那是一个再普通不过的周二下午，我刚下班回到家，习惯性地拿起手机刷邮箱。收件箱里躺着一封来自Steam的邮件，标题是“您的Steam账户验证码”。我愣了一下，因为我并没有尝试登录。那一瞬间，我浑身的汗毛都竖了起来——有人正在试图登入我的账号。
我迅速打开电脑，登录Steam，果然在账户安全页面看到了一条陌生登录记录：来自俄罗斯的IP，尝试时间正好是邮件发送的时间。密码错误，没有成功。但我仍然感到一阵后怕，因为这说明我的密码已经暴露在其他人手中。如果我当初没有开启Steam Guard，或者使用的是手机验证码，可能现在库存已经被洗劫一空了。
密码怎么丢的？
我坐下冷静思考，试图找到泄露的源头。我回忆起自己几个月前在某第三方网站玩过一个抽奖活动，那个网站要求通过Steam登录，当时我输入了账号密码。那很可能是一个钓鱼网站，专门伪造Steam登录页面来骗取用户凭据。我后来查看了那个网站，已经无法访问了，所以这是一个非常典型的骗局。但我当时没有仔细检查网址，只看到了Steam样式的界面就放心地登录了。
除了钓鱼，还有哪些途径？
根据我混迹游戏论坛多年的见闻，密码泄露的渠道多得让人不寒而栗。很多人喜欢在多个网站使用同一个密码，一旦某个小论坛被拖库，黑客就会拿着这些账号去撞库，自动尝试所有知名平台。Steam由于其高价值，一直是撞库攻击的重灾区。此外，在网吧使用公共电脑、安装可疑的第三方插件或修改器、连接不安全的WiFi网络，都可能导致密码被窃取。我还听说过一种专门的Steam钓鱼木马，它会截取记住密码的本地文件打包发走。
后果有多严重？
一个被攻破的Steam账号不仅是丢掉游戏那么简单。黑客可以把你库存里值钱的饰品交易走，可以借用你的身份去欺骗你的好友列表里的人，可以滥用你的账号去玩外挂导致红信封禁，甚至可以获取你绑定的支付信息进行进一步盗刷。我一个朋友的账号就曾经被人用来在社区市场里低价卖给他自己的东西，相当于洗钱。而且账号一旦被steam官方封禁，申诉过程极其漫长。
好在这次因为我开启了手机Steam Guard，入侵者被挡在了门外。我立即更改了密码，撤销了所有第三方的授权和应用，并且检查了API key是否被篡改。我还退出了所有其他设备登录，确保就算密码泄露也不会再被利用。
心理上的冲击
这件事过去一周了，但我依然不敢掉以轻心。每次收到验证邮件都会紧张地确认是不是自己操作。我开始意识到，数字资产同样需要我们认真保护，尤其是在游戏投入了大量时间和金钱之后。那种随时可能失去一切的无力感，我一点都不想再经历第二次。
直到今天，我还会时不时查看自己的登录历史，确保没有异常。我要求自己不使用任何第三方网页登录，不再在陌生的电脑上输入密码，使用密码管理器生成独立的强密码，并且坚决把手机令牌绑得死死的。这一切，只为了不重蹈覆辙。
