Un hacker español asegura que Steam aprobó su juego con un componente de acceso remoto: lo que se sabe y lo que no

Un hacker español asegura haber puesto a prueba la revisión de Steam con su propio juego. El colectivo BeriaLabs, del investigador de ciberseguridad Rubén Ródenas, afirma que la versión de su juego ÓRBITA que revisó y aprobó Valve incluía un componente de acceso remoto, una herramienta que permite controlar un ordenador a distancia. Lo cuenta en una investigación publicada el 24 de octubre en su blog, que nos han hecho llegar. Es una afirmación que no podemos comprobar de forma independiente: aquí te contamos qué dice, qué pruebas aporta y qué reconoce que no puede demostrar.

Quién está detrás

Rubén Ródenas Cebrián es un hacker con más de 15 años en ciberseguridad. Formó parte del equipo de hacking ético del CyberSOC de Deloitte, presentó en la conferencia RootedCON 2017 una investigación sobre ataques a cajeros automáticos y preside la asociación Navaja Negra, que organiza en Albacete uno de los congresos de seguridad informática más conocidos de España. BeriaLabs se presenta como un colectivo de hackers, ingenieras y cazadores de amenazas que desarrolla agentes de inteligencia artificial para pruebas de intrusión, como Gwaihir CLI, un proyecto que Ródenas ya presentó en Navaja Negra 2025. En su blog publica investigaciones que ponen a prueba plataformas y cadenas de distribución de software: según explica, el trabajo de campo lo hace el equipo y los textos los firma él.

El juego también es real: ORBIT: Bingo Roguelite (ÓRBITA) es un roguelite de bingo para Windows y Linux que salió en Steam el 14 de octubre de 2026 por 9 euros, publicado por BeriaLabs Games. Esta es su página en Steam.

Qué asegura BeriaLabs

Según la investigación:

• El equipo creó su cuenta de desarrollador en Steamworks el 30 de junio de 2026 y Valve aprobó el juego el 16 de septiembre.
• Esa versión enviada a revisión incluía un componente de acceso remoto. Según el registro que muestran de la prueba, permitía ver el escritorio, manejar archivos y ejecutar comandos. Han retirado a propósito los detalles técnicos para que nadie pueda copiarlo.
• El informe de revisión de Valve se centró en el funcionamiento del juego en Windows: señalaba, por ejemplo, que el overlay de Steam no pausaba la partida o que no se detectaba la desconexión del mando, además de comentarios sobre Steam Deck. No mencionaba la actividad de red.
• Cada versión llevaba una «baliza», un pequeño aviso que se activaría si alguien ejecutaba el juego. Durante la revisión no recibieron ningún aviso, aunque admiten que eso no prueba que no se ejecutara.
• La versión que se vende al público nunca lo llevó. El componente solo estuvo en una rama beta protegida con contraseña durante unas 10 horas, entre el 14 y el 15 de octubre, y lo usaron 4 participantes que conocían la prueba, además de un equipo de laboratorio.
• Después, la rama beta se desactivó y se eliminó.
• Avisaron a Valve antes de publicar y le enviaron su informe. A 26 de octubre, Valve no había respondido.

Lo que no se puede comprobar

La investigación es muy clara con sus propios límites, y conviene tenerlos en cuenta:

• No pueden demostrar que el componente se ejecutara durante la revisión de Valve. Su baliza tenía un fallo de diseño que ellos mismos reconocen, y no han encontrado los registros originales. Dan cinco explicaciones posibles para el silencio: que la red de Valve estuviera aislada o filtrada, que fallara su propia sonda, que esa parte del código no llegara a ejecutarse o que el juego no se ejecutara.
• Tampoco saben qué otros controles aplicó Valve. Ellos mismos advierten de que resumirlo como «Steam no analiza nada» sería sacarlo de contexto.
• No publican el componente, ni los registros completos, ni el correo íntegro de Valve. Las capturas están difuminadas y el código que muestran es una reconstrucción ilustrativa, no el original.
• Dicen haber recuperado una copia de la versión de septiembre y publican sus huellas digitales (hashes), pero todavía no han identificado qué archivo contenía el componente.
• Valve no se ha pronunciado y ningún investigador independiente ha verificado la prueba por ahora. BeriaLabs nos ha dicho que no puede facilitar la versión con el componente porque incorpora mecanismos de infección.

