'Abbiamo le tue foto e la tua cronologia online': la campagna fake di sextortion arriva in Italia

Il CERT-AGID ha intercettato per la prima volta anche in Italia una campagna di phishing che sfrutta il nome del collettivo criminale ShinyHunters per estorcere denaro alle vittime. Le e-mail, già in circolazione a livello internazionale da aprile, minacciano la diffusione di presunti video intimi a familiari, colleghi e amici, salvo il pagamento di 2.000 dollari in Bitcoin entro 48 ore dall'apertura del messaggio.

Lo schema ricalca fedelmente il canovaccio classico della sextortion. I truffatori sostengono di aver installato un malware sul dispositivo della vittima, con accesso a microfono, webcam, cronologia di navigazione e contatti. Nessuna prova concreta accompagna però la minaccia, solo il timore indotto dal presunto materiale compromettente.

A dare peso psicologico al messaggio è proprio la firma. ShinyHunters è un gruppo attivo dal 2019 e monitorato con continuità dal CERT-AGID, autore nel tempo di data breach di rilievo ai danni di grandi aziende internazionali, ottenuti attraverso exploit zero-day, attacchi alla supply chain e tecniche raffinate di ingegneria sociale.

Un profilo criminale troppo alto per un ricatto da pochi dollari

Proprio qui nasce l'anomalia che ha insospettito gli analisti. È poco plausibile che un'organizzazione con le capacità operative di ShinyHunters investa risorse in una campagna di sextortion di massa dal ritorno economico contenuto, quando i suoi bersagli abituali sono aziende globali e violazioni su vasta scala.

A chiarire la vicenda ci ha pensato lo stesso gruppo. Contattato direttamente da BleepingComputer, ShinyHunters ha negato qualsiasi legame con le e-mail in circolazione, respingendo ogni responsabilità sulla campagna. Un'ulteriore conferma arriva dal fatto che, mentre analisi precedenti su altri paesi avevano collegato alcuni indirizzi destinatari a data leak realmente divulgati dal gruppo, per il caso italiano il CERT-AGID non ha ancora individuato la provenienza degli indirizzi e-mail coinvolti.

Lo schema è fra i più consolidati nel cybercrime: appropriarsi del nome di un gruppo criminale noto per rendere più credibile una minaccia generica, senza alcun legame operativo reale con chi quel nome lo ha reso famoso. Un espediente che punta più sulla reputazione altrui che su capacità tecniche effettive.

Il CERT-AGID raccomanda un comportamento semplice davanti a queste e-mail: ignorarle o eliminarle, evitare qualsiasi interazione con l'indirizzo mittente e, soprattutto, non effettuare alcun pagamento. Chi riceve messaggi di questo tipo non deve considerarli una prova di compromissione reale, ma un tentativo di estorsione basato esclusivamente sulla paura generata dal nome utilizzato come firma.