Ameaças e Ataques · Engenharia social e fraude

O que é sextorsão?

Sextorsão é a extorsão que usa conteúdo íntimo como moeda de chantagem, real ou apenas alegado. Na versão que chega às caixas de entrada corporativas todos os dias, o remetente afirma ter gravado a vítima pela webcam do computador e exibe uma senha verdadeira para provar que teve acesso. A senha costuma ser autêntica, vinda de um vazamento antigo. A gravação não existe. É um golpe de volume, disparado a milhares de endereços de uma lista comprada, e não um ataque dirigido a você. Mas o que ele revela sobre a sua empresa é verdadeiro.

Zamak TechnologiesAtualizado em 7 de agosto de 2026

Como o e-mail de sextorsão é montado

Não há invasão, não há webcam ligada e não há alguém observando a sua empresa. O que existe é uma linha de montagem barata, que troca precisão por escala e aposta que, em cada milhar de destinatários, alguém vai acreditar o suficiente para pagar em silêncio.

Matéria-prima comprada pronta

O criminoso parte de uma lista de endereços de e-mail com as senhas correspondentes, vendida a partir de vazamentos de sites antigos. Quando as vítimas do golpe conferem, a senha exibida costuma ser antiga: nos casos documentados por Krebs, perto de dez anos, de um serviço que elas mal lembram de ter usado.

Credibilidade emprestada de um dado real

A senha entra no texto logo na primeira linha, porque é ela que faz a mensagem parecer verdadeira. As campanhas mais recentes acrescentam nome completo, telefone, endereço e até uma imagem de mapa da rua onde a pessoa mora, todos obtidos das mesmas bases vazadas. Nada disso prova acesso ao computador; prova apenas que o dado circula.

Entrega por uma conta legítima já invadida

É aqui que o filtro corporativo falha. As mensagens que chegam à caixa de entrada partem de remetentes e endereços de rede com boa reputação, porque os criminosos usam contas de e-mail corporativo ou pessoal que já invadiram antes. O filtro vê um remetente confiável, não uma origem suspeita.

Prazo curto e um valor tirado do nada

A mensagem dá um prazo curto, de vinte e quatro horas no exemplo documentado, e exige pagamento em criptomoeda, quase sempre bitcoin, hoje por um código QR colado no corpo do e-mail. O valor não é calculado sobre a renda de ninguém: nas campanhas analisadas em 2018 ele era sorteado, um algarismo de um a sete seguido de três zeros; nas campanhas recentes virou uma quantia fixa, igual para todo mundo, na casa dos dois mil dólares. De um jeito ou de outro, não tem relação nenhuma com quem recebe. O que a pressa quer produzir é uma decisão tomada sozinha, sem consultar ninguém.

Fontes: Cisco Talos, análise de 233.236 mensagens de duas campanhas (2018); Krebs on Security (2018); Barracuda, Threat Spotlight (2024); Sophos, rastreamento de pagamentos (2020).

Como reconhecer

A mensagem exibe uma senha sua, mas é uma senha antiga, que você não usa mais no que importa
Nada além da senha é específico: não há nome de arquivo, data, horário nem qualquer detalhe verificável
O prazo é curto e contado em horas, vinte e quatro nos exemplos documentados
O pagamento é exigido em criptomoeda, por endereço de carteira bitcoin ou código QR
O texto proíbe explicitamente que você conte a alguém ou procure ajuda
O remetente às vezes afirma ter enviado a mensagem da sua própria conta, o que costuma ser apenas o campo de remetente falsificado, ou seja, spoofing
A mesma mensagem, com pequenas variações, chega a vários colegas na mesma semana

