FBI allerta sulla sextortion mentre un membro di The Com finisce in carcere

🛡️ Executive Summary

• L’FBI avverte che gruppi di sexual exploitation rubano contenuti intimi violando account social e personali per venderli o usarli in nuove estorsioni.
• La NCA britannica ha individuato 117 ragazze tra 13 e 17 anni collegate alle attività di Justin Swaddle, membro di un gruppo The Com.
• I due casi non sono formalmente collegati, ma mostrano la convergenza tra account takeover, raccolta di dati personali, sextortion e comunità criminali online.

Il furto di account, la sottrazione di immagini intime e la sextortion stanno convergendo in un ecosistema criminale nel quale il materiale rubato continua a produrre vittime anche dopo la prima compromissione. Il 10 agosto l’FBI, attraverso l’Internet Crime Complaint Center, ha avvertito di gruppi specializzati nell’accesso illegale ad account social e personali per sottrarre contenuti intimi, associarli a informazioni identificative e distribuirli o venderli su marketplace criminali. Nello stesso giorno, nel Regno Unito, Justin Swaddle, ventenne di Leeds collegato a un gruppo The Com, è stato condannato a due anni di carcere dopo un’indagine della National Crime Agency che ha identificato 117 vittime minorenni nel mondo. I due procedimenti non vengono collegati direttamente dalle autorità, ma descrivono due lati della stessa economia dell’abuso digitale.

L’FBI avverte sul furto di contenuti intimi dagli account

Il nuovo Public Service Announcement dell’FBI e dell’IC3 riguarda attori che prendono di mira sia adulti sia minori e accedono illegalmente a social network, account personali e servizi online per sottrarre immagini e video sessualmente espliciti. Il materiale viene successivamente condiviso all’interno di comunità criminali oppure venduto in marketplace illeciti. Il problema non termina con la pubblicazione iniziale: secondo l’FBI, insieme alle immagini vengono frequentemente diffusi nome, data di nascita, indirizzo email, numero telefonico e username social, creando le condizioni per ulteriori campagne di molestie, stalking, sextortion e altri attacchi mirati. L’avviso parla quindi di non-consensual intimate images, ma soprattutto di una catena nella quale il contenuto sottratto diventa un asset riutilizzabile contro la stessa persona.

Password e PIN vengono costruiti partendo dai dati della vittima

Una delle tecniche osservate dall’FBI consiste nell’utilizzo di liste curate di password e PIN costruite combinando informazioni provenienti da data leak, social network e fonti aperte. Quando l’attaccante conosce già l’identità della persona, può aggiungere al dizionario elementi come nomi, date di nascita e varianti riconducibili alla vittima, aumentando la probabilità di indovinare credenziali deboli. Non è quindi necessario sfruttare una vulnerabilità della piattaforma: dati precedentemente esposti possono essere trasformati in materiale per un nuovo account takeover. È lo stesso principio che rende pericolosa la riutilizzazione delle informazioni personali sottratte attraverso phishing e infostealer, perché ogni dataset può essere ricombinato con altri fino a costruire un profilo sufficientemente dettagliato per una nuova intrusione.

Il falso supporto social convince la vittima a consegnare il codice

La seconda tecnica sfrutta direttamente i meccanismi di recupero degli account. Gli attaccanti contattano la vittima fingendosi servizio clienti di un social network e affermano che il profilo stia per essere disabilitato o bloccato. Contemporaneamente richiedono realmente alla piattaforma un reset della password, provocando l’invio di un codice temporaneo al legittimo proprietario. Il criminale chiede quindi alla persona di comunicargli quel codice come se fosse necessario per verificare l’identità o impedire la chiusura del profilo. Una volta ottenuto, può completare il reset e assumere il controllo dell’account. L’FBI raccomanda per questo di non comunicare password temporanee, PIN o codici di accesso a nessuno, anche quando il richiedente afferma di lavorare per il servizio utilizzato.

Phishing e domini clone completano il furto delle credenziali

Il terzo percorso indicato dall’IC3 è il phishing tradizionale, ma costruito attorno a eventi che generano urgenza. Email che imitano il supporto social segnalano presunti nuovi accessi all’account e includono un pulsante per cambiare immediatamente la password. Il collegamento conduce invece verso un dominio simile a quello autentico che raccoglie le credenziali inserite dalla vittima. La tecnica continua a funzionare perché l’utente viene spinto a reagire al presunto incidente prima di verificare l’origine della comunicazione. L’FBI suggerisce di raggiungere direttamente il sito o l’app ufficiale quando viene segnalato un problema all’account, evitando di utilizzare il collegamento incorporato nel messaggio. La logica è identica a quella osservata nelle campagne di phishing basate su domini contraffatti e risultati apparentemente legittimi, dove l’imitazione dell’identità del servizio costituisce il primo livello dell’attacco.

Il materiale rubato alimenta una seconda fase di rivittimizzazione

Il passaggio più importante dell’allerta riguarda ciò che accade dopo la compromissione. Immagini, video e informazioni personali possono essere pubblicati insieme, consentendo a nuovi attori di identificare e raggiungere direttamente la persona. Il contenuto può essere utilizzato per ricatto, sextortion, molestie o stalking oppure pubblicizzato attraverso gli stessi profili social della vittima dopo l’account takeover. L’FBI ha attivato un canale specifico per raccogliere segnalazioni relative a materiale intimo sottratto e diffuso senza consenso, chiedendo alle vittime informazioni sul periodo della compromissione, sulle piattaforme coinvolte, sugli account interessati e sui siti dove il materiale è successivamente comparso.

