L’inganno OTP su Snapchat: anatomia di un attacco che ha compromesso oltre 750 account

Introduzione

Un ventiseienne dell’Illinois è stato condannato a sei anni e quattro mesi di reclusione per aver orchestrato, tra il 2020 e il 2021, una massiccia campagna di intrusione su Snapchat. L’aggressore ha puntato più di 4.500 potenziali vittime, riuscendo a violare gli account di circa 750 donne e a sottrarne immagini intime, spesso per rivenderle o per ordine di terzi. Il caso illustra quanto le tecniche di social engineering possano rendere inefficaci anche i meccanismi di sicurezza più diffusi, come i codici monouso (OTP).

Analisi tecnica

L’attacco si è basato su una catena di phishing psicologico (vishing e smishing). L’hacker reperiva numeri di telefono o username di donne attive su Snapchat attraverso social network e canali pubblici. Successivamente, usando numeri anonimizzati o app di messaggistica, contattava ciascuna vittima spacciandosi per un addetto ufficiale di Snap Inc. Con pretesti di emergenza – accessi sospetti, verifiche di sicurezza – la convinceva a leggere il codice OTP che la piattaforma inviava al suo telefono, innescato dal tentativo di accesso dell’aggressore da un nuovo dispositivo.

Una volta ottenuto il codice, l’hacker completava l’autenticazione e assumeva il pieno controllo dell’account. Subito scaricava tutte le immagini private (incluse storie e messaggi) e attivava una nuova autenticazione a due fattori (2FA) con un metodo sotto il proprio controllo (ad esempio un’app authenticator), escludendo così la legittima proprietaria.

L’aggressore non si limitava ad accumulare bottino: su Kik Messenger – piattaforma crittografata – pubblicizzava il suo “servizio” di hacking su commissione e scambiava il materiale rubato. Oltre alle foto di adulte, conservava e distribuiva materiale pedopornografico (CSAM) attraverso account Mega, dove ammassava più di 1.100 file. In almeno un caso, ha violato gli account di studentesse universitarie su richiesta di un ex allenatore, poi condannato a sua volta.

Dal punto di vista tecnico, l’elemento più insidioso è rappresentato dalla manipolazione del fattore umano. La 2FA basata su OTP perde ogni efficacia se la vittima consegna volontariamente il codice, e la successiva attivazione di una 2FA ostile rende complesso il recupero dell’account, poiché il legittimo proprietario non può più superare la verifica.

Impatto

L’impatto sulle vittime è stato profondo: oltre al furto di dati personali e alla diffusione non consensuale di immagini intime, molte hanno subito danni psicologici e reputazionali. L’esclusione forzata dagli account ha amplificato il senso di impotenza. Dal punto di vista penale, il caso ha acceso i riflettori sul traffico di CSAM, sul cyberstalking e sulla sextortion. Per Snap Inc., la vicenda rappresenta un danno reputazionale e un campanello d’allarme sulla necessità di rafforzare le difese contro il phishing mirato e di educare in modo più incisivo l’utenza.

Mitigazione

Per gli utenti:

• Non comunicare mai a terzi, via telefono o messaggio, codici OTP, password o PIN, anche se chi li richiede dichiara di appartenere al supporto tecnico.
• Sostituire, dove possibile, la 2FA via SMS con app di autenticazione (TOTP) o chiavi hardware, più difficili da intercettare socialmente.
• Verificare sempre l’identità di chi contatta utilizzando canali ufficiali (email certificata, notifiche in-app) e segnalare immediatamente tentativi sospetti.
• Monitorare le notifiche di accesso e di modifica alle impostazioni di sicurezza; se si notano cambiamenti non autorizzati, contattare subito il supporto legittimo.

Per le piattaforme:

• Potenziare i motori di rilevamento anomalie, come accessi da dispositivi o aree geografiche inconsuete, o l’attivazione di una nuova 2FA subito dopo un login.
• Inviare notifiche push e email chiare per ogni modifica critica (es. cambio password, nuova 2FA), includendo un link per annullare l’operazione entro pochi minuti.
• Investire in campagne educative permanenti che spieghino agli utenti che il personale ufficiale non chiederà mai codici OTP.
• Accelerare le procedure di blocco e rimozione degli account che impersonano l’azienda.

FAQ

1. Come faceva l’hacker a ottenere i codici OTP se non aveva fisicamente il telefono della vittima?
L’aggressore usava l’ingegneria sociale: contattava la vittima fingendosi Snapchat e la persuadeva a riferire il codice che l’app generava in quel momento. Poiché la vittima stessa consegnava il codice, tutte le protezioni crittografiche venivano aggirate.

2. Perché l’autenticazione a due fattori non ha protetto le vittime?
La 2FA con OTP funziona solo se il codice rimane segreto. Convinta di parlare con un responsabile della sicurezza, la vittima ha volontariamente condiviso il codice, annullando il fattore di protezione. Successivamente, l’hacker ha impostato una propria 2FA, prendendo il controllo esclusivo dell’account.

3. Quali lezioni deve trarre una piattaforma come Snapchat?
Deve rendere inequivocabile il messaggio che nessun operatore chiederà mai un OTP o una password. Inoltre, è cruciale implementare sistemi automatici che riconoscano comportamenti sospetti – per esempio, attivazione di una nuova 2FA subito dopo un accesso – e fornire agli utenti strumenti rapidi di ripristino e supporto specializzato anti-frode.