Steam Login CAPTCHA Changes Spark User Complaints

Sophie Larsen
1 日前
読了時間: 15分

Steamは最近、より強力なCAPTCHAチェックと2FAプロンプトを備えたログイン処理を調整しました。これらの変更はボットをブロックすることを目的としていますが、ユーザーは待ち時間の増加を報告しています。主要なフォーラムのゲーマーは、繰り返される画像パズルと遅延したコードについて説明しています。これらのステップは信頼できるデバイスでも発生します。Valveは自動化されたアカウント作成の増加を検出した後にこの変更を行いました。同社は新しいフローをストア全体での不正行為防止努力に関連付けています。

Background on CAPTCHA Evolution in Digital Platforms

CAPTCHAシステムは、2000年代初頭に人間のユーザーと自動スクリプトを区別するための単純なテキスト歪みとして始まりました。時が経つにつれ、プラットフォームは画像ベースのグリッドと行動分析に移行しました。なぜならボットが古いテキストバージョンを回避することを学習したからです。Steamは銀行やソーシャルメディアサイトと比べて比較的遅れてこれらのツールを採用しました。このサービスは最近のポリシー更新まで、主にメール認証と基本的なIPチェックに依存していました。Steamマーケットプレイスが数十億ドルの経済規模に成長するにつれ、自動化されたアカウントファームが1日数千のプロフィールを作成し、取引価格を操作したりコミュニティ機能をスパムで埋めたりするようになりました。そのためValveはログイン段階でのゲートキーピングを強化することを決定しました。

新しいCAPTCHA実装はGoogle reCAPTCHA v3シグナルとカスタム画像チャレンジを組み合わせています。ユーザーはSteamモバイルアプリまたはSMS経由で送信されるワンタイムコードに進む前に、複数のグリッド画面で特定のオブジェクトを識別する必要があります。この多層アプローチにより、認識されないログイン試行に必要な時間が約5秒から45秒から90秒の間に増加します。現地時間の午後6時から10時のピーク時間帯には、サーバー負荷により追加の画像セットが表示されることがあり、プロセスがさらに延長されます。取引や開発テストのために複数のアカウントを切り替えるプレイヤーが最も深刻にこの摩擦を経験します。

具体的な例として、以前はスクリプトを使って夜間に数百のアカウントを登録し、CS2の武器スキンなどの限定版アイテムで安く買って高く売るマーケットプレイス操作者が挙げられます。更新後、そのような迅速な作成試行は即座に認証壁を引き起こします。歴史的文脈では、初期のCAPTCHAバージョンは歪んだ文字を使用しており、光学文字認識が最終的にそれを破ったため、業界全体が意味論的画像認識に移行しました。Steamの採用遅れにより、ボット運営者はより単純なチェックに対してツールを洗練するより長い猶予を得ました。

Valveのマーケットプレイスデータによると、2023年のスキン取引量は23億ドルを超え、プラットフォームは自動化の魅力的な標的となっています。ボットファームはしばしば実際のユーザー位置を模倣する住宅用プロキシネットワークを通じて運営されており、これが単純なIPブラックリストが不十分だった理由を説明しています。カーソル速度や画面解像度の一致などの行動シグナルへの移行は、2016年の小売銀行ポータルに対する自動化されたクレデンシャルスタッフィング攻撃の波の後に金融機関が取ったアプローチを反映しています。

Steam Rolls Out Tougher Login Checks

Valveは5月下旬に更新されたCAPTCHAシステムのテストを開始しました。6月上旬までにほとんどの地域に展開されました。プレイヤーはほぼすべての新しいデバイスログインで画像グリッドを解くかSMSコードを入力する必要があります。以前は数秒で済んでいたセッションが今では数分に延びています。同社はこれらの対策が取引や不正行為に使用される偽アカウントを対象としていると述べています。ValveはValve Software security updateを通じてブロックされたボットの正確な数を公表していません。

内部テレメトリによると、今年第1四半期にボットネットワークをホストすることが知られているデータセンターからのアカウント登録が37％急増したことが示されています。エンジニアはログイン試行が完全な認証をトリガーするかどうかを決定する信頼スコアの閾値を引き上げることで対応しました。2022年以前に作成されたアカウントは若干低い scrutiny を受けますが、長年のユーザーでもホテルやカフェからログインしたり、ルーターのリセットでIPアドレスが変わったりするとパズルに遭遇します。共有キャリアネットワーク上のモバイルユーザーは、IPが頻繁にローテーションするため、繰り返しのチャレンジの割合が最も高くなります。

