Scurgerea celor 340 de milioane de conturi OnlyFans nu e o spargere

Un set de date prezentat drept informațiile personale a 340 de milioane de utilizatori OnlyFans este scos la vânzare pe un cunoscut forum de scurgeri, pentru o fracțiune dintr-un singur Bitcoin. Anunțul promite adrese de e-mail, numere de telefon, nume reale, ultimele patru cifre ale unui card de plată și detaliul care cântărește cel mai mult pe o astfel de platformă: conturile de social media legate de fiecare profil.

Pe aproape orice alt serviciu, ar fi o problemă obișnuită de confidențialitate. Pe OnlyFans este ceva mai tăios. Întreaga relație dintre platformă și cei care o folosesc se sprijină pe un zid care separă identitatea legală a unei persoane de ceea ce face în spatele unui paywall. Un fișier care leagă un nume real și un număr de telefon de un cont OnlyFans este o unealtă creată exact pentru a dărâma acel zid și, fie că e autentic sau nu, se adresează celor care caută tocmai asta.

Vânzătorul descrie câte o fișă pentru fiecare cont: identificator, nume de utilizator, nume complet, data înscrierii, e-mail, telefon, numărul de urmăritori și de aprecieri, cantitatea de conținut publicat, o etichetă care arată dacă e fan sau creator și legături către profiluri de pe alte rețele. Cere 0,313 Bitcoin, aproximativ șaptezeci și șase de mii de dolari pentru tot lotul. Vândut astfel, pare mai puțin o foaie de calcul și mai mult un pachet de ținte. Câmpul cu profilurile legate este cel care transformă o bază de date într-o armă: pentru un creator, unirea contului OnlyFans cu un Instagram verificat dărâmă separarea pe care se sprijină activitatea sa.

OnlyFans susține că nu s-a întâmplat nimic. «Aceste relatări sunt false», a transmis un purtător de cuvânt publicației de securitate care a dezvăluit anunțul. Însuși numărul stârnește îndoieli: 340 de milioane este aproape de întreaga bază de utilizatori înregistrați, acel total rotund care rareori supraviețuiește unei intruziuni reale. Iar cel mai puternic argument împotriva unui atac vine de la vânzătorul însuși: contactat, a recunoscut că datele nu au ieșit niciodată din OnlyFans. Le-a alcătuit încrucișând scurgeri mai vechi de pe alte platforme, printre care Twitter, Instagram și Spotify, cu informații de profil deja publice. Este o compilație, nu o intruziune.

Această distincție este toată povestea, iar piața clandestină trăiește din a o estompa. O scurgere reală extrage date la care publicul nu a avut niciodată acces; o compilație rearanjează date deja scurse în altă parte și le dă o marcă nouă și înspăimântătoare. «OnlyFans» se vinde pe un forum cum nu s-ar vinde niciodată «o listă construită din date Twitter vechi de cinci ani». Presupusele «atacuri» de miliarde de conturi la WhatsApp sau Gmail care reapar din când în când funcționează la fel și aproape întotdeauna se dovedesc liste de credențiale reciclate.

Nimic din toate acestea nu face fișierul inofensiv. Arma aici este corelarea, nu noutatea. Un nume deja public într-o parte și un e-mail scurs în alta valorează puțin separat; legate de un cont OnlyFans, devin o hartă care duce de la identitatea de zi cu zi a unei persoane la contul său de conținut pentru adulți. Acea hartă este materia primă a mesajelor de sextorcare care citează detalii reale ca să pară credibile, a phishingului îndreptat spre conturile de plată ale creatorilor și a hărțuirii și uzurpării de identitate pe care mulți le îndură deja, fără ca un atacator să aibă trierea gata făcută.

Pentru oricine a legat vreodată un cont Instagram sau X de un profil OnlyFans, fan sau creator și în orice piață, e mai sigur să presupună că acea legătură este deja găsibilă și poate fi acum împachetată pentru vânzare. Sfatul specialiștilor este lipsit de strălucire: tratați orice mesaj care pare să «știe» activitatea voastră pe OnlyFans drept o tactică de presiune, nu o dovadă, nu plătiți niciodată o cerere de șantaj și activați autentificarea în doi pași, astfel încât o parolă scursă să nu fie de ajuns ca să deschidă contul. Anunțul este încă activ, iar cercetătorii analizează mostre pentru a măsura cât este real, reciclat sau pur și simplu inventat, singura întrebare de care depinde de fapt prețul. Atâta vreme cât un nume celebru pe un forum valorează mai mult decât datele din spate, următoarea «mega scurgere» este deja asamblată din rămășițele celor zece anterioare.