Ogni tanto in redazione arrivano comunicati stampa, segnalazioni, proteste e inviti alle sagre. Poi arriva anche l’hacker professionista, quello che controlla webcam, microfono, posta elettronica e probabilmente pure il frigorifero, ma ha urgente bisogno di 950 euro in Bitcoin.

La mail ricevuta dall’Ortica appartiene con ogni probabilità a una nota campagna di sextortion: minacce molto dettagliate, prove inesistenti e un conto alla rovescia pensato per impedire alla vittima di riflettere. Il sistema è semplice: più il messaggio è imbarazzante, meno il destinatario dovrebbe avere voglia di parlarne. Ed è proprio sul silenzio che prospera la truffa

“Ehilà! Sono un hacker professionista”.

Comincia così la mail arrivata nella casella della redazione dell’Ortica.

Una presentazione sobria, quasi da LinkedIn, seguita dall’elenco delle prodigiose capacità dell’anonimo mittente: avrebbe violato il sistema operativo, controllato per mesi ogni attività, attivato videocamera e microfono e registrato presunti momenti intimi.

Insomma, avrebbe il controllo completo della vita digitale del destinatario. Tutto, tranne evidentemente un correttore ortografico e un metodo di pagamento meno sospetto.

C’è anche un dettaglio studiato per rendere la minaccia più credibile: il mittente e il destinatario risultano essere lo stesso indirizzo della redazione. A prima vista sembrerebbe quindi che l’Ortica si sia inviata da sola il ricatto, soluzione informatica piuttosto creativa anche per i nostri standard. In realtà si tratta con ogni probabilità di email spoofing, cioè della falsificazione dell’indirizzo mostrato come mittente. La coincidenza dei due indirizzi, da sola, non dimostra che la casella sia stata violata.

Per evitare la diffusione dei fantomatici filmati, il mittente pretende l’equivalente di 950 euro in Bitcoin, da versare entro cinquanta ore. La minaccia comprende anche il divieto di parlare con altre persone, perché il grande hacker internazionale, dopo mesi di sorveglianza invisibile, teme soprattutto che qualcuno dica alla vittima: “Guarda che è una truffa”.

Ed è esattamente ciò che è.

La Polizia Postale ha più volte descritto campagne quasi identiche: email inviate in massa che sostengono di aver installato malware, registrato immagini dalla webcam e copiato la rubrica. Nella maggior parte dei casi, però, il mittente non possiede alcun filmato e non ha violato il dispositivo. Cerca soltanto di creare panico e ottenere un pagamento rapido in criptovaluta.

Anche l’Agenzia per la cybersicurezza nazionale ha segnalato campagne di sextortion via email con richieste di denaro in Bitcoin. Il copione cambia poco: presunta infezione informatica, sorveglianza delle attività private, minaccia di diffusione ai contatti e scadenza ravvicinata. Cambiano la cifra e l’indirizzo del portafoglio, perché perfino l’estorsione industriale ha bisogno di aggiornare il listino.

Chi riceve messaggi del genere non deve pagare né rispondere. È consigliabile conservare la mail, segnalarla come indesiderata, controllare la sicurezza dell’account e attivare l’autenticazione a due fattori. In presenza di elementi concreti, come accessi sconosciuti, password realmente utilizzate o dati personali precisi, è opportuno effettuare verifiche più approfondite e rivolgersi alla Polizia Postale.

La parte più efficace della truffa non è tecnologica, ma psicologica. Il messaggio usa argomenti intimi per mettere in imbarazzo la vittima e impedirle di chiedere aiuto. In realtà parlarne è proprio il modo migliore per spezzare il meccanismo.

Perciò lo diciamo pubblicamente: no, il sedicente hacker non ha dimostrato di possedere alcun video. Ha soltanto mandato una mail standard, chiesto denaro e sperato che qualcuno, travolto dalla paura, pagasse senza ragionare.

Un hacker professionista forse no. Un professionista della faccia tosta, invece, senza dubbio.