La Oficina Federal de Investigaciones inició una investigación criminal en torno a una serie de videojuegos disponibles en la plataforma Steam que fueron utilizados como vector para propagar malware.
En un movimiento cuánto menos inusual y que nos recuerda la vulnerabilidad cibernética en el gaming, el FBI publicó un llamado a través de su sitio web oficial para localizar a jugadores que pudieran haber sido afectados por programas maliciosos ocultos en títulos de la popular tienda de Valve.
La investigación, llevada a cabo por la división con sede en Seattle, se centra en lo que describen como un «actor de amenaza» (threat actor) que presuntamente utilizó la plataforma para distribuir software dañino entre mayo de 2024 y enero de 2026.
¿Qué videojuegos están bajo investigación?
De acuerdo el boletín oficial del FBI, los videojuegos identificados como portadores de malware en el marco de esta investigación son: BlockBlasters, Chemia, Dashverse / DashFPS, Lampy, Lunara, PirateFi y Tokenova .
La agencia federal no especificó si existe un solo responsable o una red, pero el lenguaje utilizado —»actor de amenaza»— sugiere que las pesquisas apuntan a un origen común para el ataque.
Todos los títulos mencionados eran, en apariencia, juegos independientes (indie) legítimos, que abarcaban géneros que iban desde los shooters en primera persona (FPS) hasta los plataformeros. Esta fachada de normalidad habría sido clave para engañar a los usuarios.
En la mayoría de los casos, el malware no estaba presente en la versión inicial, sino que se inyectaba a través de actualizaciones maliciosas o parches distribuidos posteriormente, una técnica que les permitía evadir los controles de seguridad iniciales de la plataforma.
En al menos un caso, se reportó que un título en acceso anticipado solicitaba a los jugadores inscribirse en una prueba de juego, momento que era aprovechado para inyectar el software peligroso.
Robos silenciosos
El malware incrustado en estos juegos era principalmente de tipo «infostealer» (ladrón de información), diseñado para operar sigilosamente en segundo plano sin interrumpir la experiencia de juego. Su objetivo era robar datos sensibles del ordenador de la víctima, incluyendo credenciales de acceso almacenadas en navegadores, cookies de autenticación (que permiten a los atacantes secuestrar sesiones activas sin necesidad de contraseñas) e información de billeteras de criptomonedas.
Aunque muchos de estos títulos tenían una base de jugadores muy reducida —BlockBlasters, por ejemplo, apenas alcanzó un pico de 7 usuarios simultáneos según SteamDB—, el daño financiero reportado fue significativo, lo suficiente para justificar una intervención federal.
El caso más emblemático es el de BlockBlasters, un juego 2D lanzado en julio de 2025 que un mes después incorporó un componente de «cryptodrainer» (vaciador de criptomonedas). De acuerdo con informes de BleepingComputer, este juego habría logrado sustraer un total aproximado de 150.000 dólares de al menos 261 cuentas de Steam.
La historia de Raivo Plavnieks, conocido en la comunidad de streaming como RastalandTV, fue una de las más difundidas. El streamer, que actualmente lucha contra un cáncer en etapa 4, perdió más de 32.000 dólares destinados a su tratamiento tras ser persuadido para descargar BlockBlasters durante una transmisión en vivo para recaudar fondos.
La responsabilidad de Valve y la postura de Steam
Pese a la apertura federal, la investigación del FBI no se dirige contra Valve Corporation, la empresa propietaria de Steam. Por el contrario, Valve presuntamente actuó con celeridad y en colaboración con las autoridades.
La compañía, como menos, ya eliminó los títulos problemáticos de su escaparate tan pronto como fueron descubiertos.
En casos como el de PirateFi, un juego gratuito que estuvo disponible aproximadamente una semana en febrero de 2025 y acumuló entre 800 y 1.500 descargas antes de ser retirado, Valve envió notificaciones directas por correo electrónico a los usuarios afectados, advirtiéndoles del peligro y recomendando ejecutar análisis antivirus, revisar sus cuentas y, en casos extremos, reinstalar el sistema operativo.
Apenas el 12 de marzo, la compañía envió nuevos correos para confirmar que el aviso del FBI era legítimo, validando así el llamado de las autoridades.
FBI llama a las víctimas
El FBI está legalmente obligado a identificar a las víctimas de los delitos federales que investiga, ya que estas podrían ser elegibles para ciertos servicios, restitución y derechos bajo la ley federal o estatal. La agencia ha habilitado dos canales de contacto:
- Formulario web: Las personas que descargaron alguno de los juegos mencionados, o que tengan información relevante, pueden completar un formulario breve y confidencial en el sitio oficial del FBI. El formulario solicita detalles específicos como el nombre del juego descargado, si se perdió dinero, el tipo de transacción y si se vieron comprometidas cuentas como Steam, Gmail o Coinbase.
- Correo electrónico: Para quienes conozcan a alguien más que pudiera haber sido víctima, se ha habilitado la dirección: Steam_Malware@fbi.gov .
El FBI garantizó en su comunicado que todas las identidades de las víctimas y de quienes proporcionen información se mantendrán bajo estricta confidencialidad. Según las respuestas proporcionadas, la agencia podría contactar a los individuos para solicitar información adicional.
