Ti minacciano con video intimi chiedendo un pagamento: la truffa arriva in Italia

123RF

• Il CERT-AGID ha individuato in Italia una campagna di sextortion internazionale che si spaccia per il gruppo ShinyHunters.
• La frode minaccia la diffusione di presunti video intimi e chiede 2.000 dollari in Bitcoin entro 48 ore per evitare la pubblicazione.
• ShinyHunters ha negato il coinvolgimento e resta incerta l'origine degli indirizzi email italiani; si raccomanda di non rispondere né pagare.

Può fare paura, anzi, sicuramente la fa. Ricevere una mail con un oggetto che ti accusa di non essere stato attento ai link su cui hai cliccato è spaventoso, specie considerando a quante ore ammonta, giornalmente, la nostra presenza digitale e su quanti collegamenti facciamo tap.

Ancora peggio è se a firmare il messaggio è ShinyHunters, gruppo criminale attivo dal 2019 e responsabile di violazioni ai danni di grandi aziende internazionali. Un nome che chiunque abbia seguito le cronache degli ultimi anni riconosce, ed è proprio questo il motivo per cui compare in calce. Attenzione però, perché la minaccia non è una minaccia ma… una truffa.

• In cosa consiste la truffa?
• Sextortion: che cosa significa?
• Qual è l'obiettivo della mail?
• Cosa fare se la si riceve?

In cosa consiste la truffa?

Dunque, facciamo un passo indietro: di recente il CERT-AGID ha rilevato una nuova campagna di email che si spacciano per comunicazioni del gruppo criminale. In particolare i 28 luglio l’agenzia ha segnalato la loro prima comparsa in Italia, dopo mesi di circolazione internazionale iniziata ad aprile.

Il testo segue uno schema ricorrente: i mittenti sostengono di aver violato il database di un servizio online su cui la vittima ha un account, di essere risaliti alla sua casella di posta e di aver installato un exploit su tutti i suoi dispositivi, telefono compreso.

Da quel momento, affermano, avrebbero accesso a fotocamera, microfono, tastiera, foto, cronologia di navigazione, conversazioni e rubrica. La parte ricattatoria arriva subito dopo: chi scrive dichiara di aver registrato video intimi del destinatario e minaccia di inviarli a familiari, amici e colleghi.

Per evitarlo chiede 2.000 dollari in Bitcoin su un wallet indicato in fondo al messaggio, con un termine di 48 ore che decorre dall’apertura della mail.

Sextortion: che cosa significa?

Nel caso non lo sapeste, il ricatto legato ai contenuti intimi si chiama sextortion, un termine che nasce dalla fusione di “sex” ed “extortion” e indica ogni forma di estorsione basata appunto su materiale “spinto”, reale o presunto. Nella versione via email che circola da anni il materiale non esiste: l’intero impianto si regge su un bluff costruito per innescare vergogna e fretta.

Il modello è sempre lo stesso, aggiornato di volta in volta con dettagli tecnici inventati e nomi diversi. Chi analizza queste campagne da tempo osserva che le versioni recenti risultano scritte meglio delle precedenti, spesso ripulite con strumenti di intelligenza artificiale, e questo le rende più insidiose agli occhi di chi le riceve. Una scrittura curata però non aggiunge nulla alla loro attendibilità. Dietro il testo non c’è alcun malware installato, alcuna registrazione, alcun filmato da diffondere.

Qual è l’obiettivo della mail?

Ma se non c’è nessun contenuto intimo, qual è il punto? Facile: monetizzare sul volume. Bastano poche persone spaventate su decine di migliaia di destinatari perché l’operazione risulti remunerativa. Il nome ShinyHunters serve da leva psicologica, perché, come dicevamo associa il messaggio a una realtà criminale conosciuta e documentata.

Il gruppo di hacker stesso peraltro, contattato dal sito di cybersicurezza BleepingComputer, ha negato qualsiasi coinvolgimento nella campagna. La smentita trova conferma nella logica economica: un’organizzazione che tratta l’accesso a interi database difficilmente investe risorse in un ricatto di massa da 2.000 dollari a vittima.

Resta, però, un elemento che rende il tutto più credibile agli occhi del destinatario: le analisi condotte all’estero hanno mostrato che molti indirizzi presi di mira comparivano in archivi realmente diffusi in passato da ShinyHunters, riconducibili alle violazioni che hanno interessato, per esempio, Substack.

Cosa fare se la si riceve?

Sul fronte italiano il CERT-AGID precisa di non aver individuato l’origine degli indirizzi coinvolti. Una nota incoraggiante arriva invece dalla blockchain, perché il wallet Bitcoin usato nella campagna risulta privo di movimenti. L’indicazione, se lo si riceve, è comunque quella di ignorare il messaggio o eliminarlo, evitare qualsiasi interazione con il mittente e astenersi da ogni pagamento.

Rispondere, anche solo per contestare l’accusa, conferma che dietro quell’indirizzo c’è una persona che legge la posta, e questo apre la strada a nuovi tentativi. Il conto alla rovescia di 48 ore serve a impedire una valutazione lucida, quindi conviene prendersi il tempo di parlarne con qualcuno di fiducia prima di compiere qualunque mossa. Eventuali allegati vanno lasciati dove sono, perché in molti casi veicolano malware anziché prove.

Se nel testo compare una password realmente utilizzata, va cambiata subito ovunque sia ancora attiva, con l’aggiunta dell’autenticazione a due fattori dove disponibile. Un gestore di password rende l’operazione più semplice e riduce il rischio di riutilizzare le stesse credenziali su più servizi.

Chiuso questo passaggio, il messaggio va segnalato come spam ed eliminato. Chi vuole contribuire alla mappatura del fenomeno può inoltrarlo al CERT-AGID oppure segnalarlo alla Polizia Postale, che raccoglie da tempo casi di questo tipo.