Изтекли вътрешни чатове от група за изнудване, наречена Silent Ransom Group, дават на защитниците рядък поглед към това как една измама с помощно бюро чрез имитиране на ИТ е организирана зад кулисите. Според анализ на изследователския екип на GuidePoint Security, GRIT, чатовете разкриват тактики за имитиране на ИТ, използването на агенти на място и регистър на плащанията на обща стойност $206.95M.

Публикуваното резюме е кратко, затова тази публикация се придържа към това, което то посочва, и се фокусира върху това какво могат да направят читателите с него.

Какво разкрива изтичането на данни от Silent Ransom Group

Изтичането е забележително, защото идва от самите нападатели. Вместо да реконструират кампания от доклади на жертви, изследователите са имали достъп до собствените разговори на групата. Анализът на GRIT, както е обобщен, подчертава три неща:

  • Тактики за имитиране на ИТ: групата изгражда подхода си около представянето за техническа поддръжка.
  • Агенти на място: операцията не е само дистанционна.
  • Регистър на плащанията от $206.95M: запис на плащания, който сочи мащаба на операцията.

Ние не сме проверили независимо чатовете или регистъра, а резюмето не обяснява как е изчислена сумата. Най-добре е да се чете като сигнал за това колко доходоносен изглежда този тип атака, а не като точен одитиран общ сбор.

Как работи имитирането на помощно бюро

Основната идея зад всяко имитиране на помощно бюро е проста: нападателите се представят за хората, на които служителите вече се доверяват, че решават проблеми. Повечето от нас са приучени да си сътрудничат с ИТ. Ако някой каже, че е от поддръжката и има нужда от минутка от времето ви, реакцията по подразбиране е да помогнете.

Това доверие е слабостта, която се експлоатира. Вместо да търси софтуерен недостатък, нападателят се цели в човешко решение: одобряване на заявка, споделяне на код или допускане на някого вътре. Тъй като атаката разчита на убеждаване, тя може да работи дори когато инструментите за сигурност са добре конфигурирани.

Същият модел се появява и в други скорошни кампании. Беше съобщено за хакерска група, която злоупотребява с Microsoft Teams, за да прониква в корпоративни мрежи, както е разгледано в нашата статия за фалшива ИТ поддръжка в Microsoft Teams, подхранваща вълна от ransomware. Друга операция, появила се в началото на 2026 г., пропусна изцяло криптирането, както обяснихме в BlackFile vishing изнудване и кражба на данни без зловреден софтуер. Каналът се променя (чат, телефон, имейл), но претекстът „ние сме ИТ и имаме нужда да направите нещо“ остава същият.

Защо агентите на място и регистърът от $206.95M са важни

Два детайла от изтичането се открояват.

Първо, агентите на място. Много уроци за осведоменост по сигурност предполагат, че имитирането се случва през екран или телефонна линия. Операция, която използва и хора на терен, подсказва, че твърдението на обаждащия се, баджът с име или увереното държание не трябва да се приемат като доказателство за самоличност. Проверката трябва да важи за всеки канал, не само за имейл и телефон.

Второ, регистърът. Запис на плащания от $206.95M, дори приеман с внимание, подсказва, че изнудването, изградено върху социално инженерство, може да бъде организирано и повторяемо, а не опортюнистично. Това е важно особено за по-малките организации. Лесно е да се предположи, че престъпниците преследват само големи предприятия, но екип, движен от процеси, има всеки стимул да прилага същия сценарий срещу всеки, който вдигне телефона.

Това също така отразява колко дълго издържат тези методи. Нашето отразяване на Scattered Spider, заявяващи нова жертва със стар социален трик направи подобна точка: изпитаното и доказано убеждаване продължава да работи, защото се цели в хора, а не в код.

Какво означава това за вас

Ако сте физическо лице, урокът е, че законно звучащ „ИТ“ контакт, който не сте поискали, заслужава подозрение, колкото и професионално да звучи. Ако управлявате малък бизнес, вероятно нямате специален екип по сигурност, което прави ясния и прост процес по-ценен от всеки инструмент.

Практическата цел е да се раздели кой се свързва с вас от на кого се доверявате. Обаждащият се може да твърди, че е всеки. Телефонен номер, който сами потърсите, или система за тикети, която вече използвате, не могат да бъдат фалшифицирани от скрипта на непознат.

Как да проверявате неочаквани контакти от ИТ поддръжка

Тези стъпки важат независимо дали контактът идва по телефон, чат, имейл или лично:

  1. Спрете, когато контактът е непоискан. Ако не сте отворили тикет или не сте поискали помощ, третирайте контакта като непотвърден по подразбиране.
  2. Изградете навик за обратно обаждане. Затворете телефона или прекратете чата, след което се свържете с ИТ чрез номер или канал, който вече знаете от официални фирмени материали, а не такъв, който контактът ви е дал.
  3. Никога не споделяйте кодове или не одобрявайте промпти при поискване. Кодовете за многофакторна автентикация и одобренията за вход са за вашите собствени влизания, а не за помощник да ги използва.
  4. Бъдете внимателни с искания за отдалечен достъп. Не инсталирайте инструменти и не предоставяйте контрол над екрана въз основа на неочакван контакт.
  5. Проверявайте посетителите. Ако някой се появи, твърдейки, че е от ИТ, потвърдете с истинския си ИТ доставчик или ръководител, преди да дадете достъп до устройство или помещение.
  6. Договорете процес предварително. Малките екипи трябва да решат как ще се правят легитимни ИТ заявки, за да знаят служителите как изглежда истинската.
  7. Докладвайте. Кажете на вашия ИТ контакт или ръководител за подозрителни опити, дори ако не сте се хванали на тях. Други може да бъдат насочени следващи.

Изводът

Изтеклите чатове на Silent Ransom Group подчертават, че измамата с помощно бюро чрез имитиране на ИТ е бизнес процес за хората, които я управляват, а не еднократен трик. Защитата също е процес: забавете, затворете и се обадете отново чрез канал, на който се доверявате. Превърнете тази проверка с обратно обаждане в навик за всеки непоискан ИТ контакт и я споделете с екипа или семейството си. За повече примери за същата тактика прочетете нашето отразяване на фалшива ИТ поддръжка в Microsoft Teams и изнудване чрез vishing.