Durante casi dos años, miles de jugadores de PC han confiado en que descargar un juego desde Steam era sinónimo de entorno seguro, pero una investigación abierta del FBI ha demostrado que esa sensación de tranquilidad no era tan sólida como parecía. Varios títulos aparentemente inocuos se habrían utilizado como caballo de Troya para introducir malware capaz de robar datos personales, bancarios y criptomonedas directamente desde los ordenadores de los usuarios; un ejemplo reciente detectó un juego en Steam que esconde malware que ilustra bien el riesgo.
La Oficina Federal de Investigación de Estados Unidos ha hecho un llamamiento público a quienes hayan instalado ciertos juegos en Steam entre mayo de 2024 y enero de 2026. El objetivo es localizar a todas las posibles víctimas de esta campaña maliciosa, determinar el alcance real del ataque y reforzar un caso que, según el propio organismo, podría formar parte de un entramado criminal complejo y no de incidentes aislados.
Qué está investigando exactamente el FBI
La División del FBI en Seattle ha publicado un aviso oficial en el que detalla que está recabando información sobre una campaña de malware distribuido a través de videojuegos publicados en Steam, la tienda de PC gestionada por Valve. Según la agencia, un actor o grupo de actores habría conseguido subir varios títulos a la plataforma, superar los controles iniciales y, en algunos casos, aprovechar actualizaciones posteriores para introducir el código malicioso.
El periodo en el punto de mira se sitúa entre mayo de 2024 y enero de 2026, una ventana de tiempo relativamente amplia que indica que los responsables habrían operado con cierta continuidad. Los juegos señalados se presentaban como productos funcionales —muchos de ellos modestos, sin grandes campañas de marketing—, lo que les permitió pasar desapercibidos entre el enorme catálogo de Steam, que supera los cien mil títulos.
La agencia explica que el objetivo inmediato es identificar a las víctimas de los delitos federales que se investigan. Más allá del plano penal, ese paso es imprescindible porque, en el marco legal estadounidense, las personas afectadas pueden tener derecho a servicios específicos, restitución económica y otros derechos de protección tanto a nivel federal como estatal.
Por ahora, el FBI evita dar detalles técnicos exhaustivos sobre el malware en cuestión —algo habitual en investigaciones en curso—, pero sí aclara que se trataría de software orientado a robar credenciales, datos personales y bienes digitales, incluidas criptomonedas y acceso a servicios financieros online.
Los juegos de Steam en el punto de mira
En la documentación difundida por el FBI y recogida por distintos medios especializados se repiten una y otra vez los mismos nombres. La investigación se centra en al menos siete u ocho juegos de Steam que actuaron como vector de infección: BlockBlasters, Chemia, Dashverse, DashFPS, Lampy, Lunara, PirateFi y Tokenova. En algunos listados Dashverse y DashFPS se agrupan como un único caso, pero el fondo del problema es el mismo: títulos pequeños que sirvieron para colar malware en los equipos.
Estos juegos, en apariencia, cumplían con las normas formales de la tienda de Valve. Muchos se publicaron como proyectos de bajo presupuesto o en acceso anticipado, lo que encaja bien con el perfil de la escena independiente. Una vez ganada cierta tracción y tras superar los filtros iniciales, los responsables habrían aprovechado parches y actualizaciones para introducir componentes maliciosos que no estaban presentes en las primeras versiones o que, en cualquier caso, no habían sido detectados.
El caso de PirateFi ilustra bien la situación. Se trataba de un juego gratuito de supervivencia que llegó a Steam a principios de 2024. Poco después, investigadores y usuarios empezaron a detectar código diseñado para robar credenciales de cuentas y otra información sensible. Valve terminó retirando el título de la tienda, pero para entonces ya lo habían descargado cientos o incluso más de un millar de jugadores, que pudieron quedar expuestos sin ser conscientes del problema.
Otro título muy citado es BlockBlasters, un juego de estética sencilla que llegó a la plataforma en 2025. Según las pesquisas posteriores, en una actualización publicada meses después se introdujo un componente que actuaba como drenador de criptomonedas. Aprovechando el acceso al sistema, el malware habría robado en torno a 150.000 dólares en activos digitales, vaciando billeteras y cuentas asociadas a los equipos comprometidos.
En el caso de Chemia, presentado como una propuesta de supervivencia en acceso anticipado, los análisis hablan de varias variantes de malware integradas en el juego, con capacidad para capturar contraseñas, datos bancarios y otros datos personales. Títulos como Dashverse, DashFPS, Lampy, Lunara y Tokenova completan la lista bajo la lupa de las autoridades, todos ellos con un patrón común: juegos funcionales, de baja visibilidad mediática, que servían como transporte de software malicioso.
Cómo actuaba el malware y por qué es tan preocupante
Detrás de esta campaña no había simples virus ruidosos que bloquean el ordenador al primer reinicio, sino infostealers y troyanos discretos pensados para pasar desapercibidos el máximo tiempo posible. El código malicioso incrustado en estos juegos de Steam estaba orientado principalmente a robar información y acceso, más que a destruir archivos de forma visible.
