L’oggetto è spesso la tua password. Non una password qualsiasi: una che hai usato davvero, magari anni fa. Il testo, in un italiano un po’ traballante, racconta che un hacker ha preso il controllo del tuo computer, ti ha registrato con la webcam mentre visitavi siti per adulti e ha copiato tutti i tuoi contatti. Se non paghi una cifra tra 800 e 2.000 euro in bitcoin entro 48 ore, il video verrà inviato ad amici, parenti e colleghi.
Ricevere un messaggio del genere mette ansia, ed è esattamente lo scopo. Ma nella stragrande maggioranza dei casi si tratta di una truffa di massa, chiamata in gergo sextortion scam: lo stesso testo viene inviato a milioni di persone e nessuno ha registrato nulla. Ti spiego come capirlo con certezza e cosa fare.
Da dove viene la password che conoscono
Questo è il dettaglio che rende la truffa credibile, ed è anche quello che la smaschera. I criminali non hanno violato il tuo PC: hanno preso la tua email e la tua password da una delle tante violazioni di dati degli ultimi anni, quando un sito su cui eri registrato è stato bucato e il suo database è finito in rete. Questi archivi circolano da anni e contengono miliardi di coppie email-password.
Per verificarlo bastano due minuti:
- vai su haveibeenpwned.com, il servizio gratuito che raccoglie le violazioni note;
- inserisci il tuo indirizzo email e premi Check;
- scorri l’elenco: tra i siti indicati troverai quasi sempre quello da cui proviene la password citata nell’email, spesso un servizio che avevi dimenticato di usare.
Se la password è vecchia e non la usi più da nessuna parte, la minaccia è vuota. Se la usi ancora, il problema non è il video, che non esiste, ma il fatto che quella password è pubblica: va cambiata subito ovunque.
Gli altri segnali che è un bluff
- Nessuna prova. Chi avesse davvero un video ne allegherebbe un fotogramma. Queste email non lo fanno mai, perché non hanno niente da allegare.
- Testo generico. Si parla di “il tuo dispositivo”, “i tuoi contatti”, “un sito per adulti” senza mai un nome, un orario, un dettaglio verificabile.
- Il mittente sei tu. Alcune versioni sembrano partire dal tuo stesso indirizzo, “per dimostrare” che hanno accesso alla tua casella. In realtà il mittente di un’email si può falsificare come l’indirizzo scritto su una busta. Se apri l’intestazione completa del messaggio (in Gmail: tre puntini > Mostra originale), vedrai che è passato da server che non hanno nulla a che fare con il tuo provider e che i controlli SPF o DMARC risultano falliti.
- Il conto alla rovescia. “Hai 48 ore, ho inserito un pixel che mi avvisa quando apri questa email”: servono solo a farti agire senza pensare.
- La foto di casa tua. Una variante recente allega l’immagine della tua abitazione presa da Google Street View, partendo dall’indirizzo trovato in una violazione di dati. Fa paura, ma è un dato pubblico, non una prova di sorveglianza.
Cosa fare, passo per passo
- Non pagare e non rispondere. Rispondere conferma che l’indirizzo è attivo e letto da una persona spaventata: il risultato è ricevere altre email, non meno. Pagare non cancella nulla, semplicemente ti segnala come bersaglio che paga.
- Controlla la password citata su Have I Been Pwned e cambiala ovunque la usi ancora. Se è la stessa della tua email principale, parti da lì.
- Attiva la verifica in due passaggi sulla casella di posta e sugli account più importanti. Così, anche se in futuro un’altra password finisse in rete, da sola non basterebbe.
- Segnala il messaggio come spam o phishing nel tuo programma di posta e poi cancellalo. Se vuoi, puoi anche segnalarlo alla Polizia Postale tramite il sito commissariatodips.it.
- Copri la webcam se ti fa stare più tranquillo. Non è necessario per questa truffa, ma è un’abitudine che non costa nulla.
Quando invece il ricatto è reale
C’è un caso molto diverso, e va trattato con serietà: quando hai effettivamente scambiato foto o video intimi con qualcuno conosciuto online, magari su un social o un’app di incontri, e ora quella persona minaccia di diffonderli. Qui il materiale esiste davvero. Anche in questo caso la regola è non pagare, perché le richieste di solito aumentano, ma serve fare di più:
- non cancellare la conversazione: salva schermate con data, nome del profilo e messaggi;
- blocca il contatto dopo aver raccolto le prove;
- presenta denuncia alla Polizia Postale, che si occupa di questi casi ogni giorno;
- se le immagini vengono pubblicate, segnala i contenuti alla piattaforma e, se riguardano persone maggiorenni, valuta la segnalazione al Garante privacy per la diffusione illecita di immagini intime.
Se a essere coinvolto è un minore, non c’è nulla di cui vergognarsi nel chiedere aiuto subito a un adulto di fiducia e alle forze dell’ordine: è un reato grave di chi ricatta, non una colpa di chi è ricattato.
Per tutti gli altri, cioè per chi ha ricevuto l’email con la vecchia password, la morale è semplice: è un tentativo di estorsione fatto con dati vecchi e tanta psicologia. Cambia quella password, attiva la verifica in due passaggi e cestina il messaggio. Se vuoi capire meglio come le password finiscono in circolazione, leggi la guida su infostealer e account rubati.