很多Steam玩家都听说过“令牌”这个词，但不少人其实并没有真正意识到它的重要性，尤其是在交易饰品、找客服、帮朋友处理问题的时候，常常会有人来问：“能不能把你的Steam令牌验证码发我一下？”这时候如果你觉得“不就一个验证码嘛，给他应该没事”，那就危险了。
Steam令牌给别人，不是小事，而是等于把你账号的最后一道防线交了出去。
Steam令牌到底是什么？
Steam令牌（Steam Guard Mobile Authenticator）是绑定在你手机上的一组动态验证码，它主要有两个作用：
- 登录验证：在你输入账号密码之后，Steam还会要求你输入令牌上显示的动态验证码，确认是你本人在登录。
- 交易确认：当你进行饰品交易、市场出售、发送报价时，Steam会要求你在手机上确认这笔交易，没有令牌确认，交易无法完成。
也就是说,Steam令牌不是“辅助工具”，而是账号安全的核心防线。
把Steam令牌给别人，会发生什么？
很多人以为,令牌验证码只是“多一步验证”，给了别人也不会直接被盗，但实际上，这要看你给的是哪种“令牌信息”。
给登录验证码
如果对方已经拿到了你的账号密码,或者通过钓鱼链接获取了你的登录会话，这时候他唯一缺的就是令牌验证码，你一旦把登录验证码发过去，对方就可以直接登录你的账号。
登录之后,他可以：
- 修改你的登录密码
- 更换绑定邮箱
- 关闭或重置你的手机令牌
- 转移你的库存饰品
- 卖掉你的卡片、道具
- 用你的账号去诈骗好友
整个过程可能只需要几分钟,等你发现账号登不上、库存空了，往往已经晚了。
给交易确认码
有些骗局会以“核对交易”“确认报价”为借口，让你在手机上点确认，一旦你确认了，就相当于亲手批准了对方的交易，你的饰品、余额、道具就会被直接转走。
更隐蔽的是,有些骗子会让你把“交易确认码”念给他听，或者在钓鱼页面输入，这本质上就是替骗子完成交易授权。
给备份代码或恢复码
Steam令牌还有一个非常敏感的东西：恢复代码（Recovery Code），这是你在首次绑定令牌时保存下来的一串备用码，用于更换手机或恢复令牌。
如果把恢复代码给了别人,对方甚至不需要你的当前验证码，就可以直接在其他设备上绑定你的令牌，到那时，你的账号控制权就完全归对方了。
“Steam令牌给别人”从来都不是小事，无论是验证码、确认码还是恢复码，任何一项泄露，都可能带来账号被盗、库存被洗、好友被骗的严重后果。
常见的“要令牌”骗局
很多人并不是主动想把Steam令牌给别人,而是被骗着交出去的，以下是几种常见套路：
假冒官方客服
骗子会伪装成Steam客服、Valve员工、Discord管理员，私信你说：
“你的账号存在异常交易，需要验证令牌，请发送当前验证码。”
Steam官方永远不会向玩家索要令牌验证码。 任何索要验证码的“客服”，都是骗子。
假冒交易网站
一些骗子会发来一个看似正规的交易网站链接,要求你登录Steam并输入令牌验证码，说这样可以“验证库存”或者“确认交易资格”。
这个网站是钓鱼网站,你在上面输入的账号、密码、令牌验证码，会实时被骗子拿到。
“帮我确认一下交易”
这类骗局常见于饰品交易圈子,骗子会先和你套近乎，然后说：
“我这边报价发不过去，你把令牌确认码给我，我帮你操作。”
或者：
“你手机上会收到一个确认，你点一下就行，那是系统验证。”
你一旦点了确认,你的饰品就没了。
好友账号被盗后借钱、要码
还有一种情况更让人防不胜防：你的好友账号被盗了，骗子用好友的账号联系你，说：
“我手机坏了，令牌用不了，你把你的令牌验证码借我登一下我的号。”
如果你出于好心给了,对方可能转头就用来攻击你的账号。
已经给了Steam令牌，怎么办？
如果你不小心把Steam令牌验证码、确认码或恢复码给了别人，不要慌，但要立刻行动：
-
立即修改Steam密码
用一台安全的设备登录Steam官网，修改密码，如果无法登录，马上通过邮箱找回。 -
撤销所有设备授权
在Steam设置中，找到“管理Steam Guard”，撤销其他设备的授权，只保留你自己当前使用的设备。 -
重新绑定手机令牌
如果令牌已经被对方重置或转移，尽快用恢复代码重新绑定，如果恢复代码也泄露了，立即联系Steam客服。 -
检查API密钥
很多盗号者会在你的账号里生成一个API密钥，用来截取你的交易信息，进入Steam官网的“开发者设置”页面，检查并删除不明API密钥。 -
检查库存和交易记录
看看有没有已经完成的异常交易，如果有，立刻向Steam客服申诉，并保存相关证据。 -
通知好友
如果账号已经被盗用去联系好友，尽快通过其他方式通知好友，避免更多人被骗。
如何保护自己的Steam令牌？
最好的办法,就是从一开始就不让令牌信息泄露。
- 不要向任何人透露令牌验证码，包括朋友、客服、管理员。
- 不要在没有确认网址的情况下输入Steam账号信息，尤其警惕陌生链接。
- 不要把恢复代码存在手机相册或聊天记录里，最好手写保存在安全的地方。
- 不要在陌生设备上登录Steam，如果必须登录，用完后及时撤销授权。
- 定期检查Steam账号的授权设备和API密钥。
- 开启手机令牌，而不是只用邮箱令牌，手机令牌的安全性更高。
- 遇到索要验证码的人，直接拉黑举报。
写在最后
Steam令牌就像你家门的钥匙,你不会把家里钥匙随便交给陌生人，同样也不该把Steam令牌给别人。
也许有人会觉得：“我只是借个验证码，又没给密码，没那么严重吧？”但现实是，很多账号被盗、库存被洗、好友被骗的案例，起点就是一次“小小的”令牌泄露。
Steam令牌给别人，不是帮忙，而是冒险。
保护好你的令牌,就是保护好你的账号、库存和好友，任何索要令牌验证码的行为，都值得你立刻警惕。