Przejęte konto na OnlyFans i 8700 subskrybentów w zagrożeniu: jak zatrzymaliśmy to w 23 godziny
Najważniejsze rezultaty
Sytuacja
Dwudziestosiedmioletnia twórczyni z Los Angeles zbudowała na OnlyFans grono 8700 płacących subskrybentów na treściach modowych i fitnessowych. Atak phishingowy doprowadził do przejęcia jej konta. Sprawca żądał 10 000 dolarów, grożąc wrzuceniem całej treści na darmowe serwisy torrentowe i wysłaniem każdemu subskrybentowi jej prawdziwego imienia, nazwiska, adresu domowego i numeru telefonu. Pomoc techniczna OnlyFans podała 48-godzinny czas reakcji. W panice przelała sprawcy 3000 dolarów jako wyraz dobrej woli. Żądania nie ustały.
Nasze rozwiązanie
Altahonos wykorzystał bezpośredni kanał eskalacji na platformie, aby obejść standardową pomoc techniczną OnlyFans i uruchomić awaryjne odzyskanie konta. Przygotowano łączone podejście do usuwania treści, oparte na prawie autorskim i ochronie prywatności, obejmujące jednocześnie serwisy torrentowe i platformy z treściami. Zabezpieczono jej prywatną skrzynkę e-mail uwierzytelnianiem dwuskładnikowym. Przygotowano i opublikowano komunikat dla subskrybentów, aby zapobiec panice wśród jej odbiorców.
Wszystko, co zbudowała, było zagrożone
Budowała to dwa lata. 8700 płacących subskrybentów. Marka modowo-fitnessowa, która działała, bo ludzie ufali treściom i postaci za nimi stojącej. Jej prawdziwa tożsamość była oddzielna. Ten rozdział był fundamentem, na którym stało wszystko inne.
A potem jednego ranka nie mogła się zalogować.
Przejęcie konta
Phishingowy e-mail wyglądał wystarczająco wiarygodnie. Jedno kliknięcie, wpisane dane logowania, konto przejęte. Kiedy zrozumiała, co się stało, ktoś inny był już w jej koncie na OnlyFans.
Wiadomość przyszła szybko: "10 000 dolarów albo wrzucam wszystko na darmowe serwisy torrentowe. I wysyłam wszystkim 8700 subskrybentom Twoje prawdziwe imię i nazwisko, Twój adres domowy i Twój numer telefonu".
Dwie groźby jednocześnie. Groźba dotycząca treści była zła. Groźba dotycząca tożsamości była katastrofalna.
Natychmiast zgłosiła się do pomocy technicznej OnlyFans. Podali 48-godzinny czas reakcji. Czterdzieści osiem godzin ze sprawcą wewnątrz jej konta i skrzynkami subskrybentów w zasięgu jednego kliknięcia.
W panice przelała 3000 dolarów. Wyraz dobrej woli, tak to sobie tłumaczyła. Coś, co kupi czas, dopóki platforma nie zareaguje.
Nie kupiło nic.
Dlaczego prawdziwym zagrożeniem była tożsamość
Większość ludzi zakłada, że przy przejęciu konta twórcy głównym problemem są treści. W rzeczywistości dla twórców, którzy utrzymują rozdział między swoją postacią w sieci a prawdziwą tożsamością, groźba ujawnienia tożsamości jest znacznie poważniejsza.
Treści da się usunąć na podstawie prawa autorskiego. Pliki wrzucone na torrenty da się zgłosić i zdjąć. Ale gdy prawdziwe imię, nazwisko, adres i numer telefonu dotrą do tysięcy skrzynek, tych informacji nie da się już odwołać. Zostają na stałe w rękach tysięcy obcych ludzi.
Rozumiała to. Żądanie 10 000 dolarów było niemal drugorzędne. Priorytetem było niedopuszczenie, by jej tożsamość dotarła do tych 8700 subskrybentów.
Potrzebujesz pomocy specjalistów?
Nasz zespół rozwiązał tysiące spraw. Uzyskaj poufne wsparcie teraz.
Co zrobiliśmy
Standardowa pomoc techniczna OnlyFans była zbyt wolna. Wykorzystaliśmy bezpośredni kanał eskalacji na platformie, aby uruchomić awaryjne odzyskanie konta, całkowicie omijając standardową kolejkę. To nie jest ścieżka dostępna publicznie. Wymaga wiedzy, gdzie się zwrócić i jak sformułować zgłoszenie awaryjne.
