- La majoria de correus de sextorsió són campanyes massives sense vídeos reals ni piratejos efectius.
- Els estafadors usen dades filtrats, spoofing i criptomonedes per fer creïble el xantatge.
- Mai no has de pagar ni respondre: protegeix els teus comptes, guarda evidències i valora denunciar.
- Bones pràctiques de seguretat i educació digital redueixen molt el risc de sextorsió.
En els darrers anys han proliferat els xantatges de sextorsió per correu electrònic , missatges que t'intenten espantar assegurant que tenen vídeos íntims teus i que els enviaran a tots els teus contactes si no pagues. Molts d'aquests correus semblen molt convincents: parlen de pirates, càmeres web enceses sense que te n'adonis, contrasenyes robades i fins i tot inclouen dades personals reals.
Encara que sonin terrorífics, la immensa majoria d'aquests correus de sextorsió massiva són pur frau : no tenen cap vídeo teu, no han pres el control del teu ordinador i només juguen amb la por, la vergonya i la urgència perquè paguis en criptomonedes. Tot i així, l'impacte psicològic pot ser enorme i hi ha persones que, per pànic, arriben a pagar sumes molt elevades o passen mesos patint en silenci.
Què és la sextorsió i com es relaciona amb el correu electrònic
La sextorsió és un xantatge de caràcter sexual en què un delinqüent amenaça de difondre material íntim (fotos, vídeos, converses eròtiques, captures de pantalla, etc.) si la víctima no compleix certes exigències. Aquestes exigències poden anar des del pagament de diners fins a la petició de nous continguts sexuals o fins i tot favors sexuals presencials.
En molts casos el contingut íntim ho ha proporcionat abans la víctima, confiant en algú que semblava una parella o un lliga en xarxes socials, apps de cites o xats privats. Altres xantatgistes, en canvi, ni tan sols tenen material real: s'aprofiten de la por i del desconeixement per convèncer-te que t'han gravat o que controlen la teva càmera quan, en realitat, tot és inventat.
Un cas extrem que il·lustra l?impacte d?aquestes situacions va ser el d?un matrimoni gallec i el seu fill, que durant gairebé un any van patir un xantatge sexual continuat . Els amenaçaven d'omplir la ciutat de cartells amb les fotos íntimes del fill i van acabar pagant uns 60.000 euros abans d'atrevir-se a denunciar per la vergonya i el pànic l'exposició pública.
La sextorsió es pot materialitzar per diferents canals: xarxes socials, missatgeria instantània, piratejos de comptes, accés il·legal a dispositius o, de manera molt freqüent, campanyes massives per correu electrònic en què els delinqüents disparen milions de missatges esperant que un percentatge petit de víctimes pagui.
Tipus de xantatges de sextorsió per correu electrònic més habituals
Els correus de sextorsió s'han anat refinant amb el temps, però en el fons responen a unes poques plantilles o guions genèrics que es reutilitzen una vegada i una altra. L'Institut Nacional de Ciberseguretat (INCIBE) i forces i cossos de seguretat han detectat campanyes massives amb textos gairebé idèntics enviats a milions d'adreces filtrades a antigues bretxes de dades.
En aquests correus, l'estafador sol presentar-se com un hacker que ha pres el control total del teu ordinador o mòbil: afirma que va instal·lar un programari espia indetectable, que va accedir a la teva càmera i al teu micròfon, que va gravar el que veies en pàgines de contingut adult i que ara té un vídeo íntim teu juntament amb la teva llista completa de contactes.
El xantatge estableix un termini molt curt, normalment de 48 a 72 hores , perquè paguis una quantitat a Bitcoin, sovint entre 700 i 950 dòlars, i recalca que, si acudeixes a la policia o ho expliques a algú, publicarà el suposat vídeo en xarxes socials o l'enviarà als teus familiars, companys de feina i amics.
