Una nuova campagna di sextortion sta circolando tramite e-mail sfruttando il nome del gruppo ShinyHunters per rendere il ricatto più credibile. I messaggi sostengono falsamente che il dispositivo della vittima sia stato compromesso e chiedono il pagamento di 2.000 dollari in Bitcoin per impedire la diffusione di presunti video privati. Le verifiche effettuate mostrano però che il portafoglio Bitcoin indicato nell’e-mail risulta ancora privo di fondi e che lo stesso gruppo ShinyHunters ha preso le distanze dalla campagna, negando qualsiasi coinvolgimento.
Una campagna costruita sulla paura
“Si tratta di e-mail circolanti già da aprile 2026 a livello internazionale, ma osservate oggi dal CERT-AgID per la prima volta anche in Italia.”, si legge nel rapporto.
L’e-mail si presenta come un messaggio inviato da ShinyHunters e afferma che gli aggressori abbiano compromesso il computer e lo smartphone della vittima diversi mesi prima. Secondo il testo, sarebbe stato installato un malware capace di controllare webcam, microfono, cronologia di navigazione, conversazioni e contatti personali.
Il messaggio prosegue sostenendo che la vittima sia stata registrata mentre visitava siti per adulti e che tali video possano essere inviati ad amici, familiari e colleghi oppure pubblicati online. Per evitare questa presunta diffusione viene richiesto il pagamento di 2.000 dollari in Bitcoin entro 48 ore. L’obiettivo dell’e-mail non è dimostrare una reale compromissione, ma sfruttare paura, vergogna e urgenza per spingere la vittima a pagare.
Nessuna prova dell’infezione
Gli autori non forniscono alcuna prova di aver realmente compromesso il dispositivo. Non vengono mostrati screenshot, fotografie, password, documenti o altri elementi che possano dimostrare l’accesso ai dati personali della vittima. Le affermazioni sono completamente generiche e possono essere riutilizzate per migliaia di destinatari. Anche il limite di 48 ore rappresenta una classica tecnica di social engineering pensata per creare pressione psicologica e impedire una valutazione razionale della situazione.
Il wallet per il riscatto ed associato all’indirizzo bc1qfladu9lhht2gyqaa9mv2sufu8kd2k0fqhuupe3 al momento della stesura di questo articolo, risulta ancora privo di fondi, senza transazioni in ingresso.
ShinyHunters nega qualsiasi coinvolgimento
Sebbene l’e-mail utilizzi il nome ShinyHunters per aumentare la propria credibilità, ShinyHunters ha disconosciuto il proprio coinvolgimento, prendendo le distanze da queste e-mail di estorsione. È quindi molto probabile che altri criminali abbiano sfruttato la notorietà del gruppo e le numerose violazioni di dati attribuitegli negli anni per rendere il messaggio più convincente. Anche l’eventuale presenza dell’indirizzo e-mail della vittima non rappresenta una prova di compromissione. Molto spesso tali informazioni provengono da vecchi data breach e vengono riutilizzate per personalizzare le campagne di spam e phishing.
A tal proposito il CERT-AgID conclude che “Benché precedenti analisi sulle e-mail ricevute da utenti di altri paesi suggerivano che alcuni degli indirizzi destinatari fossero provenienti da data leak effettivamente divulgati da ShinyHunters, non è noto dove siano stati reperiti gli indirizzi email italiani coinvolti.“
Come comportarsi
Ricevere un’e-mail di questo tipo non significa che il proprio dispositivo sia stato compromesso.
La raccomandazione è di non rispondere al messaggio, non effettuare alcun pagamento e cancellare l’e-mail dopo averla segnalata come spam o phishing. È inoltre buona norma verificare che le password utilizzate siano uniche per ogni servizio e attivare l’autenticazione a più fattori sugli account più importanti.
Se nel messaggio compare una password realmente utilizzata in passato, è opportuno sostituirla immediatamente, poiché potrebbe provenire da una precedente violazione di dati e non da un’infezione attuale.
Questa campagna dimostra ancora una volta come il social engineering continui a essere uno degli strumenti più efficaci a disposizione dei cybercriminali. Più che ricorrere a sofisticate tecniche di intrusione, gli aggressori puntano a sfruttare le emozioni delle vittime, confidando che paura e urgenza inducano qualcuno a pagare un riscatto del tutto ingiustificato.
