# セキュリティの経緯 — 『Steam』に関する資料 Canonical: https://phishdestroy.io/steam_dossier/ja/security_timeline Language: ja Author: PhishDestroy Team Publisher: PhishDestroy > 2018 から 2026, までの「Valve」に関するセキュリティインシデント、ポリシーの更新、および執行措置の年表（証拠の等級付け付き）。 セキュリティの実績 展示 / 『16』の応募作品 2018 — 2026 # セキュリティの沿革 — 2018 から 2026 へ セキュリティが変更されました。 *記録に従ってください。* このセクションが証明すること この時系列記録は、Steamの取引および認証スタックにおける8年間にわたるセキュリティ対策の変更を再構築したものです。ここでは、2018 7-におけるデイトレードの保留機能の実装、2023 Web API におけるキーのモバイル確認、および2026 におけるセッショントークンの廃止が、記録されている迂回手法に対してどのように対応してきたかを追跡しています。このタイムラインは、プラットフォームの更新が既知の攻撃ベクトルに対して一貫して遅れをとっていた一方で、商業運営者にとっての構造的な優位性は維持されていたことを明らかにしています。 [← エグゼクティブ・ブリーフィングに戻る](https://phishdestroy.io/steam_dossier/ja/index#briefing-heading) 取引ロック。ログイン制御。APIの制限。何が変更されたか、そして情報源が実際に何を立証しているかについての、過去の記録。 [年表を閲覧する](https://phishdestroy.io/steam_dossier/ja/security_timeline#timeline) 8年。1枚のアルバム。 **16 検討すべきマイルストーン** 各エントリには、投稿日と出典が記録されます。検証結果は、そのエントリの横に表示されます。 レビュー済み / 24 9月2026 **10** 確認済みのイベントと日付 **06** 一部確認済み **00** ソースの不一致 **00** 出典が必要 この記録の見方 **確認済みのイベントと日付：** いずれも、読みやすい一次資料によって裏付けられている。 **一部確認済み：** 関連する変更については記録されているが、その日付や範囲については未確定のままである。 **ソースの不一致：** リンク先の資料は、提出された主張を裏付けるものではありません。 **出典が必要：** 今回の検証では、該当する日付の記載がある出典は確認されませんでした。未解決の記載があるからといって、その出来事が起こらなかったという証拠にはなりません。 未解決のエントリに記載されている日付は、提出日であり、確認済みの公開日ではありません。調査の原文は書き直されていません。 ## 年表 01 — 16 16 16件の投稿 · 新しい順 2026 09-01提出日 コミュニティ 一部確認済み ## [グループチャットにおける不審なメッセージに関する警告](https://phishdestroy.io/steam_dossier/ja/security_timeline#event-2026-09-01) 公式のベータ版告知により、この機能が31年8月に実装されることが確認されました。併せて発表された1年9月の安定版リリース日については、具体的なリリースノートがまだ公開されていません。 [Steam クライアント・ベータ版 — 8月31日](https://steamcommunity.com/groups/SteamClientBeta?l=english) [アーカイブ済み 2026-03-13 ↗](https://web.archive.org/web/20260313235409/https://steamcommunity.com/groups/SteamClientBeta?l=english) 元のエントリーと投稿されたリンク 不審なチャットの自動フラグ付け [提出されたソースコードを確認する ↗](https://store.steampowered.com/news/posts/?enddate=1788390000) 2026 01-16確認日 API 確認済みのイベントと日付 ## [パブリッシャーキーに対するきめ細かな権限設定とIPホワイトリスト機能（Valveの発表）](https://phishdestroy.io/steam_dossier/ja/security_timeline#event-2026-01-16) 16年1月2026,日、ValveはSteamworksに関する公式発表を公開しました（*「新機能：Web API キーの権限と制御機能が強化されました」*) 開発者が Web API のキーを個別のグループに分割できるようにする、新しいきめ細かな権限管理ツールが確認された（**全般、マイクロトランザクション、経済、および売上データ**)、キーを特定のApp IDに限定し、サーバーのIPアドレスのホワイトリスト登録を適用します。 **露骨な二重基準：** 本公式発表により、Valveが、APIの詳細な権限設定およびIP制限のための技術的インフラを完全に整備したことが明らかになりましたが、 **通常のユーザーアカウントからは意図的にそれらを非表示にしている（`steamcommunity.com/dev/apikey`)**. 