"Hackeé tu webcam, envía BTC": cómo desarmé el correo que me costó 3 noches sin dormir

Un contador de 34 años en Nueva York abrió su bandeja de entrada una mañana y encontró un correo amenazante con su propia contraseña impresa en la parte superior. El mensaje era directo: "1.500 $ en BTC en 48 horas o tus contactos reciben el material que grabé por tu cámara." La contraseña familiar lo dejó paralizado. Pasó 3 noches sin dormir investigando cómo comprar BTC. Estaba a 2 clics de enviar el pago.

Altahonos rastreó la contraseña hasta la filtración Collection #1 de 2019 durante una consulta gratuita de 30 minutos. Se confirmó que el correo era un envío masivo por bot a millones de personas. Ningún dispositivo había sido accedido, no existía ningún video. Se configuró 2FA en todas las cuentas críticas y se activó un monitoreo de filtraciones de 7 días.

¿Qué pasó?

Una mañana cualquiera. Bandeja de entrada abierta. Y ahí, en la primera línea del correo: una contraseña antigua. Su contraseña. Una que había usado años atrás y casi no recordaba.

El correo seguía: "Tengo acceso a todos tus dispositivos. Grabé material por tu webcam. Envía 1.500 $ en BTC en 48 horas o tus contactos recibirán el material."

Un contador de 34 años en Nueva York, quedó paralizado. La contraseña era real. La había usado durante años. ¿Lo demás también lo sería?

3 días, 0 sueño

Su primer instinto fue borrar y seguir adelante. Pero algo lo detuvo: esa contraseña. No era aleatoria. Era genuinamente suya. ¿Y si realmente tenían acceso?

Pensó en ir a la policía. Pero ¿y si el material era real? Sus colegas. Su familia. Sus clientes. En ese estado de pánico, pensar con claridad era casi imposible. Su mente volvía a la misma pregunta: "¿Qué pasa si lo envían?"

No podía dormir de noche. Durante el día revisaba el teléfono en mitad de reuniones con clientes. Perdía el hilo de las conversaciones. Durante tres días vivió dentro de ese bucle.

Investigó cómo comprar Bitcoin. Abrió una cuenta en un exchange. Completó la verificación de identidad. Llegó a la pantalla de transferencia. Introdujo el importe. Estaba a 2 clics de enviar.

Se detuvo. Y llamó a Altahonos.

Cómo funciona realmente este ataque

Estos correos se conocen como sextortion bot-blasts. Así funcionan: los atacantes compran en la dark web listas de millones de direcciones de correo y contraseñas antiguas asociadas. Estas listas vienen de grandes filtraciones de datos ocurridas años atrás. LinkedIn, Adobe, MySpace, cientos de sitios más pequeños. Hoy aún circulan miles de millones de credenciales.

El atacante envía el mismo correo a cada persona de la lista. La única diferencia es que cada correo incluye la contraseña real de esa persona. Ese único detalle hace que el mensaje parezca personal y creíble. Crea la impresión de que alguien realmente te conoce.

En realidad, no se accede a ningún dispositivo. No se graba ningún material. El atacante ejecuta una lista, una plantilla y un sistema de envío automatizado. El mismo correo llega a miles de personas simultáneamente en todos los países.

La mayoría lo borra. Un pequeño porcentaje paga. Para el atacante, ese porcentaje basta de sobra. El coste es casi nulo, el pago es instantáneo y no deja rastro.

30 minutos lo cambiaron todo

En los primeros 10 minutos de la consulta, rastreamos la contraseña hasta su origen: la filtración Collection #1 de 2019. Fue una de las mayores filtraciones de credenciales jamás registradas, con 773 millones de direcciones de correo y miles de millones de contraseñas expuestas en un solo evento. Su contraseña llevaba años en una lista de la dark web.

El atacante nunca había tocado sus dispositivos. Simplemente había tomado una dirección de correo y la contraseña correspondiente de esa lista y enviado el mismo mensaje a millones de personas. El correo era un farol. Completamente. Ningún dispositivo había sido accedido. Ningún material había sido grabado. Nunca existió ningún material.

Luego configuramos 2FA en todas sus cuentas críticas. Se activó un periodo de monitoreo de filtraciones de 7 días. Si aparecía cualquier nueva señal de amenaza vinculada a su correo, sería notificado de inmediato.

Cuando terminó

No pagó nada. Ningún material fue a ningún sitio porque no existía. Cerró la pantalla de transferencia y retiró el dinero del exchange.

Nueve meses después, una verificación confirmó que todo estaba en orden. Cuentas seguras, sin nuevas amenazas, 2FA activo.

Si recibiste el mismo correo

Este correo llega a decenas de miles de personas cada día. En EE. UU., Europa y cada rincón del mundo. Ver una contraseña real en el asunto está diseñado para paralizarte. Pero esa contraseña es evidencia de una filtración de datos, no de un hackeo de cámara. Son dos cosas muy distintas.

Lo que no deberías hacer: no pagues. Quien paga una vez suele recibir una segunda exigencia. Acabas de señalar que esto funciona contigo. No dejes que el plazo de 48 horas te presione. Es una táctica psicológica, no una cuenta atrás real.

Lo que deberías hacer: no borres el correo, haz una captura. Ve a haveibeenpwned.com, introduce tu correo y verás en segundos en qué filtraciones apareces. Cambia tu contraseña en cada cuenta donde la usaste. Activa 2FA.

Si aún no estás seguro, tómate 5 minutos antes de pagar un céntimo. Real o farol, te lo diremos de inmediato. ¿Recibiste el mismo correo? Verificación gratuita de 5 minutos antes de pagar un céntimo: +1 (855) 853-2415