Un tipo de ingeniería social bastante especial se está investigando actualmente por parte de la empresa de seguridad informática ESET. Se trata de un amenazante correo electrónico -por parte de un desconocido- con una contraseña del usuario en el asunto.
Lo preocupante es que la ‘clave’ escrita en esta extorsión, es una real de quien recibe el mail.
Dentro del mensaje, que viene escrito en inglés, se informa que el cibercriminal sabe que tu contraseña es “xxx” (escribiendo una real) y que conoce “tu secreto y tiene pruebas de ello”. Junto a esto deja en claro que supuestamente instaló un malware en páginas de adultos y que tú (usuario) habrías visitado e infectado.
En el texto se incluye la amenaza que el malhechor tiene videos de ti mientras usas tu computador, incluyendo actos inapropiados mientras visitas estas supuestas Webs pornográficas. Si ignoras el mensaje, el criminal promete enviar los videos a tu familia y amigos.
Por otra parte podrías librarte de todo esto si le pagas $2.900 USD. Aunque la suma puede variar.
El trasfondo de la extorsión
Especialistas de ESET conversaron con varias víctimas de este correo. Todos manifestaron preocupación y angustia al sentir que su privacidad había sido violada. Aunque varios declararon que la contraseña que se incluía en el asunto del correo era antigua.
Además de existir la posibilidad que, desde el computador personal de la víctima, no se accedía a Webs para adultos.
Entonces, ¿cómo pueden saber tu correo y contraseña para así enviarte una amenaza de este tipo?
La razón es que los cibercriminales obtienen datos como la casilla electrónica y contraseña (que no es necesariamente la del servicio de correo) en antiguas vulneraciones masivas de plataformas online. Donde el usuario haya participado inscribiéndose o usando un servicio per se.
Por ejemplo los históricos ‘hackeos’ de Adobe, Yahoo!, MySpace o Tumblr, donde estos datos frágiles fueron comprometidos y los hackers pudieron hacerse de estos para ocuparlos en este oscuro propósito.
Recordemos que esta información filtrada fue expuesta masivamente por Internet y, en algunos casos, cualquier persona pudo hacerse de ellos.
Finalmente esta extorsión se trata de una campaña de ingeniería social. En definitiva no existe ningún video tuyo usando el computador o malware instalado en la misma máquina.
Lo único que había por parte del atacante era una contraseña que había obtenido de alguna de las múltiples fugas de datos que dejan a millones de usuarios a nivel mundial expuestos a diversos tipos de ataques.
Por lo mismo las recomendaciones son las siguientes:
- Si recibes este correo amenazando aleatoriamente con una contraseña tuya, no lo respondas porque caería en el engaño.
- Revisa si tu casilla de correo ha sido afectada en algunos de los ataques más grandes con esta Web.
- Y por último cambia las contraseñas de forma periódica, recordando que la principal y más robusta debe ser la de tu correo electrónico. Esto porque es este servicio donde concentras la mayor cantidad de datos frágiles y la posibilidad de recuperar perfiles en otros servicios en caso de vulnerabilidad.