Una altra variant d'aquests correus amenaça directament amb violència física o fins i tot la mort : asseguren que hi ha un sicari contractat per assassinar-te, però que el remitent està disposat a cancel·lar l'encàrrec si pagues una quantitat determinada. De vegades, afirmen saber on vius o conèixer les teves rutines diàries, tot això per augmentar la teva por.
També són molt freqüents els fraus en què l'estafador es fa passar per autoritats policials o judicials : t'envien una suposada «citació» d'Europol, del Ministeri de l'Interior, de la Interpol o d'una fiscalia i t'acusen de delictes gravíssims com a distribució de pornografia infantil, tràfic de persones o exhibicionisme. Als documents falsos et diuen que, si col·labores i pagues una “multa” o un “acord extrajudicial”, podran retirar els càrrecs.
Com operen els ciberdelinqüents: guions, bases de dades filtrades i criptomonedes
Darrere de la majoria d'aquests correus no hi ha un ciberdelinqüent que et tingui entre cella i cella, sinó campanyes automatitzades a gran escala . Grups criminals compren o descarreguen bases de dades amb milions d'adreces de correu electrònic i, en moltes ocasions, també amb contrasenyes filtrades de serveis que han patit bretxes (xarxes socials, botigues en línia, fòrums, etc.), i és comparable a altres estafes en línia comuns.
Amb aquesta informació munten guions estàndard que es disparen via spam: els correus s'envien en massa, moltes vegades des de comptes gratuïts o servidors compromesos , i sovint ni tan sols es personalitzen. De vegades només posen “Amado cliente” o directament no inclouen el teu nom, però altres vegades insereixen dades com la teva contrasenya antiga o el teu número de telèfon per semblar més creïbles.
Quan un correu de sextorsió inclou una contrasenya teva, sol ser una clau que es va filtrar en alguna bretxa de dades anterior. Això no vol dir que aquest estafador hagi hacker el vostre ordinador o el vostre compte , sinó que aquesta combinació correu/contrasenya s'està revenent en xarxes criminals. Si segueixes usant aquesta contrasenya en altres serveis, aquí sí que tens un problema de seguretat que has de corregir canviant la clau a tots els llocs on la vas reutilitzar.
Un altre truc molt comú és el spoofing o suplantació del remitent : el missatge sembla venir des de la teva pròpia adreça de correu, cosa que fa la impressió que l'atacant ha entrat al teu compte. En realitat, el que han fet és falsejar el camp From del correu, una mica tècnicament possible si el domini no té ben configurats sistemes com SPF, DKIM o DMARC i si el servidor receptor no els comprova.
Pel que fa al pagament, gairebé sempre exigeixen criptomonedes, especialment Bitcoin . El motiu és simple: les transaccions són irreversibles i, encara que no són anònimes al 100%, rastrejar els diners i vincular-los a una persona concreta és difícil i requereix una investigació complexa. Per això no veuràs mai que demanin una transferència bancària tradicional amb un titular i IBAN clars.
Senyals clars per reconèixer un correu de sextorsió fals
Encara que alguns missatges cada vegada estan més ben redactats gràcies a l'ús d'eines d'intel·ligència artificial, hi ha una sèrie de pistes molt clares que solen delatar que ets davant d'un frau i no davant d'una amenaça real basada en un hackeig efectiu.
Un primer senyal és el propi to del missatge: veuràs un llenguatge carregat de por, urgència i amenaces . Parlen de terminis molt curts —48 o 50 hores—, descriuen escenaris catastròfics, t'ordenen que no parlis amb ningú i recalquen que, si no pagues a temps, executaran el pla i arruïnaran la teva vida social o professional.
Una altra pista clau és que el missatge sol ser un guió genèric i mal adaptat . Molts correus estan traduïts de forma matussera, amb errors de gramàtica, expressions rares o majúscules sense sentit. Sovint barregen idiomes, citen lleis inexistents o esmenten organismes que no existeixen realment (com “Interpol russa” o departaments amb noms esbojarrats).