Nel Regno Unito Justin Swaddle viene condannato per 117 vittime

Mentre l’FBI pubblicava l’allerta, la National Crime Agency britannica ha annunciato la condanna di Justin Swaddle, ventenne di Leeds identificato dagli investigatori come membro di un gruppo appartenente all’ecosistema The Com. Swaddle era stato arrestato inizialmente dalla West Yorkshire Police nell’ottobre 2023 e la NCA aveva assunto la gestione dell’indagine nel gennaio successivo. L’analisi di telefoni, computer e account utilizzati con gli alias “Epstein”, “Rugen” e “Moscow” su Snapchat, Telegram e Discord ha portato all’identificazione di centinaia di conversazioni e di 117 vittime femminili tra 13 e 17 anni, otto delle quali nel Regno Unito. Il 2 luglio Swaddle si era dichiarato colpevole dei reati contestati e il 10 agosto la Leeds Crown Court lo ha condannato a due anni di carcere, imponendogli inoltre un Sexual Harm Prevention Order della durata di dieci anni e l’iscrizione nel registro nazionale dei sex offender.

The Com usa fiducia, informazioni personali e ricatto

L’indagine NCA descrive un percorso nel quale Swaddle costruiva inizialmente rapporti di fiducia, raccoglieva informazioni private sulle ragazze e le utilizzava successivamente per esercitare pressione. Una delle vittime ha raccontato agli investigatori che l’uomo conosceva nome, indirizzo e scuola frequentata e minacciava di utilizzare tali informazioni o diffondere immagini intime per ottenere ulteriore materiale. La NCA ha recuperato conversazioni che documentavano pressioni per indurre le vittime ad atti di autolesionismo e comportamenti sessuali, oltre a immagini collegate agli alias usati dall’imputato. Le autorità britanniche sottolineano che in questi gruppi la motivazione non è necessariamente soltanto finanziaria o sessuale: status, reputazione e notorietà all’interno della comunità online possono diventare essi stessi un incentivo alla produzione e condivisione di materiale estremo.

The Com non è un singolo gruppo con una struttura tradizionale

La definizione di The Com, abbreviazione di “community”, non indica necessariamente un’organizzazione gerarchica con comando unico. La NCA la descrive come una comunità internazionale i cui partecipanti utilizzano messaggistica, social network e piattaforme gaming per commettere diversi tipi di reato, compresa la coercizione delle vittime verso abusi e autolesionismo. Nell’ecosistema più ampio vengono frequentemente collocati anche sottogruppi specializzati nel cybercrime, nell’estorsione e nella violenza offline. Questa natura fluida aiuta a spiegare i punti di contatto tra ambienti apparentemente diversi, dal SIM swapping al ransomware fino all’abuso di minori. Matrice Digitale aveva già evidenziato il ruolo del network The Com nell’ecosistema che ha alimentato Scattered Spider e altre federazioni cybercriminali specializzate in social engineering ed estorsione.

La criminalità cyber e l’abuso personale condividono gli stessi strumenti

Il collegamento più utile tra le due notizie non consiste nell’attribuire l’allerta FBI a The Com, cosa che l’IC3 non fa. È invece osservare come tecniche normalmente trattate come cybersecurity pura — credential stuffing, phishing, impersonificazione del supporto, account takeover e raccolta OSINT — possano diventare strumenti per una forma di abuso personale molto più lunga. Un account social compromesso contiene messaggi, contatti, immagini, cronologia e informazioni sulla rete relazionale della vittima. Lo stesso materiale che permette di assumere il controllo tecnico dell’identità digitale può quindi essere trasformato in leva psicologica, costruendo minacce credibili contro famiglia, scuola, colleghi o contatti personali. L’estorsione online già osservata in altri procedimenti internazionali mostra come la distinzione tra cybercrime e abuso delle persone sia sempre meno netta.

MFA e separazione dei dati riducono il valore dell’account compromesso

L’FBI raccomanda password e PIN unici e complessi, autenticazione multifattore e particolare prudenza verso codici di accesso ricevuti senza averli richiesti. Suggerisce inoltre di evitare, quando possibile, la conservazione di contenuti particolarmente sensibili su servizi social o risorse direttamente accessibili da Internet. Queste misure non eliminano il rischio di sextortion, ma riducono la possibilità che una singola compromissione produca contemporaneamente accesso all’account, materiale intimo e informazioni identificative. Sul piano tecnico diventa particolarmente importante utilizzare MFA resistente al phishing e non basarsi esclusivamente su codici che possono essere sottratti attraverso social engineering. La stessa disciplina è fondamentale nelle campagne contro le aziende, dove gruppi come Scattered Spider sfruttano identità, help desk e reset MFA per trasformare informazioni personali in accesso privilegiato.

Il contenuto rubato non termina il proprio ciclo con il primo criminale

L’allerta FBI e la sentenza britannica mostrano infine perché la sottrazione di contenuti intimi debba essere trattata come un incidente persistente e non come un singolo episodio. Un’immagine può essere copiata indefinitamente, associata a dati identificativi, venduta in un mercato criminale e successivamente riutilizzata da persone che non hanno partecipato alla compromissione iniziale. Nel caso Swaddle, informazioni personali e materiale già ottenuto diventavano strumenti per esercitare nuove pressioni; nell’allerta IC3, la stessa dinamica viene descritta su scala più generale come rivittimizzazione attraverso harassment, sextortion e stalking. Il contrasto richiede quindi contemporaneamente sicurezza degli account, rimozione dei contenuti, conservazione delle evidenze e intervento delle autorità. In questo modello la credenziale rubata è soltanto l’ingresso: il vero asset criminale è l’identità digitale completa della vittima e tutto ciò che può essere trasformato in pressione contro di essa.