"Vayamos directo al grano. Sé que tu contraseña es ********", inicia el extorsivo mensaje.
Una nueva forma de extorsión empezó a circular en los últimos meses a través de los correos electrónicos. Se trata de un mensaje que en el "Asunto" del mismo señala que conoce alguna de las contraseñas de las cuentas de usuarios del destinatario, que en su mayoría, asustados, abrieron el correo y se encontraron con un mensaje en inglés que traducido decía lo siguiente:

"Vayamos directo al grano. Sé que tu contraseña es ********. Más importante aún, sé tu secreto y tengo pruebas de ello. No me conoces personalmente y nadie me contrató para que te investigue.

Al conversar con varias víctimas de estas campañas maliciosas, todas manifestaron una enorme preocupación y angustia al sentir que su privacidad había sido violada. Algunas manifestaron que si bien la contraseña que se incluía en el asunto del correo era antigua, a partir de lo que sucedió quisieran salir del mundo digital. Esas y muchas otras reflexiones surgieron de varias víctimas mujeres que se animaron a compartir sus experiencias.

Hay dos preguntas que realmente creo que merecen ser analizadas y están ligadas a cómo obtuvieron la contraseña y por qué las atacaron a ellas.

Análisis del correo electrónico

Veamos la primera, al analizar la dirección de correo de la víctima utilizado https://haveibeenpwned.com/. Aquí se puede verificar que su correo electrónico se filtró en algunas brechas de información que sufrieran algunos servicios a los cuales estaba suscripto.
Este correo fue utilizado en servicios LinkedIn y otros que fueron comprometidos y criminales terminaron robando información valiosa, como usuarios y contraseñas, que luego fueron publicadas en distintos sitios de Internet.

Monetizando la sextorsión

Naturalmente, detrás de cada campaña maliciosa hay un fin económico que motiva el delito. Como vimos en las imágenes del correo, a cambio de borrar la información crítica de la víctima, el atacante solicita un pago mediante el envió de bitcoins a una billetera. Al analizar la la dirección que envió el atacante para hacer el pago de los bitcoins me fijé si otras víctimas habían caído en la trampa; y lamentablemente vi que en las mismas fechas en las que la víctima recibió el correo el atacante comenzó a recibir criptodivisas (0,26 BTC, que equivale aproximadamente a USD 1950); seguramente de otras víctimas.

Conclusión

La realidad es que se trata de una campaña de ingeniería social. Es decir que no existía ningún video, ningún malware y lo único que había por parte del atacante era una contraseña que había obtenido de alguna de las múltiples fugas de información que dejan a millones de usuarios a nivel mundial expuestos diversos tipos de ataques. Pero, ¿son los usuarios conscientes acerca de estas problemáticas?, ¿cuantas veces has cambiado tu contraseña en los diversos sitios que utilizas’, ¿lo haces de modo periódico? Quizá estos casos reales muy presentes en Latinoamérica te hagan reflexionar.

Por supuesto, si recibes un mensaje de estos, aconsejamos no responder y entender que es parte de un engaño. No se trata de ponerse paranoico. Simplemente comienza a cambiar tus contraseñas de forma periódica, utiliza soluciones de seguridad confiables, actualiza el sistema operativo de los dispositivos que utilices y activa el segundo factor de autentificación. Implementando estas acciones podrás disfrutar de la tecnología de forma segura.

Fuente: We Live Security