Szantaż z użyciem kamerki internetowej i sextortion

Źródła opisują najpierw fazę przygotowań. MITRE zalicza zbieranie informacji o tożsamości ofiar (imion i nazwisk, adresów e-mail, danych logowania, odpowiedzi na pytania zabezpieczające) do rozpoznania, czyli etapu przed jakimkolwiek atakiem². Informacje te mogą pochodzić z bezpośredniego zwrócenia się do ofiary, ale też z danych w sieci lub z sieci społecznościowych². NCSC mówi to wprost do ogółu odbiorców: przestępcy wykorzystują informacje dostępne w internecie, także w sieciach społecznościowych, aby ich wiadomości były bardziej przekonujące³.

Następnie przychodzi pretekst. Phishing informacyjny polega często na podawaniu się za źródło, które miałoby powód, by prosić o informacje¹. Atakujący może też próbować zdobyć informacje w bezpośredniej wymianie e-maili lub wiadomości w komunikatorze¹. CISA opisuje podobną logikę w inżynierii społecznej: jeśli pierwsze źródło nie wystarcza, atakujący zwraca się do kolejnego w tej samej organizacji i powołuje się na pierwsze, by wypaść wiarygodnie⁴.

Cytowane tu źródła nie dokumentują ani przebiegu budowania zaufania przez wymianę zdjęć, ani żądania zapłaty. Dlatego tych elementów w karcie nie ma.

Przeglądane strony podają ogólne sygnały fałszywej wiadomości, które służą tu jako punkty kontrolne:

• adres nadawcy naśladujący adres prawdziwej firmy⁴;
• ogólnikowy zwrot grzecznościowy i brak danych kontaktowych w stopce⁴;
• linki, których rzeczywisty adres, widoczny po najechaniu kursorem, nie odpowiada wyświetlanemu tekstowi⁴;
• błędy gramatyczne, ortograficzne lub w układzie wiadomości⁴;
• niezamówiony załącznik, czasem z fałszywym poczuciem pilności, by otworzyć go bez sprawdzenia⁴;
• adres strony różniący się od oczekiwanego tylko jednym znakiem⁵.

Wiadomość może też zachęcać do zadzwonienia pod numer, pod którym atakujący próbuje wyciągnąć poufne informacje¹. Dobrze napisana, spersonalizowana wiadomość nie musi mieć tych wad. Cybermalveillance.gouv.fr zauważa, że próby są dziś coraz staranniej przygotowane, ale często zawierają sygnały ostrzegawcze⁵.

MITRE umieszcza phishing informacyjny (T1598) w taktyce rozpoznania. Od klasycznego phishingu różni go cel: zebranie danych od ofiary, a nie skłonienie jej do uruchomienia złośliwego kodu¹. Może być ukierunkowany, na osobę, firmę lub sektor, albo masowy¹.

Wymieniono cztery warianty: przez usługę, przez załącznik, przez link i przez głos¹. E-mail może być sfałszowany, a atakujący mogą też usuwać lub zmieniać e-maile i nagłówki w przejętych kontach, aby uniknąć wykrycia¹.

Po stronie obrony MITRE wymienia mechanizmy SPF i DKIM, które polityki takie jak DMARC pozwalają włączyć w organizacji, by filtrować wiadomości według ważności domeny nadawcy i integralności wiadomości¹. Szkolenie użytkowników jest wymienione jako środek¹. Co do zbierania informacji o tożsamościach, MITRE zauważa, że umyka ono zapobiegawczym kontrolom przedsiębiorstwa i że trzeba ograniczyć ilość i wrażliwość danych dostępnych osobom trzecim². NCSC wyciąga z tego wskazówkę dla pracownika: zastanowić się nad publikowanymi informacjami osobistymi i przejrzeć ustawienia prywatności swoich kont w sieciach społecznościowych³.

Działania zalecane przez źródła:

• Nie podawać wrażliwych informacji w wiadomości ani przez telefon⁵.
• Zachować otrzymaną wiadomość jako dowód⁵.
• Natychmiast zmienić każde ujawnione hasło, a także hasło w innych usługach, w których jest używane⁴⁵.
• Używać innego hasła w każdej usłudze i włączyć uwierzytelnianie dwuskładnikowe, gdy serwis na to pozwala⁵.
• Jeśli podano dane płatnicze lub zauważono nieuprawnione obciążenia, zgłosić sprawę w banku i zablokować instrumenty płatnicze⁵.
• Jeśli dane osobowe posłużą do podszycia się pod daną osobę, złożyć zawiadomienie na komisariacie policji lub w żandarmerii albo napisać do prokuratora⁵.
• Zgłosić wiadomość do Signal Spam, a SMS pod numer 33700⁵.
• Wsparcia udziela France Victimes pod numerem 116 006, bezpłatnie, codziennie od 9:00 do 19:00⁵.
• W środowisku zawodowym zgłosić ujawnienie informacji organizacji właściwym osobom, w tym administratorom sieci⁴.

Żadne z cytowanych tu źródeł nie dokumentuje datowanej kampanii sextortion: ani fal e-maili z fałszywą informacją o włamaniu do kamerki, ani oficjalnego ostrzeżenia na ten temat. Dlatego nie powstała tu żadna analiza incydentu. Zostanie dodana, gdy źródło ją dostarczy.

Przeglądane strony podają jedynie pokrewne przykłady, bez daty zdarzenia. Scattered Spider połączył phishing danych logowania z inżynierią społeczną, by przechwytywać kody jednorazowe¹. LAPSUS$ zebrał szczegółowe informacje o pracownikach, by wzmocnić swoje przynęty oparte na inżynierii społecznej².