També convé fixar-se en l'adreça del remitent i en la forma de contacte: si el correu diu venir d'un cos policial o institució oficial, però l'adreça és d'un servei gratuït tipus Gmail, Outlook o similar , o inclou un correu de resposta que no coincideix amb el domini oficial, ets davant d'un engany de manual. Cap agència seriosa et contactarà per un compte gratuït per exigir-te un pagament urgent.
Un detall molt rellevant és l' absència total de proves . Si de debò algú tingués un vídeo íntim teu i volgués convèncer-te, el més lògic seria incloure almenys una captura de pantalla o un fotograma borrós com a prova. En canvi, aquests correus es limiten a descriure el suposat vídeo, però no mostren res. Tampoc no solen afegir noms concrets dels teus contactes ni referències personalitzades més enllà d'una contrasenya filtrada.
Finalment, presta atenció a assumptes de correu molt alarmistes del tipus «S'han filtrat les dades personals per les seves activitats en llocs sospitosos», «En espera del pagament» o «Avís important sobre el teu compte». El seu objectiu és que obris el correu com més aviat millor i prenguis decisions impulsives, sense parar-te a analitzar la situació amb calma.
Campanyes massives detectades per INCIBE i forces de seguretat
A Espanya, l'Institut Nacional de Ciberseguretat (INCIBE) i cossos com ara la Policia Nacional o la Guàrdia Civil han publicat diverses alertes sobre campanyes massives de sextorsió distribuïdes per correu electrònic. En aquestes alertes expliquen amb detall que es tracta de missatges automatitzats basats en filtracions de dades antigues.
Segons aquestes institucions, els correus fraudulents solen al·legar que han infectat els teus dispositius amb un programari espia indetectable i que han gravat tot el que fas davant de la pantalla, especialment si visites pàgines de contingut adult. Afirmen que han capturat tant la imatge de la teva càmera web com l'activitat del monitor i que han combinat tots dos elements en un únic vídeo comprometedor.
L'anàlisi tècnica d'aquests missatges demostra que aquestes suposades infeccions són pura fantasia: allò que s'observa és un text estàndard que es reutilitza en milers de correus, sense mostres d'una intrusió real. A més, des d'un punt de vista tècnic, mantenir una transmissió contínua de vídeo i àudio de milions de víctimes sense ser detectat en el trànsit de xarxa és extremadament poc viable per a una campanya d'aquest tipus.
Les autoritats també destaquen la contradicció econòmica : si l'atacant tingués realment un control complet sobre el teu ordinador, les teves claus i els comptes bancaris, el més lògic seria buidar els teus comptes o robar informació de valor, no demanar-te una xifra relativament modesta a Bitcoin i creuar els dits perquè acceptis pagar.
INCIBE recalca, a més, que aquests correus es recolzen en límits de temps molt ajustats (48-50 hores) i en la recomanació explícita de no acudir a la policia, precisament per intentar que la víctima no s'assessori i pagui en calent. Per això insisteixen que no es faci mai el pagament i que es denunciï el cas si s'han arribat a transferir diners.
Tot i que el focus d'aquest contingut són els correus electrònics, convé tenir en compte que la sextorsió també es pot originar en xarxes socials i aplicacions de cites . En molts casos, l'agressor inicia una conversa amistosa fent-se passar per algú atractiu o proper, guanya confiança de mica en mica i acaba demanant imatges o vídeos íntims.
Quan la víctima envia contingut eròtic, l'estafador canvia el to de forma brusca i comença el xantatge directe : exigeix més contingut, diners o favors sexuals amenaçant d'enviar les imatges a familiars, companys de classe o contactes de treball. Aquest patró es veu amb especial freqüència en menors i adolescents, on a més entra en joc el grooming i la corrupció de menors.
Hi ha també el vessant de comptes realment hackejats: si vas enviar fotos íntimes per un xat, una xarxa social o una aplicació de missatgeria i algú aconsegueix accedir il·legalment al teu compte , pot descarregar aquest material i fer-lo servir per extorsionar-te. En aquest cas sí que hi ha un risc real i és fonamental canviar contrasenyes, activar la verificació en dos passos i denunciar com més aviat millor.
