FBI ostrzega przed nową taktyką grupy Silent Ransom Group. Ofiarami padają kancelarie prawne
Grupa Silent Ransom Group (SRG) stosuje hybrydowy atak: najpierw phishing i podszywanie się pod IT, a gdy to nie działa – wysyła fizycznie osobę do siedziby ofiary. FBI ostrzega przed tą metodą, która wymyka się standardowym zabezpieczeniom sieciowym.
Amerykańskie Federalne Biuro Śledcze (FBI) ostrzegło przed nową, niepokojącą taktyką grupy extorsyjnej Silent Ransom Group (SRG). Cyberprzestępcy nie ograniczają się już do ataków zdalnych – w razie potrzeby wysyłają swojego człowieka do siedziby ofiary, by fizycznie podłączył nośnik USB do firmowego komputera. Ofiarami padają przede wszystkim kancelarie prawne w Stanach Zjednoczonych, ale mechanizm ataku może być zastosowany wobec każdej organizacji.
Jak działa atak hybrydowy SRG?
Jak wynika z komunikatu FBI, grupa Silent Ransom Group (znana również jako Luna Moth, Chatty Spider i UNC3753) działa od co najmniej 2022 roku. Wiosną 2026 roku zmodyfikowała swoją metodę działania. Atak rozpoczyna się od typowego phishingu: przestępcy wysyłają e-maile lub dzwonią, podszywając się pod pracowników działu IT ofiary. Namawiają rozmówcę do zainstalowania oprogramowania do zdalnego dostępu.
Jeśli ta próba się nie powiedzie, SRG przechodzi do drugiego etapu – wysyła fizycznie swojego członka do lokalizacji ofiary. Osoba ta, podając się za pracownika IT, próbuje uzyskać dostęp do komputera i podłączyć przenośny dysk twardy lub pendrive. Celem jest wykradzenie danych bezpośrednio z urządzenia.
Kto jest celem i jakie są skutki?
FBI wskazuje, że grupa od początku 2023 roku koncentruje się na kancelariach prawnych i instytucjach finansowych w USA. Po udanym włamaniu przestępcy wysyłają żądanie okupu, grożąc sprzedażą lub publikacją skradzionych danych. Dodatkowo kontaktują się telefonicznie z pracownikami i klientami ofiary, by wywrzeć presję na rozpoczęcie negocjacji.
Warto zaznaczyć, że SRG ma na koncie poważniejsze ataki. Jak przypomina BleepingComputer, ta sama grupa była wcześniej powiązana z kampaniami BazarCall, które zapewniały wstępny dostęp do sieci korporacyjnych w atakach ransomware Conti i Ryuk. Po rozpadzie Conti w marcu 2022 roku przestępcy odłączyli się i utworzyli Silent Ransom Group.
Jak rozpoznać atak i jak się bronić?
FBI wymienia kilka sygnałów ostrzegawczych, na które powinny zwrócić uwagę firmy. Należą do nich: nieautoryzowane podłączanie zewnętrznych dysków lub pendrive’ów do firmowych komputerów, a także obecność nieznanych osób podających się za pracowników IT i próbujących uzyskać dostęp do sprzętu.
W przypadku ataku zdalnego pierwszym sygnałem może być telefon lub e-mail rzekomo z działu pomocy technicznej, nakłaniający do zainstalowania oprogramowania do zdalnego pulpitu. Każde takie żądanie należy zweryfikować innym kanałem komunikacji – na przykład oddzwonić na oficjalny numer IT.
Dla organizacji kluczowe jest wdrożenie procedur fizycznego dostępu do pomieszczeń biurowych. Goście, w tym osoby podające się za serwisantów, powinni być rejestrowani i eskortowani. Warto również rozważyć blokadę portów USB w systemie dla niezaufanych urządzeń.
Co dalej?
FBI opublikowało ostrzeżenie w formie tzw. flash alertu, co oznacza, że zagrożenie jest uznawane za poważne i aktualne. Grupa Silent Ransom Group prawdopodobnie będzie rozwijać swoją hybrydową taktykę, łącząc ataki zdalne z fizycznymi. Dla firm oznacza to konieczność spojrzenia na bezpieczeństwo szerzej – nie tylko przez pryzmat zapór sieciowych i antywirusów, ale także fizycznej kontroli dostępu i edukacji pracowników w zakresie inżynierii społecznej.
