"Włamałem się do Twojej kamery, wyślij BTC": jak rozbroiłem e-mail, który odebrał mi 3 noce snu

Trzydziestoczteroletni księgowy z Nowego Jorku otworzył rano skrzynkę i znalazł e-mail z groźbą, w którym na samej górze widniało jego własne hasło. Wiadomość była bezpośrednia: "1500 dolarów w BTC w ciągu 48 godzin albo Twoje kontakty dostaną nagranie, które zrobiłem Twoją kamerą". Znajome hasło zmroziło go. Przez trzy nieprzespane noce szukał informacji o tym, jak kupić BTC. Był dwa kliknięcia od wysłania pieniędzy.

Altahonos w trakcie trzydziestominutowej bezpłatnej konsultacji powiązał hasło z wyciekiem danych Collection #1 z 2019 roku. Potwierdzono, że e-mail został wysłany masowo przez bota do milionów osób. Żadne urządzenie nie zostało naruszone, żadne nagranie nie istniało. Na wszystkich krytycznych kontach wdrożono uwierzytelnianie dwuskładnikowe i uruchomiono siedmiodniowy monitoring wycieków.

Co się stało?

Zwyczajny poranek. Otwarta skrzynka. I tam, w pierwszej linii wiadomości: stare hasło. Jego hasło. Takie, którego używał lata temu i ledwo je pamiętał.

E-mail brzmiał dalej: "Mam dostęp do wszystkich Twoich urządzeń. Nagrałem materiał Twoją kamerą internetową. Wyślij 1500 dolarów w BTC w ciągu 48 godzin albo Twoje kontakty otrzymają nagranie".

Trzydziestoczteroletni księgowy z Nowego Jorku zamarł. Hasło było prawdziwe. Używał go latami. Czy reszta też była prawdziwa?

Trzy dni, zero snu

Pierwszym odruchem było usunąć i iść dalej. Ale coś go zatrzymało: to hasło. Nie było przypadkowe. Było naprawdę jego. A jeśli faktycznie mają dostęp?

Myślał o pójściu na policję. Ale co, jeśli nagranie jest prawdziwe? Jego współpracownicy. Jego rodzina. Jego klienci. W takim stanie paniki jasne myślenie było niemal niemożliwe. Myśli wracały do tego samego pytania: "Co się stanie, jeśli to wyślą?".

Nie mógł spać po nocach. W ciągu dnia sprawdzał telefon w środku spotkań z klientami. Tracił wątek rozmowy. Przez trzy dni żył w tej pętli.

Szukał informacji o tym, jak kupić bitcoina. Otworzył konto na giełdzie kryptowalut. Przeszedł weryfikację tożsamości. Dotarł do ekranu przelewu. Wpisał kwotę. Był dwa kliknięcia od wysłania.

Zatrzymał się. I zadzwonił do Altahonos.

Jak naprawdę działa ten atak

Takie e-maile są znane jako masowe wysyłki botów sekstorsyjnych. Działa to tak: sprawcy kupują z dark webu listy milionów adresów e-mail wraz z dopasowanymi starymi hasłami. Te listy pochodzą z dużych wycieków danych, które zdarzyły się lata temu. LinkedIn, Adobe, MySpace, setki mniejszych serwisów. Miliardy danych logowania wciąż dziś krążą w obiegu.

Sprawca wysyła ten sam e-mail do każdej osoby z listy. Jedyna różnica polega na tym, że w każdej wiadomości znajduje się prawdziwe hasło danej osoby. Ten jeden szczegół sprawia, że wiadomość wydaje się osobista i wiarygodna. Tworzy wrażenie, że ktoś naprawdę Cię zna.

W rzeczywistości żadne urządzenie nie zostaje naruszone. Żadne nagranie nie powstaje. Sprawca ma listę, szablon i automatyczny system wysyłki. Ten sam e-mail trafia jednocześnie do tysięcy osób w każdym kraju.

Większość odbiorców go usuwa. Niewielki odsetek płaci. Dla sprawcy ten odsetek jest więcej niż wystarczający. Koszt jest niemal zerowy, płatność natychmiastowa i nie zostawia śladu.

Trzydzieści minut zmieniło wszystko

W pierwszych dziesięciu minutach konsultacji ustaliliśmy źródło hasła: wyciek danych Collection #1 z 2019 roku. Był to jeden z największych odnotowanych wycieków danych logowania, w którym w jednym zdarzeniu ujawniono 773 miliony adresów e-mail i miliardy haseł. Jego hasło leżało na liście w dark webie od lat.

Sprawca nigdy nie dotknął jego urządzeń. Po prostu wziął z tej listy adres e-mail z dopasowanym hasłem i wysłał tę samą wiadomość do milionów ludzi. E-mail był bluffem. W całości. Żadne urządzenie nie zostało naruszone. Żadne nagranie nie zostało zrobione. Żadne nagranie nigdy nie istniało.

Następnie wdrożyliśmy uwierzytelnianie dwuskładnikowe na wszystkich jego krytycznych kontach. Uruchomiono siedmiodniowy monitoring wycieków. Gdyby pojawił się jakikolwiek nowy sygnał zagrożenia powiązany z jego adresem e-mail, zostałby natychmiast powiadomiony.

Kiedy to się skończyło

Nie zapłacił nic. Żadne nagranie nigdzie nie poszło, bo żadne nie istniało. Zamknął ekran przelewu i wycofał pieniądze z giełdy.

Dziewięć miesięcy później kontrola potwierdziła, że wszystko jest w porządku. Konta zabezpieczone, żadnych nowych zagrożeń, uwierzytelnianie dwuskładnikowe aktywne.

Jeśli dostałeś taki sam e-mail

Ta wiadomość trafia codziennie do dziesiątek tysięcy ludzi. W Stanach Zjednoczonych, w Europie i w każdym zakątku świata. Widok prawdziwego hasła w temacie ma Cię zmrozić. Ale to hasło jest dowodem wycieku danych, a nie włamania do kamery. To dwie zupełnie różne rzeczy.

Czego nie robić: nie płać. Osoby, które zapłacą raz, zwykle dostają drugie żądanie. Właśnie zasygnalizowałeś, że na Tobie to działa. Nie daj się przycisnąć czterdziestoośmiogodzinnemu terminowi. To zabieg psychologiczny, a nie prawdziwe odliczanie.

Co zrobić: nie usuwaj e-maila, zrób zrzut ekranu. Wejdź na haveibeenpwned.com, wpisz swój adres e-mail i w kilka sekund sprawdź, w których wyciekach się pojawiasz. Zmień hasło na każdym koncie, na którym go używałeś. Włącz uwierzytelnianie dwuskładnikowe.

Jeśli nadal nie jesteś pewien, poświęć pięć minut, zanim zapłacisz choćby złotówkę. Prawda czy bluff, powiemy Ci od razu. Dostałeś taki sam e-mail? Skontaktuj się z nami i sprawdź to bezpłatnie, zanim cokolwiek zapłacisz.