Sexo y extorsiones: no te dejes estafar con el último truco de los hackers

Una nueva estafa por email altamente efectiva que está circulando por Internet utiliza una inteligente estratagema para engañar a las víctimas y conseguir que paguen dinero.

El email usa un volcado de contraseñas viejas para convencer a las víctimas de que el hacker pudo acceder a tu cámara web y grabarte mientras veías porno. Con el fin de evitar que este vídeo se publique en Internet, el criminal exige que le pagues.

Una de las cartas de extorsión dice: “1.400 dólares es un precio justo para nuestro pequeño secreto”.

La estafa es parte de una nueva ola de campañas de sextorsión dirigida a usuarios de Internet en las que se pide dinero. Y pronto puede invadir también las empresas.

La sextorsión online ha existido durante años, pero anteriormente se limitaba principalmente a depredadores que intentaban extorsionar a sus víctimas enviándoles fotos o vídeos en los que aparecen desnudas. La nueva ola de estafas es totalmente distinta: su motivación es el dinero, no el sexo, y son llevadas a cabo por delincuentes cibernéticos y hackers, algunos de los cuales tienen vinculaciones con el crimen organizado.

¿Entonces por qué los hackers están pasando al modo de la sextorsión? Forma parte de una tendencia general ente la comunidad de cibercriminales hacia las sextorsiones y los chantajes, ya que esta táctica está demostrando ser más rentable que muchos otros tipos de estafas.

13.000 denuncias solo en julio

Dada la ubicuidad del porno en Internet y el hecho de que ahora la gente está más expuesta en Internet de lo que lo estuvo nunca antes (por las redes sociales y por el almacenamiento en la nube), la sextorsión es una estafa que tiene mucho sentido para los delincuentes. Después de todo, ¿qué podría humillar más a la persona promedio que ver unas fotografías o escenas pornográficas suyas expuestas a su familia, amigos y compañeros de trabajo?

Este mes de agosto, el FBI informó que los intentos de sextorsión online de este tipo están en aumento. Solo en el mes de julio se registraron 13 000 denuncias.

A partir de ahora, la mayoría de estos intentos de sextorsión parecen ser parte de campañas genéricas de spam enviadas a usuarios de Internet de todo Estados Unidos. Sin embargo, existe una creciente preocupación entre las empresas, los bancos y el gobierno estadounidense debido a que los hackers pronto podrían usar la sextorsión como un medio para conseguir una puerta trasera en la red de una empresa.

Por ejemplo, si alguien puede chantajear a un empleado vulnerable con la exposición de vídeos y fotos embarazosas, la víctima podría estar dispuesta a compartir una contraseña o proporcionar a un hacker otra entrada a la red de una empresa o un gobierno. Al ejército de Estados Unidos le preocupa tanto que la amenaza de sextorsión sea un medio para romper la seguridad de una red sensible, que sus distintos brazos han lanzado varias campañas de concienciación pública, como es el caso de esta alerta CID del ejército.

Tipos de estafas de sextorsión

La sextorsión puede tener varias formas, como pueden ser los “watering holes” (abrevaderos), o ingeniería social más personalizada.

Las estafas por email documentadas actualmente incluyen la mencionada anteriormente, que usa PII robada (información personal) para convencer a la víctima de que su computadora o sus cuentas online están comprometidas, mediante la exposición de material embarazoso.

Otra inteligente estafa por email usa un enlace a material porno como cebo, y si se hace clic en el enlace, el usuario recibe un segundo email de seguimiento que dice: “Sé que lo viste” para chantajearlos a cambio de un pago. Los hackers también han desarrollado un nuevo tipo de ransomware, el cual, en lugar de encriptar la computadora, buscará cualquier imagen almacenada en el dispositivo y luego amenazará con publicarla para que la vean los contactos de la persona en Internet.

Aunque la mayoría de estos estafadores dicen que tienen imágenes o vídeos comprometedores para la víctima, en algunos casos no los tienen realmente. Se puede usar un tipo de malware llamado troyano de acceso remoto (o RAT) para secuestrar cámaras web, lo cual permite al hacker ver y grabar a sus víctimas, conocidas como “esclavos”.

Los abrevaderos son otro peligro creciente. Los hackers están creando sitios y apps falsos de porno, comprometiendo así a los sitios para adultos reales. La motivación última detrás de estos ataques es el dinero, ya sea para infectar a los visitantes con “blackmailware” o con “scareware”, robar datos de acceso a cuentas, infectar con spyware o directamente robar los números de una tarjeta de crédito.