En muchos casos, el malware se encargaba de capturar contraseñas, cookies de sesión y credenciales de servicios variados, desde cuentas bancarias hasta plataformas de criptomonedas, pasando por correos electrónicos, redes sociales o tiendas digitales. Con esas cookies y credenciales, los atacantes podían eludir en parte medidas como la autenticación en dos pasos, iniciando sesión como si fueran el propio usuario legítimo desde otros dispositivos.
También se han documentado casos en los que este tipo de software incorpora módulos capaces de instalar otros programas maliciosos en segundo plano, como mineros de criptomonedas o herramientas específicas de robo de contraseñas almacenadas en navegadores. Ese comportamiento encaja con lo que se ha visto en otros ataques recientes dirigidos a jugadores, tanto en Steam como en títulos descargados desde webs de terceros —por ejemplo, jugadores de Roblox sufren ciberataques—.
Para el usuario medio, el gran problema es que el juego aparentemente se comporta con normalidad. Los títulos afectados se podían ejecutar, permitían jugar y no siempre mostraban fallos graves, lo que reducía las sospechas. Mientras tanto, en segundo plano, el malware recogía datos, cifraba información y la enviaba a servidores controlados por los atacantes, sin grandes señales visibles más allá, quizá, de un ligero empeoramiento del rendimiento del equipo.
Todo esto se agrava por la enorme base de usuarios de Steam, que supera ampliamente los 100 millones de cuentas activas. Aunque el número de víctimas reales de estos juegos concretos no se ha hecho público, cualquier operación maliciosa en una plataforma de este tamaño tiene potencial para alcanzar una escala considerable, incluso si los títulos implicados no son superventas.
El papel de Valve y las críticas a la seguridad de Steam
La existencia de juegos con malware en Steam plantea una cuestión incómoda para Valve: hasta qué punto son suficientes los controles de seguridad actuales de la tienda. La compañía revisa la ficha de los juegos, su contenido visible, posibles infracciones de derechos y otros aspectos formales, pero según apuntan varias fuentes, no realiza un análisis profundo y sistemático de todos los ejecutables y actualizaciones que suben los desarrolladores.
Ese enfoque, comprensible en una plataforma con un catálogo tan grande y un flujo constante de nuevos lanzamientos, abre sin embargo una puerta que los atacantes han sabido aprovechar. Al no existir una inspección exhaustiva de cada archivo ejecutable ni de cada parche, un estudio o desarrollador malicioso puede colar un título aparentemente inocente y, más adelante, camuflar una actualización que introduzca el código malicioso sin levantar demasiadas sospechas.
Cuando algunos de estos juegos empezaron a dar señales extrañas —ya fuera por reportes de usuarios, análisis de empresas de ciberseguridad o investigaciones periodísticas—, Valve reaccionó retirándolos de la tienda y enviando correos a los jugadores potencialmente afectados. En esos mensajes, la compañía recomendaba revisar el sistema, cambiar contraseñas y, en los casos más graves, incluso formatear el PC si se sospechaba una infección profunda.
Además de la retirada, Valve habría ofrecido ciertas compensaciones y soporte técnico a las personas afectadas, aunque los detalles económicos no se han hecho públicos de forma generalizada. Pese a ello, para el FBI este no es solo un incidente de seguridad ya resuelto, sino un posible síntoma de una operación criminal más amplia, con desarrolladores, afiliados y proveedores de infraestructura colaborando para rentabilizar al máximo la campaña.
Entre la comunidad de jugadores y desarrolladores se ha reavivado un debate que lleva tiempo sobre la mesa: la necesidad de que Steam endurezca sus filtros y revise con más detalle los títulos procedentes de estudios poco conocidos o sin historial previo en la plataforma. El reto, claro, es encontrar un equilibrio entre mantener una puerta abierta a la escena independiente y evitar que esa apertura sea usada como vía de entrada de malware.
Cómo está afectando esto a los jugadores europeos y españoles
Aunque el aviso oficial del FBI parte de Estados Unidos, los efectos de una campaña de malware en Steam no se limitan a un único país. La plataforma de Valve es global y, por tanto, los juegos afectados podían ser descargados desde prácticamente cualquier territorio, incluido España y el resto de Europa. Esto significa que usuarios españoles y europeos podrían haber instalado alguno de los títulos en cuestión sin ser conscientes del riesgo.
Por ahora, no se han publicado cifras desglosadas por región que indiquen cuántos jugadores europeos se han visto implicados, pero el propio diseño de Steam —sin barreras geográficas para la mayoría de lanzamientos— apunta a que la campaña tuvo alcance internacional. En consecuencia, las recomendaciones de seguridad del FBI y de las autoridades estadounidenses son perfectamente aplicables a los jugadores de la Unión Europea.
Desde el punto de vista regulatorio, este tipo de incidentes encaja de lleno con las preocupaciones actuales de organismos europeos en materia de protección de datos personales y seguridad digital. Normas como el Reglamento General de Protección de Datos (RGPD) y las iniciativas de ciberseguridad de la UE ponen el foco en la responsabilidad de las plataformas a la hora de proteger la información de sus usuarios, independientemente de que la empresa tenga su sede en otro continente.