通常のユーザー向けAPIキーは、IPホワイトリスト機能のない、一元的で「すべてか無か」の認証情報であり続けています。まさにこの技術的な欠落こそが、数百万ドル規模のAPI取引傍受産業を可能にしているのです。 [Valve お知らせ — 新機能：Web API キーの権限と制御機能の強化（16 1月 2026）](https://steamcommunity.com/groups/steamworks/announcements/detail/493839547938902179) · [ドキュメント：Steamworks Web API 認証 ↗](https://partner.steamgames.com/doc/webapi_overview/auth) 元のエントリーと投稿されたリンク Steamworks Web API 詳細なスコープ [『Valve』のSteamworks公式発表（493839547938902179）をご覧ください ↗](https://steamcommunity.com/groups/steamworks/announcements/detail/493839547938902179) 2025 07-15確認日 取引 確認済みのイベントと日付 ## [CS2の取引に7日間の反転期間が設けられる](https://phishdestroy.io/steam_dossier/ja/security_timeline#event-2025-07-15) Valveの発表によると、過去7日間の『Counter-Strike』アイテム取引の取り消し機能が導入される。これはハイジャックを防止することを目的としているが、第三者による経済監査（[CSMarketCap ↗](https://csmarketcap.com/blog/market-insights/from-boom-to-bust-cs2s-trade-protection-impact))は、 **$104M (-25%) collapse** 現金取引の混乱により、24時間以内に時価総額が下落した。分析によると、 [Skinvault ↗](https://skinvault.gg/blog/cs2-trade-protection-explained/)、リバーサルが発生すると、その口座には自動的に30-のデイトレード利用制限が課されます。夏には2026, Valveが、UTC基準のグローバルな深夜リセットから、商品ごとに個別に設定された分単位のタイマー方式へと移行しました（[Skin.land ↗](https://skin.land/blog/steam-changes-cs2-trade-ban-logic-timing/)). [Valve — 15 7月2025の発表](https://store.steampowered.com/news/posts/?appids=730&enddate=1753924057&feed=steam_announce%2F1000) · [CSMarketCapの分析 ↗](https://csmarketcap.com/blog/market-insights/from-boom-to-bust-cs2s-trade-protection-impact) 元のエントリーと投稿されたリンク CS2 取引保護／取り消し期間 [提出されたソースコードを確認する ↗](https://help.steampowered.com/faqs/view/3041-A87A-E5F6-B6AC) 2025 05-14確認日 認証 確認済みのイベントと日付 ## [Valve SMSによる情報漏洩に関するアカウントのセキュリティ警告を発表](https://phishdestroy.io/steam_dossier/ja/security_timeline#event-2025-05-14) Valveが5月14,に発表した公式発表（2025,）では、アカウントのセキュリティおよびSMSベースの認証について言及しています。この通知はSMS情報の漏洩に焦点を当て、Steamのシステムへの不正アクセスはなかったことを確認していますが、提出日時点における公式なセキュリティ更新情報としての役割を果たしています。 [Valve — 「Steam」アカウントのセキュリティに関するお知らせ](https://store.steampowered.com/news/posts/?enddate=1747349559) 元のエントリーと投稿されたリンク アカウントのセキュリティに関するお知らせ [提出されたソースコードを確認する ↗](https://steamcommunity.com/ogg/593110/announcements/detail/533224478739530146) 2024 10-02確認日 取引 確認済みのイベントと日付 ## [再取引または再販売の7日前](https://phishdestroy.io/steam_dossier/ja/security_timeline#event-2024-10-02) このリリースノートでは、ゲーム内ショップを通じて入手できるアイテム（「アーモリー」、トレードオファー、コミュニティマーケットなど）について解説しています。記載されている範囲は、「アーモリー」のアイテムだけにとどまりません。 [Valve — 「10/2/2024」のリリースノート](https://store.steampowered.com/news/posts/?appids=730&enddate=1728000977&feed=steam_community_announcements) 元のエントリーと投稿されたリンク CS2 アーモリー / 7-Day Hold [提出されたソースコードを確認する ↗](https://steamcommunity.com/games/CSGO/announcements/detail/4447966961421256740) 2024 09-18提出日 取引 一部確認済み ## [ヘルプページで新しいデバイスの制限事項を確認しました](https://phishdestroy.io/steam_dossier/ja/security_timeline#event-2024-09-18) Steamの公式サポートドキュメントによると、7日以上認証されていない新しいデバイスからログインした場合、7-のデイトレード制限が適用されることが確認されています。9月18,に2024,で実施されたこの機能の正確なリリース日は、変更履歴のマイルストーンとして記録されていませんが、この機能については完全にドキュメント化されています。 [Steam サポート — 取引および市場の制限事項](https://help.steampowered.com/faqs/view/7F77-9E92-31E0-6B8E) 元のエントリーと投稿されたリンク 新しいデバイスでのログインに関する取引制限 [提出されたソースコードを確認する ↗](https://help.steampowered.com/faqs/view/3041-A87A-E5F6-B6AC) 2024 02-14提出日 コミュニティ 一部確認済み ## [2024 で、名称変更の取引クールダウンが実装されました](https://phishdestroy.io/steam_dossier/ja/security_timeline#event-2024-02-14) コミュニティおよび開発者の記録によると、2024,の初期に、Valveは、プロフィール名の変更直後に2-から4時間という取引クールダウンを予告なしに導入し、急速ななりすまし詐欺を防止したことが確認されています。Valveはこの制限について、公式のプレスリリース、クライアントの変更履歴、サポート記事を一切公開しなかったため、2月14に提出された日付には正式な裏付けがありません。SteamのWorkshopガイドは、公式のValveドキュメントというよりは、コミュニティによる間接的な裏付けとして機能しています。 [Steam ワークショップガイド（間接的な裏付け） — 名称変更の制限に関する詳細](https://steamcommunity.com/discussions/forum/1/4202490424033360096/) 元のエントリーと投稿されたリンク プロフィール名・アバター変更の一時停止 [提出されたソースコードを確認する ↗](https://steamcommunity.com/discussions/forum/1/4202490424033360096/) 2023 12-04確認日 API 確認済みのイベントと日付 ## [鍵の作成には、モバイル端末での確認が必要です](https://phishdestroy.io/steam_dossier/ja/security_timeline#event-2023-12-04) Web API での鍵生成において、Steam Guard によるモバイル認証が必須化されたことは、サードパーティの開発者向けライブラリの記録から、2023, の後半に実施されたことが確認されています。12月4, 2023, という正確な日付は、開発者コミュニティ内で確認された導入期間を示しています。 [メンテナー向けドキュメント — 3月 2024](https://github.com/DoctorMcKay/node-steam-tradeoffer-manager/wiki/Access-Tokens) [アーカイブ 2026-09-24 ↗](https://web.archive.org/web/20260924181824/https://github.com/DoctorMcKay/node-steam-tradeoffer-manager/wiki/Access-Tokens) 元のエントリーと投稿されたリンク APIキーのモバイル認証 [提出されたソースコードを確認する ↗](https://steamcommunity.com/dev/apikey) 2023 10-24確認日 開発者 確認済みのイベントと日付 ## [ゲームビルドのライブ配信設定に関する2の必須FAが施行されます](https://phishdestroy.io/steam_dossier/ja/security_timeline#event-2023-10-24) Valveが10月10,に発表したSteamworksに関する公式発表（2023,）によると、10月24,より（2023,）、リリース済みのアプリケーションのデフォルトブランチでビルドをライブ設定するアカウントは、SMSまたはSteamモバイルアプリを通じて変更を承認する必要があることが確認されました。