El comienzo:
El 7 de enero del 2021, a mi buzón de mensajes comenzaron a llegar peticiones de ayuda muy peculiares. Compartían similitudes muy claras, e incluso cierta relación entre las víctimas: Todas era chicas jóvenes, con mucha presencia pública en las RRSS y de una zona de España muy bien acotada.
Fue entonces cuando lancé esta #AlertaCiberDelincuencia:
No sería hasta 41 días después de mi aviso que INCIBE se haría eco de la ola de casos. No obstante, mi análisis ya había dado comienzo y, a las pocas horas del anuncio en mi cuenta de Twitter, la investigación ya daba sus frutos:
Tras trazar las agresiones a mis clientes, los patrones se volvieron muy evidentes y repetitivos.
El agresor:
- Selecciona a una víctima de Instagram
- Crea una nueva cuenta en la misma red con un nombre de usuario increíblemente parecido al de la cuenta de la víctima
- Copia post a post una lista de publicaciones de la cuenta real, duplicándolas en la cuenta falsa (capturando imágenes de la víctima y publicándolas como propias). En ocasiones incluye hasta un calco perfecto del texto que acompaña a cada fotografía.
- La cuenta falsa solicita amistad a los contactos de la cuenta real.
- La cuenta falsa bloquea a la cuenta real para dificultar que su dueña advierta la situación.
- Finalmente, con el perfil clonado de IG y con un nombre de usuario engañoso, se hace pasar por la víctima y añade en la descripción de la cuenta fraudulenta (la bio) un enlace a una WEB tipo PPPV («porn pay per view», del estilo de OnlyFans).
- Este link enlaza a un segundo perfil falso, esta vez dentro de la Red de contenidos para adultos.
- Dicho perfil se ha creado con una serie definida de fotografías de la víctima para darle credibilidad (sacadas todas de la cuenta real de Instagram, de nuevo).
- Además, añade cierto contenido para adultos, en ocasiones moderadamente censurado con stickers, difuminados o pixelados, en los que no se ve la cara de la actriz que participa (lo que permite que los visitantes crean que se trata legítimamente de la víctima suplantada).
- Para ver el contenido sin censura y para acceder a más contenido (que, obviamente, no protagoniza la víctima), el perfil propone una subscripción de pago.
- Los seguidores se suscriben al perfil PPPV, creyendo erróneamente que se trata de la misma persona y sintiéndose incentivados por la curiosidad o el morbo de consumir contenido pornográfico de su conocida.
- El agresor gana dinero con dichas subscripciones.
El crecimiento exponencial de víctimas, los criterios de selección de las cuentas originales, los límites y modos de clonación de las cuentas falsas, la selección de imágenes para el perfil PPPV y la exactitud en los diferentes casos de los textos agregados por el agresor, conducen a una clara conclusión:
El proceso se ha automatizado y está siendo realizado por uno o más bots.
¿Lo peor? No siempre usan OnlyFans (que al menos responde a nuestras autoridades), puesto que el registro en esta plataforma requiere verificación mediante documento de identidad y validación de una cuenta bancaria. En ocasiones son WEB’s de diferente calidad y aprecio por la ley (muchas basadas en WIX), y algunas de ellas ubicadas en países de Europa del este, donde nuestra Administración de Justicia difícilmente puede llegar.
Aunque recién llegada a nuestro país, esta estafa ya era reportada en otros lugares del mundo desde diciembre del 2020.
El daño:
Desde aquel día, hemos pasado de 5 casos a miles.
«Estaba por ponerme a estudiar y empezaron a llegarme notificaciones al teléfono. Como estaba concentrada no quise ir a verlo, hasta que me llamó la atención la gran cantidad de mensajes que estaban entrando. Entro a mi WhatsApp y chats de Instagram y veo que muchos amigos y conocidos me compartían este perfil preguntándome si estaba al tanto de él».
Declaraciones de una de las víctimas para Enrique Pérez, de su artículo en Xataka
Era muy habitual que el vídeo de cebo fuese el de el primer plano de los genitales de una chica, masturbándose (con el rostro fuera del ángulo de cánara, por supuesto).
¿Qué porcentaje de los espectadores creyó realmente que se trataba de la víctima, a quien estaban contemplando verdaderamente en aquella situación tan comprometedora?
¿Somos capaces de imaginar el daño social?
«Cuando descubrí que era alguien que no solo pretendía ser yo al usar mis imágenes, sino que anunciaba una página de OnlyFans usando mis imágenes, me sentí violada»
Declaraciones de Fran Magiera para Bianca Farmakis, de su artículo en 9Honey
Amigos, familia, contactos… Todos pensando que la perjudicada en realidad se está lucrando y exponiendo su intimidad por dinero, vendiendo su privacidad a un buen precio.
