A dada altura, uma grande parte dos utilizadores de internet recebe um email a afirmar que o remetente tem material comprometedor, pirateou o seu computador, ou o gravou através da própria webcam, e a exigir um pagamento em criptomoeda para evitar que seja partilhado com contactos, família ou o público. Esta é uma das formas mais comuns de fraude relacionada com criptomoeda, e funciona porque é concebida para desencadear pânico antes de a vítima pensar com clareza. Este guia explica como estas burlas realmente funcionam, por que a bitcoin é quase sempre o pagamento exigido, e o que fazer genuinamente se receber uma.
A Estrutura Básica de um Email de Extorsão Cripto
Apesar de inúmeras variações, a grande maioria destas mensagens segue um modelo quase idêntico, o que é em si uma pista útil sobre como são produzidas e distribuídas em grande escala.
- Uma alegação de que o remetente instalou malware no seu dispositivo, muitas vezes citando uma palavra-passe que realmente usou como prova, tipicamente obtida de uma fuga de dados antiga e não relacionada
- Uma alegação de que o gravaram através da sua webcam enquanto visitava um website adulto, ou que acederam a fotografias, mensagens ou ficheiros privados
- Uma ameaça de enviar esse material a toda a sua lista de contactos, publicá-lo, ou notificar o seu empregador ou família, a menos que o pagamento seja feito dentro de um prazo curto, muitas vezes 24 a 48 horas
- Uma exigência de pagamento especificamente em bitcoin, enviado para um endereço de carteira incluído diretamente no email
- Linguagem concebida para desencorajar a denúncia, como uma alegação de que estão a monitorizar a sua resposta ou de que envolver a polícia vai desencadear a libertação imediata do material
Na esmagadora maioria dos casos documentados, isto é um blefe completo. Não há malware real, nem gravação de webcam, nem material comprometedor. O email é enviado em massa para listas de correio enormes, e a palavra-passe antiga incluída como prova foi retirada de uma fuga de dados anteriormente exposta e não relacionada, que nada tem a ver com o seu dispositivo atual.
Um Exemplo Prático, Anotado Linha a Linha
Uma mensagem típica abre com uma linha como, sei que a sua palavra-passe é [uma palavra-passe antiga e real], tenho acesso total ao seu dispositivo. Esta linha baseia-se inteiramente no choque do destinatário ao ver uma palavra-passe real, e quase sempre tem origem numa fuga de dados de algum website não relacionado, anos antes, não de qualquer acesso atual real. Continua com algo como, instalei um trojan através de um website adulto que visitou, e gravei vídeo através da sua webcam. Esta alegação é genérica por design, para se aplicar amplamente ao maior número possível de destinatários, e é apresentada com linguagem técnica confiante e específica, malware, trojan, ferramenta de acesso remoto, para soar mais credível do que realmente é.
A mensagem tipicamente indica então um prazo, envie o equivalente a algumas centenas de dólares em bitcoin para o seguinte endereço dentro de 48 horas ou vou enviar este vídeo a toda a gente na sua lista de contactos. A especificidade do valor em dólares e o prazo curto são ambos táticas de pressão deliberadas. Costuma terminar com um aviso contra contactar a polícia, já que estou a monitorizar a sua caixa de entrada, uma alegação sem qualquer base técnica, dado que o remetente não tem qualquer acesso real ao dispositivo ou contas do destinatário. Ler o email identificando cada uma destas táticas individualmente torna o blefe muito mais fácil de reconhecer do que lê-lo num momento de pânico.
Equívoco Comum: Pagar Uma Vez Vai Terminar Com Isto
Um número significativo de pessoas que pagam uma exigência de extorsão em massa fazem-no acreditando que isso resolve a situação permanentemente. Na prática, pagar confirma duas coisas ao remetente: que o endereço de email do alvo está ativo e monitorizado, e que o alvo está disposto a pagar sob pressão. Ambos os factos tornam um alvo repetido mais valioso, não menos, e é comum que a mesma campanha de extorsão, ou uma diferente, siga contra alguém que já pagou uma vez, por vezes dentro de semanas, muitas vezes com uma exigência mais alta na segunda vez. Não existe qualquer etapa de verificação, nenhuma confirmação, e nenhum registo real de quem pagou ou não, para além do que a própria carteira bitcoin do remetente mostra, e mesmo isso não oferece qualquer forma real ao remetente de distinguir um pagamento como final versus um pagamento como um convite para tentar de novo.
