Falsa verificação da FACEIT: quem verifica quem?

Tem golpe que eu admiro. Calma, admiro do jeito que a gente admira a jogada do time que acabou de te amassar: com raiva, mas reconhecendo o trabalho.

O meu preferido é o da falsa central do banco. Toca o celular, um moço educadíssimo diz que é do setor de segurança, que apareceu uma compra estranha no seu cartão e que, pra proteger o seu dinheiro, você precisa passar tudo pra uma conta segura. Ele fica na linha o tempo inteiro, porque é atencioso (e porque, se ele desligar, você para pra pensar). A conta segura, claro, é dele.

Pois esse golpe aprendeu a jogar CS. Trocou o banco pela FACEIT, a conta segura por uma "conta de confiança" e o Pix por uma oferta de troca na Steam. O resto ficou igualzinho, inclusive a ligação, que agora é call no Discord.

Em junho a Malwarebytes publicou um alerta sobre páginas falsas de "verificação da FACEIT" que levam a conta da Steam inteira: jogos, saldo, inventário. Nos fóruns da Steam os relatos vêm pelo menos desde o começo de 2025. Fui ler tudo, e dá pra dividir em três roteiros. Mas antes, um detalhe que muda tudo.

O que a FACEIT verifica de verdade

A FACEIT tem, sim, uma verificação. Existe desde maio de 2023, é gratuita e foi lançada como opcional (hoje algumas competições exigem, a ESEA League por exemplo). É verificação de identidade: você escaneia um QR code com o celular, tira uma selfie e fotografa um documento. Quem processa é uma empresa chamada Daon, e a FACEIT guarda só a informação de que você foi verificado.

Agora repara no que ela não pede: senha da Steam, código do Steam Guard, troca de itens. Não existe verificação que dependa de você mandar a sua faca pra algum lugar.

E guarda essa do QR code, que ela vai voltar.

Roteiro 1. O clube e a conta de confiança

Você tá no Deathmatch, encaixando uns tiros bonitos, e chega um pedido de amizade. O cara elogia a mira, conta que joga num clube da FACEIT, que tá faltando um no time, que tem premiação. Clubes existem de verdade na FACEIT, e é exatamente por isso que funciona.

(Aliás, se alguém aqui já foi convidado pra clube tendo só skin de caixa de operação, me conta. Desconfio que o critério é o inventário, não a mira =)

Você entra no clube, tenta jogar e aparece um erro: precisa verificar a conta. "Normal, todo mundo passa por isso", diz o novo amigo. A verificação fica num site com nome de FACEIT e algum penduricalho. A Malwarebytes listou faceit-discord.com, faceit-clubs-verify.com e faceit-verification-clubs.com, todos com dias ou até horas de vida quando foram pegos. O texto de abertura é quase o mesmo do anúncio de verdade de 2023: verificação gratuita e opcional, pra uma comunidade mais confiável. Copiaram até o tom. Só não copiaram a revisão: numa das páginas aparecia, ao mesmo tempo, "Copyright 2024" e "Copyright 2025".

Aí, do nada, um problema. Sua conta foi sinalizada por ter skin bonita demais suspeita de cheat ou de smurf, e pra provar que você é você, precisa mandar o inventário pra uma segunda conta ou pra um amigo de confiança. Só por garantia, depois desfaz.

Conta segura. Lembrou de alguém?

O pulo do gato é que o golpista já clonou o perfil desse amigo. Mesmo nome, mesma foto. Num relato de maio de 2025, num fórum alemão da Steam, a vítima foi pelo caminho cauteloso: mandou uma skin só, pra testar. Deu tudo certo, claro. Aí mandou o resto. Mais de 1.400 euros, uns R$ 8,2 mil na cotação de hoje, foram parar num clone. E o tempo todo o cara fez questão de ficar em call no Discord. Em call ninguém lê o nome do destinatário com calma, só confirma no app e segue o baile. O suporte da Steam respondeu o de sempre: troca que você mesmo confirmou não volta.

Em outubro do ano passado outro jogador contou no fórum da Steam a mesma história, com menos voltas. Um cara da FACEIT disse que pra jogar ele precisava verificar a conta, e que pra isso tinha que mandar o inventário pra um amigo ou pra uma segunda conta. Faca e luvas, uns US$ 2 mil (R$ 10,4 mil). No histórico de trocas, o destinatário era um desconhecido. A resposta no tópico foi curta: essa verificação não existe na FACEIT, você foi golpeado.

Roteiro 2. A janela que não é janela

Esse é o mais caprichado, e é o que pega gente esperta.

A página falsa tem o botão de sempre, "Entrar com a Steam". A gente clica nisso no automático, igual aceitar cookie: site de skin, site de caixa, a própria FACEIT, tudo loga pela Steam. Abre uma janelinha com a cara da Steam, barra de endereço dizendo steamcommunity.com, cadeado, tudo certinho.

Só que essa janela não é janela. É um desenho de janela, feito dentro da própria página, com a barra de endereço que o golpista quiser escrever. Lembra do Coiote pintando um túnel na pedra pro Papa-Léguas? É isso. Os pesquisadores chamam de browser-in-the-browser, o navegador dentro do navegador. A barra de endereço de verdade, lá em cima, continua mostrando o site do golpe. O problema é que ninguém olha pra ela, porque tem outra barra bem na sua cara dizendo exatamente o que você quer ler.

Tinha até QR code na página falsa. Borrado. Borrado de propósito: um QR legível te daria outra opção, e eles querem que você clique no botão e digite a senha.