Qué le piden a Valve

BeriaLabs no pide prohibir nada, sino más transparencia:

• Que Valve explique qué cubre su revisión y qué queda fuera, incluidas las comprobaciones de red.
• Que valore controles para detectar comportamientos de red sospechosos y comunique lo que encuentre a los desarrolladores.
• Que explique cómo controla las actualizaciones, porque, según la documentación de Steamworks, un juego aprobado no necesita pasar otra revisión para actualizarse.
• Que ofrezca a los investigadores un canal para avisar de fallos con confirmación de recepción y plazos orientativos.

Lo que nos ha respondido BeriaLabs

Enviamos al equipo de BeriaLabs seis preguntas sobre lo que su artículo no aclaraba. Esto es lo que nos han contestado:

• Qué querían comprobar: con balizas incorporadas al código, querían ver qué señales de ejecución y qué actividad de red se producían durante las pruebas de Steam, para estudiar el alcance de sus comprobaciones de seguridad sobre el juego y sus actualizaciones.
• Qué les preocupa: que publicar en Steam cueste solo 100 dólares por juego y que, una vez aprobado, las actualizaciones no tengan que pasar de nuevo por la revisión inicial. Así lo recoge la documentación de Steamworks y, según aseguran, así lo comprobaron en su prueba controlada «con nuestro malware». Es la palabra que usan en su respuesta para referirse al componente.
• Cómo protegieron a los jugadores: subieron la versión de la prueba a una rama de acceso restringido, solo para su círculo de investigadores, para no exponer a ningún usuario.
• Las versiones: identifican la compilación revisada en septiembre como el BuildID 25235251; el 25957455 corresponde a una compilación posterior de la rama de la prueba. Dicen que conservan otra versión del juego para seguir analizándola.
• Verificación independiente: no facilitarán la versión con el componente, porque incorpora mecanismos de infección. Sí ofrecen los números de versión para que se puedan contrastar.

Lo que no han respondido: por qué canal y en qué fecha avisaron a Valve, si han recibido respuesta después del 26 de octubre, si la versión revisada en septiembre estaba en la rama beta o en la pública, y si temen alguna medida de Valve contra su cuenta o su juego.

No sería el primer caso en Steam

Aunque esta prueba no se pueda verificar, el problema de fondo existe. En febrero de 2025, PirateFi estuvo una semana en Steam repartiendo un programa que robaba contraseñas, y Valve llegó a recomendar a quienes lo instalaron que se plantearan formatear el ordenador. En septiembre de 2025, BlockBlasters pasó la revisión limpio y recibió el malware después, en una actualización: a un streamer le robaron unos 31.000 dólares en criptomonedas en pleno directo. El FBI ha pedido información a posibles víctimas de juegos de Steam con malware publicados entre 2024 y 2026. Y en 2023, después de que hackearan cuentas de desarrolladores para colar actualizaciones con malware, Valve obligó a confirmar por SMS cada actualización de la versión pública de un juego.

Qué significa para los jugadores

Que un juego esté en Steam no garantiza al cien por cien que sea seguro. Si quieres reducir riesgos:

• Desconfía de juegos gratuitos desconocidos con pocas reseñas y de las betas o claves que te ofrezcan por mensaje privado.
• Mantén activado el antivirus de Windows.
• Activa el Steam Guard en tu cuenta para protegerla aunque te roben la contraseña.

Seguiremos la historia y actualizaremos este artículo si Valve responde.