Apple, Meta, Twitter, Snap o Discord han sido algunas de las empresas que han sufrido los engaños de ciberdelincuentes de las que han obtenido información personal usada para acosar a menores y mujeres

Grandes compañías tecnológicas como Apple, Meta, Twitter, Snap o Discord han sido algunas de las empresas engañadas por un grupo de ciberdelincuentes a los que se les ha proporcionado información personal que posteriormente ha sido usada para acosar y extorsionar a menores y a mujeres. Estos ciberdelincuentes emplearon una nueva herramienta que no lograron detectar las grandes compañías con la que obtuvieron información personal de usuarios y que después utilizaron para acoso y extorsión y con la que además sacaron un provecho económico.

Esta herramienta lo que hacía es pasarse por agentes de la ley y se empezó a usar en los últimos meses. Lo que hicieron los ciberdelincuentes fue dirigirse a las grandes compañías tecnológicas enviándoles una solicitud de emergencia para acceder a la información personal contenida en su base de usuarios. Esta solicitud de emergencia suplantaba a agentes policiales.

La solicitud de datos de emergencia es algo bastante común utilizado por las fuerzas del orden de los Estados Unidos para recabar información de compañías para situaciones de prevención de casos, se suicidio, asesinato o secuestro cuando no disponen de tiempo suficiente para presentar una citación. Aunque las empresas no suelen tener obligación legal de tener que proporcionar los datos requeridos en estas solicitudes de emergencia porque no están firmadas por un juez, suelen aportarlos como “gesto de buena fe” para colaborar con los cuerpos de seguridad. Una vez que obtenían la información personal los ciberdelincuentes se ponían en contacto con las personas de las que habían obtenido la información y las presionaban para crear y compartir con ellos contenido sexual y si no lo hacían, les amenazaban con represalias.

Entre estas represalias, los ciberdelincuentes amenazaban con enviar el material sexual enviado por la víctima a sus amigos, familiares, etc. En algunos casos, las víctimas han sido presionadas para incluso tener que tatuarse el nombre del ciberdelincuente y compartir la fotografía de ese tatuaje, según los funcionarios encargados de la investigación.

Medidas tomadas por las Empresas tras la investigación

Tras estos hechos, las grandes compañías afectadas han empezado a trabajar para que no se vuelva a dar esta situación. Así, desde Facebook han confirmado que ahora revisan cada solicitud de emergencia verificando su origen legal y “utilizan sistemas y procesos avanzados para aprobar las solicitudes”.  De la misma manera, un portavoz de Discord ha explicado que validan e investigan la procedencia de todas las solicitudes de emergencia.

Desde Snap han confirmado que revisan cuidadosamente cada solicitud que reciben y disponen de herramientas para validar su origen además de tener diferentes medidas de seguridad “para detectar solicitudes fraudulentas”.

Métodos fraudulentos para obtener información personal

Los ciberdelincuentes no tienen un método fijado, pero sí que siguen una base más o menos común donde empiezan atacando el sistema de correo electrónico de un cuerpo de fuerzas del estado.  Seguidamente, estos ciberdelincuentes acceden a ese modelo de solicitud de datos de emergencia y lo falsifican.

En estos modelos de solicitudes se incluyen datos como el nombre de usuario, su dirección IP, su correo electrónico o su domicilio personal. Esta solicitud es la que después enviaron a las grandes empresas tecnológicas. Estas empresas proporcionan posteriormente al ciberdelincuente información básica de sus usuarios con datos personales.