Por Mid 
BlockBlasters: cómo se roban tus contraseñas en Steam
Tiempo estimado de lectura: 5 minutos
Dificultad técnica: Media
Conclusiones clave
- Steam no es inmune a malware; BlockBlasters es un reciente ejemplo de ladrón de credenciales.
- Los desarrolladores pueden publicar juegos limpios y luego insertar malware a través de actualizaciones.
- El caso de BlockBlasters destaca por el robo significativo a un creador de contenido.
- Se han identificado varios videojuegos con comportamientos similares en Steam hasta 2025.
- Las buenas prácticas de seguridad son fundamentales para protegerse contra amenazas emergentes.
Índice
- Introducción a BlockBlasters
- Contexto de seguridad en Steam
- Métodos de infiltración del malware
- Caso de RastalandTV
- Otros casos de malware en Steam
- Reflexiones y medidas a considerar
Introducción a BlockBlasters
A pesar de ser la mayor plataforma de venta de videojuegos para PC, Steam no está a salvo de software malicioso. Un ejemplo reciente es BlockBlasters, un juego de plataformas 2D que, en segundo plano, ejecuta un ladrón de credenciales.
Contexto de seguridad en Steam
La situación del malware en Steam se complica dado que Valve, la compañía detrás de esta plataforma, ha impulsado diversas iniciativas para facilitar la entrada de desarrolladores independientes al mercado, tales como Steam Greenlight, Steam Direct y el acceso anticipado. En el caso específico de Steam Direct, el proceso para publicar en la tienda implica tres etapas: las dos primeras se centran en requisitos burocráticos, mientras que la tercera fase consiste en una revisión técnica, donde el equipo de Steam evalúa el juego para garantizar que no cause comportamientos indeseados en los dispositivos de los usuarios. Esto plantea una pregunta importante: ¿cómo es posible que el malware logre infiltrarse?
Métodos de infiltración del malware
La respuesta está en que los desarrolladores suelen lanzar una versión inicial del juego sin elementos maliciosos. Posteriormente, realizan actualizaciones que incorporan comportamientos dañinos y el propio malware. A partir de allí, se inicia un proceso de ingeniería social que busca convencer a las víctimas de descargar el juego.
Caso de RastalandTV
El caso de BlockBlasters ha cobrado notoriedad, especialmente porque uno de sus afectados fue el creador de contenido RastalandTV. Este streamer, que en ese momento recaudaba fondos para su tratamiento oncológico, fue víctima del robo de más de 30,000 dólares tras ser aconsejado por un espectador sobre el juego. BlockBlasters se lanzó el 30 de julio de 2025 sin ninguna traza de malware, pero desde el 12 de agosto comenzó a recibir actualizaciones que modificarían su código. De hecho, el 30 de agosto se lanzó la versión (build) 19799326, que incluía archivos maliciosos.
El malware operaba de manera «tradicional»; uno de los archivos era responsable de escanear el sistema en busca de información, como el sistema operativo y los antivirus instalados. Una vez recopilados los datos necesarios, se desplegaban otros dos componentes: uno que funcionaba como un stealer enfocado en navegadores (robando contraseñas, cookies y billeteras de criptomonedas) y otro que enviaba la información robada a un canal de Telegram.
Otros casos de malware en Steam
Tras la creciente difusión de la situación, un grupo de expertos lanzó un informe forense que analizaba a fondo el comportamiento del malware, logrando acceder al canal de Telegram y publicando una lista con los afectados, así como otra información relevante. Al final, se han identificado a dos individuos responsables de la estafa, y su información ha sido entregada a las autoridades competentes.
Aunque BlockBlasters ha generado considerable atención, no es el único caso de malware en Steam. Hasta la fecha, se ha detectado un total de cuatro videojuegos con comportamientos similares en 2025:
- 2018: Abstractism, que instalaba un minero de criptomonedas.
- 2019: Slay the Spire, mod. Downfall, que contenía un infostealer.
- 2025: Sniper: Phantom’s Resolution, una demo que introducía un ladrón de credenciales.
- 2025: Chemia, que instalaba múltiples tipos de malware.
- 2025: PirateFi, malware avanzado enfocado en el robo de credenciales y datos de sesión.
Reflexiones y medidas a considerar
Con el aumento de malware y la actividad de ciberdelincuentes, sitios de confianza como Steam se han convertido en blancos atrayentes. Descargar un videojuego legítimo ahora también puede conllevar riesgos potenciales. Por ello, es aconsejable adherirse a ciertas prácticas de seguridad, como el uso de programas antivirus, la implementación de autenticación de dos factores, el empleo de gestores de contraseñas, entre otros. Sin embargo, lo más crítico es mantener un sentido común activo.