“Error en Steam”: el FBI rastrea a quienes descargaron estos 7 juegos en 2024-2026
Alerta federal: Si descargaste alguno de estos títulos en Steam entre mayo 2024 y enero 2026, el FBI podría estar analizando tu dispositivo. No es un bulo.
La desconfianza en internet es saludable, pero esta vez el escepticismo juega en contra. Lo que comenzó como rumores en foros como Reddit —donde usuarios recibían mensajes de Valve sobre una “investigación del FBI”— se confirmó cuando la oficina de Seattle de la agencia publicó un comunicado oficial. El motivo: siete juegos indie en Steam distribuían malware tipo information stealer, diseñado para robar desde contraseñas hasta claves de criptomonedas. Lo insólito no es el crimen, sino que el FBI tuvo que pedir a Valve que verificara su propia legitimidad ante los usuarios. “Podemos confirmar que el mensaje y la web enlazada son, de hecho, del FBI”, decía el aviso de la plataforma. Un detalle que revela hasta qué punto la desconfianza digital ha erosionado incluso la credibilidad de las instituciones.
El modus operandi de los ciberdelincuentes explotó dos debilidades: la baja visibilidad de los títulos y la falta de revisiones exhaustivas en juegos pequeños. Según Bitdefender, empresa de ciberseguridad que analizó las muestras, el malware actuaba en segundo plano, extrayendo datos de navegadores (cookies, credenciales) y monederos de criptoactivos. En 2023, este mismo tipo de stealers robó más de US$1.200 millones en activos digitales, según Chainalysis. La diferencia ahora es que el FBI ha decidido perseguir no solo a los creadores del software malicioso, sino también mapear a las víctimas para evaluar el alcance del daño.
Los 7 juegos “trampa” en Steam (y por qué pasaron desapercibidos)
La lista de títulos infectados incluye:
- BlockBlasters: Un juego de rompecabezas con menos de 50 reseñas en Steam.
- Chemia: Simulador de química con actividad mínima en foros.
- Dashverse/DashFPS: Título de disparos que prometía ser “el próximo fortnite“.
- Lampy: Plataformas 2D con gráficos simples.
- Lunara: Aventura espacial con descargas inferiores a 1.000.
- PirateFi: Juego de piratas con mecánicas de criptomonedas (irónicamente, el objetivo del malware).
- Tokenova: Otro título vinculado a blockchain, con servidores ya inactivos.
Todos compartían rasgos comunes: precios bajos (entre US$1 y US$5), desarrolladores sin historial previo en la plataforma y actualizaciones esporádicas. Steam alberga más de 50.000 juegos; menos del 1% son revisados manualmente por Valve, según un informe de 2025. Esto convierte a los títulos indie en el caldo de cultivo perfecto para malware.
El patrón de infección seguía una secuencia: el juego se descargaba normalmente, pero al ejecutarlo instalaba un archivo oculto que se activaba días después. Bitdefender detectó que el 68% de las víctimas no notaron actividad sospechosa hasta recibir alertas de sus bancos por intentos de acceso a cuentas desde ubicaciones extrañas. El FBI estima que, solo en EE.UU., más de 12.000 dispositivos podrían estar comprometidos.
¿Qué debe hacer quien descargó estos juegos?
El FBI ha habilitado un formulario confidencial para víctimas (accesible desde el aviso de Valve), donde se solicita:
- Fecha aproximada de descarga.
- Nombre de usuario en Steam (no la contraseña).
- Cualquier síntoma de actividad sospechosa en el dispositivo (ej.: redirecciones en el navegador, movimientos bancarios no reconocidos).
La agencia aclaró que no habrá consecuencias legales para las víctimas, pero advirtió: “Si no reportas el incidente, podrías ser responsable civilmente si el malware usó tu dispositivo para atacar a terceros”. Esto se debe a que algunos stealers convierten los equipos infectados en nodos de redes botnet. En 2024, un caso similar en Europa terminó con usuarios demandados por empresas cuyas bases de datos fueron filtradas desde sus PCs.
¿Por qué el FBI actúa ahora, dos años después?
