Secondo il CERT-AGID, i messaggi sono arrivati nelle caselle italiane dopo mesi di circolazione all’estero, partita ad aprile. La mail ha un tono diretto, quasi personale. Accusa chi la riceve di aver cliccato link pericolosi e sostiene che computer, smartphone e altri dispositivi siano stati compromessi.
A rendere il testo più inquietante, almeno a una prima lettura, è la firma: ShinyHunters, nome noto nelle cronache di sicurezza informatica dal 2019 per violazioni e furti di dati ai danni di aziende internazionali. Proprio quella firma, però, sarebbe parte della messinscena. Il gruppo, contattato dal sito specializzato BleepingComputer, ha negato ogni coinvolgimento. Resta da capire da dove arrivino gli indirizzi email italiani finiti nel mirino.
Il CERT-AGID ha spiegato di non aver individuato, al momento, l’origine precisa dei contatti usati. In altri Paesi, alcune analisi hanno collegato gli indirizzi a vecchi archivi di dati finiti online, anche legati a precedenti violazioni attribuite a ShinyHunters, come quelle che hanno coinvolto servizi digitali tra cui Substack.
Il falso ricatto ShinyHunters: minacce, Bitcoin e 48 ore di tempo
Il copione è quello classico, ma resta efficace. Il mittente sostiene di aver violato il database di un servizio online usato dalla vittima, di essere risalito alla sua casella di posta e di aver installato un presunto exploit su computer, telefoni e dispositivi collegati. Poi il messaggio alza il tiro.
I truffatori dicono di poter controllare fotocamera, microfono, tastiera, fotografie, cronologia di navigazione, conversazioni e rubrica. Infine arriva il ricatto: affermano di aver registrato video intimi del destinatario e minacciano di mandarli a familiari, amici e colleghi. Per fermare la presunta diffusione chiedono 2.000 dollari in Bitcoin, da versare su un wallet indicato in fondo alla mail.
Il tempo concesso è di 48 ore dall’apertura del messaggio: un conto alla rovescia pensato per far perdere lucidità. L’indicazione degli esperti di sicurezza resta netta: non rispondere, non pagare, non cliccare. C’è anche un dato utile emerso dalle verifiche: il wallet Bitcoin associato alla campagna, secondo quanto riportato, non registra movimenti. Non vuol dire che la minaccia vada presa alla leggera, ma conferma la natura del tentativo: una frode di massa, costruita per colpire molte persone e incassare da chi, preso dal panico, decide di pagare.
Perché la sextortion via email spaventa anche senza video reali
La parola sextortion nasce dall’unione di “sex” ed “extortion” e indica un’estorsione basata su materiale intimo, vero o presunto. Nelle campagne via email, spiegano gli analisti di cybersicurezza, nella maggior parte dei casi quel materiale non esiste. Non ci sono registrazioni, non ci sono filmati, non c’è un accesso reale alla webcam.
La truffa funziona perché colpisce un punto sensibile: la vergogna. Chi riceve una mail del genere può fermarsi al nome del gruppo criminale, alla minaccia contro i propri contatti, al linguaggio tecnico. Solo dopo, magari, nota che il testo è generico e non porta prove: nessuna immagine, nessun file verificabile, nessun dettaglio personale capace di dimostrare davvero una violazione. Negli ultimi anni, inoltre, questi messaggi sono diventati più curati.
Alcuni sono scritti meglio delle vecchie truffe piene di errori, probabilmente anche grazie all’uso di strumenti di intelligenza artificiale per rendere il tono più credibile. Ma una mail più pulita non è una prova. È solo una mail scritta meglio. Il nome ShinyHunters serve proprio a questo: dare peso alla minaccia.
Associa il ricatto a un gruppo realmente noto per attività criminali online e porta il destinatario a pensare: “Se sono loro, forse è vero”. Eppure la logica racconta altro: un’organizzazione abituata a trattare grandi basi dati difficilmente perderebbe tempo con ricatti individuali da poche migliaia di dollari, inviati a tappeto.
Cosa fare subito: non pagare, cambiare password e segnalare la mail
La prima regola, davanti a una mail di sextortion, è non pagare. La seconda è non rispondere. Anche una replica di rabbia o una smentita possono confermare ai truffatori che quell’indirizzo è attivo e letto da una persona reale, aprendo la strada ad altri tentativi. Gli allegati non vanno aperti e i link non vanno cliccati. In campagne simili, ciò che viene presentato come “prova” può contenere malware o rimandare a pagine create per rubare credenziali.
Meglio fermarsi, respirare e parlarne con una persona di fiducia o con il referente informatico, se l’account è aziendale. Se nel testo compare una password davvero usata in passato, va cambiata subito su tutti i servizi dove è ancora attiva. Quando possibile, bisogna attivare l’autenticazione a due fattori. Utile anche un gestore di password, per evitare di riutilizzare le stesse credenziali su più piattaforme. Il messaggio può essere segnalato come spam e poi eliminato.
Chi vuole contribuire alla mappatura del fenomeno può inoltrarlo al CERT-AGID o segnalarlo alla Polizia Postale, che raccoglie da tempo denunce e indicazioni su truffe digitali di questo tipo. La scadenza delle 48 ore è solo pressione psicologica: il modo più sicuro per difendersi è non entrare nel gioco del ricatto.