Por último, también existen ataques de ingeniería social más directos. Habitualmente son “mujeres” ‒mujeres reales u hombres que fingen ser mujeres‒ que contactan a las víctimas potenciales a través de Facebook y otras redes sociales. Orientarán la conversación rápidamente a temas sexuales, intentando hacer que la víctima comparta fotos de desnudos o vídeos, ya sea por email o por una videollamada. Tan pronto las imágenes han sido compartidas, la conversación pasa del flirteo a la extorsión.

¿Quién está más expuesto al peligro?

Cualquiera que tenga conexión a Internet es un objetivo posible para los delincuentes que hacen sextorsiones. Este delito no solo afecta a gente que “se porta mal” en Internet. Incluso si una persona no ha visitado nunca un sitio porno, los criminales cibernéticos pueden usar la cámara hackeada para convencer a las víctimas de que han sido expuestas.

Dicho esto, deben tenerse en cuenta ciertos factores de riesgo. Visitar sitios porno o descargar estas apps puede aumentar el riesgo de malware y robo de credenciales de acceso. Hace unos años, un investigador del ámbito de la seguridad descubrió que los visitantes de Pornhub tenían un 53 % de riesgo de ser infectados con malware.

Por supuesto, siempre que una persona tenga sexo cibernético con un desconocido, se estará exponiendo a las estafas, a RAT de su cámara web y a otras amenazas. Hacerse fotos de desnudos también pone en peligro a la persona; esto puede pasar de varias formas: desde dispositivos perdidos o robados a fotos robadas con malware, hackeadas de cuentas en la nube, u otros.

De las víctimas individuales a las empresas

Hay dos formas importantes de sextorsión que pueden prosperar.

En primer lugar, es muy posible ver sofisticados grupos de delincuentes cibernéticos que recurren al chantaje sexual como forma de obligar a los empleados a proporcionar acceso a las redes corporativas.

Los hackers ya participan en ataques de “spear-phishing”, con los que encuentran objetivos de alto valor concretos en una empresa y envían un email personalizado de phishing para que hagan clic. No resulta difícil imaginar futuros ataques que exploten el interés de una persona por el porno o las fotos comprometidas en una cuenta hackeada con el fin de chantajearla para que entregue las contraseñas de la empresa. Los hackers podrían implicarse en actividades aún más maliciosas y subversivas.

En segundo lugar, una nueva técnica llamada “deepfakes” podría llevar la sextorsión a un nivel completamente nuevo. El deepfakes usa un software de edición de vídeo que funciona con inteligencia artificial para crear vídeos falsos basándose en imágenes faciales reales. Recientemente, un buen número de famosos de Hollywood han sido chantajeados de esta forma, dado que sus fotos públicas fueron usadas para crear vídeos porno falsos. Esta misma técnica podría ser usada con cualquier persona que comparta fotos suyas en Internet.

Nunca respondas a una sextorsión

La mejor forma de evitar una sextorsión es emplear el sentido común.

Evita actividades de riesgo como las videollamadas con contenido sexual o los mensajes con desconocidos. No hagas fotos o almacenes imágenes en un dispositivo conectado a Internet, como un smartphone o una tableta. No visites sitios porno desde la misma computadora o smartphone usado para acceder a tus cuentas bancarias, a tus emails o redes sociales. Ten un dispositivo exclusivamente para esto de forma que no importe tanto que se infecte el dispositivo. Tapa con cinta las cámaras web de tus PC.

No respondas nunca a una sextorsión. Los estafadores buscan objetivos fáciles y, en la mayoría de casos, lo dejarán pasar si no reciben una respuesta. Recuerda, aunque la víctima pague, nada asegura que el estafador deje de publicar las fotos de desnudos de todas formas.

Las empresa deben disponer de un sistema de capas para defenderse y anticiparse a la amenaza de “empleados deshonestos” que pudieran verse comprometidos por sextorsiones. Ningún empleado debería tener demasiado acceso a material o cuentas sensibles. Las contraseñas deben cambiarse de forma regular y requerir autentificación en dos pasos siempre que sea posible. Las transferencias deben requerir una autorización doble dentro de la empresa. También hay que incorporar la concienciación sobre la sextorsión en las formaciones de seguridad para los empleados.

Video: Mucho cuidado con este tipo de extorsión (en inglés)

Jason Glassberg