sextortion

Sextortion to wymuszenie okupu pod groźbą ujawnienia intymnych nagrań albo zdjęć ofiary. W polskiej praktyce dominuje odmiana masowa, nazywana „sextortion scam”. CERT Polska opisuje ją jako masowe rozsyłanie maili informujących o rzekomym przejęciu kontroli nad urządzeniami ofiary i posiadaniu materiałów przedstawiających ją w kontekście erotycznym ^[1]. Materiały te zwykle nie istnieją. Odrębnym i znacznie poważniejszym zjawiskiem jest szantaż materiałami, które sprawca naprawdę posiada, często wobec dzieci ^[6].

Jak działa

Odmiana masowa jest oszustwem opartym na socjotechnice, a nie na włamaniu. Nadawca twierdzi, że zainfekował komputer ofiary, nagrał ją kamerą podczas oglądania stron dla dorosłych i roześle nagranie znajomym, jeśli nie dostanie zapłaty w kryptowalucie. FTC opisuje takie maile jako puste groźby: nadawca nie ma dostępu do komputera ani kamery ^[4].

Wiarygodność budują dwa zabiegi. Pierwszym jest prawdziwe, choć stare hasło ofiary podane w treści. Krebs on Security opisał w 2018 roku kampanię, w której skrypt pobierał loginy i hasła z wycieku popularnego serwisu sprzed ponad dekady ^[5]. FTC zauważa, że takich maili przybywa po wyciekach danych, w których ujawnione zostały adresy e-mail i stare hasła ^[4]. Drugim zabiegiem jest spoofing nadawcy. CERT Polska ostrzegał w 2026 roku, że wiadomości wyglądają, jakby wysłano je ze skrzynki samego odbiorcy albo z domeny znanej instytucji ^[2].

RYS. 1Masowy sextortion scam

Odmiany

Pojęcie obejmuje dwa zjawiska różniące się skalą, ofiarami i sposobem reagowania.

Drugą odmianę NCMEC opisuje jako formę wykorzystywania seksualnego dzieci: sprawca grozi udostępnieniem nagich zdjęć i żąda kolejnych materiałów, kontaktu albo pieniędzy ^[6]. W odmianie finansowej, w której sprawca żąda pieniędzy, według NCMEC ofiarami są głównie nastoletni chłopcy ^[6]. Często poprzedza ją grooming (uwodzenie dziecka w sieci), a sama należy do zjawisk cyberprzemocy.

W WordPressie

Sextortion nie atakuje strony WordPress, ale strona może być jego źródłem albo narzędziem.

Wyciek bazy użytkowników. Strona z rejestracją, sklep albo forum przechowuje adresy e-mail i skróty haseł. Jeśli dojdzie do wycieku danych, adresy trafiają na listy, z których korzystają nadawcy szantażu. Kampania opisana przez Krebsa opierała się właśnie na danych z wycieku jednego serwisu internetowego ^[5]. Takie listy krążą też jako combolisty (combolist) i zasilają credential stuffing.

Podszywanie się pod domenę. CERT Polska wskazuje, że w kampaniach wykorzystywane jest podszywanie się pod adres nadawcy ^[2]. Domena, z której działa strona i firmowa poczta, powinna mieć poprawnie skonfigurowane SPF / DKIM / DMARC (uwierzytelnianie poczty). DMARC pozwala właścicielowi domeny opublikować politykę, według której serwery odbiorców weryfikują pocztę z tej domeny i decydują, co zrobić z wiadomościami niespełniającymi wymagań ^[7]. Polityka odrzucania utrudnia więc wysyłanie maili, które tylko udają nadawcę z tej domeny. Przykładowy rekord dla example.com:

_dmarc.example.com.  TXT  "v=DMARC1; p=reject; rua=mailto:dmarc@example.com"

Formularze kontaktowe. Wiadomości z szantażem trafiają też do skrzynek obsługi strony. Osoby odpowiadające na kontakt powinny znać ten schemat, żeby nie traktować go jak incydentu na serwerze. Sam mail z twierdzeniem o „włamaniu” nie jest dowodem przejęcia strony ani skrzynki. CERT Polska radzi sprawdzić, czy wiadomość zawiera jakikolwiek realny dowód dostępu do urządzenia ^[2]. Jeśli nie zawiera, właściwą reakcją jest zmiana haseł, a nie przywracanie strony z kopii.

Zagrożenia i skutki

W odmianie masowej główną szkodą jest strata pieniędzy przez osoby, które uwierzą w groźbę, oraz stres. Krebs zwraca uwagę, że choć sprawcy nie mają kompromitujących materiałów, dla części odbiorców skutki psychiczne mogą być poważne ^[5]. Żądanie w opisanej przez niego kampanii wynosiło 1400 dolarów w bitcoinach ^[5].

Mail z szantażem bywa także nośnikiem złośliwego oprogramowania (malware). W grudniu 2018 roku Niebezpiecznik opisał wiadomości z linkiem do rzekomego nagrania, który instalował infostealer AZORult, a następnie ransomware GandCrab ^[3].

W odmianie z realnymi materiałami skutki są znacznie cięższe. NCMEC podaje, że liczba zgłoszeń dotyczących uwodzenia dzieci w sieci, obejmujących sextortion, wzrosła o ponad 300 procent między 2021 a 2023 rokiem ^[6].

Jak się bronić

Przy odmianie masowej zalecenia są zgodne:

• nie płacić i nie odpowiadać; FTC zaleca usunąć wiadomość ^[4];
• sprawdzić pełny adres nadawcy i nagłówki wiadomości ^[2];
• zmienić hasło podane w mailu i wszystkie hasła, które były takie same, oraz włączyć uwierzytelnianie dwuskładnikowe (2FA) ^[2];
• sprawdzić, czy adres występuje w znanych wyciekach, na przykład w serwisie bezpiecznedane.gov.pl ^[2];
• zgłosić wiadomość do CERT Polska przez incydent.cert.pl albo w aplikacji mObywatel ^[2].

Unikalne hasła dla każdego serwisu, przechowywane w menedżerze haseł, sprawiają, że stare hasło z wycieku nic nie otwiera. Przy szantażu dzieci NCMEC radzi zgłosić i zablokować sprawcę, nie kasując wiadomości, i nie płacić, bo zapłata rzadko kończy szantaż ^[6]. Treści nielegalne w Polsce obsługuje zespół Dyżurnet.pl działający w strukturach NASK ^[1].

Historia i przykłady

W lipcu 2018 roku Krebs on Security opisał falę maili ze starymi hasłami odbiorców ^[5]. W grudniu 2018 roku Niebezpiecznik opisał wersję, która dołączała ransomware ^[3]. W kwietniu 2020 roku FTC opublikowało ostrzeżenie przed mailami z żądaniem bitcoinów ^[4].

CERT Polska w statystykach za 2021 rok wymienił ataki sextortion scam wśród popularnych obsługiwanych incydentów ^[1]. W maju 2026 roku zespół opublikował komunikat o kampanii „Wiemy, co robiłeś online”, wykorzystującej spoofing nadawcy ^[2].