Sextortion via email: la nuova truffa che finge di essere ShinyHunters (e come difendersi)

Abbiamo violato il tuo dispositivo e abbiamo prove di ciò che hai visitato online. Paga o divulghiamo tutto.” È il testo, tradotto, di una nuova campagna di email-estorsione a sfondo sessuale che sta colpendo l’Italia in queste settimane, segnalata dal Cert-Agid, il centro di risposta alle emergenze informatiche dell’Agenzia per l’Italia Digitale. Anche a Parma, come nel resto del Paese, possono arrivare in queste ore messaggi di questo tipo: capire come riconoscerli e come reagire è essenziale per non cadere nel panico e, soprattutto, per non pagare un centesimo. Come funziona la truffa Il meccanismo è quello classico dell’ingegneria sociale applicata alla paura. I truffatori inviano email di massa spacciandosi per ShinyHunters, un noto gruppo di criminali informatici realmente esistente — che però ha pubblicamente smentito ogni coinvolgimento in questa campagna. Nel testo, i mittenti sostengono di aver infettato il dispositivo della vittima con un malware, di aver avuto accesso a dati personali, cronologia di navigazione e persino registrazioni effettuate tramite webcam mentre la persona visitava contenuti espliciti. La richiesta finale è sempre la stessa: un pagamento, in genere in Bitcoin, per evitare la divulgazione del presunto materiale. Non ci sono, nella maggior parte dei casi, prove reali di un’effettiva compromissione del dispositivo: si tratta di un bluff costruito per fare leva sulla vergogna e sulla paura, spingendo la vittima a pagare rapidamente e in silenzio, senza denunciare o confrontarsi con altri. L’inquadramento giuridico Se il messaggio minaccia di divulgare informazioni riservate o compromettenti per ottenere denaro, la condotta integra gli estremi del reato di estorsione (art. 629 c.p.), e nei casi più gravi può assumere i tratti dell’art. 612-ter c.p. (diffusione illecita di immagini o video sessualmente espliciti), quando la minaccia riguardi contenuti realmente esistenti. Anche quando — come in questa campagna — il presunto materiale compromettente non esiste affatto, l’invio massivo di email di questo tipo può configurare comunque un tentativo di estorsione, oltre a violazioni in materia di trattamento illecito di dati personali, poiché gli indirizzi email delle vittime sono stati acquisiti da database compromessi. Cosa fare se si riceve una di queste email • Non rispondere e non pagare: qualsiasi pagamento conferma al truffatore che l’indirizzo è attivo e monitorato, esponendo a ulteriori tentativi. • Non cliccare su link o allegati eventualmente presenti nel messaggio. • Se nell’email compare una password realmente usata in passato (segno che l’indirizzo proviene da un data breach reale), è opportuno cambiarla immediatamente ovunque sia stata riutilizzata e attivare l’autenticazione a due fattori. • Conservare il messaggio (senza cancellarlo) come prova, insieme a intestazione tecnica e mittente. • Sporgere denuncia alla Polizia Postale, allegando l’email ricevuta: è il canale competente per i reati informatici e le truffe online. • Verificare le comunicazioni ufficiali sul sito cert-agid.gov.it, che monitora le campagne in corso e pubblica aggiornamenti. Errori comuni da evitare Il primo errore è il silenzio: la vergogna spinge molte vittime a non parlarne con nessuno e a gestire la situazione pagando di propria iniziativa, alimentando così il modello di business dei truffatori. Il secondo è sopravvalutare la minaccia: nella grande maggioranza dei casi non esiste alcuna reale compromissione del dispositivo, e cedere al panico porta a decisioni affrettate. Il terzo errore è ignorare l’episodio pensando che “tanto non succede nulla”: anche in assenza di un danno immediato, la denuncia alla Polizia Postale aiuta le autorità a tracciare la campagna e a tutelare altre potenziali vittime. Serve una consulenza? Se hai ricevuto una email di questo tipo, se temi che i tuoi dati siano stati effettivamente compromessi o se hai bisogno di assistenza per sporgere denuncia, lo Studio Legale Angelucci è a disposizione per una consulenza personalizzata: studiolegaleangelucci.it. Questo articolo ha finalità puramente informativa e non sostituisce una consulenza legale personalizzata