Lladres d'Instagram: el negoci darrere del robatori de comptes amb milers de seguidors

Instagram s'ha convertit en una mina per als cibercriminals que es dediquen a usurpar comptes amb milers de seguidors. Busquen diners: amenacen o fan xantatge perquè paguis, i, si no pagues, posen en venda el teu perfil o el fan servir per intentar robar altres comptes. L'objectiu, sobretot, són comptes molt actius i amb més de 10.000 seguidors. I no tenir el compte verificat, és a dir, no tenir el "check" blau amb què Instagram reconeix un compte com a oficial, els fa especialment vulnerables. Els lladres busquen aquests comptes perquè són els que tenen més valor en el mercat negre.

Un risc per a empreses i persones amb projecció pública

És el que li va passar a l'alcalde de Terrassa, Jordi Ballart Pastor, que va perdre el compte quan tenia 23.000 seguidors i feia un mes que havia demanat que li verifiquessin el compte. Un cop van prendre el control del compte, els ciberdelinqüents van començar a extorquir-lo. Com que no cedia, van anar apujant la xifra del rescat en paral·lel a les amenaces fins a exigir-li 1.000 euros en bitcoins si no volia que li perjudiquessin la imatge. Un risc més gran com més gran és l'exposició pública:  
 

"Em van dir que si no pagava es dedicarien a deshonorar-me. De fet, es van dedicar a enviar fotos pornogràfiques des del meu compte als meus contactes. També van publicar el meu telèfon mòbil en una story, i vaig començar a rebre whatsapps, missatges, trucades d'una pila de gent. Es van dedicar a fer-me una extorsió des de la xarxa segrestada i també a través del telèfon mòbil. Clar, passes por, que és el que volen."

Per a petites empreses, el risc no és el desprestigi, sinó la caiguda en la facturació. Unes xifres que poden ser considerables, ara que amb la pandèmia, la xarxa social s'ha convertit en un segon aparador amb què mostrar-se i comunicar-se amb els clients. A la joieria familiar TassJoies, al barri de Sants de Barcelona, perdre el compte els va suposar una pèrdua d'un 30% de la facturació mensual. 
 

"Es passa molt malament, és un mal de panxa horrorós. I la impotència, sobretot sents impotència."

Com roben els comptes? 

El "modus operandi" d'aquests ciberdelinqüents acostuma a seguir un mateix patró amb petites variacions. Es posen en contacte amb les víctimes amb un correu electrònic o un missatge directe on els diuen que són a un pas de verificar el compte, o que una foto ha comès una infracció de copyright. Qualsevol excusa per fer-los clicar un link i demanar-los dades personals, entre els quals el número de telèfon i la contrasenya.

Per guanyar-se la confiança dels usuaris, els cibercriminals es fan passar per Instagram o per comptes associats a la xarxa social, com InstagramVerif o IgLiveService. A partir d'aquí, també amb un enllaç, porten els usuaris a una pàgina d'inici d'Instagram falsa per aconseguir la seva contrasenya. 

D'on venen els atacs? 

Resoldre qui hi ha al darrere és molt difícil perquè els atacs majoritàriament venen de Turquia. Les adreces IP apunten aquest origen i també la llengua que utilitzen en els seus missatges d'extorsió, que és turc nadiu, segons investigadors com Selva Orejón, pèrit judicial en identitat digital a Onbranding. 

En aquest país els cibercriminals se senten impunes perquè Espanya no té un tractat internacional amb Turquia que garanteixi que la investigació segueixi el seu curs i pugui acabar en extradició.  

I la situació encara es complica més perquè la majoria de víctimes no denuncien. "Sense denúncia no es pot engegar un procés que ja d'entrada seria molt llarg. I hauríem d'anar per la via penal", apunta Orejón. "Turquia és d'aquells països, com la Costa d'Ivori o Nigèria, on encara que hi hagi una comissió rogatòria per part del jutge, la resposta no és bona. Quan arriba la petició allà, la resposta judicialment és nul·la." 

A més, a l'hora de cobrar el rescat, els lladres demanen el pagament en bitcoins, una moneda virtual que ofereix un alt grau d'anonimat i de la qual és molt més difícil seguir el rastre. 

Laberint per recuperar el compte

La recuperació del compte obre un laberint de formularis amb Instagram. Formularis que demanen dades del compte que, un cop piratejat, han canviat i no coincideixen. Per tant, s'entra en un bucle de final incert. En el millor dels casos, l'atenció als afectats és lenta i es poden tardar mesos fins que dona resultat. Només els comptes que inverteixen en publicitat grans sumes de diners tenen línia directa amb la companyia. 

"El procés és dur, lent i horrorós. Horrorós perquè he arribat a enviar la patent, el NIF, i els impostos i links d' altres xarxes socials. Ho he enviat tot, i la resposta va ser, al cap d'uns dies, que no era suficient per demostrar que el compte era nostre", diu la Gemma Miralles Riera, de TassJoies. 

Per a empreses familiars com aquesta joieria, canviar de compte significava tirar pel terra anys d'esforç i començar de zero, amb la perspectiva de no tornar a aconseguir la xifra de seguidors anterior. Van lluitar per recuperar-lo, i a través d'un compte nou van demanar ajuda a la comunitat. Així van rebre consells perquè Instagram els accelerés els tràmits. En el cas de l'alcalde de Terrassa, va ser clau l'ajuda de l'Agència de Ciberseguretat de Catalunya, que té obert un servei de ciberseguretat adreçat a les administracions locals, com hospitals, ajuntaments i càrrecs públics. 

Des de l'inici de la pandèmia aquest tipus de delictes, la usurpació d'identitat a la xarxa, ha augmentat amb força, amb pics d'un 220% els mesos de confinament estricte, segons dades de l'Agència de Ciberseguretat de Catalunya.

Però si els usuaris més actius a les xarxes socials tenen un 30% més de probabilitats de patir un robatori del perfil respecte a la resta d'usuaris, en el cas d'Instagram, el risc s'enfila fins a un 46% més.  

Important denunciar sempre

Els robatoris de comptes d'Instagram poden semblar un assumpte menor a primer cop d'ull, però al darrere hi ha un delicte contra el dret a l'honor, un perjudici econòmic i la revelació de bases de dades que impliquen terceres persones. Per això, la recomanació dels experts és denunciar-ho sempre. 

"S'ha de denunciar sempre perquè si fan algun delicte des del teu compte o usen les teves dades per fer-ho, qui respon ets tu", conclou Orejón. 

La denúncia és també el camí perquè les plataformes i els cossos de seguretat puguin dimensionar el fenomen i dedicar-hi els efectius necessaris per fer-hi front. Que hi hagi un pic de denúncies quan els robatoris es disparen permetria extreure conclusions sobre el "modus operandi" i forçaria plataformes com Instagram a usar la seva intel·ligència artificial per eliminar aquest tipus de comportaments.