan DDoS, menyebabkan laman toko yang disimpan dalam cache yang berisi informasi pribadi untuk sementara terekspos untuk 34.000 pengguna.

Pada April 2018, Valve menambahkan pengaturan privasi baru untuk pengguna Steam, yang dapat mengatur apakah status aktivitas mereka saat ini bersifat pribadi, hanya dapat dilihat oleh teman, atau publik; selain dapat menyembunyikan daftar permainan, inventaris, dan elemen profil lainnya dengan cara yang serupa. Sementara perubahan ini membawa pengaturan privasi Steam sejalan dengan pendekatan yang digunakan oleh layanan konsol permainan, itu juga memengaruhi layanan pihak ketiga seperti Steam Spy, yang mengandalkan data publik untuk memperkirakan jumlah penjualan Steam.

Valve membuat program bug bounty HackerOne pada Mei 2018, metode crowdsourced untuk menguji dan meningkatkan fitur keamanan klien Steam. Pada Agustus 2019, seorang peneliti keamanan mengungkap kerentanan zero-day di klien Windows Steam, yang memungkinkan pengguna mana pun untuk menjalankan kode arbitrer dengan hak istimewa LocalSystem hanya menggunakan beberapa perintah sederhana. Kerentanan tersebut kemudian dilaporkan ke Valve melalui program, tetapi awalnya ditolak karena dianggap "di luar cakupan". Menyusul kerentanan kedua yang ditemukan oleh pengguna yang sama, Valve meminta maaf dan menambal keduanya, dan memperluas aturan program untuk menerima masalah serupa lainnya di masa mendatang.