As formas que a sextorsão assume

Extorsão em massa por e-mail O blefe descrito acima, sem material nenhum por trás. É a forma que chega às caixas de entrada corporativas em volume, e o que este verbete detalha. Diferente do phishing, não há link nem anexo para clicar; diferente do BEC, ninguém se passa por um executivo pedindo transferência. A única alavanca é o constrangimento.
Extorsão com material real Precedida de engenharia social, com dias ou semanas de aproximação, até que o criminoso obtenha imagens da própria vítima e passe a ameaçar divulgá-las. Aqui existe conteúdo real, e a resposta muda de natureza: preservar tudo como prova e acionar a polícia, sem apagar nada.
Sextorsão financeira de adolescentes Uma modalidade organizada e transnacional, operada em escala por grupos criminosos, que tem menores como alvo e o dinheiro como objetivo. O FBI encaminhou mais de 5.700 casos envolvendo menores ao NCMEC, o centro nacional dos Estados Unidos para crianças desaparecidas e exploradas, em 2025, e o centro registra cerca de 137 relatos por dia.
Extorsão com imagem gerada por inteligência artificial Desde 2023 o FBI registra o uso de imagens fabricadas por deepfake a partir de conteúdo publicado nas redes sociais da própria vítima. A vítima nunca produziu material nenhum, e ainda assim tem o que negar.

O incidente que a empresa nunca fica sabendo

de todos os ataques de phishing direcionados detectados por ano, aproximadamente, são e-mails de extorsão, e eles chegam à caixa de entrada porque partem de contas legítimas já invadidas, com boa reputação (Barracuda, 2024)

33.916

denúncias de sextorsão ao FBI em 2025 vieram das faixas de 20 a 39 anos somadas, mais da metade das 64.283 com idade informada: a maior parte das vítimas está em idade de trabalhar (IC3 2025)

0,5%

foi quanto cada leva de mensagens converteu em pagamento numa campanha rastreada por cinco meses entre 2019 e 2020: só 328 das quase 50 mil carteiras receberam alguma coisa (Sophos, 2020)

Do ponto de vista financeiro direto, esse e-mail quase nunca custa dinheiro à empresa: quem paga, paga do próprio bolso, e a maioria não paga. O prejuízo real é outro, e é silencioso. Aquela mensagem é a prova de que uma credencial associada a alguém da sua empresa está circulando em bases vazadas, disponível para qualquer pessoa que queira testá-la. É informação de segurança de primeira qualidade, entregue de graça na caixa de entrada. E é justamente a informação que não chega ao time de segurança, porque o assunto envergonha e a mensagem manda calar. O próprio FBI observa que a vergonha, o medo e a confusão costumam impedir a vítima de pedir ajuda ou relatar o caso. O resultado é uma empresa que fica sabendo da senha vazada meses depois, quando alguém a usa para entrar de verdade.

O que fazer quando essa mensagem chega

A ordem importa. As três primeiras decisões são do funcionário e levam minutos; as três seguintes são da empresa e valem para sempre.

Não pague e não respondaResponder confirma que o endereço está ativo e coloca a pessoa numa lista melhor, que será revendida. Pagar não encerra nada, porque não há nada a encerrar. Guarde a mensagem, não a apague.
Troque a senha exibida em todo lugar onde ela ainda existaEsta é a única ação técnica realmente urgente. Se aquela senha, ou qualquer variação dela, ainda abre alguma coisa hoje, o problema não é o e-mail: é o acesso que ela dá.
Encaminhe a mensagem para quem cuida de segurançaÉ o passo que a vergonha costuma engolir, e é o único que transforma um constrangimento pessoal em informação útil para a empresa. Encaminhe o e-mail inteiro, com os cabeçalhos, e diga qual senha apareceu. Não é preciso explicar mais nada: o time precisa do dado, não da história.
Exija um segundo fator onde o acesso realmente pesaOnde o acesso pesa, exigir um segundo fator tira da senha o poder de abrir sozinha. Aquela credencial continua circulando, mas deixa de ser uma chave e vira apenas um dado velho: é o que reduz o vazamento antigo a um incidente sem consequência prática.
Monitore as credenciais da empresa que aparecem em vazamentosO objetivo é descobrir a exposição por monitoramento, e não por uma mensagem de chantagem. Quem acompanha as bases vazadas troca a senha antes de alguém tentar usá-la.
Diga antes, e por escrito, que avisar não terá custo pessoalUma política de uma linha, comunicada antes de acontecer, é o que separa a empresa que recebe o aviso da que fica no escuro. Quem recebe a mensagem precisa saber, sem precisar perguntar, que avisar o time de segurança não expõe ninguém e não gera constrangimento.

Em uma frase

A senha é verdadeira; a gravação não existe. Quem entende essa diferença para de pagar e passa a fazer a única coisa útil, que é avisar. Uma empresa que trata esse e-mail como constrangimento perde o aviso. Uma empresa que o trata como alerta de credencial sai na frente de quem comprou aquela lista.

