Grupa Silent Ransom Group atakuje kancelarie prawne. Jak działa i jak się bronić?

Grupa przestępcza Silent Ransom Group, znana też jako UNC3753, Luna Moth i Chatty Spider, od stycznia do maja 2026 roku przeprowadziła serię ataków na kancelarie prawne oraz firmy z sektora finansowego i profesjonalnych usług w Stanach Zjednoczonych. Jak wynika z raportu firmy Mandiant, ataki opierają się na wyrafinowanej socjotechnice – fałszywych e-mailach z fakturami, po których następują telefony od osób podszywających się pod wewnętrzny dział IT. W ciągu kilku godzin od pierwszego kontaktu sprawcy mogą wykraść wrażliwe dane i zażądać okupu. Choć kampania dotyczy głównie rynku amerykańskiego, mechanizm ataku i wnioski obronne są uniwersalne – również dla polskich firm i instytucji.

Jak działa atak? Fałszywy IT support i zdalne narzędzia

Atak rozpoczyna się od e-maila o tematyce fakturowej, wysłanego z prywatnego konta pocztowego. Wiadomość nie zawiera złośliwych linków ani załączników – jej celem jest skłonienie ofiary do oddzwonienia pod podany numer. To klasyczna technika callback phishing, którą grupa stosuje od lat, wcześniej w kampaniach BazarCall powiązanych z ransomware Ryuk i Conti.

Podczas rozmowy telefonicznej osoba podająca się za pracownika IT przekonuje rozmówcę do zainstalowania zdalnego narzędzia do pomocy technicznej, takiego jak AnyDesk, Zoho Assist, Bomgar czy SuperOps. Atakujący wykorzystują również platformy do wideokonferencji, np. Microsoft Teams lub Zoom. W ten sposób uzyskują pełny dostęp do sieci firmowej. Mandiant podkreśla, że sprawcy używają także samoniszczących się wiadomości z serwisu privnote.com, by przekazać ofierze linki instalacyjne – utrudnia to późniejsze śledztwo.

Dlaczego kancelarie prawne są szczególnie narażone?

Wybór celów nie jest przypadkowy. Jak czytamy w raporcie Mandiant:

„Firmy świadczące usługi prawne stanowią cele o wysokiej wartości dla aktorów wymuszających. Przechowują skoncentrowane repozytoria niezwykle wrażliwych plików transakcyjnych klientów, plany fuzji i przejęć, tajemnice handlowe klientów oraz korporacyjne raporty regulacyjne.”

Kancelarie są pod presją – wyciek danych klientów może zniszczyć reputację i narazić na ogromne kary regulacyjne. Atakujący doskonale to wiedzą i często żądają okupu w ciągu zaledwie 30 minut od opuszczenia środowiska ofiary. W liście z żądaniem dają trzy dni na odpowiedź, grożąc powiadomieniem klientów i regulatorów.

Co robić, by się bronić? Praktyczne zalecenia

Zarówno Mandiant, jak i FBI w swoim komunikacie alarmowym zalecają kilka konkretnych kroków obronnych. Przede wszystkim należy wdrożyć ścisłe procedury weryfikacji dla każdej interakcji z działem IT – zarówno telefonicznej, jak i osobistej. Pracownicy powinni być szkoleni, by nigdy nie instalować oprogramowania na żądanie osoby dzwoniącej bez uprzedniego potwierdzenia tożsamości przez inny kanał komunikacji.

Kolejne zalecenia to: ograniczenie dostępu do narzędzi zdalnych tylko do autoryzowanych administratorów, wdrożenie uwierzytelniania wieloskładnikowego (MFA) na wszystkich systemach krytycznych, blokowanie urządzeń USB oraz regularne audyty uprawnień. Warto monitorować logi pod kątem nietypowych sesji zdalnych i nieautoryzowanych transferów danych za pomocą narzędzi takich jak WinSCP czy Rclone, które atakujący często wykorzystują do kradzieży plików.

Co dalej? Obserwować i testować

Choć kampania Silent Ransom Group na razie koncentruje się na rynku amerykańskim, podobne techniki są z powodzeniem stosowane w Europie. Polskie firmy, szczególnie te z sektora prawnego i finansowego, powinny traktować ten raport jako impuls do przeglądu własnych procedur bezpieczeństwa. Warto śledzić komunikaty CERT Polska i FBI, które regularnie ostrzegają przed nowymi wariantami ataków socjotechnicznych. Najskuteczniejszą obroną pozostaje połączenie świadomości pracowników, technicznych zabezpieczeń i regularnych testów – zanim zadzwoni fałszywy „informatyk”.