Człowiek z pendrive’em od „IT”. FBI ostrzega przed nową taktyką grupy SRG

Grupa przestępcza Silent Ransom Group (SRG), znana z ataków na kancelarie prawne w Stanach Zjednoczonych, rozszerzyła swoje metody działania. Jak wynika z ostrzeżenia Federalnego Biura Śledczego (FBI) z maja 2025 roku, sprawcy nie ograniczają się już do phishingu i socjotechniki przez telefon. W najnowszej kampanii posuwają się do wysyłania swoich ludzi do biur ofiar z polecenia włożenia zainfekowanego pendrive’a do komputera.

Jak działa nowa kampania SRG?

FBI wyjaśnia, że atakujący podszywają się pod dział IT firmy. Najpierw kontaktują się telefonicznie ze zdezorientowanym pracownikiem lub wysyłają e-mail zachęcający do oddzwonienia na numer rzekomego wsparcia technicznego. Podczas rozmowy ofiara jest nakłaniana do udzielenia dostępu do swojego komputera przez zdalny pulpit. Jeśli ta próba się nie powiedzie, SRG podejmuje radykalniejszy krok: wysyła w przebraniu pracownika IT fizyczną osobę, która wkłada do komputera zewnętrzne urządzenie.

„W tym schemacie sprawca mówi ofierze, że musi zobrazować urządzenie lub utworzyć kopię zapasową, aby rozwiązać potencjalne skutki wiadomości phishingowej” — czytamy w ostrzeżeniu FBI opisanym przez SecurityWeek. Po uzyskaniu fizycznego dostępu przestępcy natychmiast przystępują do eskalacji uprawnień i kradzieży danych, nie szyfrując plików. Do wynoszenia informacji używają legalnych narzędzi, takich jak WinSCP (Windows Secure Copy) lub Rclone, a także kopiują dane na dysk twardy przyniesiony przez fałszywego pracownika IT.

Dlaczego atak jest tak trudny do wykrycia

Nowa taktyka SRG stanowi szczególne wyzwanie dla tradycyjnych systemów ochrony. FBI zauważa, że „kampanie SRG pozostawiały niewiele artefaktów na naruszonych maszynach. Tradycyjne produkty antywirusowe również raczej nie wykryją włamania, ponieważ SRG używa głównie legalnych narzędzi do zarządzania systemem lub zdalnego dostępu do przeprowadzenia ataku”.

Innymi słowy, program antywirusowy nie wzbudzi alarmu, gdy zobaczy uruchomienie WinSCP czy logowanie się do Google Drive. To, że coś wygląda jak normalne działanie pracownika, nie znaczy, że jest bezpieczne. Do tego dochodzi czynnik ludzki: presja ze strony osoby w mundurku „z IT” potrafi skutecznie obniżyć czujność nawet przeszkolonego personelu.

Kogo dotyczy zagrożenie i jakie są skutki

Grupa SRG działa od co najmniej 2022 roku, ale od 2023 roku koncentruje się na firmach prawniczych. Najnowsza kampania – z fizyczną obecnością sprawców – rozszerza pulę potencjalnych celów o każdą organizację zatrudniającą pracowników, którzy mogą wpuścić obcą osobę do biura. Atakujący nie muszą włamywać się przez firewall ani wykorzystywać podatności w oprogramowaniu. Wystarczy jeden telefon i jeden nieświadomy pracownik.

Po kradzieży danych SRG szantażuje ofiarę, grożąc sprzedażą lub publikacją informacji. Co więcej – gang kontaktuje się z pracownikami i klientami ofiary, by zwiększyć presję. W niektórych przypadkach dane są kopiowane do publicznie dostępnych chmur, takich jak Google Drive czy Microsoft OneDrive, co utrudnia ich odzyskanie i może prowadzić do dalszych naruszeń prywatności.

Jak się bronić przed fizycznym phishingiem

FBI w swoim zaleceniu podaje praktyczne kroki, które organizacje mogą wdrożyć już dziś:

• Weryfikacja tożsamości – każda osoba z dostępem do zasobów firmy powinna potwierdzić swoją tożsamość, np. przez centralny helpdesk. Pracownicy muszą wiedzieć, że nikt z IT nie przyjdzie bez wcześniejszego zgłoszenia.
• Szkolenie pracowników – regularne ćwiczenia rozpoznawania phishingu, także tego telefonicznego (vishing) i osobistego, zwiększają czujność. Warto włączyć do szkoleń scenariusze, w których „pracownik IT” prosi o dostęp do komputera.
• Ograniczenie instalacji urządzeń zewnętrznych – wyłączenie lub blokada portów USB w kluczowych stacjach roboczych może zapobiec włożeniu nieautoryzowanego pendrive’a.
• Wieloskładnikowe uwierzytelnianie (MFA) odporne na phishing – jeśli atakującym uda się zdobyć hasło, MFA w formie fizycznego tokena lub aplikacji z powiadomieniem może zatrzymać kradzież danych.
• Regularne kopie zapasowe – chociaż SRG nie szyfruje plików, posiadanie odizolowanych kopii offline pozwala szybko odtworzyć dane po wycieku.

Kluczowe jest przyjęcie zasady „nigdy nie ufaj od razu” (zero trust) w kontaktach z każdą osobą podającą się za pracownika IT. Zamiast działać pod presją czasu, należy wstrzymać się i zweryfikować prośbę za pomocą oficjalnego kanału.

Co dalej? Obserwować i reagować

FBI nie podaje, czy kampania z osobistą wizytą sprawców dotarła już do Europy, ale biorąc pod uwagę skalę działalności SRG i skuteczność nowej metody, jest to kwestia czasu. Polskie firmy, szczególnie te zajmujące się obsługą prawną, finansową i doradczą, powinny rozważyć audyt procedur dostępu fizycznego i zdalnego. Warto przejrzeć logi zdalnych połączeń i sprawdzić, czy do biura nie zgłaszały się osoby bez ważnego zlecenia.

Ostateczna odpowiedzialność spoczywa na administratorach i kierownictwie – to oni muszą stworzyć kulturę, w której każda prośba o dostęp jest traktowana jako potencjalne zagrożenie, a nie rutynowa prośba o pomoc. Najskuteczniejszą bronią przed fizycznym atakiem jest bowiem czujność i procedura, która nie pozwoli na podjęcie pochopnej decyzji.