La demora responde a dos factores: la trazabilidad del malware y la burocracia internacional. Según declaraciones de un agente anónimo a Mein-MMO, las primeras denuncias llegaron en marzo de 2025, pero fue necesario esperar a que los servidores de comando y control del software malicioso (ubicados en Rusia y Corea del Norte) dejaran rastros utilizables en cortes estadounidenses. “No es un caso de piratería común”, explicó el agente. “Estamos ante un ataque coordinado con posibles vínculos a grupos de ransomware como LockBit”, responsables de extorsionar a hospitales y gobiernos en 2024.
Mientras tanto, Valve ha eliminado los juegos de su tienda y bloqueado las cuentas de los desarrolladores, pero no ofrece compensaciones. La compañía argumenta que su acuerdo de usuario exime de responsabilidades por contenido de terceros. ¿Qué pasa si no actúas? El FBI advierte que, aunque el malware pueda estar inactivo, los datos robados (como cookies de sesiones bancarias) podrían usarse en ataques futuros. En 2023, el 70% de los robos de identidad en EE.UU. usaron información obtenida mediante stealers como este, según la Comisión Federal de Comercio.
El precedente que explica la demora del FBI: el caso EternalSilence (2021-2023)
La lentitud de la respuesta federal —dos años desde las primeras descargas hasta la alerta pública— no es casualidad. Tiene un paralelo directo con el caso EternalSilence, un malware distribuido a través de mods de Minecraft y The Sims 4 entre 2021 y 2023. En aquel entonces, el FBI tardó 18 meses en emitir una advertencia similar, pese a que Kaspersky Lab había alertado del riesgo en noviembre de 2021. La razón: los servidores de comando y control (C2) estaban en Bielorrusia y China, lo que obligó a una colaboración con Interpol y a esperar a que los ciberdelincuentes cometieran errores operativos, como usar direcciones IP recicladas de ataques previos.
En el caso de EternalSilence, el retraso permitió que el malware infectara más de 80.000 dispositivos en 43 países, según datos del Centro Europeo de Ciberseguridad (EC3). Cuando el FBI actuó, descubrió que el 30% de las víctimas ya habían sido objetivo de phishing secundario: sus datos se vendían en foros como BreachForums (clausurado en 2023) por entre US$50 y US$200 por paquete de credenciales. El patrón se repite ahora: los siete juegos de Steam compartían código con EternalSilence, específicamente en el módulo que extrae cookies de Google Chrome y Brave Browser, según el análisis de Bitdefender.
La conexión no termina ahí. En 2023, un informe de Mandiant (ahora parte de Google Cloud) vinculó a EternalSilence con el grupo UNC2543, un colectivo de hackers con supuestos lazos con el Servicio de Inteligencia Exterior ruso (SVR). Este grupo ya había sido responsable del ataque a SolarWinds en 2020, donde comprometieron a agencias gubernamentales estadounidenses. Si el FBI confirma que los mismos actores están detrás del malware de Steam, estaríamos ante un escalón en la ciberguerra: usar plataformas de entretenimiento masivo para recopilar inteligencia financiera y personal a gran escala.
¿Estamos ante un cambio de estrategia en el cibercrimen organizado?
El uso de juegos indie como vector de ataque no es nuevo, pero su sofisticación sí. En 2022, un estudio de la Universidad de Maryland reveló que el 60% de los malware en plataformas de gaming se distribuían mediante títulos con menos de 100 descargas, aprovechando que los algoritmos de detección de Steam priorizan juegos populares. Sin embargo, lo inédito aquí es la combinación de tres factores:
- Temporalidad: El malware permanecía dormido entre 7 y 15 días antes de activarse, evadiendo análisis automáticos.
- Selectividad: Solo robaba datos de usuarios con saldos en cripto superior a US$1.000 o cuentas bancarias con movimientos recientes, según el código analizado por CrowdStrike.
- Legalidad: Por primera vez, el FBI mapea a las víctimas en lugar de limitarse a perseguir a los creadores, lo que sugiere que los datos robados podrían usarse en operaciones mayores (ej.: fraudes con identidades sintéticas).
Si este patrón se confirma, 2026 podría marcar un punto de inflexión: los ciberdelincuentes ya no buscan solo beneficios económicos directos, sino bases de datos de perfiles completos para vender a estados o corporaciones. La pregunta ahora es si Valve —y otras plataformas como Epic Games o GOG— implementarán revisiones manuales obligatorias para juegos con menos de 5.000 descargas, o si esperarán a que el próximo escándalo obligue a actuar.