Como a Zamak trata isso

Para a Zamak Technologies, essa mensagem é um indicador de credencial exposta, e não um caso de moderação de conteúdo. Ela é lida como sinal: qual senha apareceu, onde ela ainda vale e quantos endereços do mesmo domínio foram atingidos na mesma leva. A partir daí o trabalho é reduzir a superfície que sustenta o golpe: acompanhar as credenciais da empresa que surgem em bases vazadas, exigir um segundo fator onde o acesso realmente pesa, e apertar a autenticação do domínio, que barra a variante em que o golpista finge escrever do endereço da própria vítima. A verificação gratuita de domínio mostra em segundos como está essa autenticação. O rastro atrás da senha é sempre o mesmo par, o vazamento de dados que a expôs e a dark web onde ela passou a ser negociada. Isso faz parte da Segurança de E-mail gerenciada e da Cibersegurança gerenciada do método Zamak, e começa no dia em que a empresa combina para onde esse e-mail é encaminhado.

Perguntas frequentes sobre sextorsão

Eles realmente têm um vídeo meu?

Na variante em massa, quase certamente não. O sinal está no que falta: se houvesse material, a mensagem citaria um detalhe verificável, como a data, o nome de um arquivo ou um trecho. O que essas mensagens apresentam é sempre a mesma coisa, uma senha antiga vinda de um vazamento, porque é o único dado verdadeiro que o remetente tem. A ameaça de enviar aos seus contatos faz parte do roteiro padrão, disparada igual para milhares de endereços; não há material a enviar. Existe a modalidade com material real, e ela é diferente: nela houve contato prévio, uma conversa que durou dias, e a pessoa sabe que houve.

Como eles descobriram a minha senha?

De um vazamento de um site em que você se cadastrou anos atrás, não do seu computador nem da sua empresa. Essas listas são vendidas prontas, com endereço e senha lado a lado. É por isso que a senha exibida costuma ser antiga e estar ligada a um serviço que você quase esqueceu. A pergunta útil não é como chegaram até ela, e sim onde ela ainda funciona hoje.

Devo pagar para acabar com isso?

Não. Não há material a ser destruído, e no rastreamento de uma campanha de cinco meses apenas 328 de cerca de 50 mil carteiras receberam algum pagamento, o que mostra que o modelo vive do volume de envio e não do sucesso individual. Pagar também não encerra o assunto: sinaliza um endereço que responde a pressão, e o endereço volta a ser procurado. E se você já pagou, não há nada a recuperar do outro lado, mas há duas coisas a fazer hoje: trocar a senha exibida em todo lugar onde ela ainda exista e avisar o time de segurança.

Isso é problema da empresa ou da pessoa?

A mensagem é dirigida à pessoa, mas o dado que ela expõe é da empresa. Uma credencial ligada a um funcionário está circulando, e ninguém sabe onde ela ainda abre porta. Some-se a isso que essas listas são organizadas por endereço de e-mail: se o vazamento alcançou o domínio da empresa, é o domínio inteiro que está na lista, e não uma pessoa.

Vale a pena registrar a ocorrência?

Vale, por dois motivos distintos. O primeiro é interno: o time de segurança precisa saber qual senha apareceu para verificar onde ela ainda vale. O segundo é externo: essas medições existem porque as pessoas relatam. O FBI registrou mais de 75 mil relatos de sextorsão em 2025. E a série que a Europol acompanha no relatório IOCTA 2026 mostra a curva do lado mais grave: os relatos de extorsão financeira envolvendo menores recebidos pela NCMEC no primeiro semestre passaram de 13.842 em 2024 para 23.593 em 2025, alta de cerca de 70%.

E quando a vítima é um adolescente?

Aí não se trata de um golpe de volume, e sim de crime organizado transnacional com alvo definido. A orientação oficial é não pagar, não apagar as conversas, preservar tudo e acionar a autoridade policial imediatamente. O próprio FBI indica o serviço gratuito Take It Down, do NCMEC, o centro nacional dos Estados Unidos para crianças desaparecidas e exploradas, que ajuda a remover o material da internet. E há uma frase que a família precisa ouvir sem meio-tom: a culpa nunca é de quem foi coagido.