En estos momentos, estamos viendo todo tipo de correos electrónicos de sextorsión. Esta estafa es barata de llevar a cabo, fácil de automatizar y, al parecer, lo suficientemente rentable como para que los ciberdelincuentes sigan recurriendo a ella. Algunos delincuentes se esmeran más que otros en la redacción de sus mensajes.
Los correos electrónicos de sextorsión son mensajes en los que los estafadores afirman haberte grabado a través de tu cámara web mientras veías pornografía y ahora te exigen un pago. Llevan años circulando y siguen evolucionando con pequeños cambios en la redacción y detalles técnicos falsos.
Lo que no ha cambiado es la verdad fundamental: no hay ningún malware, ninguna grabación ni ninguna prueba creíble que respalde la amenaza. A pesar de haber visto innumerables versiones de estos correos electrónicos a lo largo de los años, todavía no he encontrado ninguno que estuviera respaldado por las pruebas que el remitente afirmaba tener.
A continuación, analizaremos el correo electrónico línea por línea, interrumpiendo el relato del estafador con comentarios que expliquen de dónde proceden sus afirmaciones y por qué no resisten un análisis riguroso.
«¡Hola!
Lamento tener que comunicarte una noticia triste. Hace aproximadamente uno o dos meses conseguí obtener acceso total a todos los dispositivos que utilizas para navegar por Internet. Desde entonces, he empezado a supervisar tus actividades en Internet de forma continua.
El inicio marca la pauta.Total a todos tus dispositivos» es una señal de alarma inmediata, ya que resulta extremadamente improbable y técnicamente impreciso. Los auténticos atacantes suelen ser más específicos sobre a qué han accedido (qué dispositivo, qué sistema operativo, qué aplicación), mientras que los estafadores lo dejan deliberadamente en términos generales para que cualquiera pueda pensar que se refiere a él.
“Go ahead and take a look at the sequence of events provided below for your reference: Initially I bought an exclusive access from hackers to a long list of email accounts (in today’s world, that is really a common thing, which can arranged via internet). Evidently, it wasn’t hard for me to proceed with logging in your email account (<REDACTED_EMAIL>). “
En este caso, el estafador afirma haber comprado acceso a una «larga lista de cuentas de correo electrónico». Se trata de una referencia distorsionada a los auténticos «brokers de acceso inicial» (IAB) y a los mercados de credenciales, donde los delincuentes comercian con contraseñas o tokens de sesión robados. Sin embargo, en este correo electrónico no se facilita ninguna contraseña, hora de inicio de sesión ni dirección IP, sino únicamente una dirección de correo electrónico que ya conocían. Por lo tanto, no hay pruebas reales de que la cuenta haya sido secuestrada o comprometida.
«Esa misma semana, seguí adelante con la instalación de un virus troyano en los sistemas operativos de todos los dispositivos que utilizas para acceder al correo electrónico. Sinceramente, no me supuso ningún reto (ya que tuviste la amabilidad de hacer clic en algunos de los enlaces de los correos que tenías en la bandeja de entrada). Sí, hay genios entre nosotros».
La afirmación sobre el «virus troyano» se hace eco de lo que hemos visto en otras campañas de sextorsión que mencionan al azar familias de malware o vulnerabilidades para parecer creíbles. Una vez más, no se describe ningún nombre concreto de malware, ruta de archivo ni vulnerabilidad, sino solo una historia genérica diseñada para asustar a cualquiera que haya hecho clic alguna vez en un enlace.
«Gracias a este troyano, puedo acceder a todos los controladores de tus dispositivos (por ejemplo, tu cámara de vídeo, teclado, micrófono y otros). Como resultado, he descargado sin dificultad todos los datos, así como fotos, historial de navegación web y otros tipos de datos, a mis servidores. Además, tengo acceso a todas las cuentas de redes sociales que utilizas habitualmente, incluidos los correos electrónicos, el historial de chat, los servicios de mensajería, la lista de contactos, etc. Mi virus exclusivo actualiza constantemente sus firmas (gracias al control que ejerce un controlador) y, por lo tanto, pasa desapercibido para cualquier tipo de antivirus».
Esta sección intenta parecer técnica al mencionar conceptos como «controladores», «drivers» o «actualización de firmas». Pero nada de esto se corresponde con el funcionamiento real de los productos de seguridad o del malware. Los troyanos y el spyware modernos pueden utilizar drivers, mecanismos de persistencia o cifrado, pero afirmaciones como«cualquier tipo de antivirus»y «actualización incesante de sus firmas» son puro farol dirigido a lectores sin conocimientos técnicos.