6月上旬に更新されたサポートドキュメントでは、認証済みのSteam Guardユーザーでも新しいハードウェアでパズルを受け取ると記されています。このポリシーは、Steam Guard two-factor authentication FAQで指摘されているように、洗練されたクレデンシャルスタッフィング攻撃に対して二要素認証だけではもはや十分ではないというValveの結論を反映しています。従業員は開発者ストリームで、目標は通常のプレイヤーを罰することではなくマーケットプレイス整合性を維持することであると強調しています。欧州ユーザーは観測されたボット密度が高いため最初に変更を経験し、その後10日以内に北米とアジア太平洋地域が続きました。

段階的なロールアウトにより、Valveは偽陽性率をリアルタイムで監視することができました。エンジニアたちは、初期の閾値が同じパブリックIP範囲を共有する大学寮のユーザーに対して受け入れがたい数のチャレンジを生み出したことに気づき、デバイスフィンガープリントの安定性を二次要因として組み込むための迅速な調整を促しました。この改善により、学生にとって不要なパズルが減少しつつ、データセンターのトラフィックへの圧力は維持されました。

新しいCAPTCHAシステムの技術的な機能

検証フローは、Steamのリスクエンジンがログイン試行を一定の閾値以上と評価したときに始まります。要因には、デバイスフィンガープリントの不一致、以前のログインからの地理的距離、最近のアカウントアクティビティの速度が含まれます。スコアがカットオフを超えると、ユーザーは9または16のタイルを含む画像グリッドに遭遇します。典型的なプロンプトは、ユーザーに信号機、自転車、または店舗の看板を含むすべてのマスを選択するよう求めます。正しい選択はユーザーを2番目のグリッドに進めます。不正解または遅い応答はチャレンジを再開し、一時的なクールダウンを発行する可能性があります。

CAPTCHAがクリアされると、システムは3分間有効なプッシュ通知またはSMSコードを送信します。このウィンドウを超えて遅延するユーザーは、別の視覚パズルを解く必要があります。ユーザーがクライアントを閉じたり、セッション中にネットワークを切り替えたりすると、シーケンス全体が繰り返されます。開発者は、システムが各失敗した試行をアカウントの信頼プロファイルに対してログに記録し、ユーザーが最終的に成功した場合でも、繰り返しの失敗に対して将来の摩擦を徐々に増加させることを観察しています。

追加の技術的詳細は、パズルフェーズ中のマウス移動パターンとタイピングケイデンスを分析する機械学習モデルとの統合を明らかにします。遅いまたは機械的なパターンはリスクスコアを上昇させ、追加のラウンドを強制する可能性があります。このワークフローは、複数のシグナルを連鎖させてアクセスを許可する点で、より単純なレガシーフローとは異なります。reCAPTCHA v3コンポーネントはバックグラウンドでサイレントに実行され、0.1から0.9の間の数値スコアを返します。このスコアは、視覚チャレンジが表示されるかどうかに影響を与えます。Google reCAPTCHA v3 developer documentation に従って。低スコアの試行は、Valveの信頼と安全チームによる後日の手動レビュー用に追加のログ記録もトリガーします。

ログイン遅延が日常ユーザーを直撃

頻繁にプレイするユーザーは、夕方のピーク時間帯に最も摩擦を感じます。CAPTCHAの試行が1回失敗するだけで、完全な再起動を余儀なくされる場合があります。一部のユーザーは、複数回の検証試行後に数時間ロックアウトされたと報告しています。これにより、ライブラリ、フレンドリスト、ストア購入へのアクセスに影響が出ます。共有ネットワークや旅行中のネットワークからログインするカジュアルユーザーは、繰り返しのチャレンジに直面します。システムはデフォルトで各新しいIPを疑わしいものとして扱います。

大規模なライブラリを管理したり、コミュニティイベントに参加したりするパワーユーザーは、追加の手順に合わせてプレイセッションをスケジュールすると説明しています。あるストリーマーは、VPNの切り替えが新しい検証をトリガーしただけで、予定された放送の15分を失ったと述べています。共有のファミリーアカウントで子供を支援しようとする親は、複数のデバイスが同じ認証情報を循環するため、追加のハードルに遭遇します。累積的な影響により、コンソールや競合するPCストアフロントが中核的な利点として宣伝するインスタントアクセスの感覚が損なわれます。仕事の合間の午後のログインは、IPが変動するシフトワーカーにとって特に問題になっています。

