Snapchat, 76 mesi di carcere per il phishing contro oltre 750 donne

🛡️ Executive Summary

• L’autore impersonava l’assistenza di Snap tramite numeri VoIP anonimi per ottenere dalle vittime i codici di accesso inviati da Snapchat.
• Oltre 4.500 donne furono contattate, più di 750 consegnarono i codici e circa 517 account vennero compromessi per sottrarre immagini intime.
• Gli utenti non devono mai comunicare codici temporanei e devono verificare ogni richiesta direttamente nell’app o attraverso i canali ufficiali.

Un tribunale federale di Boston ha condannato Kyle Svara, 27 anni, a 76 mesi di carcere e tre anni di libertà vigilata per una vasta operazione di phishing contro utenti di Snapchat. Tra maggio 2020 e febbraio 2021 l’uomo contattò più di 4.500 donne, fingendosi un rappresentante di Snap Inc. e chiedendo i codici temporanei inviati dalla piattaforma. Secondo il Dipartimento di Giustizia statunitense, oltre 750 vittime consegnarono le credenziali richieste e circa 517 account furono violati per sottrarre fotografie intime, successivamente conservate, scambiate o vendute online.

La falsa assistenza Snapchat convinceva le vittime

Il meccanismo non richiedeva una vulnerabilità nel codice di Snapchat né lo sfruttamento di una falla zero-day. Svara utilizzava social engineering, informazioni personali raccolte online e numeri telefonici VoIP anonimizzati per costruire comunicazioni apparentemente credibili. Dopo aver individuato indirizzo email, numero di telefono o nome utente della vittima, avviava il processo di accesso all’account. Snapchat inviava quindi alla proprietaria un codice di sicurezza legittimo, generato dai propri sistemi. A quel punto l’uomo contattava la donna attraverso servizi come TextNow, si presentava come membro dell’assistenza di Snap e chiedeva di comunicargli il codice. Il documento giudiziario depositato nel Distretto del Massachusetts descrive l’operazione come uno schema fraudolento basato sull’impersonificazione del supporto tecnico e sull’uso di numerazioni VoIP, impiegate per entrare negli account e scaricare contenuti privati. Il caso mostra perché gli avvisi contro phishing e social engineering introdotti nelle applicazioni di messaggistica devono intervenire nel momento stesso in cui l’utente sta per condividere una credenziale: il codice era autentico, ma la persona che lo chiedeva non lo era. Nessun operatore legittimo ha bisogno di conoscere una password temporanea, un codice OTP o una chiave di recupero per fornire assistenza.

Oltre 500 account violati e immagini intime commercializzate

La nuova ricostruzione presentata in occasione della condanna amplia sensibilmente le dimensioni conosciute del caso. Il comunicato pubblicato dopo la dichiarazione di colpevolezza parlava di circa 570 donne che avevano consegnato i codici e di almeno 59 account nei quali era stato documentato l’accesso abusivo. I dati illustrati durante la fase di sentencing indicano invece che Svara ottenne codici da oltre 750 vittime e riuscì a entrare in circa 517 profili Snapchat. Una volta acquisito il controllo, scaricava fotografie di nudo o semi-nudo e, in numerosi casi, attivava personalmente l’autenticazione a due fattori per escludere le proprietarie dall’account. Le immagini venivano poi vendute, scambiate sui forum o consegnate a persone che avevano commissionato la compromissione. Svara pubblicizzava apertamente il servizio su piattaforme come Reddit, proponendosi per entrare negli account di donne indicate dai clienti. Conservava inoltre fogli di calcolo e note con nomi, contatti, profili Snapchat e Instagram, risultati dei tentativi e dettagli personali utili a indovinare password o domande di recupero. La trasformazione di materiale intimo in una merce digitale collega il furto degli account al più ampio fenomeno della sextortion e delle truffe costruite intorno ai contenuti privati, anche quando l’estorsione diretta non rappresenta l’unico obiettivo criminale.

Un ex allenatore commissionava gli accessi alle atlete

Tra i clienti di Svara figurava Steve Waithe, ex allenatore delle squadre di atletica maschile e femminile della Northeastern University. Secondo l’accusa, Waithe pagava per compromettere gli account di studentesse, atlete e altre donne con le quali aveva avuto rapporti personali o professionali. Il documento giudiziario indica che la finalità della cospirazione era ottenere fotografie intime da conservare, vendere o scambiare e che i pagamenti venivano effettuati in cambio dell’accesso non autorizzato agli account e dei contenuti sottratti. Waithe era già stato riconosciuto colpevole nel novembre 2023 per wire fraud, cyberstalking, associazione finalizzata alla frode informatica e accesso abusivo ai sistemi, ricevendo nel marzo 2024 una condanna a cinque anni. Svara operava però anche autonomamente e prendeva di mira donne della propria cerchia sociale nell’area di Plainfield, in Illinois, comprese vicine, compagne di scuola, amiche personali e conoscenze della moglie e della sorella. Altre vittime frequentavano il Colby College nel Maine. L’episodio dimostra come informazioni apparentemente innocue pubblicate sui social possano essere aggregate in dossier operativi, utilizzati per personalizzare l’inganno e aumentare la probabilità che una richiesta fraudolenta venga considerata attendibile.

Le indagini scoprono anche materiale di abuso sui minori

Durante gli interrogatori Svara negò inizialmente di conoscere attività di hacking contro Snapchat e dichiarò di non avere mai cercato materiale pedopornografico. Le verifiche investigative hanno però portato alla scoperta, nel suo account Mega, di circa 530 immagini e 600 video contenenti materiale di abuso sessuale su minori, compresi contenuti riguardanti bambini molto piccoli. Gli investigatori individuarono inoltre conversazioni su Instagram nelle quali l’imputato chiedeva ad altri utenti di inviargli ulteriore materiale illecito. Svara si è dichiarato colpevole di furto aggravato di identità, wire fraud, frode informatica, associazione per commettere frode informatica e false dichiarazioni relative al materiale di abuso sessuale. Il collegamento tra furto di account, commercio di immagini intime e contenuti di abuso evidenzia un ecosistema criminale nel quale piattaforme social, servizi cloud e forum vengono utilizzati in successione per acquisire, archiviare e distribuire materiale sottratto. Operazioni come quelle condotte da Europol e Polizia di Stato per identificare vittime e responsabili di reati CSAM mostrano quanto la cooperazione tra piattaforme, forze dell’ordine e autorità giudiziarie sia decisiva per ricostruire reti che attraversano servizi e giurisdizioni differenti. La pena inflitta non chiude il problema tecnico evidenziato dal caso: anche un account protetto dall’autenticazione a due fattori può essere compromesso quando la vittima viene convinta a consegnare volontariamente il secondo fattore.