Y el rumor se expande como la pólvora entre todos los seguidores.
«Yo no lo podía ver porque me había bloqueado, pero les pedí que me enviasen capturas de pantalla. El perfil de Instagram tenía de foto de perfil la misma que yo tengo en mi cuenta y en la descripción colocó un link indicando que esa era mi supuesta página con contenido para mayores de 18 años».
Declaraciones de una de las víctimas para Enrique Pérez, de su artículo en Xataka
Acompañé personalmente a algunas de estas muchachas a interponer la denuncia y observé atónito cómo algunos de los miembros de las FFCCSE destinados a registrarlas respondía con frases como:
- «¿Y qué es OnlyFans?» (y la denunciante, nerviosa y hecha polvo, teniendo que explicar esto).
- «Pero si la del vídeo no eres tú, ¿entonces qué problema hay?» (el daño a la imagen pública, el uso de contenido digital no autorizado, el daño económico por uso de una cuenta de pago ilegítima y la suplantación de identidad, por ejemplo).
- «Esto te pasa por exponerte. No hay nada que hacer contra quien usa tu imagen si las fotos son públicas» (no sé ni cuántas veces he tenido que aclarar que este mito es falso: Las fotos compartidas en RRSS en modo público no pueden ser utilizadas sin consentimiento de su protagonista).
- «Tú bloquea ese perfil para que no te moleste y ya está» (pues no está. Actuando así, el daño perpetrado no solo no es resarcido, si no que continua creciendo a espaldas de la víctima y enriqueciendo al agresor).
Manual de reacción:
- Documenta todo lo ocurrido haciendo capturas de pantalla de los perfiles falsos y de los posibles mensajes que envíe, tanto a ti como a tus contactos. Esto, aunque no tenga carga probatoria, facilitará que las FFCCSE inicien una investigación y generen sus propias pruebas utilizables.
- Si conoces al agresor, aspiras a llegar a juicio o crees que tu denuncia no prosperará, solicita la ayuda de un perito. Si sospechas que el agresor es uno de tus contactos o piensas que acabarás defendiendo tu caso frente a un tribunal, es fundamental peritar. Tus capturas no tendrán carga probatoria ante un Juez hasta que la Policía Judicial investigue tu denuncia o un perito informático las haga válidas. Si la víctima es un menor y sus tutores legales no puede asumir la inversión, Ciber Protecter se ofrece a ayudarlo sin costes para la familia.
- Bloquea la cuenta que te está suplantando para dificultar que pueda identificar a tus seguidores y ponerse en contacto con ellos. Tus contactos pueden ser nuevas víctimas de esta u otras estafas.
- Denuncia la cuenta que te está suplantando en Instagram mediante los mecanismos para realizar este tipo de reportes. Enlace aquí.
- Denuncia el perfil falso Porn Pay Per View para conseguir controlar el daño. Si se trata de OnlyFans, tienes el enlace aquí. Si se trata de JustForFans, envía un correo aquí. Si se trata de AdmireMe, tienes el enlace aquí, y si se trata de una WEB basada en WIX, te ayudarán aquí.
- Advierte a tus contactos sobre el perfil ilegítimo de Instagram para que estén alerta en caso de que les envíen una solicitud de amistad o se ponga en contacto con ellos. De ese modo, evitarás que se conviertan a su vez en víctimas del fraude y disminuirás el daño social (desmintiendo el contenido falso).
- Denuncia ante las FFCCSE: Todos los enlaces y detalles aquí (gracias a la OSI, de INCIBE). El Instituto Nacional de Ciberseguridad aconseja que enfoquemos la denuncia como una suplantación de identidad (lo que simplifica el proceso en caso de no ser comprendidos por la persona que está redactándola).
- Como consejo, si tu perfil de Instagram es público, hazlo temporalmente privado, así evitarás que el agresor pueda ver que estás alertando a tus seguidores y dificultarás que conozca tu listado de contactos (aunque podría acceder a esta información igualmente si resulta ser uno de ellos).
P. Duchement 
Me pasó exactamente lo mismo, y precisamente, como dices, no utilizaron OnlyFans si no otra del estilo, el problema es que al denunciar el problema a Instagram borraron mi cuenta original antes que la falsa, por lo que, a parte del agobio y estrés que pasé durante la suplantación he perdido TODO mi contenido, seguidores, recuerdos…. Y no encuentro la forma de recuperarlo
Me gustaMe gusta