この変更に伴い、SetAppBuildLive Web（API）も直接更新されました。 [Steamworks — ビルドおよびユーザーの管理に関するセキュリティの強化](https://steamcommunity.com/groups/steamworks/announcements/detail/3749866608167579206) [アーカイブ済み 2025-12-03 ↗](https://web.archive.org/web/20251203174259/https://steamcommunity.com/groups/steamworks/announcements/detail/3749866608167579206) 元のエントリーと投稿されたリンク ゲームビルド・パブリケーションズ向けのSMS多要素認証（MFA） [提出されたソースコードを確認する ↗](https://steamcommunity.com/groups/steamworks/announcements/detail/3734103130194459461) 2023 07-12提出日 コミュニティ 一部確認済み ## [コミュニティによって指摘された、カスタム経歴欄のコンテンツに関する警告](https://phishdestroy.io/steam_dossier/ja/security_timeline#event-2023-07-12) Steam 7月から寄せられたコミュニティからの報告（2023）によると、外部リンクやトリガーワードを含むカスタムプロフィール紹介文に対して、自動的なコンテンツ警告が表示されるようになったことが確認されています。7月12,に投稿された報告（2023,）の日付は、Steamのコミュニティフォーラムで最初に報告が相次いだ時期と一致しています。 [Steam コミュニティフォーラム — バイオコンテンツに関する警告報告](https://steamcommunity.com/discussions/forum/1/3807266184852932971/) 元のエントリーと投稿されたリンク カスタム経歴コンテンツに関する注意喚起 [提出されたソースコードを確認する ↗](https://steamcommunity.com/discussions/forum/1/3807266184852932971/) 2023 01-25提出日 コミュニティ 一部確認済み ## [プロフィールリンクのフィルタリングおよび編集のクールダウンが有効になっています](https://phishdestroy.io/steam_dossier/ja/security_timeline#event-2023-01-25) Steamの公式サポートドキュメントによると、カスタムプロフィールに記載されたリンクはフィルタリングされており、不適切な名前やアバターの変更は編集禁止措置につながる可能性があることが確認されています。1月25, 2023,に導入された4-の1時間のクールダウン機能こそが、この現象の始まりとされていますが、リンクフィルタリング機能自体は、公開されたヘルプページ上ですでに完全に稼働しています。 [Steam サポート — プロフィール名とアバターに関する制限](https://help.steampowered.com/faqs/view/225C-C51E-B8F0-55B2) 元のエントリーと投稿されたリンク プロフィールリンクを削除 / クールダウン [提出されたソースコードを確認する ↗](https://help.steampowered.com/faqs/view/225C-C51E-B8F0-55B2) 2022 10-24確認日 認証 確認済みのイベントと日付 ## [Steam OAuthのリフレッシュトークンおよびアクセストークンへの移行](https://phishdestroy.io/steam_dossier/ja/security_timeline#event-2022-10-24) Valveの10月の主要なクライアントおよびモバイルアプリの更新2022は、Steamの認証システムを全面的に刷新しました。従来のセッションクッキーの仕組みは、OAuthベースのアクセストークンおよびリフレッシュトークンに置き換えられ、アクティブな認証済みデバイスの一覧が導入され、アクティブなセッションを手動で取り消せるようになりました。 [Valve — 「Steam」モバイルアプリのアップデートと認証機能の全面刷新](https://store.steampowered.com/news/group/4/view/3314112260640237775) 元のエントリーと投稿されたリンク Steam ログイン機能の全面見直し／Cookieの切り捨て [Valveの発表を確認する ↗](https://store.steampowered.com/news/group/4/view/3314112260640237775) 2022 10-12確認日 認証 確認済みのイベントと日付 ## [QRコードによるログインと認証済みデバイスの管理](https://phishdestroy.io/steam_dossier/ja/security_timeline#event-2022-10-12) Valveが10月に発表した「12」では、QRコードによるサインイン、サインインの承認または拒否、およびアカウントへのアクセス権を無効にできるデバイス一覧について説明されています。 [Valve — アップデートされた「Steam」モバイルアプリが利用可能になりました](https://store.steampowered.com/news/posts/?appgroupname=Keep+in+touch&enddate=1666122699&feed=steam_blog) 元のエントリーと投稿されたリンク Steam モバイルアプリ 3.0 / QRコードによるログイン [提出されたソースコードを確認する ↗](https://store.steampowered.com/news/group/4/view/3314112260640237775) 2022 05-10提出日 API 一部確認済み ## [APIの公開リストから取引キャンセル用エンドポイントが削除されました](https://phishdestroy.io/steam_dossier/ja/security_timeline#event-2022-05-10) 開発者の記録によると、5月 2022, Valve に、Web API から IEconService/CancelTradeOffer や DeclineTradeOffer といった取引管理エンドポイントが、事前の告知なしに削除されたことが確認されています（node-steam-tradeoffer-manager #325 に記載）。 これらのメソッドはプライベートクライアントプロトコルでは引き続き機能しますが、10, 2022, の日付は、詐欺パネル対策として公開Web APIからこれらのメソッドが削除されたことを示しています。 [開発者による議論 — 課題 #325（CancelTradeOffer の削除）](https://github.com/DoctorMcKay/node-steam-tradeoffer-manager/issues/325) · [Steamworks Web API — IEconService ドキュメント](https://partner.steamgames.com/doc/webapi/IEconService) 元のエントリーと投稿されたリンク 取引キャンセルエンドポイントの削除 [node-steam-tradeoffer-manager の課題 #325 を確認する ↗](https://github.com/DoctorMcKay/node-steam-tradeoffer-manager/issues/325) 2020 05-25確認日 取引 確認済みのイベントと日付 ## [『Dota2』のアイテムには、7日間の取引クールダウンが適用されます](https://phishdestroy.io/steam_dossier/ja/security_timeline#event-2020-05-25) 5月25,、2020, において、『10』のバトルパスがリリースされたこと（blog.dota2.com/2020/05/the-international-10-battle-pass/）に伴い、Valveは、『Dota』2のアイテムに対して、1日間の取引ロック（7-）を導入しました。これは、2018の『Counter-Strike』に関するポリシーに準じた措置です。この制限は、すべての取引アイテムおよびマーケットでの購入に適用されます。 [Dota2コミュニティ — トレードロックとTI10クライアントのアップデート](https://steamcommunity.com/app/570/announcements/) 元のエントリーと投稿されたリンク Dota 2 / 7-デイ・トレード・ロック [提出されたソースコードを確認する ↗](https://blog.dota2.com/2020/05/trading-cooldown/) 2018 03-29確認日 取引 確認済みのイベントと日付 ## [CS:GOのアイテムをトレードすると、7日間のクールダウン期間が適用されます](https://phishdestroy.io/steam_dossier/ja/security_timeline#event-2018-03-29) 公式のリリースノートで、日付と制限事項が確認されています。提供されたURLは2013の地図更新ページにリダイレクトされましたが、これに対応するリリースノートのURLは20309.で終わっています。 [Valve — 「3/29/2018」のリリースノート](https://blog.counter-strike.net/2018/03/20309/) 元のエントリーと投稿されたリンク CS:GO / 『7-』デイ・トレード・ロック [提出されたソースコードを確認する ↗](https://blog.counter-strike.net/index.php/2018/03/20308/) [アーカイブ済み 2025-02-26 ↗](https://web.archive.org/web/20250226114333/https://blog.counter-strike.net/index.php/2018/03/20308/) ### 一致する項目はありません。 別のフレーズを試すか、フィルタを解除してください。 証拠を追跡し、情報源を精査する。 [調査に戻る ↗](https://phishdestroy.io/steam_dossier/ja/#vulnerability-profile)