Account OnlyFans rubato, 8.700 abbonati a rischio: fermato in 23 ore

Una creator di 27 anni basata a Los Angeles aveva costruito su OnlyFans un pubblico di 8.700 abbonati paganti con contenuti di moda e fitness. Un attacco di phishing ha compromesso il suo account. Chi lo aveva preso ha chiesto 10.000 dollari, minacciando di riversare tutti i contenuti su siti torrent gratuiti e di inviare a ogni abbonato il suo vero nome, il suo indirizzo di casa e il suo numero di telefono. L'assistenza di OnlyFans indicava tempi di risposta di 48 ore. Nel panico, lei ha pagato 3.000 dollari come segnale di buona fede. Le richieste sono continuate.

Altahonos ha usato un canale diretto di escalation con la piattaforma per aggirare l'assistenza ordinaria di OnlyFans e avviare il recupero d'emergenza dell'account. È stata predisposta una richiesta di rimozione fondata insieme sui diritti d'autore e sulla tutela della riservatezza, così da coprire contemporaneamente siti torrent e piattaforme di contenuti. L'email personale è stata messa in sicurezza con l'autenticazione a due fattori. È stato redatto e pubblicato un annuncio per gli abbonati, per evitare che la situazione generasse allarme tra il pubblico.

Tutto quello che aveva costruito era a rischio

Ci aveva messo due anni. Ottomilasettecento abbonati paganti. Un progetto di moda e fitness che funzionava perché le persone si fidavano dei contenuti e del personaggio dietro di essi. La sua identità reale era separata. Quella separazione era la base su cui poggiava tutto il resto.

Poi una mattina non è più riuscita ad accedere.

Il furto dell'account

Un'email di phishing era sembrata abbastanza convincente. Un clic, le credenziali inserite, l'account compromesso. Quando ha capito cosa era successo, dentro il suo OnlyFans c'era già qualcun altro.

Il messaggio è arrivato subito: "10.000 dollari o riverso tutto su siti torrent gratuiti. E mando a tutti e 8.700 gli abbonati il tuo vero nome, il tuo indirizzo di casa e il tuo numero di telefono."

Due minacce insieme. Quella sui contenuti era grave. Quella sull'identità era catastrofica.

Si è rivolta subito all'assistenza di OnlyFans, che le ha indicato tempi di risposta di 48 ore. Quarantotto ore con qualcun altro dentro il suo account e le caselle dei suoi abbonati a un clic di distanza.

Nel panico ha trasferito 3.000 dollari. Un segnale di buona fede, ha pensato. Qualcosa per guadagnare tempo mentre la piattaforma rispondeva.

Non ha comprato nulla.

Perché la minaccia sull'identità era il pericolo vero

Quasi tutti danno per scontato che, nel furto dell'account di una creator, il problema principale siano i contenuti. In realtà, per chi mantiene una separazione tra il proprio personaggio online e la propria identità reale, la minaccia sull'identità è molto più seria.

I contenuti si possono far rimuovere facendo valere i diritti d'autore. I caricamenti sui torrent si possono segnalare e togliere. Ma quando un nome vero, un indirizzo e un numero di telefono arrivano in migliaia di caselle di posta, quell'informazione non si può più richiamare indietro: resta per sempre nelle mani di migliaia di sconosciuti.

Lei lo aveva capito. La richiesta da 10.000 dollari era quasi secondaria. La priorità era impedire che la sua identità raggiungesse quegli 8.700 abbonati.

Che cosa abbiamo fatto

L'assistenza ordinaria di OnlyFans era troppo lenta. Abbiamo usato un canale diretto di escalation con la piattaforma per avviare il recupero d'emergenza dell'account, saltando del tutto la coda standard. Non è una strada accessibile a chiunque: richiede di sapere dove rivolgersi e come impostare un'escalation d'emergenza.

Mentre il recupero era in corso, è stata predisposta una richiesta di rimozione fondata insieme sui diritti d'autore e sulla tutela della riservatezza. Se chi aveva preso l'account avesse già caricato contenuti su siti torrent o gratuiti, le richieste sarebbero partite immediatamente su tutte le piattaforme individuate.

La sua casella di posta personale, il punto d'ingresso dell'attacco di phishing, è stata messa in sicurezza con l'autenticazione a due fattori. La stessa vulnerabilità non sarebbe stata disponibile una seconda volta.

È stato redatto e pubblicato un annuncio per gli abbonati: "Account in pausa, torno presto." Breve, calmo, senza dettagli. Sufficiente a evitare confusione e disdette mentre l'account era inaccessibile.

Ventitré ore dopo

L'accesso completo all'account è stato ripristinato entro 23 ore dal primo contatto con Altahonos.

Il suo nome vero, l'indirizzo e il numero di telefono non sono arrivati a nessun abbonato. La minaccia sull'identità è stata neutralizzata prima che potesse essere messa in atto.

Non ha effettuato altri pagamenti. La seconda richiesta, arrivata mentre il recupero era in corso, è stata ignorata.

L'account è rimasto fermo per circa un mese mentre la sicurezza veniva rafforzata. Il mancato guadagno in quel periodo è stato stimato intorno ai 2.400 dollari. Tutto il resto era intatto.

Per le creator, l'identità è il patrimonio

Questo caso mostra qualcosa di specifico degli account dei creator: il riscatto è raramente la minaccia vera. La minaccia vera è la cosa che non si può disfare.

I contenuti si rimuovono. Gli account si recuperano. Ma un'identità reale, una volta distribuita a migliaia di abbonati, non si può riportare indietro.

L'escalation con la piattaforma unita alla protezione dell'identità affronta entrambe le cose in un unico movimento. L'assistenza ordinaria no.

Se il tuo account da creator è stato compromesso

Non pagare. Un pagamento di buona fede segnala soltanto che sei disposta a interagire e non ferma la minaccia. E non aspettare i tempi dell'assistenza ordinaria della piattaforma se la minaccia è in corso: la priorità è proteggere la tua identità.