Sinds juli zien cybersecurity onderzoekers, journalisten en slachtoffers een grote toename van afpersingsbrieven en -e-mails waarin de chanteurs zeggen dat ze je webcam gehackt hebben terwijl je porno keek. Als je niet betaalt, slingeren ze de (niet-bestaande) video het web op, claimen ze.Volgens onderzoekers is deze scam vrij winstgevend. Vooral aangezien ze helemaal niet zoveel werk hoeven te verrichten.
Advertentie
De scammers zorgen dat ze geloofwaardig overkomen door de slachtoffers een van hun eigen wachtwoorden toe te sturen. Waarschijnlijk hebben ze dit gewoon gevonden door een datalek of een openbare lijst van gehackte wachtwoorden, maar het is een succesvolle tactiek om te intimideren.“Het verontrustende is dat deze fraudeurs [ongeveer 430,000 euro] wisten te scammen met weinig moeite en wat oude wachtwoorden die online voor het oprapen lagen, vertelt Suman Kar, CEO van Banbreach, een cybersecurity-fima uit Calcutta, aan Motherboard in een online chat.In juli rapporteerde de Amerikaanse cybersecurity journalist Brian Krebs over de nieuwe golf aan sextortion e-mails (afpersing met een seksueel getinte foto of video van het slachtoffer).“Ik weet dat [een wachtwoord van het slachtoffer] jouw wachtwoord is.” Zo begint een van de de e-mails die Krebs gepubliceerd heeft.“Eerst hebben we opgenomen wat jij aan het kijken was (en je hebt smaak hoor, haha), en daarna hebben we opnames gemaakt vanuit jouw webcam (Ja! We hebben het over jou terwijl je vies bezig bent!),” vervolgt de e-mail. Daarna wordt geëist wordt dat het slachtoffer even 1200 euro in bitcoin overmaakt naar een specifiek bitcoin-adres.Het is een hels voorstel, maar moeilijk om te negeren. In een spreadsheet die Banbreach met Motherboard deelde, is te zien dat het bedrijf onderzoek heeft gedaan naar ongeveer 770 online bitcoinportemonnees (zogenaamde wallets). De meerderheid, ongeveer 540 wallets, heeft niets ontvangen. Maar er stonden meer dan 1,000 transacties op naam van de andere 230 wallets, die in totaal zo’n 70.8 BTC ontvingen.Deze cijfers zijn waarschijnlijk slechts een milde aanname, omdat Banbreach niet (de meerderheid van) alle sextortion e-mails heeft kunnen onderscheppen. Volgens Kar heeft Banbreach verschillende bitcoin adressen verzameld die met deze vorm van afpersing te linken zijn. Die hebben ze gevonden door het doorspitten van reacties onder gerelateerde berichtgeving in de media en ze uit artikelen van journalisten te halen. Kar zei dat het bedrijf ook rapporten heeft opgesteld van slachtoffers in India, waar oplichters zich op dit moment voornamelijk op focussen. “1000 dollar is veel geld voor de gemiddelde Indiër,” vertelt Kar.Banbreach gelooft dat een deel van de wachtwoorden om slachtoffers erin te luizen gevonden is via het datalek bij LinkedIn en de Anti-Public Combo datalekken, een grote verzameling van verschillende datacaches met meerdere bronnen.Deze twee lekken staken de kop op toen ze naar e-mailadressen van sextortion-slachtoffers zochten op de datalekwebsite Have I Been Pwned, vertelde Banbreach. Toch is het nog steeds moeilijk om met zekerheid te stellen waar de wachtwoorden vandaan komen, voegde het bedrijf eraan toe.