“Abbiamo scoperto che hai visto video espliciti: pagaci 2mila dollari in Bitcoin”. È questo il testo centrale della nuova e capillare campagna di cyber-estorsione (“sextortion”) individuata per la prima volta nel nostro Paese dagli esperti del Cert-Agid, il Computer Emergency Response Team dell’Agenzia per l’Italia Digitale.
L’attacco si sviluppa attraverso una classica modalità di ingegneria sociale condotta via email. I cyber-criminali inviano un messaggio intimidatorio alla vittima sostenendo di aver hackerato il suo dispositivo attraverso un presunto malware. Nel testo si afferma di essere riusciti a sottrarre dati personali, cronologia di navigazione e perfino registrazioni video effettuate tramite la webcam del computer mentre l’utente visitava siti per adulti. Per evitare la diffusione del materiale presuntamente compromettente a tutti i contatti della rubrica, la richiesta di riscatto ammonta a 2.000 dollari da saldare rigorosamente in criptovaluta.
Per rendere il tentativo di estorsione più credibile e spaventoso, gli autori della truffa hanno firmato le email riprendendo il nome di ShinyHunters, un celebre e pericoloso collettivo di hacker attivo dal 2019 e noto a livello globale per aver sottratto enormi database aziendali. Tuttavia, gli esperti del settore hanno presto chiarito che si tratta di un caso di “usurpazione d’identità” informatica: lo stesso gruppo ShinyHunters ha smentito qualsiasi coinvolgimento nell’operazione, evidenziando come una truffa di basso profilo tramite email massive sia del tutto incoerente con le loro abituali ed elevate strategie di attacco.
Al momento non è ancora chiaro da quale data breach o archivio informatico gli estorsori abbiano reperito il listato di indirizzi email degli utenti italiani colpiti.
Di fronte al moltiplicarsi delle segnalazioni, il Cert-Agid ha diramato un invito chiaro alla massima cautela: si tratta di una minaccia del tutto infondata e priva di reali registrazioni o violazioni dei dispositivi. Le raccomandazioni ufficiali per chiunque riceva il messaggio sono di ignorare ed eliminare immediatamente l’email, evitando qualsiasi risposta o contatto con il mittente e, soprattutto, senza effettuare alcun tipo di pagamento.