セキュリティ目標とプレイヤー体験の衝突

Valveは、このアップデートをマーケットプレイス全体の必須保護策として位置づけています。自動ログインは、現金取引やレビュースパムを助長していました。しかし、同じ対策が今や正当なアクセスを遅らせています。数年前に2FAを有効にしたプレイヤーでも、追加のCAPTCHAレイヤーに直面します。この緊張は、プラットフォームの安全性と便利な入場の対立を生み出しています。以前のログイン流れはより迅速な復帰を可能にしましたが、ボットが悪用する隙を残していました。

市場アナリストは、チェックされていないボット活動が以前に人気のトレーディングカードやゲーム内アイテムの価格を押し下げ、正当な販売者に害を及ぼしていたと指摘しています。Valveのデータによると、新システムは初月に不正アカウント作成を推定60%削減しました。しかし、同じデータは、以前に1日複数回ログインしていたユーザーの間で、1日のアクティブログイン数が測定可能な減少を示しています。このトレードオフは、価値のある仮想経済をホストするプラットフォームが直面する古典的なセキュリティ対ユーザビリティのジレンマを浮き彫りにしています。この衝突は、摩擦のないプレイヤーオンボーディングに収益が依存する小規模開発者にも影響を及ぼします。

公開議論で広範な反発が示される

最近の公開フォーラムの投稿が数日以内に数百のコメントを集めました。ユーザーは、壊れたモバイルコードや読み込めない画像パズルなどの具体的な問題点を挙げています。多くの人が、繰り返しのブロック後に購入を断念したと述べています。他の人は、新しいログインを避けるためにSteamをバックグラウンドで開いたままにしていると言っています。Valveは主要な議論に直接返答していません。サポートチケットには、すべての検証ステップを完了するよう標準的なメッセージが届きます。

エンゲージメントの高いコメントのいくつかは、Valveが長い購入履歴や多額のSteam Wallet残高を持つアカウントをホワイトリスト化すべきだと提案しています。他のコメントでは、より迅速な検証のためにハードウェアセキュリティキーを登録するオプションを求めています。モデレーターは、ログインを成功させるためにすべてのステップを完了しなければならないことを説明するValveの一般的なサポート記事をピン留めしていますが、コミュニティの感情は変更が安定してから2週間経過した今も依然として否定的です。

その他のプラットフォームにおける検証の違い

Epic GamesとMicrosoft Storeは、デバイスが認識されると軽めのチェックを使用します。これらのシステムは、新しいパズルなしで数か月間信頼できるハードウェアを記憶します。Steamは、既知のIPからの再訪問でもCAPTCHAを適用する点で際立っています。この厳格なアプローチは、その規模の大きさとボット活動の多さを反映しています。競合他社は最近数か月で同様の苦情の急増に直面していません。これらのログインツールは、新しい場所や長期間の非アクティブ後にのみ2FAを要求します。

SonyのPlayStation NetworkとNintendoのeShopは、ユーザーが同じ国内に留まる場合にIP変更をまたいで持続するデバイス信頼リストを採用しています。これらのプラットフォームでも定期的な再検証は必要ですが、その間隔は日単位ではなく週単位で測定されます。Steamの比較的攻撃的な姿勢は、サードパーティの取引やスキン交換を許可するオープンなマーケットプレイスの性質に起因する可能性があり、これがより高度な自動化を引き寄せています。直接比較では、Epicのランチャーは認識されたログインを10秒未満で完了することが多く、Steamの特異性を際立たせています。

現在のアプローチの限界と潜在的なリスク

より厳格なログインフローは、いくつかの限界をもたらします。頻繁に旅行するユーザーや動的IPネットワークのユーザーは、行動が正当に見える場合でも不要な繰り返しの検証を経験します。画像ベースのチャレンジは、視覚障害を持つプレイヤーにとってアクセシビリティの障壁も生み出します。Valveは音声代替手段を提供していますが、多くの人がこれを同様に時間を要すると述べています。さらに、SMSコードへの依存は、モバイルキャリアがショートコードメッセージの配信遅延や追加料金を課す地域のユーザーにとって摩擦を生み出します。

セキュリティ研究者は、高度なボットが進化し続けていると指摘しています。一部は1回のチャレンジあたり数セントの何分の一かのコストでCAPTCHA解決サービスを組み込んでいます。これらのサービスがValveのリスクモデルよりも速く改善する場合、追加の摩擦は効果が薄れる可能性があります。一方、ネガティブなユーザー体験は、迅速なアクセスを約束する競合ストアフロントへ周辺プレイヤーを駆り立てるリスクがあります。SMSを傍受する企業ネットワークファイアウォールなどのエッジケースが、これらのリスクをさらに複雑にしています。

