Ответ на первый вопрос туманен, есть два предположения - либо они просто запускают прогу и пишут на все ID стима в некоем диапазоне, либо же пробивают через какие-то базы, которые сканят сами сервера стима на предмет инвентарей, и там никакие настройки приватности не помогут.
Скамят они с расчёта на то, что ты плюнешь и перейдёшь по ссылке, что тебе так настойчиво втюхивают. Ну или потому что дурачки, как вариант.
А на всю ситуацию могу посоветовать следующее - я в своих профилях стима кое-что написал, одинаковое для всех ботов сообщение, и особое на основу. И знаете, как пошептало. С тех пор ни ботам в друзья не пытаются набиваться, ни обменов неадекватных не предлагают. Как будто все всё прекрасно понимают, даже если находят мои акки в общей массе.