Sextortion: le email “Ti ho registrato” rubano password da inbox temporanei
Ricevi email che ti accusano di aver registrato video compromettenti tramite la tua webcam? Non pagare! Queste truffe di sextortion usano password reali rubate da servizi di email temporanee pubbliche per spaventarti. La soluzione rapida è ignorare il messaggio, cambiare eventuali password deboli e attivare misure di sicurezza base come un gestore di password.
Queste email stanno dilagando e colpiscono migliaia di utenti. Sembrano credibili perché includono una password autentica che ti appartiene, ma in realtà provengono da fonti insospettabili. Non farti prendere dal panico: i truffatori puntano proprio sulla paura e sull’urgenza per spingerti a inviare Bitcoin.
Come funzionano queste email truffaldine
Le email arrivano con un oggetto inquietante come “Ti ho registrato, pervertito!”. Il messaggio sostiene che il tuo dispositivo è stato infettato da un drive-by exploit – un attacco che avviene solo visitando un sito malevolo tramite un browser obsoleto. Il mittente afferma di avere accesso totale al tuo computer, ai tuoi account e persino alla tua webcam.
Per rendere tutto più realistico, inseriscono una password tua, seguita da minacce: “Ho registrato un video di te mentre ti masturbavi!”. Chiedono 800 dollari in Bitcoin entro 4 giorni, fornendo un indirizzo wallet e link a exchange per acquistare la criptovaluta. Promettono di cancellare tutto una volta pagato, ma è una bugia: il malware sarebbe già stato rimosso secondo il loro stesso testo, rivelando la contraddizione.
Queste email sono una variante della vecchia truffa “Ciao pervertito”, ma più sofisticata grazie alle password reali. Ignorarle è la prima difesa: rispondendo confermi che l’indirizzo è attivo, invitando a più spam.
Da dove vengono le password rubate
I cybercriminali non hackerano il tuo PC: raccolgono password da inbox temporanei pubblici. Servizi come FakeMailGenerator offrono email usa e getta, receive-only, senza login. Chiunque conosca l’URL può leggere i messaggi, inclusi quelli con password condivise per verifiche.
Un mittente specifico, fingendosi “Jenny Green” da un indirizzo Gmail, ha spedito queste email a utenti di tali servizi. Le password appaiono nei public inbox, visibili nei risultati di ricerca o indovinate facilmente. I truffatori le riciclano nelle sextortion, assumendo che le usi altrove.
Attenzione: non usare email temporanee per nulla di sensibile. Sono pubbliche e rischi di esporre dati personali a chiunque.
Consigli pratici per proteggerti
Proteggiti con questi passi semplici:
- Non reagire impulsivamente. Il panico è il loro alleato: prendi tempo per verificare.
- Non rispondere né cliccare link. Evita di confermare l’indirizzo attivo.
- Cambia la password citata se la usi ancora da qualche parte. Rendila unica e forte.
- Adotta un gestore di password come LastPass o Bitwarden per generare e memorizzare credenziali sicure.
- Ignora allegati sospetti, specie se da mittenti sconosciuti o tuoi.
- Evita email temporanee per registrazioni importanti.
- Copri la webcam: usa nastro adesivo o una cover quando non in uso.
Strumenti come antivirus con rilevamento scam bloccano queste email automaticamente, offrendo tranquillità extra.
Cosa sanno i criminali di te?
Verifica la tua impronta digitale con scan gratuiti online per vedere se email o password sono esposte. Cambia tutto ciò che trovi compromesso.
Questi attacchi sfruttano la paura dell’esposizione più che vere intrusioni. La maggior parte non ha video reali: è un bluff. Con consapevolezza, diventi inattaccabile.
Approfondimento tecnico per esperti
Approfondimento tecnico: Analizziamo i meccanismi sotto la superficie.
Le email usano oggetti social-engineered per massimizzare aperture: “Ti ho registrato” evoca vergogna immediata. Il payload include un wallet Bitcoin verificabile, che al momento ha ricevuto pagamenti, confermando l’efficacia.
Origine password: Servizi disposable come FakeMailGenerator (e simili: TempMail, 10MinuteMail) espongono inbox via URL prevedibili (es. fakemailgenerator.com/inbox/alias). Crawler automatizzati scandagliano per stringhe password-like nei messaggi ricevuti, spesso da signup form. Riciclando in sextortion, i truffatori sfruttano password reuse – il 60% degli utenti riutilizza credenziali.
Drive-by exploit debunked: Non c’è infezione reale. Termine preso da Google per educare su browser vuln (es. CVE in Chrome pre-2020). Nessun accesso camera senza privilegi utente.
Mitigazioni avanzate:
- DMARC/DKIM/SPF: Configura per filtrare email spoofate.
- Password hygiene: Usa passphrases >20 chars con manager (KeePassXC open-source).
- Endpoint protection: EDR tools come CrowdStrike rilevano iframe malevoli.
- Browser hardening: NoScript, uBlock Origin, update automatici.
- Webcam guard: Tool come Oversight (macOS) o DroidCam block alert.
Statistiche: Sextortion up 200% dal 2023 per dati leak (HaveIBeenPwned). Wallet tracciabili via blockchain explorer (es. Blockchair) mostrano ~1-5% victim rate pagano.
Ricerca parole chiave: Monitora leak con tool come DeHashed. Per dev: script Python con BeautifulSoup per scrape inbox pubblici (etica aside).
Espandi sicurezza con zero-trust model: MFA ovunque, VPN per public WiFi. Controlla browser extension per backdoor.
In sintesi, conoscenza batte paura. Implementa layered defense per neutralizzare queste minacce.
