I leak di ShinyHunters alimentano una sextortion da 1.834 euro

🛡️ Executive Summary

• I truffatori riutilizzano indirizzi email provenienti da leak attribuiti a ShinyHunters per rendere credibili false minacce di sextortion.
• Le email chiedono 1.834 euro in Bitcoin, ma non dimostrano accessi a webcam, microfoni, account o dispositivi delle vittime.
• OnTrac ha notificato un accesso non autorizzato ai propri sistemi e offre dodici mesi di monitoraggio dell’identità ai clienti coinvolti.

Indirizzi email provenienti da violazioni attribuite a ShinyHunters vengono riutilizzati in una campagna di sextortion che pretende il pagamento di 1.834 euro in Bitcoin entro 48 ore. I messaggi citano aziende realmente colpite da precedenti data breach per convincere le vittime che i loro dispositivi siano sotto controllo, ma non contengono prove di accessi a webcam, microfoni o computer. Nello stesso periodo, la società di consegne statunitense OnTrac ha iniziato a notificare ai clienti una violazione della propria rete, dopo che soggetti non identificati hanno consultato file contenenti dati personali tra il 20 e il 22 marzo 2026.

I dati rubati rendono credibile la falsa sextortion

La campagna sfrutta informazioni già esposte in precedenti violazioni e successivamente pubblicate o messe in circolazione. Gli autori inviano messaggi da indirizzi casuali, utilizzando come nome del mittente ShinyHunters oppure la formula “You’ve Been HACKED”. L’oggetto, “Information about your online security”, introduce un testo nel quale il truffatore sostiene di avere compromesso il dispositivo della vittima diversi mesi prima attraverso i database di un’azienda violata. Il messaggio può citare servizi realmente utilizzati dal destinatario, come CarGurus, aumentando la credibilità della minaccia senza richiedere un nuovo accesso ai sistemi. Gli autori affermano di avere installato exploit su telefoni e computer, di controllare fotocamera, microfono e tastiera e di possedere registrazioni delle visite a siti per adulti. Nessuna evidenza accompagna però queste dichiarazioni. La truffa si basa esclusivamente sulla disponibilità di un indirizzo email e, in alcuni casi, sulla conoscenza del servizio dal quale il dato è stato sottratto. Il meccanismo conferma come i dati Salesforce sottratti attraverso campagne attribuite a ShinyHunters possano continuare a generare rischi anche dopo la compromissione iniziale, passando dalle mani del gruppo originario a criminali indipendenti.

La richiesta di Bitcoin sfrutta paura e urgenza

Le email impongono il trasferimento di 1.834 euro in Bitcoin entro 48 ore e minacciano di inviare presunti video intimi a familiari, amici e colleghi. Il testo invita la vittima a non contattare la polizia, non rispondere al messaggio e non tentare di ripristinare il dispositivo, sostenendo che i file compromettenti siano già archiviati su server remoti. Queste istruzioni servono a isolare il destinatario e a impedire verifiche che smonterebbero rapidamente la minaccia. La somma richiesta è abbastanza elevata da produrre un guadagno significativo, ma può apparire sostenibile a una persona spaventata dalla prospettiva di un danno reputazionale. La campagna, segnalata a partire da aprile 2026, ha generato testimonianze su Reddit, Facebook e attraverso avvisi diffusi da alcune delle organizzazioni citate. Il modello riprende schemi di sextortion osservati da anni, nei quali i criminali sostituiscono progressivamente le vecchie password esposte con dettagli più recenti provenienti da data breach. La stessa pressione psicologica caratterizza le truffe di sextortion diffuse attraverso FaceTime, iMessage e altre piattaforme Apple, dove il valore dell’attacco deriva dalla paura e non dalla reale disponibilità di contenuti compromettenti.

ShinyHunters nega qualsiasi coinvolgimento diretto

Nei messaggi vengono citate violazioni associate ad aziende come Amtrak, Hallmark, Substack, Betterment, CarGurus, ADT, Panera Bread e McGraw Hill. La presenza di nomi reali rende l’email più difficile da liquidare immediatamente come spam, soprattutto quando il destinatario possiede effettivamente un account presso uno dei servizi indicati. Betterment ha confermato di avere ricevuto segnalazioni dai propri clienti, precisando che conoscere un indirizzo email non permette di installare malware o controllare un dispositivo. L’azienda ha invitato gli utenti a non rispondere, non aprire allegati, non selezionare eventuali collegamenti e cancellare il messaggio. ShinyHunters ha negato di avere organizzato la campagna, sostenendo che soggetti terzi stiano utilizzando il nome del gruppo e dataset precedentemente pubblicati. Non emergono indicatori tecnici che colleghino direttamente gli autori delle email all’infrastruttura o agli operatori originari. Il caso mostra però una conseguenza strutturale dei grandi leak: una volta diffusi, i dati possono essere copiati, ricombinati e riutilizzati indefinitamente da attori differenti, rendendo impossibile per l’organizzazione violata controllarne gli impieghi successivi.

OnTrac rileva l’accesso il giorno successivo

Parallelamente, OnTrac, società statunitense specializzata nelle consegne dell’ultimo miglio per l’e-commerce, ha comunicato una violazione della propria rete. Soggetti non identificati hanno ottenuto accesso a file aziendali tra il 20 e il 22 marzo 2026, mentre l’attività è stata individuata il 23 marzo. L’azienda, nata dalla fusione tra OnTrac Logistics e LaserShip, opera in 102 sedi distribuite in 35 Stati, raggiunge circa il 70 per cento della popolazione statunitense e collabora con oltre 7.000 corrieri indipendenti. Le notifiche inviate ai clienti confermano il coinvolgimento dei nomi, ma non chiariscono completamente tutte le categorie di informazioni consultate né il numero complessivo delle persone interessate. Nessun gruppo ransomware o collettivo specializzato nell’estorsione ha rivendicato pubblicamente l’intrusione. OnTrac ha incaricato uno specialista esterno di ricostruire la portata dell’incidente e ha dichiarato di avere adottato misure per proteggere nuovamente i dati e impedirne la distribuzione. La formulazione non permette di stabilire se l’azienda abbia comunicato con gli aggressori o raggiunto un accordo, mentre non risultano conferme di pagamenti.

Il monitoraggio non elimina i rischi successivi

OnTrac offre alle persone coinvolte dodici mesi di monitoraggio del credito e protezione dell’identità attraverso CyberScout, con un termine di 90 giorni per l’iscrizione. L’azienda consiglia inoltre di verificare estratti conto e rapporti di credito e di valutare l’attivazione di un avviso di frode o del blocco preventivo del credito. Al momento della notifica, OnTrac afferma di non avere rilevato utilizzi fraudolenti né pubblicazioni dei dati consultati. L’assenza di abusi immediati non esclude però impieghi futuri, perché le informazioni personali possono riemergere dopo mesi all’interno di campagne di phishing, furti di identità o tentativi di social engineering. I recenti data breach che hanno coinvolto aziende internazionali e grandi fornitori mostrano come la fase di notifica rappresenti soltanto l’inizio della gestione dell’incidente. Per chi riceve una falsa email di sextortion, la risposta corretta resta non pagare, non interagire e conservare eventualmente il messaggio per una segnalazione alle autorità. Per i clienti OnTrac, il monitoraggio deve essere accompagnato da attenzione verso comunicazioni personalizzate che potrebbero sfruttare dati reali per costruire nuove truffe.