El Instituto Nacional de Ciberseguridad (INCIBE) ha alertado de una campaña masiva de correos electrónicos de sextorsión dirigida a usuarios particulares. Los atacantes aseguran haber comprometido los dispositivos de la víctima mediante un supuesto software espía indetectable que les habría permitido grabar vídeos íntimos. A cambio de no difundir ese material entre familiares, amigos o contactos profesionales, exigen pagos en Bitcoin que oscilan entre los 750 y los 950 dólares.
Sin embargo, el análisis de estos mensajes revela que no existe ningún hackeo real. Se trata de un fraude psicológico que utiliza el miedo, la vergüenza y la presión del tiempo para forzar a las víctimas a pagar antes de comprobar la veracidad de la amenaza.
Un guion repetido en miles de correos
Las campañas de sextorsión por correo electrónico no son nuevas, pero periódicamente resurgen con ligeras variaciones. En este caso, los mensajes siguen un patrón muy claro: el atacante afirma haber tomado el control total del dispositivo de la víctima, incluyendo la cámara y el micrófono.
Según el relato fraudulento, el supuesto malware habría grabado a la víctima mientras visitaba páginas para adultos, capturando simultáneamente la pantalla y la imagen de la webcam. Con ese material, el delincuente amenaza con enviar un vídeo comprometedor a todos los contactos del usuario si no se realiza el pago exigido.
Para aumentar la presión, el mensaje suele incluir una cuenta atrás de entre 48 y 50 horas. Este plazo artificial busca impedir que la víctima reflexione, consulte con otras personas o investigue si el mensaje es una estafa.
En algunos casos, los correos también incluyen frases diseñadas para aislar psicológicamente a la víctima. Por ejemplo, los delincuentes afirman que denunciar no servirá de nada o que cualquier intento de rastreo será inútil. Este tipo de afirmaciones forman parte de la estrategia de manipulación.
El supuesto spyware que nadie detecta
Uno de los elementos más llamativos del fraude es la explicación técnica que los ciberdelincuentes ofrecen para justificar el supuesto espionaje. Los mensajes suelen afirmar que el malware utilizado es completamente indetectable para antivirus y sistemas de seguridad.
Sin embargo, desde el punto de vista técnico, esta narrativa resulta poco creíble. La grabación constante de vídeo y audio desde un dispositivo generaría actividad detectable tanto por el sistema operativo como por herramientas de seguridad. Además, transmitir ese material a un servidor remoto implicaría tráfico de red significativo.
También hay una contradicción evidente en el propio planteamiento del fraude: si un atacante tuviera realmente acceso total al dispositivo y a las credenciales de la víctima, resultaría mucho más rentable robar directamente información bancaria o credenciales financieras que solicitar un rescate relativamente bajo.
Por este motivo, los expertos coinciden en que estos mensajes no provienen de un hackeo real, sino de plantillas automatizadas enviadas de forma masiva a miles o millones de direcciones de correo electrónico.
El papel de las filtraciones de datos
En muchos casos, los correos incluyen información aparentemente personal para reforzar la credibilidad de la amenaza. A veces aparece una contraseña antigua o datos parciales del usuario.
Esto no significa que el atacante haya accedido al dispositivo de la víctima. Lo más habitual es que esos datos procedan de antiguas filtraciones de bases de datos de servicios online.
Las listas de correos electrónicos, contraseñas filtradas y otros datos circulan con frecuencia en foros clandestinos y mercados del cibercrimen. Los estafadores utilizan esta información para personalizar mínimamente sus campañas y aumentar la tasa de éxito.
Bitcoin: la pista definitiva de la estafa
Otro elemento característico de estos correos es el método de pago exigido. Los atacantes solicitan que el dinero se envíe a una dirección de Bitcoin, una criptomoneda que permite realizar transferencias difíciles de rastrear y prácticamente irreversibles.
Este tipo de pagos es habitual en fraudes digitales porque, una vez completada la transacción, recuperar el dinero resulta extremadamente complicado.
La combinación de amenaza emocional, urgencia temporal y pago en criptomonedas es una señal clara de que se trata de una estafa.
