Cybercriminelen maken misbruik van e-mailadressen die zijn gelekt door de ShinyHunters-extortiegroep om sextortion e-mails te versturen waarin slachtoffers worden gedwongen $2.000 in Bitcoin te betalen. De berichten beweren afkomstig te zijn van ShinyHunters en stellen dat hackers de apparaten van de ontvangers hebben gecompromitteerd nadat hun e-mailadressen uit gelekte bedrijfsdatabases waren verkregen.

Uit onderzoek van BleepingComputer blijkt dat de e-mails waarschijnlijk afkomstig zijn van derden die eerder gelekte data van ShinyHunters hebben gedownload, en niet van de extortiegroep zelf. Door gebruik te maken van de blootgestelde e-mailadressen proberen de afzenders hun dreigementen geloofwaardiger te laten lijken. Gegevens uit datalekken bij onder andere Amtrak, Hallmark, Substack, Betterment, CarGurus, ADT, Panera Bread en McGraw Hill zijn ingezet in deze sextortioncampagne. Voor sommige ontvangers kon worden bevestigd dat hun e-mailadres daadwerkelijk in de gelekte data voorkwam.

De afpersers dreigen dat het weigeren van betaling zal leiden tot verdere misbruik van gestolen gegevens zodra deze openbaar worden gemaakt. Hoewel dit soort waarschuwingen bedoeld zijn om druk uit te oefenen, toont deze campagne aan hoe gelekte data door andere kwaadwillenden kan worden hergebruikt voor malafide doeleinden. Ondanks het gebruik van persoonlijke e-mailadressen is er geen bewijs dat de apparaten van de slachtoffers daadwerkelijk zijn gecompromitteerd, dat er malware is geïnstalleerd, of dat er toegang is verkregen tot camera’s of browse-activiteiten op volwassenensites.

De e-mails worden verstuurd vanaf willekeurige adressen met namen als "ShinyHunters" of "You've Been HACKED" en hebben als onderwerp "Information about your online security." De berichten claimen dat de aanvallers maanden geleden toegang hebben gekregen tot de apparaten van de ontvangers en noemen een bedrijf waarvan de data eerder door ShinyHunters is gelekt. Vervolgens wordt gesteld dat via deze datalek toegang is verkregen tot het e-mailaccount van het slachtoffer. De afzenders beweren dat zij exploits hebben geïnstalleerd waarmee ze toegang hebben tot microfoon, camera, toetsenbord, foto’s, browsegeschiedenis, gesprekken en contactlijsten. Ook dreigen ze met het verspreiden van opgenomen beelden van het bezoeken van volwassenensites, tenzij binnen 48 uur $2.000 in Bitcoin wordt betaald. Ontvangers wordt afgeraden contact op te nemen met politie, te reageren op de e-mail of hun apparaten te resetten, omdat de gestolen informatie zogenaamd op externe servers is opgeslagen.

De ShinyHunters-extortiegroep heeft ontkend betrokken te zijn bij deze sextortioncampagne. Deze vorm van afpersing is bedoeld om slachtoffers te intimideren en te dwingen tot betaling uit angst voor reputatieschade, maar er is geen aanwijzing dat de dreigingen gebaseerd zijn op daadwerkelijke compromittering van apparaten of persoonlijke gegevens.