L'email arriva così: un mittente sconosciuto scrive «So che [password] è la tua password», poi sostiene di aver violato il tuo computer, di averti registrato dalla webcam mentre visitavi siti per adulti, e chiede un pagamento in Bitcoin entro 24-48 ore per non diffondere il video a tutti i tuoi contatti.
Il dettaglio che fa gelare il sangue è che la password citata è vera — o lo è stata. Ed è proprio su questo che conta il truffatore.
Andiamo dritti al punto: è una truffa in serie. Non esiste nessun video, il tuo computer non è stato violato, e non devi pagare. Ti spieghiamo come fa a conoscere la tua password e cosa fare, nell'ordine.
Come fa a sapere la mia password?
Non ti ha hackerato. L'ha comprata. Le password citate in queste email provengono dai data breach: furti di dati subiti negli anni da siti a cui ti eri registrato (forum, social, servizi online). Quegli archivi — email e password in chiaro — circolano e si acquistano nel dark web per pochi euro. Se vuoi capire meglio cosa comporta averci un indirizzo dentro, abbiamo una guida dedicata: email trovata sul dark web, cosa fare.
Il truffatore fa un'operazione banale: prende un archivio e a ogni indirizzo invia la stessa email fotocopia, inserendo accanto la password trovata nell'archivio. Non sa chi sei, non ha accesso a nulla di tuo: ha solo una riga di un database rubato. Le segnalazioni analizzate dai ricercatori di sicurezza mostrano che le password citate sono quasi sempre vecchie di anni — la conferma che vengono da archivi datati, non dal tuo computer.
Anche la Polizia Postale ha diffuso più volte alert su queste campagne, con indicazione chiara: non rispondere, non pagare.
Cosa fare, in ordine
1. Non rispondere e non pagare
Rispondere conferma che l'indirizzo è attivo (e ti farà ricevere altri tentativi). Pagare non "cancella" nulla — non c'è nulla da cancellare — e ti segnala come vittima disposta a pagare.
2. Se quella password è ancora in uso, cambiala subito
È l'unica informazione vera in mano al truffatore. Se la usi ancora da qualche parte (o ne usi varianti simili), cambiala ovunque con password uniche. Attiva la verifica in due passaggi sugli account importanti.
3. Scopri da quale furto di dati proviene
Qui sta la vera domanda: se quella password è finita in un archivio rubato, cos'altro c'è finito insieme? Controllando la tua email su Scudo vedi in quanti breach compare e, nel report, quali dati sono esposti in ciascuno (password, numero di telefono, indirizzo...). Così sai esattamente cosa mettere in sicurezza.
4. Segna l'email come spam ed eliminala
Niente panico da scadenza ("hai 48 ore"): è pressione psicologica da manuale. Nessuna di queste minacce è mai stata messa in atto — non c'è alcun materiale da diffondere.
5. Se hai già pagato, o se il ricatto usa materiale reale
Se hai pagato: raccogli tutto (email, indirizzo Bitcoin, ricevute) e denuncia alla Polizia Postale. Discorso diverso, e più serio, se qualcuno ti minaccia con foto o video reali che gli hai condiviso tu (sextortion vera e propria): in quel caso non sei davanti a un'email in serie — denuncia subito, non pagare e non inviare altro materiale.
Come riconoscere a colpo d'occhio che è la truffa in serie
- Il mittente non mostra alcuna prova (nessun frammento di video, nessun dettaglio verificabile su di te).
- La password citata è vecchia o di un account secondario.
- Il testo è generico: potrebbe essere inviato identico a chiunque, spesso in italiano approssimativo.
- Chiede criptovalute con una scadenza pressante.
Tutte queste caratteristiche insieme = email fotocopia mandata a migliaia di persone. La tua "colpa" è solo essere presente in un database rubato — in ottima compagnia: parliamo di miliardi di credenziali.
Domande frequenti
Il truffatore ha davvero accesso alla mia webcam?
No. In queste campagne di massa non c'è alcuna violazione del dispositivo: solo dati comprati da vecchi breach. Se vuoi dormire tranquillo, aggiorna il sistema e fai una scansione antivirus.
L'email sembra inviata dal mio stesso indirizzo: significa che è dentro la mia casella?
No: il mittente si può falsificare (spoofing). È un altro trucco per sembrare credibili.
Perché continuo a ricevere queste email?
Perché il tuo indirizzo è presente in uno o più archivi trafugati che continuano a circolare. Controlla quali con il check gratuito e metti in sicurezza gli account coinvolti.
Devo denunciare anche se non ho pagato?
Non è obbligatorio, ma puoi segnalare la campagna sul portale della Polizia Postale (commissariatodips.it): aiuta a tracciare le ondate.