Por Que Bitcoin Especificamente
A bitcoin é esmagadoramente a moeda de eleição nestas campanhas, por razões práticas e não por qualquer ligação especial à própria ameaça. Pode ser enviada globalmente sem um intermediário bancário, não exige que a identidade do remetente seja verificada da forma que uma transferência bancária exigiria, e um endereço de carteira pode ser gerado instantaneamente e usado num volume enorme de emails idênticos enviados a diferentes alvos. A investigação que analisa campanhas de sextorsão descobriu bitcoin usada em praticamente todos os casos documentados, precisamente porque estas propriedades a tornam o caminho de menor resistência para um burlão a operar em escala, e não a visar qualquer indivíduo específico.
Quão Comum e Quão Dispendioso Isto Realmente É
A extorsão figura consistentemente entre as categorias mais reportadas de crime na internet nos dados do FBI, com dezenas de milhares de denúncias anualmente só nos Estados Unidos, e perdas financeiras reportadas na casa das dezenas de milhões de dólares por ano. Os pagamentos individuais tendem a ser relativamente modestos para os padrões de fraude cripto, muitas vezes numa faixa de algumas centenas a alguns milhares de dólares, o que é em si uma escolha deliberada, já que uma exigência menor tem mais probabilidade de ser paga rapidamente por um destinatário em pânico, sem pausar para verificar a ameaça.
Uma Variante Mais Séria: Sextorsão Direcionada
Uma categoria distinta e consideravelmente mais séria envolve casos em que a ameaça não é um blefe, na maioria das vezes visando menores ou jovens adultos que foram anteriormente manipulados para partilhar imagens ou vídeo reais através de uma relação online fabricada, por vezes construída através de um perfil de encontros falso ou contacto nas redes sociais ao longo de um período prolongado. Esta variante, por vezes chamada sextorsão financeira, tem sido associada a grupos criminosos organizados a operar internacionalmente e resultou em desfechos trágicos documentados. Se existe genuinamente material real por causa de uma relação online anterior, isto deve ser tratado como um assunto criminal sério e denunciado imediatamente às forças da lei e, em casos que envolvam menores, ao National Center for Missing and Exploited Children, em vez de ser tratado como um email de spam rotineiro.
Como distinguir um blefe de um caso genuíno
A distinção resume-se geralmente a uma pergunta simples: houve algum relacionamento, conversa ou troca de imagens real com a pessoa que faz a ameaça, mesmo que essa relação se tenha revelado construída sobre uma identidade falsa. Um email de extorsão em massa surge do nada, sem contacto prévio, e não referencia nada específico sobre o destinatário para além de uma palavra-passe reciclada. Um caso direcionado segue semanas ou meses de conversa real, muitas vezes numa aplicação de encontros, rede social ou aplicação de mensagens, durante os quais imagens ou vídeo foram genuinamente partilhados, e a pessoa que faz as exigências consegue produzir esse material real porque de facto o tem. Se nunca houve qualquer relação ou troca prévia, trate a ameaça como quase certamente um blefe. Se houve, trate-a como um assunto genuíno e sério que exige o envolvimento das forças da lei, e não uma decisão a tomar sozinho.
O Que Fazer Realmente Se Receber Um
- Não pague. O pagamento não faz a ameaça desaparecer, e confirma ao remetente que o seu endereço de email pertence a alguém disposto a pagar, o que frequentemente leva a exigências repetidas
- Não responda ao email nem se envolva de forma alguma com o remetente, já que isto também confirma que o endereço está ativo e monitorizado
- Mude a palavra-passe referenciada no email se ainda a usar em algum lugar, e verifique se essa palavra-passe aparece numa fuga de dados conhecida usando um serviço de boa reputação de verificação de fugas
- Ative a autenticação de dois fatores nas suas contas importantes, particularmente o email, já que o comprometimento do email é um vetor comum para uma vasta gama de fraudes não relacionadas
- Denuncie o email ao Internet Crime Complaint Center do FBI em ic3.gov, incluindo a mensagem completa e o endereço bitcoin se algum tiver sido fornecido, o que ajuda as agências a acompanhar e ocasionalmente perturbar estas campanhas
Se tiver uma razão genuína para acreditar que o seu dispositivo está de facto comprometido, separadamente das alegações no próprio email, como atividade de conta inexplicada ou software que não instalou, trate isso como o seu próprio incidente de segurança e mande revisar o dispositivo profissionalmente, em vez de assumir que as alegações do email de extorsão são exatas só porque outra coisa parece estar errada.