W trakcie odzyskiwania konta przygotowano łączone podejście do usuwania treści, oparte na prawie autorskim i ochronie prywatności. Gdyby sprawca zdążył już wrzucić materiały na serwisy torrentowe albo darmowe strony, wnioski o usunięcie zostałyby natychmiast złożone na wszystkich ustalonych platformach.
Jej prywatna skrzynka e-mail, czyli punkt wejścia pierwotnego ataku phishingowego, została zabezpieczona uwierzytelnianiem dwuskładnikowym. Ta sama luka nie byłaby dostępna po raz drugi.
Przygotowano i opublikowano komunikat dla subskrybentów: "Konto wstrzymane, wracam wkrótce". Krótko, spokojnie, bez szczegółów. Na tyle, by zapobiec zamieszaniu i rezygnacjom w czasie, gdy konto było niedostępne.
Dwadzieścia trzy godziny później
Pełny dostęp do konta przywrócono w ciągu 23 godzin od kontaktu z Altahonos.
Jej prawdziwe imię, nazwisko, adres i numer telefonu nie dotarły do żadnego subskrybenta. Groźba ujawnienia tożsamości została zatrzymana, zanim mogła zostać zrealizowana.
Po zgłoszeniu się do nas nie zapłaciła sprawcy nic więcej. Drugie żądanie, które przyszło w trakcie odzyskiwania konta, zostało zignorowane.
Konto pozostało nieaktywne około miesiąca, podczas gdy wzmacniano jego bezpieczeństwo. Utracone w tym czasie przychody oszacowano na około 2400 dolarów. Wszystko inne pozostało nienaruszone.
Dla twórców tożsamość jest tym najcenniejszym
Ta sprawa pokazuje coś charakterystycznego dla kont twórców: okup rzadko jest prawdziwym zagrożeniem. Prawdziwym zagrożeniem jest to, czego nie da się odwrócić.
Treści da się usunąć. Konta da się odzyskać. Ale prawdziwej tożsamości, raz rozesłanej do tysięcy subskrybentów, nie da się już cofnąć.
Eskalacja po stronie platformy połączona z ochroną tożsamości obsługuje jedno i drugie w ramach jednego ruchu. Standardowa pomoc techniczna tego nie robi.
Jeśli Twoje konto twórcy zostało przejęte
Nie płać. Płatność jako wyraz dobrej woli sygnalizuje gotowość do rozmowy i nie zatrzymuje groźby. Nie czekaj na standardową pomoc platformy, jeśli groźba jest aktywna.
Przejęte konto twórcy? Najpierw chroń swoją tożsamość, skontaktuj się z nami.
"Zapłaciłam 3000 dolarów, myśląc, że kupię sobie czas. Nie kupiłam. Altahonos odzyskał moje konto w 23 godziny i żaden z subskrybentów nigdy nie dowiedział się, kim naprawdę jestem."— Anonymous
Najczęstsze pytania
Phishingowy e-mail, podszywający się pod oficjalną wiadomość OnlyFans, przechwycił dane logowania. To najczęstszy punkt wejścia przy przejęciach kont twórców. Zabezpieczenie prywatnej skrzynki e-mail uwierzytelnianiem dwuskładnikowym jest pierwszą linią obrony po odzyskaniu konta.
Standardowe kolejki obsługują tysiące zgłoszeń. Czterdziestoośmiogodzinny czas reakcji jest typowy. Bezpośrednie kanały eskalacji na platformie istnieją dla sytuacji awaryjnych, ale nie są publicznie udokumentowane. Wiedza, jak z nich korzystać, to różnica między odzyskaniem konta w 23 godziny a kilkudniowym czekaniem.
Standardowy wniosek dotyczy naruszenia praw autorskich. Dodanie podstawy z zakresu ochrony danych osobowych obejmuje zarówno samą treść, jak i wszelkie dane identyfikujące, które mogły zostać rozpowszechnione. Razem pokrywają więcej platform i dają szybsze rezultaty.
Samej płatności najprawdopodobniej nie da się odzyskać. Realnym rezultatem jest natomiast zatrzymanie kolejnego żądania i odzyskanie konta bez dalszych strat. Ta sprawa zatrzymała się na 3000 dolarów, zamiast dojść do 10 000 albo dalej.
O autorze
Altahonos Team
Zespół Altahonos to specjaliści od cyberbezpieczeństwa i zarządzania reputacją w sieci, z szerokim doświadczeniem w ograniczaniu zagrożeń cyfrowych i w strategiach usuwania treści, którzy pomagają osobom prywatnym i firmom chronić ich obecność w sieci.