Chantaje con la webcam y sextorsión

Las fuentes describen primero una fase de preparación. MITRE clasifica la recopilación de información sobre la identidad de las víctimas (nombres, direcciones de correo, credenciales, respuestas a preguntas de seguridad) como reconocimiento, previo a cualquier ataque². Esa información puede proceder de pedírsela directamente a la víctima, pero también de datos en línea o de redes sociales². El NCSC lo dice de cara al gran público: los delincuentes aprovechan la información disponible en línea, también en las redes sociales, para que sus mensajes resulten más convincentes³.

Después viene el pretexto. El phishing de información consiste a menudo en hacerse pasar por una fuente que tendría motivos para pedir datos¹. El atacante también puede intentar obtener información mediante un intercambio directo de correos o de mensajes instantáneos¹. CISA describe una lógica parecida para la ingeniería social: si una primera fuente no aporta lo suficiente, el atacante recurre a otra de la misma organización y se apoya en la primera para parecer creíble⁴.

Las fuentes citadas aquí no documentan ni el desarrollo de una relación de confianza basada en el intercambio de imágenes, ni la exigencia de pago. Por eso estos elementos no aparecen en esta ficha.

Las páginas consultadas ofrecen señales generales de un mensaje fraudulento, que aquí sirven como puntos de control:

• una dirección de remitente que imita la de una empresa legítima⁴;
• un saludo genérico y la ausencia de datos de contacto en la firma⁴;
• enlaces cuya dirección real, visible al pasar el cursor, no coincide con el texto mostrado⁴;
• faltas de gramática, de ortografía o de maquetación⁴;
• un archivo adjunto no solicitado, a veces acompañado de una falsa sensación de urgencia para que se abra sin examinarlo⁴;
• una dirección de sitio web que solo difiere en un carácter de la dirección esperada⁵.

Un mensaje también puede invitar a llamar a un número, donde el atacante intenta obtener información confidencial¹. Un mensaje bien redactado y personalizado no tiene por qué presentar estos defectos. Cybermalveillance.gouv.fr señala que los intentos están hoy cada vez mejor hechos, pero a menudo presentan señales de alerta⁵.

MITRE clasifica el phishing de información (T1598) en la táctica de reconocimiento. Su diferencia con el phishing clásico está en el objetivo: recopilar datos de la víctima, y no hacerle ejecutar un código malicioso¹. Puede ser dirigido, contra una persona, una empresa o un sector, o masivo¹.

Se enumeran cuatro variantes: por servicio, por archivo adjunto, por enlace y por voz¹. El correo puede estar suplantado, y los atacantes también pueden eliminar o modificar correos y cabeceras de cuentas comprometidas para evitar la detección¹.

En cuanto a la defensa, MITRE cita los mecanismos SPF y DKIM, que políticas como DMARC permiten activar en una organización, para filtrar los mensajes según la validez del dominio remitente y la integridad del mensaje¹. La formación de los usuarios se cita como medida¹. Sobre la recopilación de información de identidad, MITRE señala que escapa a los controles preventivos de la empresa y que hay que reducir la cantidad y la sensibilidad de los datos accesibles a terceros². De ahí el NCSC extrae un consejo para el empleado: pensar en la información personal que publica y revisar los ajustes de privacidad de sus cuentas en redes sociales³.

Las acciones que recomiendan las fuentes:

• No facilite información sensible por mensaje ni por teléfono⁵.
• Conserve el mensaje recibido como prueba⁵.
• Cambie de inmediato cualquier contraseña divulgada, así como la de los demás servicios donde se utilice⁴⁵.
• Use una contraseña distinta para cada servicio y active la doble autenticación cuando el sitio lo permita⁵.
• Si facilitó datos de pago o detectó cargos fraudulentos, haga oposición ante el banco⁵.
• Si se usan datos personales para suplantar su identidad, presente una denuncia en la comisaría o en la gendarmería, o escriba al fiscal de la República⁵.
• Comunique el mensaje a Signal Spam, o el SMS al 33700⁵.
• Para recibir acompañamiento, France Victimes atiende en el 116 006, de forma gratuita, todos los días de 9:00 a 19:00⁵.
• En el ámbito profesional, comunique la divulgación de información de la organización a las personas competentes, incluidos los administradores de red⁴.

Ninguna de las fuentes citadas aquí documenta una campaña de sextorsión con fecha: ni las oleadas de correos de falso hackeo de la webcam, ni una alerta oficial sobre este tema. Por eso no se redacta aquí ninguna ficha de autopsia. Se añadirá cuando una fuente la aporte.

Las páginas consultadas ofrecen únicamente ejemplos cercanos, sin fecha del suceso. Scattered Spider combinó el phishing de credenciales y la ingeniería social para capturar códigos de un solo uso¹. LAPSUS$ reunió información detallada sobre empleados para reforzar sus señuelos de ingeniería social².