«Por lo tanto, supongo que a estas alturas ya te habrás dado cuenta de por qué siempre he pasado desapercibido hasta esta misma carta…»
Esta explicación intenta justificar una importante incoherencia. Si el atacante realmente tenía control total y llevaba «uno o dos meses» vigilando a la víctima, ¿por qué la única prueba es un correo electrónico sin registros, capturas de pantalla ni vídeos de muestra? Si alguien realmente tiene material comprometedor, aportará al menos alguna prueba, porque eso es lo que obliga a las víctimas a tomárselo en serio.
«Durante el proceso de recopilación de todo el material relacionado contigo, también me he dado cuenta de que eres un gran aficionado y usuario habitual de páginas web con contenido para adultos muy picante. Resulta que te encanta visitar páginas web porno, así como ver vídeos excitantes y disfrutar de placeres inolvidables. De hecho, no pude resistir la tentación de grabar ciertas escenas subidas de tono en solitario en las que tú eras la protagonista, y más tarde produje unos cuantos vídeos en los que se muestran tus escenas de masturbación y eyaculación».
Aquí viene el clásico gancho de la sextorsión: «Te he grabado mientras veías porno». Llevamos viendo variaciones de esta frase al menos desde 2018, y a menudo se reutiliza palabra por palabra en enormes campañas de spam. La estafa se basa en la vergüenza y el miedo, más que en la credibilidad técnica. El objetivo es que las víctimas, presas del pánico, acaben pagando.
«Si hasta ahora no me crees, solo necesito uno o dos clics del ratón para crear todos esos vídeos con todas las personas que conoces, incluidos tus amigos, compañeros de trabajo, familiares y demás. Además, puedo subir todo ese contenido de vídeo a Internet para que todo el mundo lo vea».
Una vez más, fíjate en la falta de pruebas. No hay ninguna imagen de vista previa, ni ningún vídeo de muestra, ni se menciona ninguna cuenta concreta en redes sociales; solo una amenaza de enviarlo a «todos tus conocidos». Es deliberadamente impreciso. El mismo mensaje tiene que funcionar para millones de destinatarios con círculos sociales completamente diferentes.
«Sinceramente, creo que seguro que no querrías que se produjeran incidentes de este tipo, teniendo en cuenta el contenido lascivo que se muestra en los vídeos que sueles ver (sabes perfectamente a qué me refiero), ya que te acarrearía graves problemas. Aún hay una solución para este asunto, y esto es lo que tienes que hacer: realiza una transferencia de 1.490 dólares estadounidenses a mi cuenta (el equivalente en bitcoins, que se calculará según el tipo de cambio vigente en la fecha de la transferencia); así, en cuanto reciba la transferencia, me desharé inmediatamente de todos esos vídeos lascivos sin demora. Después de eso, podremos hacer como si nada hubiera pasado antes. Además, te confirmo que todo el software troyano será desactivado y borrado de todos los dispositivos que utilices. No tienes nada de qué preocuparte, porque siempre cumplo mi palabra».
El precio y la forma de pago —poco menos de 1.500 dólares, abonados en bitcoins— son habituales en este tipo de estafas. Las criptomonedas son muy utilizadas por los estafadores porque los pagos son difíciles de revertir y se pueden transferir rápidamente. A pesar de su reputación, el bitcoin no es anónimo, y las fuerzas del orden han logrado rastrear con éxito numerosas transacciones delictivas.
“That is indeed a beneficial bargain that comes with a relatively reduced price, taking into consideration that your profile and traffic were under close monitoring during a long time frame. If you are still unclear regarding how to buy and perform transactions with bitcoins – everything is available online. Below is my bitcoin wallet for your further reference: <REDACTED_ACCOUNT> All you have is 48 hours and the countdown begins once this email is opened (in other words 2 days).”
Los plazos ajustados y el lenguaje de «cuenta atrás» son tácticas de presión psicológica, no realidades técnicas. Los estafadores quieren que te entre el pánico, no que pienses, porque un lector tranquilo tiene más probabilidades de detectar las incongruencias de la historia.
«La siguiente lista incluye cosas que debes recordar y evitar hacer:
> No sirve de nada intentar responder a mi correo electrónico (ya que este correo y la dirección de remitente se han creado dentro de tu bandeja de entrada).
> Tampoco sirve de nada llamar a la policía ni a ningún otro tipo de servicio de seguridad. Además, ni se te ocurra compartir esta información con ninguno de tus amigos. Si lo descubro (teniendo en cuenta mis habilidades, será muy sencillo, ya que controlo todos tus sistemas y los superviso continuamente), tu vídeo comprometedor se hará público de inmediato.
