A campanha de sextortion (chantagem usando pretextos relacionados com sexo) chegou às caixas de correio muitos utilizadores nas últimas semanas de julho e início de agosto, como o SAPO TEK deu conta, exigindo pagamento em bitcoins para que a informação não fosse divulgada.

A utilização de um nome de utilizador e password válidas, embora provavelmente antigos, assustou muitos utilizadores e agora a ESET diz que a campanha terá gerado cerca de meio milhão de dólares para os atacantes, em bitcoins.

Há um novo esquema de “sextortion” a espreitar os seus emails
Há um novo esquema de “sextortion” a espreitar os seus emails
Ver artigo

Os hackers garantiam ter informação sobre a utilização de sites de conteúdos pornográficos, e vídeos aos quais os utilizadores teriam assistido online, e a veracidade do email era reforçada pela apresentação de uma password válida. Na mensagem alegavam ter instalado um malware que permitiu acesso à webcam do equipamento e ameaçavam usar as passwords para tomar conta das contas de redes sociais e divulgar esta informação junto de todos os contactos.

A ESET afirma que toda a campanha era apenas mais um truque de engenharia social e que os atacantes não possuíam qualquer vídeo. O certo é que usaram contas de email, passwords e outros dados que são públicos por terem sido revelados no âmbito de ataques a plataformas como o LinkedIn, Adobe, Bitly e Tumblr.

Mesmo assim, muitos utilizadores acabaram por cair na armadilha e pagar o resgate pedido no email. E isso tornou-se lucrativo como mostra um artigo publicado pela Motherboard. Segundo o CEO da empresa de segurança Banbreach, Suman Kar, os atacantes conseguiram obter o equivalente a 500 mil dólares norte-americanos em bitcoins. Este número surgiu depois da análise de cerca de 770 carteiras usadas por cibercriminosos como parte da campanha.

Como sempre a ESET deixa algumas recomendações aos utilizadores, avisando para não responderem a este tipo de emails e validarem se se trata de uma campanha fraudulenta. E naturalmente fica a referência para alterarem a palavra passe com regularidade e atualizarem o sistema operativo dos seus dispositivos. Uma sugestão adicional é para ativar a autenticação de dois fatores em todos os serviços, reforçando a palavra passe com um código temporário enviado para o email ou o telemóvel.