Você digita login e senha, a página pede o código do Steam Guard "pra concluir a verificação", você manda. Pronto, estão dentro, e a primeira coisa que fazem é trocar o e-mail e a senha da conta. O truque é velho: em 2020 a Zscaler já tinha pegado uma janela dessas em site falso de skins, e depois do login a vítima era mandada pro site de verdade, pra não desconfiar de nada. E a técnica nem é exclusiva da FACEIT: em março de 2025 a Silent Push pegou a mesma janela pintada com outra isca, caixa grátis de CS2 em nome da NAVI. As contas roubadas, segundo eles, acabam revendidas em mercado cinza.

Às vezes eles nem levam nada na hora. Em março de 2025 um jogador perdeu uns US$ 6 mil (R$ 31 mil), com uma Talon Fade 97% no meio, e jurava que não tinha clicado em link nenhum. A turma do fórum destrinchou o caso: umas duas semanas antes ele tinha aberto um link que estava no "Sobre" de um time da FACEIT e logado numa Steam pintada. Os caras ficaram quietinhos, esperando. Quando ele foi mandar os itens pra própria conta secundária, a troca de verdade foi cancelada e no lugar apareceu outra, de um perfil copiado da secundária dele. Ele confirmou no celular. O Steam Guard não foi burlado, foi usado.

Isso tem nome: golpe da chave de API. Com acesso à sua conta, o golpista cria uma chave de desenvolvedor e passa a enxergar e cancelar as suas trocas. Desde o fim de 2023 a Steam exige confirmação no app pra criar essa chave. Então, se o app pedir pra você aprovar uma chave de API e você não é programador, a resposta é não.

Como desmascarar a janela pintada:

• Arrasta ela pra fora do navegador. Pop-up de verdade sai da janela. A pintada bate na borda e some, porque faz parte da página.
• Olha a barra de endereço lá de cima, a do navegador, não a de dentro da página. O login de verdade da Steam abre em steamcommunity.com/openid/login e ainda avisa, com o nome do site, que aquele site não tem ligação com a Steam nem com a Valve.
• Se você já tá logado na Steam no navegador, o login de verdade nem pede senha. Mostra a sua conta e um botão. Pediu senha do nada? Desconfia.
• O gerenciador de senhas não preenche. Ele sabe que aquele domínio não é o da Steam, mesmo quando você não sabe.

Roteiro 3. O QR code e o instalador

Lembra do QR code da verificação de verdade? Ele só leva a verificação pro seu celular, pra selfie e documento. Já o leitor de QR do app da Steam serve pra uma coisa só: entrar na Steam num computador seu, que tá ali na sua frente. Se você escaneia com o app da Steam um QR que veio de um site, de uma live ou de um Discord, você está aprovando o login do computador de outra pessoa. Sem senha, sem código, sem nada. O QR já é a chave.

Tem ainda a variação "baixa o nosso cliente". A FACEIT tem cliente e anticheat de verdade, e os golpistas espalham instaladores falsos com o mesmo nome, FACEITInstaller_64.exe, em anexo de Discord, em endereço IP cru, em GitHub de imitação. O nome do arquivo não prova nada. Instalou um desses, o problema deixa de ser só a Steam e passa a ser o PC inteiro. FACEIT se baixa no faceit.com, e acabou.

Caí. E agora?

Primeiro: não se chama de burro. Esses roteiros foram escritos pra quem clica em "Entrar com a Steam" vinte vezes por mês, ou seja, pra todo mundo que joga. Segundo: rápido.

• Rodou algum instalador? Passa um antivírus decente antes de trocar qualquer senha, senão você entrega a senha nova junto.
• De um aparelho limpo, troca a senha do e-mail da conta primeiro, depois a da Steam, depois a da FACEIT.
• No Steam Guard, usa "Desautorizar todos os outros dispositivos" e confere se o e-mail e o telefone da conta ainda são seus.
• Abre steamcommunity.com/dev/apikey. Se tem chave lá que você não criou, revoga.
• Corre pro histórico de trocas. Desde 16 de julho de 2025, todo item de CS2 recebido numa troca fica protegido por 7 dias, e quem mandou pode desfazer. No caso "improvável", nas palavras da própria Valve, de você perder o controle da conta ou cair num golpe, dá pra reverter todas as trocas de itens de Counter-Strike dos últimos 7 dias, você mesmo, pela página de histórico de trocas.

Só que tem letra miúda. A reversão é tudo ou nada: desfaz todas as trocas protegidas da semana, inclusive as honestas, e te deixa 30 dias sem trocar e sem Mercado, e isso o suporte não tira. Se o golpista trocou o e-mail e a senha, primeiro você precisa recuperar a conta com o suporte, e o relógio não para enquanto isso. E nem sempre o botão colabora: aquele jogador de outubro, com a troca ainda dentro do prazo, deu de cara com um aviso de que não podia desfazer trocas naquele momento. Passados os 7 dias, vale a regra antiga da Steam: item que saiu da conta não volta.

Ou seja: a proteção ajuda, mas não conta com ela.

Resumindo

• A verificação de verdade da FACEIT é selfie com documento. Senha da Steam, código do Steam Guard e skin ela não pede (nem ela, nem a Valve, nem a sua mãe).
• "Manda tudo pra uma conta de confiança" é a falsa central do banco com skin no lugar do Pix. Quem tem pressa e quer ficar em call é o golpista.
• Janela de login que não sai do navegador quando você arrasta é desenho. Vale a barra de endereço lá de cima, e tudo que tem "faceit" seguido de hífen é suspeito até prova em contrário.
• O leitor de QR do app da Steam serve pra entrar na Steam num PC seu, e só.
• Caiu? Aparelho limpo, senhas novas, desautoriza tudo, confere a chave de API e corre pro histórico de trocas: são 7 dias, e o relógio já começou.

Boa sorte a todos, e que a única coisa que alguém verifique no seu inventário seja o float.