> Tampoco sirve de nada buscarme: no te llevará a ninguna parte. Las transacciones con criptomonedas son totalmente anónimas e imposibles de rastrear.
> No sirve de nada reinstalar el sistema operativo en los dispositivos ni intentar deshacerte de ellos. Eso no resolverá el problema, ya que todos los vídeos en los que apareces como protagonista ya están subidos a servidores remotos.»
Esta sección se centra básicamente en cómo responder a las objeciones. El estafador se anticipa a las reacciones habituales —hablar con alguien, llamar a la policía, reinstalar el sistema— e intenta desbaratarlas. La afirmación de que la dirección de correo electrónico se «creó dentro de tu bandeja de entrada» resulta especialmente reveladora. Se trata de un intento de hacer que una dirección de remitente genérica parezca una prueba de que el sistema ha sido comprometido.
«Cosas que quizá te preocupen:
> Esa transferencia de fondos no me va a llegar. Respira hondo, puedo rastrearlo todo al instante, así que, en cuanto se complete la transferencia, lo sabré con certeza, ya que realizo un seguimiento constante de todas tus actividades (mi virus troyano controla todos los procesos de forma remota, igual que TeamViewer)».
Hacer referencia a TeamViewer, una herramienta legítima de acceso remoto, es otra táctica que hemos observado en los últimos correos electrónicos de sextorsión. Esto ayuda al estafador a dar credibilidad a su historia basándose en algo de lo que los usuarios quizá hayan oído hablar o hayan utilizado en el trabajo. Sin embargo, sigue sin haber pruebas de acceso remoto, y la afirmación de que el malware «controla todos los procesos» ignora cómo funcionan realmente los sistemas operativos y los controles de seguridad.
“> Que tus vídeos se difundirán, aunque ya hayas completado la transferencia de dinero a mi monedero. Créeme, no me interesa en absoluto seguir molestándote una vez que la transferencia se ha realizado con éxito. Además, si eso hubiera formado parte de mi plan, ¡lo habría hecho mucho antes! ¡Vamos a abordar y resolver esto de forma clara! Para terminar, me gustaría recomendarte una cosa más… ¡A partir de ahora, debes asegurarte de no volver a verte envuelto en este tipo de situaciones desagradables! Mi recomendación: asegúrate de cambiar todas tus contraseñas por otras nuevas con regularidad.»
Terminar con consejos de seguridad es un recurso manipulador. Al ofrecer recomendaciones útiles, el estafador intenta parecer creíble y digno de confianza, en lugar de un delincuente. Esto no cambia el hecho de que el correo electrónico no contiene ninguna prueba de que ninguna de las afirmaciones sea cierta.
Cómo reaccionar ante los correos electrónicos de sextorsión
Este ejemplo está redactado de forma inusualmente deficiente, pero muchos correos electrónicos de sextorsión están redactados de forma mucho más pulida y resultan mucho más convincentes. Independientemente de lo profesionales que parezcan, deben tratarse de la misma manera: como amenazas sin fundamento destinadas a asustar a las víctimas para que paguen.
- Lo primero y más importante: nunca respondas a correos electrónicos de este tipo. Responder confirma que alguien está leyendo activamente los mensajes enviados a esa dirección y puede dar pie a nuevos intentos de estafa.
- No te dejes llevar por la prisa a la hora de actuar o tomar decisiones. Los estafadores se aprovechan de que no te tomarás el tiempo necesario para reflexionar y, por ello, acabes cometiendo errores. Pide consejo si no estás seguro.
- Un archivo adjunto no es una prueba. La mayoría de los correos electrónicos de sextorsión no contienen ninguna prueba, y los ciberdelincuentes suelen utilizar archivos adjuntos para propagar malware o hacer que sus amenazas parezcan más convincentes.
- Si el correo electrónico incluye una contraseña que ya has utilizado anteriormente, cámbiala inmediatamente en todos los sitios donde aún la utilices. A continuación, activa la autenticación de dos factores siempre que sea posible. Si te cuesta organizar tus contraseñas, plantéate utilizar ungestor de contraseñas.
- Borra el mensaje, denúncialo como spam y sigue adelante.
Aunque estos correos electrónicos de sextorsión suelen ser casi siempre un farol, si te preocupa que te espíen a través de la webcam, Malwarebytes Monitoring puede avisarte cuando alguna aplicación intente acceder a tu cámara.