Una altra possibilitat, molt menys habitual però possible, és que un ciberdelinqüent aprofiti un codi maliciós per controlar la càmera i el micròfon d'un dispositiu. Tot i que tècnicament es pot fer en escenaris dirigits, no és el modus operandi típic de les campanyes massives de sextorsió per correu, que es basen en el volum i l'engany psicològic més que no pas en intrusions avançades en cada víctima.
En tots aquests contextos, la clau és entendre que la responsabilitat mai no és de la víctima per haver confiat o per haver compartit contingut íntim, sinó del delinqüent que aprofita aquesta vulnerabilitat per coaccionar i causar mal. El suport emocional i legal és tan important com la resposta tècnica.
Marc legal a Espanya i obligació de denunciar
Al Codi Penal espanyol encara no hi ha un tipus penal específic anomenat “sextorsió”, però els comportaments que la componen encaixen en diversos delictes ja recollits a la llei : xantatge, extorsió, delictes contra la intimitat i l'honor, revelació de secrets, corrupció de menors, abús sexual, explotació sexual, distribució de pornografia infantil.
Això vol dir que, si algú t'amenaça de difondre les teves fotos o vídeos íntims o els publica sense el teu consentiment, està cometent delictes perseguibles per la justícia . Per això les autoritats insisteixen en la importància de denunciar, fins i tot encara que al principi et faci vergonya o sentis por que es conegui el cas.
En denunciar, és fonamental aportar totes les proves possibles del xantatge : correus electrònics complets (amb capçaleres si és possible), captures de pantalla dels missatges, enllaços a perfils des dels quals t'han contactat, adreces de moneders de criptomonedes a què t'han demanat pagar, rebuts o justificants si ja has fet algun pagament, etc.
És normal témer per la privadesa del material íntim, però els cossos policials i els jutjats tracten aquestes evidències amb màxima confidencialitat . No es publiquen ni s'utilitzen més enllà del que és estrictament necessari per a la investigació i el procediment judicial.
A més de les vies oficials, hi ha associacions i serveis especialitzats, com ara pàgines d'ajuda a víctimes de sextorsió, on s'ofereix tant orientació legal com suport psicològic . Demanar ajuda no et fa feble; al contrari, és un pas clau per recuperar el control de la situació.
Què fer si reps un correu de sextorsió
Si reps un correu on t'amenacen de difondre vídeos íntims teus i et demanen un rescat, el primer és no entrar en pànic . Respira fons, pren-te el teu temps i tingues present que, segons les anàlisis d'organismes com INCIBE, la gran majoria d'aquests missatges formen part de fraus massius sense base real.
No responguis al correu ni paguis absolutament res. Respondre només confirma a l'estafador que la teva adreça està activa i que llegeixes el que t'envia, cosa que pot derivar en nous intents de xantatge. Pagar tampoc garanteix que et deixaran en pau; al contrari, demostra que ets una víctima disposada a cedir i et poden tornar a exigir diners.
Si al correu apareix una contrasenya que encara utilitzes en algun compte, canvia immediatament aquesta clau en tots els serveis on la tinguis repetida. Aprofita per implementar contrasenyes robustes i úniques i, si és possible, activa l'autenticació en dos passos (2FA) per afegir una capa extra de protecció.
És recomanable que passis una anàlisi completa amb un bon antivirus als teus dispositius, no perquè el correu provi que estiguis infectat, sinó com a mesura preventiva general. Mantenir el sistema, el navegador i les aplicacions actualitzades redueix moltíssim la probabilitat que un malware aconsegueixi instal·lar-se al teu equip.
Un cop comprovat tot això, pots esborrar el missatge o moure'l a la carpeta d'spam. Si teniu dubtes sobre si denunciar, podeu contactar amb la Línia d'Ajuda en Ciberseguretat 017 d'INCIBE, on professionals especialitzats us poden orientar sobre els passos següents i sobre la conveniència de presentar una denúncia formal en el vostre cas concret.