En el caso de Valve, que opera Steam para millones de cuentas europeas, este episodio puede aumentar la presión regulatoria para que las grandes tiendas de software refuercen sus mecanismos de detección de amenazas, mejoren la transparencia sobre incidentes de seguridad y agilicen la notificación a usuarios potencialmente afectados en la región.
Para los jugadores españoles, la situación deja una idea clara: descargar un juego desde una tienda conocida no implica blindaje absoluto. Es recomendable combinar la confianza en plataformas consolidadas con medidas básicas de autoprotección digital, algo especialmente relevante para quienes manejan billeteras de criptomonedas, banca online o grandes cantidades de datos personales en el mismo equipo desde el que juegan.
Qué está pidiendo exactamente el FBI a los usuarios
Con la investigación en marcha, el FBI ha dado un paso poco habitual: ha pedido de forma abierta la colaboración de los jugadores. La agencia ha habilitado un formulario oficial en línea para que quienes hayan instalado alguno de los juegos investigados entre mayo de 2024 y enero de 2026 puedan ponerse en contacto con los investigadores y aportar toda la información que consideren relevante.
En ese formulario se solicita a los usuarios que detallen, entre otros aspectos, qué títulos descargaron, cuándo los instalaron, si detectaron comportamientos anómalos en sus ordenadores o en sus cuentas y si han sufrido robos de datos, accesos no autorizados o movimientos extraños en sus cuentas bancarias o billeteras digitales.
Las autoridades insisten en que la participación es voluntaria, pero subrayan que esos datos pueden resultar fundamentales para dimensionar el alcance de la campaña, identificar patrones comunes y, en último término, acercarse a los responsables. El FBI deja claro que todas las identidades de las víctimas se tratarán con confidencialidad, aunque avisa de que quienes respondan al formulario podrían ser contactados más adelante por los agentes.
Resulta especialmente relevante el aviso de la propia Valve a sus usuarios, en el que recomienda acceder al formulario únicamente a través de los canales oficiales de la agencia estadounidense o de los enlaces facilitados directamente por la compañía, precisamente para evitar que otros actores oportunistas aprovechen el ruido mediático para lanzar nuevas estafas disfrazadas de “ayuda” a las víctimas.
En paralelo, el FBI recuerda que, más allá de colaborar con la investigación, las personas que creen haber sido afectadas deberían tomar medidas inmediatas para proteger sus cuentas y dispositivos, algo que también recomiendan las principales empresas de ciberseguridad y las propias autoridades europeas en casos similares.
Medidas de seguridad recomendadas si has descargado alguno de estos juegos
Si en tu biblioteca de Steam ha estado presente alguno de los títulos bajo sospecha —BlockBlasters, Chemia, Dashverse, DashFPS, Lampy, Lunara, PirateFi o Tokenova— durante el periodo investigado, lo más sensato es asumir una actitud de prudencia máxima, incluso aunque no hayas detectado nada extraño de momento.
Los especialistas y las propias autoridades coinciden en una serie de pasos básicos. En primer lugar, conviene desinstalar el juego afectado y realizar un análisis completo del sistema con un antivirus o solución de seguridad fiable y actualizada. Es recomendable complementar ese análisis con herramientas específicas contra infostealers y otros tipos de malware orientado al robo de credenciales.
El siguiente paso, aunque pueda resultar pesado, es cambiar las contraseñas de las cuentas más sensibles: correos electrónicos principales, banca online, monederos de criptomonedas, servicios en la nube, redes sociales y, por supuesto, la propia cuenta de Steam. Siempre que sea posible, merece la pena activar la autenticación en dos pasos y revisar qué dispositivos y sesiones están actualmente conectados.
También se aconseja echar un vistazo detallado a los movimientos bancarios y a la actividad de las billeteras digitales, por si se detecta alguna operación no reconocida. En caso de sospecha, es importante contactar con la entidad financiera o el servicio de criptomonedas correspondiente para bloquear el acceso y seguir sus protocolos de seguridad.
Por último, si tras estas comprobaciones crees que puedes haber sido víctima de esta campaña, es recomendable guardar los correos de aviso que hayas recibido, capturas de pantalla y cualquier otro indicio de actividad sospechosa. Esa información puede ser de utilidad tanto para las autoridades estadounidenses como para las fuerzas de seguridad y organismos de protección de datos en tu propio país, en caso de que decidas presentar una denuncia.
Todo lo ocurrido con estos juegos de Steam deja una lección clara tanto para los jugadores como para las propias plataformas: incluso en los ecosistemas más consolidados cabe la posibilidad de que aparezcan títulos que actúen como troyanos modernos, y solo la combinación de controles técnicos más estrictos, mayor transparencia y una actitud vigilante por parte de los usuarios permitirá reducir el margen de maniobra de campañas como la que ahora investiga el FBI.
from Actualidad Gadget https://ift.tt/cPCOh9z
via IFTTT