Valveは保護とアクセスのバランスを取らなければならない

将来のアップデートでは、繰り返しのCAPTCHAを減らすためにデバイス信頼シグナルを追加する可能性があります。ユーザー離脱が続く場合、Valveは検証済みアカウントの閾値を調整するかもしれません。開発者はログイン指標を注視しています。アクティブセッションの減少は、ゲーム内購入とコミュニティエンゲージメントを減らすためです。今後1か月のフォーラム活動で、不満が広がるか沈静化するかが示されるでしょう。ゲーマーは、現在のフローの緩和に関するサポート発表を追跡すべきです。持続的な苦情は、Valveがシステムをさらに洗練させるきっかけになるかもしれません。

Valveはこれまで、コミュニティからの持続的なフィードバックに対して、突然の撤回ではなく段階的なポリシー調整で対応してきました。例としては、Workshopでの有料Modポリシーの最終的な緩和や、レビューボム検出アルゴリズムの調整が挙げられます。CAPTCHAの閾値についても、1日あたりのアクティブユーザー数が減少すれば、同様の反復的な洗練が行われる可能性が高いです。

実践的な意味とユーザーの推奨事項

プレイヤーは、単一のプライマリデバイスで Steam Guard を有効にし、頻繁なログアウトを避けることで摩擦を減らすことができます。可能な限りクライアントをオフラインモードで実行しておくと、戻ってきた際の新しい認証プロンプトを防げます。定期的に旅行するユーザーは、Valve が将来のクライアントアップデートでサポートを追加した場合、ハードウェアセキュリティキーの登録を検討するかもしれません。公式の Steam パブリックフォーラムとサポートポータルを監視することで、ポリシー変更の最も早い兆候を得られます。

コンテンツクリエイターとトレーダーは、放送中や大量取引セッション中にアカウント切り替えのための余分な時間を計画する必要があります。単一の Steam アカウントを共有する家族は、最も信頼できる世帯員に1つのプライマリデバイスを指定することで、複数のマシンにわたる繰り返しの課題を最小限に抑えることができます。推奨されるワークフローには、最も安定したホームネットワークで初期 CAPTCHA を完了し、旅行前にオフラインモードを有効にすることが含まれます。

Steam マーケットプレイスへの経済的影響

自動化アカウントの流入減少により、高需要デジタルアイテムの価格が安定し始めています。以前は、新規コスメティックリリース時のボット主導の一括購入が人工的な希少性を作り出し、その後の急激な投げ売りが小規模トレーダーを傷つけていました。サードパーティのマーケットトラッカーからのアップデート直後のデータでは、Steam Market economic analysis を通じた CS2 ケースとステッカーの日次価格変動が14%減少したことが示されています。正規の出品者は、使い捨てアカウントからの低額オファーが減ったため、取引完了が速くなったと報告しています。ただし、新規アカウント作成の slowdown によりオフピーク時のアクティブバイヤー総数が減少し、全体の取引量が一時的に低下しているため、Valve はこれを注意深く監視する必要があります。

次に注目すべき点

オブザーバーは、Valve が今後数週間で集計されたボットブロック統計を公開すると予想しています。デバイス信頼リストの拡大やパズル頻度の低減に関する発表は、Steam クライアントのベータノートに最初に登場する可能性が高いです。パブリックフォーラムと Steam サポートの Twitter アカウントを継続的に監視することで、現在の認証要件に関する調整について最も早く情報を得られます。

よくある質問

Steam は信頼できるデバイスでも CAPTCHA を表示するのはなぜですか？

Valve のリスクエンジンは、デバイスフィンガープリント、場所、アクティビティ速度を使用して各ログイン試行を評価します。新しいハードウェアや IP 変更時のリターンユーザーは、しばしば信頼しきい値を超えます。

Steam Guard を有効にすれば CAPTCHA をスキップできますか？

Steam Guard は視覚的チャレンジを減らしますが、排除はしません。サポートドキュメントでは、2FA ユーザーでもエンジンがリスク上昇を検知した場合にパズルに遭遇すると確認されています。

Valve は近日中に CAPTCHA の頻度を減らしますか？

Valve はコミュニティフィードバックに応じてセキュリティしきい値を反復してきた歴史があり、ログインメトリクスが低下すればデバイス信頼ルールの調整は依然として可能です。

急展開のテクノロジー関連のストーリーを追うチームは、ソースノート、会議の文脈、フォローアップ質問をまとめて保管する場所を必要とすることがよくあります。軽量な AI knowledge base を活用すれば、ニュースサイクルが変わった後でもそれらの要素を簡単に振り返ることができます。