L’FBI ha lanciato un allarme su una forma di criminalità digitale che colpisce gli account social di adulti e minori. Gli aggressori riescono a entrare nei profili delle vittime per sottrarre immagini e video intimi, utilizzandoli poi per alimentare ricatti, molestie o pubblicazioni non autorizzate. Il furto delle credenziali diventa così il primo passaggio di un attacco capace di produrre conseguenze ben oltre la perdita del controllo di un account.
Secondo l’avviso del Bureau, i responsabili fanno ampio ricorso al social engineering, sfruttando fiducia, urgenza e scarsa familiarità con le procedure delle piattaforme. Dopo aver ottenuto l’accesso, possono minacciare la diffusione dei contenuti attraverso pratiche di sextortion oppure pubblicare direttamente il materiale online. Le vittime rischiano inoltre una nuova ondata di abusi sotto forma di molestie, stalking e attacchi mirati, compresa la promozione dei contenuti rubati attraverso la loro stessa pagina social.
Crimini di questo tipo sono conosciuti da anni, ma la pubblicazione dell’allerta potrebbe indicare una crescita degli episodi. Rachel Tobac, amministratrice delegata della società di formazione sulla sicurezza SocialProof Security, ha descritto il fenomeno come «un grande problema di salute pubblica». Gli attacchi, ha spiegato, prendono di mira in modo particolare i ragazzi più giovani e, in alcuni casi, la pressione esercitata sulle vittime può contribuire a comportamenti autolesionistici.
Tra i bersagli ricorrenti figurano anche gli studenti-atleti. L’FBI ha stabilito che vengono colpiti frequentemente a causa dei loro profili pubblici, una visibilità che può offrire agli aggressori informazioni utili per costruire messaggi credibili e personalizzati. La presenza online, centrale per relazioni, attività sportive e reputazione personale, amplia in questo modo la superficie esposta alle manipolazioni: un profilo riconoscibile permette di confezionare richieste apparentemente plausibili e di aumentare la pressione dopo il furto.
Le tecniche descritte combinano strumenti automatici e manipolazione umana. Alcuni criminali tentano attacchi di brute force utilizzando password già diffuse in precedenti violazioni o riutilizzate su servizi diversi. Altri si presentano come addetti all’assistenza clienti di Instagram o di altre piattaforme social, contattando le persone con il pretesto di dover recuperare o mettere in sicurezza il profilo. La falsa assistenza trasforma una comunicazione inattesa in un meccanismo per ottenere credenziali, codici o accesso all’account.
Un’altra strada passa dalle email di phishing, costruite attorno a domini falsi che imitano le pagine legittime di accesso ai social network. L’interfaccia familiare e l’apparente urgenza spingono l’utente a inserire le proprie credenziali, consegnandole direttamente agli aggressori. Per aziende, scuole e organizzazioni sportive, il quadro richiede una formazione che non si limiti alla robustezza tecnica delle password, ma insegni anche a riconoscere contatti inattesi, richieste anomale e pagine di autenticazione contraffatte.
Le misure indicate partono da password uniche, conservate in un password manager, e dall’attivazione dell’autenticazione multifattore. L’FBI invita inoltre a diffidare di chi contatta spontaneamente gli utenti dichiarando di lavorare per una piattaforma social, poiché le aziende tecnologiche generalmente non avviano comunicazioni di questo genere. La raccomandazione più netta riguarda infine i contenuti stessi: evitare di conservare immagini intime negli account online riduce il materiale che un aggressore può sottrarre e usare per prolungare ricatti e abusi.