Mesures preventives per reduir el risc de sextorsió
La millor defensa davant d'aquest tipus de xantatges és una combinació d' higiene digital, sentit comú i educació per a totes les persones del teu entorn, especialment menors i adolescents. Encara que no existeixi el risc zero, sí que pots baixar moltíssim les probabilitats de veure't envoltat en una sextorsió.
En primer lloc, convé ser molt prudent amb la difusió de contingut íntim . Cada persona és lliure de decidir què comparteix i amb qui, però és important recordar que, una vegada que una foto o un vídeo surt del teu dispositiu, perds el control total. Desconfia dels que et pressionen per enviar contingut sexual o per fer videotrucades pujades de to des del primer moment.
També és clau revisar sovint les opcions de privadesa en xarxes socials i serveis online, limitant qui pot veure la teva informació personal, les llistes de contactes o les publicacions. Com menys dades públiques hi hagi sobre tu, més difícil serà per a un estafador personalitzar amenaces o suplantar identitats per acostar-se a tu o als teus familiars.
Fes servir sempre contrasenyes diferents a cada servei i recorre a un gestor de contrasenyes si et resulta difícil recordar-les. D'aquesta manera, encara que una plataforma pateixi una filtració de dades, l'impacte es limitarà a aquest compte concret i no afectarà la resta dels vostres perfils.
A nivell tècnic, val la pena configurar correctament registres com SPF, DKIM i DMARC als teus dominis (si tens correu associat a un domini propi) i activar els filtres antispam i antivirus oferts pel teu proveïdor de correu. Això ajuda a fer que molts d'aquests correus ni tan sols arribin a la safata d'entrada principal.
Cas especial: correus que semblen enviats des del teu propi compte
Un dels trucs més inquietants que utilitzen els estafadors és fer que el missatge sembli que l'has enviat tu mateix , és a dir, que la teva adreça apareix com a remitent i destinatari. Això genera la sensació que han pres el control de la teva bústia i estan enviant correus al teu nom.
Aquesta tècnica es coneix com a spoofing i es basa en suplantar el camp “From” del correu. A la pràctica, és com si algú escrivís el teu nom i la teva adreça al remitent d'una carta tradicional: no implica que hagi entrat a casa teva, només que ha falsejat l'etiqueta exterior. Malauradament, el protocol del correu electrònic va ser dissenyat fa dècades i permet aquest tipus de manipulació si no es reforça amb mecanismes moderns.
Per reduir l'impacte del spoofing, es recomana configurar un registre SPF al domini (i, si és possible, DKIM i DMARC). Aquests registres indiquen quins servidors estan autoritzats a enviar correus en nom del domini. Si un servidor receptor comprova aquests registres i veu que el missatge ve d'un servidor no autoritzat, podeu marcar-lo com a sospitós o rebutjar-lo directament.
No tots els servidors fan aquestes comprovacions, per la qual cosa algun missatge falsificat es pot colar igualment. Si us arriba un correu de sextorsió que sembla enviat des del vostre compte, analitza bé el contingut, comprova les capçaleres tècniques del missatge i, si tens dubtes, consulta amb el teu proveïdor de correu o amb un professional de seguretat abans d'alarmar-te.
Mentrestant, aplica les mateixes recomanacions: no responguis, no paguis, revisa les teves contrasenyes per si de cas i passa una anàlisi amb la teva solució de seguretat. A la immensa majoria d'aquests casos no hi ha un accés real a la teva bústia, només un truc d'aparença.
En definitiva, els xantatges de sextorsió per correu electrònic es recolzen més en la por, la vergonya i la urgència que en veritables capacitats tècniques, i entendre com funcionen, reconèixer els seus senyals i saber com reaccionar —sense pagar, protegint els teus comptes i denunciant quan sigui necessari— és la millor manera de tallar-los les ales a aquests ciberdelinqüents i minim.
