Nowa taktyka grupy Silent Ransom Group: podszywanie się pod IT i fizyczne dostarczanie pendrive’ów

Jak działa atak? Nowa taktyka SRG

Grupa Silent Ransom Group działa od co najmniej 2022 roku, a od 2023 roku regularnie atakuje amerykańskie kancelarie prawne. Wcześniej stosowała głównie tzw. callback phishing – wysyłała e-maile z prośbą o kontakt w sprawie rzekomych opłat abonamentowych, a następnie nakłaniała ofiary do zainstalowania oprogramowania do zdalnego pulpitu. Jak wynika z ostrzeżenia FBI opublikowanego w maju 2026 roku, w tym roku grupa zmieniła metodę działania.

„SRG actors either directly call or send phishing emails to urge employees to call the SRG actor posing as IT support” – czytamy w komunikacie. Podczas rozmowy przestępcy nakłaniają pracownika do udostępnienia maszyny w ramach sesji zdalnego pulpitu. Jeśli jednak ta metoda zawiedzie, grupa wysyła na miejsce swojego człowieka, który podaje się za pracownika IT i wkłada do komputera ofiary urządzenie USB. „W tym schemacie sprawca mówi ofierze, że musi zobrazować urządzenie lub utworzyć kopię zapasową, aby przeciwdziałać potencjalnym skutkom wiadomości phishingowej” – wyjaśnia FBI.

Kradzież danych bez ransomware

W przeciwieństwie do wielu innych grup, Silent Ransom Group nie szyfruje plików. Po uzyskaniu dostępu natychmiast przystępuje do kradzieży danych, używając legalnych narzędzi, takich jak WinSCP czy Rclone, a czasem kopiując dane do wewnętrznych platform udostępniania plików, w tym Google Drive i Microsoft OneDrive. Badacze podkreślają, że tradycyjne programy antywirusowe rzadko wykrywają tę aktywność, ponieważ SRG używa zwykłych narzędzi administracyjnych. Po udanym ataku grupa żąda okupu, grożąc sprzedażą lub publikacją skradzionych informacji. FBI zwraca uwagę, że napastnicy często kontaktują się bezpośrednio z pracownikami i klientami ofiary, by zwiększyć presję.

Ryzyko dla firm i użytkowników w Polsce

Choć kampania FBI opisana w źródle dotyczy przede wszystkim amerykańskich kancelarii, schemat działania może być stosowany również w innych krajach, a podobne ataki mogą być wymierzone w polskie biura prawne, firmy księgowe czy instytucje finansowe. Fizyczne dostarczanie pendrive’a to rzadka, ale bardzo niebezpieczna metoda, ponieważ omija wiele typowych zabezpieczeń sieciowych. Dla polskich administratorów i właścicieli firm oznacza to konieczność weryfikowania tożsamości każdego pracownika firm zewnętrznych, zwłaszcza tych, którzy pojawiają się w biurze i proszą o dostęp do komputerów.

Jak się bronić? Praktyczne zalecenia

FBI w swoim komunikacie przedstawia konkretne kroki, które mogą zapobiec tego typu intruzom. Przede wszystkim organizacje powinny:

• Weryfikować dane osób mających dostęp do firmowych zasobów – każda nieoczekiwana wizyta „specjalisty IT” powinna budzić czujność i wymagać potwierdzenia przez przełożonych.
• Szkolić pracowników w zakresie phishingu i socjotechniki – świadomość, że atak może przyjść nie tylko przez e-mail, ale też przez telefon czy fizyczną wizytę, jest kluczowa.
• Stosować wieloskładnikowe uwierzytelnianie (MFA) odporne na phishing i uniemożliwiające łatwe przejęcie konta.
• Blokować porty i usługi zdalnego pulpitu, które nie są niezbędne, oraz ograniczać możliwość instalowania urządzeń USB przez osoby postronne.
• Regularnie tworzyć kopie zapasowe danych i przechowywać je w sposób umożliwiający odtworzenie w razie ataku.

Eksperci podkreślają, że Silent Ransom Group nie zostawia po sobie wielu śladów – atak może być wykryty dopiero po czasie, gdy sprawcy zaczną wywierać presję na ofiarę. Dlatego tak ważne jest monitorowanie nietypowych prób logowania, nieautoryzowanych połączeń zdalnych oraz niestandardowego ruchu sieciowego.

Choć opisana kampania dotyczy konkretnego regionu, mechanizm ataku i wnioski obronne są uniwersalne. Każda firma, która przechowuje wrażliwe dane, powinna traktować powyższe zalecenia jako podstawę swojej strategii bezpieczeństwa. Ataki fizyczne to rzadkość, ale gdy już się zdarzą, mogą być szczególnie dotkliwe.