Se Já Pagou
Se pagou uma exigência de extorsão, primeiro confirme se seguem novas exigências, já que pagar uma vez frequentemente leva a uma segunda exigência, maior, em vez de resolução. Denuncie o pagamento através do IC3, e preserve o email original e os detalhes da transação, incluindo o endereço de carteira e o hash da transação. Embora recuperar fundos enviados a um extorsionista seja difícil, já que estas operações são especificamente construídas para evitar identificação, a transação pode por vezes ser rastreada como parte de uma investigação mais ampla, semelhante ao processo descrito no nosso guia sobre como rastrear Bitcoin roubado, mesmo quando um resultado específico de recuperação individual não pode ser prometido.
Vale também a pena estar atento a um seguimento previsível: ser contactado depois por alguém a oferecer ajuda para recuperar o dinheiro que já pagou, o que é frequentemente em si uma burla de recuperação, abordada no nosso guia sobre burlas de recuperação de criptomoeda.
- O email original completo, incluindo cabeçalhos se possível, já que os dados de cabeçalho podem por vezes revelar a infraestrutura de envio mesmo quando o endereço do remetente visível é falsificado
- O endereço bitcoin para o qual a exigência foi enviada, e o hash da transação se um pagamento foi feito
- Quaisquer capturas de ecrã ou anexos que o remetente tenha incluído como suposta prova
- Uma nota da data e hora exatas em que o email chegou e, se um pagamento foi feito, a data e hora exatas dessa transação
Perguntas frequentes
Quase sempre de uma fuga de dados antiga e não relacionada, num outro website ou serviço, onde a sua combinação de email e palavra-passe foi exposta e mais tarde circulada ou vendida em massa em mercados criminosos. Não significa que o seu dispositivo ou contas atuais estejam realmente comprometidos, mas significa que deve deixar de reutilizar essa palavra-passe em qualquer lugar.
Isto é perturbador mas continua geralmente a fazer parte do mesmo blefe, já que detalhes pessoais como um endereço ou número de telefone estão muitas vezes incluídos nos mesmos conjuntos de dados comprometidos ou são comprados separadamente a partir de fugas de agregadores de dados, e não indicam por si só que o remetente tem material comprometedor real ou acesso contínuo ao seu dispositivo.
Estas campanhas são tipicamente geridas por grupos organizados a operar a partir do estrangeiro, usando bitcoin especificamente porque complica o rastreamento, o que torna as detenções individuais pouco comuns para campanhas de massa rotineiras. Denunciar continua a importar, já que as denúncias agregadas apoiam ações mais amplas das forças da lei contra a infraestrutura criminosa maior por trás destas campanhas.
Um email de extorsão em massa é um blefe enviado a um número enorme de destinatários sem qualquer acesso real a nenhum dispositivo. O ransomware é uma infeção real de malware que efetivamente encripta os ficheiros ou sistemas de uma vítima, e a exigência de extorsão segue um comprometimento técnico genuíno e verificável, o que o nosso guia sobre pagamentos de ransomware aborda em detalhe.
A própria transação pode geralmente ser rastreada na blockchain da mesma forma que qualquer outro pagamento em criptomoeda, seguindo o endereço de carteira através dos saltos subsequentes. Se esse rasto leva a algo acionável depende de para onde os fundos eventualmente se moveram, já que os operadores de extorsão em massa tipicamente branqueiam pagamentos pequenos rapidamente, mas denunciar o hash da transação e o endereço de carteira ainda contribui para esforços investigativos mais amplos.
Fontes e leituras adicionais
- Sextortion Scams · Chainabuse
- Scam Alert: Beware of sextortion emails · Better Business Bureau
- Cryptocurrency Crime Information · Internet Crime Complaint Center, Federal Bureau of Investigation