Um email de extorsão inclui a sua palavra-passe: o que fazer

Alguns emails de extorsão incluem uma palavra-passe conhecida e ameaçam publicar imagens íntimas ou apagar ficheiros. Procuram que a vítima pague antes de verificar se a ameaça tem fundamento.

Depois de uma fuga de dados podem ficar expostos endereços de email e, em alguns casos, palavras-passe ou os seus hashes. Esses dados podem ser reutilizados mais tarde em campanhas massivas de extorsão.

O facto de a mensagem incluir uma palavra-passe conhecida não demonstra por si só que o equipamento ou a conta estejam atualmente comprometidos. Demonstra, sim, que essa combinação não deve continuar a ser utilizada nem reutilizada noutros serviços.

Não responda, não pague e não abra ligações ou anexos. Se a palavra-passe ainda estiver em uso ou tiver sido reutilizada, altere-a em todos os serviços afetados, utilize palavras-passe únicas e ative a 2FA.

Se além disso observar acessos, sessões, regras de email ou alterações que não reconhece, conserve a mensagem e peça uma revisão da atividade. O texto de extorsão não prova o acesso, mas também não deve ser usado para descartar evidências independentes.

Existe também um serviço especialmente útil, o haveibeenpwned, onde, introduzindo o seu email, pode verificar se foi exposto em algum ataque às plataformas e serviços que documentaram incidentes nos últimos anos.

Um resultado sem fugas conhecidas no Have I Been Pwned também não demonstra que uma conta esteja segura: o serviço só informa sobre os dados que conhece. Não introduza uma palavra-passe em uso em ligações enviadas por quem o ameaça.

Se já pagou ou se as ameaças vierem acompanhadas de evidências independentes, conserve a conversa e peça ajuda pelos canais oficiais. O INCIBE documenta estas campanhas de sextorsão. Não é preciso responder ao extorsionário para verificar a atividade das suas contas.