Nowa metoda ataku na kancelarie prawne: fałszywy help desk i groźba wycieku danych

Grupa przestępcza Silent Ransom Group prowadzi zmasowaną kampanię przeciwko amerykańskim kancelariom prawnym i firmom usług profesjonalnych. Jak wynika z raportu firmy Mandiant, ataki opierają się na callback phishingu – oszuści najpierw wysyłają łudząco prawdziwe e-maile, a następnie dzwonią, podszywając się pod pracowników działu IT. W ciągu kilku godzin od pierwszego kontaktu dochodzi do kradzieży danych, a żądanie okupu trafia do ofiary w pół godziny po zakończeniu włamania.

Czego dotyczą ataki i kto jest na celowniku

Raport Mandiant, opublikowany po wcześniejszym ostrzeżeniu FBI, wskazuje, że między styczniem a majem 2026 roku grupa śledzona jako UNC3753 (znana też jako Luna Moth i Chatty Spider) zaatakowała dziesiątki organizacji w sektorze prawnym, finansowym i usług profesjonalnych. Badacze podkreślają, że kancelarie prawne są szczególnie atrakcyjne dla cyberprzestępców. „Przechowują skondensowane zbiory niezwykle wrażliwych danych klientów: pliki transakcyjne, plany fuzji i przejęć, tajemnice handlowe oraz raporty regulacyjne” – czytamy w raporcie. Co więcej, firmy te obawiają się utraty reputacji i kar finansowych, przez co często ulegają presji i płacą okup.

Jak wygląda cały łańcuch ataku

Atak rozpoczyna się od e-maili, które wyglądają jak faktury – nie zawierają linków ani załączników, a jedynie informację o rzekomej opłacie. To sygnał do telefonu. Oszuści dzwonią, podają się za pracowników help desku i namawiają ofiarę do udziału w zdalnej sesji wsparcia przez Microsoft Teams, Zoom, Quick Assist lub Terminal Services. Podczas połączenia nakłaniają do zainstalowania narzędzi takich jak AnyDesk, Zoho Assist, Bomgar czy SuperOps. W ten sposób uzyskują pełny dostęp do sieci firmowej.

Mandiant odkrył również domeny phishingowe naśladujące wewnętrzne portale IT. Przykładowe wzorce nazw to: <nazwa-organizacji>-itdesk.com lub <nazwa-organizacji>-helpdesk.com. Atakujący używają też serwisu privnote.com do przesyłania linków i poleceń – wiadomości samoczynnie się kasują, co utrudnia śledztwo. Po wejściu do sieci grupa przeszukuje systemy w poszukiwaniu dokumentów prawnych i finansowych: kontraktów, deklaracji podatkowych, numerów ubezpieczenia społecznego i planów fuzji. Dane są wywożone za pomocą WinSCP lub Rclone do infrastruktury kontrolowanej przez przestępców.

„Te wysoce agresywne listy z żądaniem okupu dają organizacjom trzydniowe ultimatum na odpowiedź i rozpoczęcie negocjacji. Jeśli ofiara nie odpowiada, sprawcy grożą, że zadzwonią i napiszą bezpośrednio do pracowników oraz klientów zewnętrznych, informując ich o naruszeniu danych” – relacjonuje Mandiant.

Dlaczego to ważne dla polskich firm i instytucji

Choć kampania opisana przez Mandiant dotyczy głównie Stanów Zjednoczonych, to metoda callback phishingu jest łatwa do przeniesienia na grunt europejski. W ostatnich miesiącach polskie CERT-y wielokrotnie ostrzegały przed podobnymi schematami – fałszywymi fakturami i telefonami z rzekomego banku czy operatora. Polskie kancelarie prawne, firmy księgowe i doradcze przechowują równie wrażliwe dane, a presja na ochronę reputacji jest u nas bardzo silna. Dodatkowo, zgodnie z wymogami unijnych przepisów (w tym RODO i dyrektywy NIS2), wyciek danych klienta może skutkować dotkliwymi karami administracyjnymi.

Warto też zwrócić uwagę na inną odsłonę tej kampanii, którą ujawniło FBI. Według amerykańskich służb atakujący próbują również fizycznie pojawiać się w biurach, podając się za pracowników IT, i na miejscu „tworzyć kopie zapasowe” sprzętu, podczas gdy w rzeczywistości kradną pliki. Mandiant nie ma pełnych dowodów, ale uważa, że takie operacje mogą być powiązane z tą samą grupą.

Jak ograniczyć ryzyko – praktyczne kroki

Analitycy Mandiant i FBI rekomendują przede wszystkim rygorystyczne procedury weryfikacji każdego zgłoszenia do IT. Każdy telefon z prośbą o zdalne wsparcie należy potwierdzić innym kanałem (np. wewnętrznym czatem lub osobistym kontaktem z działem IT). Należy również:

• ograniczyć listę dozwolonych narzędzi zdalnego dostępu i blokować instalację nieautoryzowanego oprogramowania,
• wdrożyć uwierzytelnianie wieloskładnikowe (MFA) na wszystkich kontach, szczególnie tych z dostępem do wrażliwych danych,
• zablokować możliwość podłączania zewnętrznych nośników USB w trybie zapisu,
• systematycznie szkolić pracowników, by rozpoznawali próby wyłudzenia danych przez telefon (tzw. vishing).

Dodatkowo zaleca się wdrożenie mechanizmów monitorowania nietypowych działań w sieci – na przykład prób masowego kopiowania plików poza firmę (Rclone, WinSCP). Więcej o samej kampanii można przeczytać w raporcie Mandiant opisanym przez BleepingComputer. Zachęcamy też do zapoznania się z ostrzeżeniem FBI o atakach fizycznych.

Najważniejsze: nie ufać niespodziewanym telefonom od „IT”. W razie wątpliwości lepiej rozłączyć się i samodzielnie zadzwonić do swojego działu technicznego – to prosta zasada, która może uchronić firmę przed kosztownym incydentem.