המייל נוחת בתיבה עם שורת נושא מאיימת, ולעיתים עם כתובת המייל או סיסמה ישנה שלכם ממש בתוך ההודעה. הכותב מציג את עצמו כחבר בקבוצת התקיפה ShinyHunters, טוען שהשתלט על המחשב שלכם והקליט אתכם דרך המצלמה בזמן גלישה באתרים למבוגרים, ודורש 2,000 דולר בביטקוין (מטבע דיגיטלי שקשה להתחקות אחרי מי שמקבל אותו) תוך 48 שעות, אחרת הסרטון יישלח לכל אנשי הקשר שלכם. אין סרטון. אין פריצה. יש כתובת מייל שדלפה מזמן, ומישהו שמנסה להרוויח ממנה.

מה קרה

החברות שמהן דלף המידע אמיתיות, והשם ShinyHunters שייך לקבוצת פריצות אמיתית שגנבה מסדי נתונים מחברות כמו Amtrak, Substack ו-Panera Bread ופרסמה אותם. אבל את מיילי הסחיטה האלה שולח כנראה מישהו אחר לגמרי, שקנה או אסף את הכתובות שדלפו והשתמש בהן כדי להיראות אמין. הקבוצה עצמה הכחישה כל קשר לקמפיין. כל הטריק נשען על פרט אחד שנראה אישי: ההודעה מזכירה את החברה המדויקת שממנה דלף המידע שלכם, וזה מרגיש כאילו מישהו באמת יודע עליכם משהו. בפועל כתובת מייל שדלפה היא מידע שמסתובב בגלוי וזמין לכל אחד. לטכניקה הזאת, שבה מאיימים לפרסם תוכן מביך או אינטימי אלא אם משלמים, קוראים sextortion (סחיטה מינית). ה-FBI פרסם אזהרה מפורשת: ברוב המוחלט של המקרים אין לשולחים שום גישה למכשיר ושום סרטון, רק כתובת מייל ותסריט מוכן.

למה זה חשוב לכם

כתובות מייל ישראליות רבות הופיעו לאורך השנים בדליפות של שירותים בינלאומיים, כך שכמעט כל אחד עלול לקבל הודעה כזאת, לפעמים באנגלית ולפעמים בעברית. הלחץ בנוי בקפידה: 48 שעות, "אל תפנו למשטרה", "אל תאפסו את המכשיר". כל אלה נועדו למנוע מכם לעצור ולחשוב. וגם אם במקרה כן ביקרתם באתר כזה, זה לא אומר שצילמו אתכם. אותה הודעה בדיוק נשלחת למיליוני אנשים במקביל, בהנחה שאצל חלק קטן היא תיפול על אמת מקרית ותייצר בהלה.

מה עושים?

אל תשלמו ואל תשיבו. תשלום לא "סוגר את העניין", הוא מסמן אתכם כמי שמשלם ומזמין עוד פניות.

אל תלחצו על קישורים ואל תפתחו קבצים מצורפים בהודעה.

אם מופיעה בהודעה סיסמה שאתם מזהים, זה סימן שהיא דלפה בעבר. החליפו אותה בכל מקום שבו היא עדיין בשימוש, והפעילו אימות דו-שלבי (קוד נוסף מעבר לסיסמה בכניסה לחשבון).

בדקו אם הכתובת שלכם נכללה בדליפה ידועה באתר haveibeenpwned.com, ושנו סיסמאות בהתאם.

אפשר פשוט למחוק את ההודעה. מי שרוצה לדווח יכול לפנות למערך הסייבר הלאומי בטלפון 119 או להעביר אליו את המייל.

השקט הוא בדיוק התגובה שהשולח הכי פחות רוצה: כל הקמפיין בנוי על כך שתיבהלו ותשלמו לפני שתבדקו, ואין מאחוריו דבר מלבד רשימת כתובות ישנה.