Eine Reihe geleakter interner Chats einer Erpressergruppe namens Silent Ransom Group gibt Verteidigern einen seltenen Einblick, wie ein IT-Identitätsbetrug am Helpdesk hinter den Kulissen organisiert ist. Laut einer Analyse des Forschungsteams GRIT von GuidePoint Security zeigen die Chats IT-Identitätstaktiken, den Einsatz persönlich auftretender Täter und ein Zahlungsregister mit insgesamt 206,95 Mio. USD.

Die veröffentlichte Zusammenfassung ist kurz, daher beschränkt sich dieser Beitrag auf das, was darin steht, und konzentriert sich darauf, was Leser damit anfangen können.

Was das Leak der Silent Ransom Group offenbart

Das Leak ist bemerkenswert, weil es von den Angreifern selbst stammt. Statt eine Kampagne aus Opferberichten zu rekonstruieren, hatten Forscher Zugang zu den Gesprächen der Gruppe selbst. Die Analyse von GRIT, wie zusammengefasst, hebt drei Dinge hervor:

  • IT-Identitätstaktiken: Die Gruppe baut ihren Ansatz darauf auf, sich als technischer Support auszugeben.
  • Persönlich auftretende Täter: Die Operation ist nicht rein remote.
  • Ein Zahlungsregister über 206,95 Mio. USD: ein Zahlungsnachweis, der auf den Umfang der Operation hindeutet.

Wir haben die Chats oder das Register nicht unabhängig verifiziert, und die Zusammenfassung erläutert nicht, wie die Zahl berechnet wurde. Am besten liest man sie als Signal dafür, wie profitabel diese Art von Angriff zu sein scheint, nicht als präzise geprüfte Gesamtsumme.

Wie der Helpdesk-Identitätsbetrug funktioniert

Die Grundidee hinter jedem Helpdesk-Identitätsbetrug ist einfach: Angreifer geben sich als die Personen aus, denen Mitarbeiter bereits vertrauen, wenn es darum geht, Probleme zu lösen. Die meisten von uns sind darauf konditioniert, mit der IT zu kooperieren. Wenn jemand sagt, er sei vom Support und brauche einen Moment Ihrer Zeit, ist die Standardreaktion zu helfen.

Dieses Vertrauen ist die Schwachstelle, die ausgenutzt wird. Statt nach einem Softwarefehler zu suchen, zielt der Angreifer auf eine menschliche Entscheidung ab: eine Anfrage genehmigen, einen Code teilen oder jemanden hereinlassen. Weil der Angriff auf Überzeugung beruht, kann er funktionieren, selbst wenn Sicherheitstools gut konfiguriert sind.

Dasselbe Muster zeigt sich in anderen aktuellen Kampagnen. Eine Hackergruppe soll Microsoft Teams missbraucht haben, um in Unternehmensnetzwerke einzudringen, wie in unserem Beitrag über gefälschten IT-Support auf Microsoft Teams, der eine Ransomware-Welle befeuert behandelt. Eine weitere Operation, die Anfang 2026 auftauchte, verzichtete vollständig auf Verschlüsselung, wie wir in BlackFile-Vishing-Erpressung und Datendiebstahl ohne Malware erklärt haben. Der Kanal ändert sich (Chat, Telefon, E-Mail), aber der Vorwand „Wir sind die IT, und Sie müssen etwas tun" bleibt derselbe.

Warum persönlich auftretende Täter und ein Register über 206,95 Mio. USD wichtig sind

Zwei Details aus dem Leak stechen hervor.

Erstens die persönlich auftretenden Täter. Viele Schulungen zum Sicherheitsbewusstsein gehen davon aus, dass Identitätsbetrug über einen Bildschirm oder eine Telefonleitung erfolgt. Eine Operation, die auch Menschen vor Ort einsetzt, legt nahe, dass die Behauptung eines Anrufers, ein Namensschild oder ein selbstbewusstes Auftreten nicht als Identitätsnachweis behandelt werden sollten. Verifizierung muss für jeden Kanal gelten, nicht nur für E-Mail und Telefon.

Zweitens das Register. Ein Zahlungsnachweis über 206,95 Mio. USD, selbst mit Vorsicht betrachtet, legt nahe, dass auf Social Engineering aufbauende Erpressung organisiert und wiederholbar sein kann, nicht opportunistisch. Das ist besonders für kleinere Organisationen wichtig. Es ist leicht anzunehmen, dass Kriminelle nur große Unternehmen verfolgen, aber eine prozessgetriebene Gruppe hat jeden Anreiz, dasselbe Drehbuch gegen jeden anzuwenden, der den Anruf annimmt.

Das spiegelt auch wider, wie lange diese Methoden bereits Bestand haben. Unsere Berichterstattung über Scattered Spider, die mit einem alten sozialen Trick ein neues Opfer beanspruchen machte einen ähnlichen Punkt: Bewährte Überzeugung funktioniert weiterhin, weil sie auf Menschen abzielt, nicht auf Code.

Was das für Sie bedeutet

Wenn Sie eine Einzelperson sind, lautet die Lehre, dass ein legitimitätsklingender „IT"-Kontakt, den Sie nicht angefordert haben, Misstrauen verdient, egal wie professionell er klingt. Wenn Sie ein Kleinunternehmen führen, haben Sie wahrscheinlich kein dediziertes Sicherheitsteam, was einen klaren, einfachen Prozess wertvoller macht als jedes Tool.

Das praktische Ziel ist, wer Sie kontaktiert von wem Sie vertrauen zu trennen. Ein Anrufer kann behaupten, jeder zu sein. Eine Telefonnummer, die Sie selbst nachschlagen, oder ein Ticketsystem, das Sie bereits nutzen, können von einem Skript eines Fremden nicht gefälscht werden.

So verifizieren Sie unerwartete IT-Support-Kontakte

Diese Schritte gelten unabhängig davon, ob der Kontakt per Telefon, Chat, E-Mail oder persönlich erfolgt:

  1. Halten Sie inne, wenn der Kontakt unaufgefordert erfolgt. Wenn Sie kein Ticket eröffnet oder um Hilfe gebeten haben, behandeln Sie den Kontakt standardmäßig als unverifiziert.
  2. Nutzen Sie die Rückruf-Gewohnheit. Legen Sie auf oder beenden Sie den Chat, und erreichen Sie die IT dann über eine Nummer oder einen Kanal, die Sie bereits aus offiziellen Unternehmensmaterialien kennen – nicht über eine, die der Kontakt Ihnen genannt hat.
  3. Teilen Sie niemals Codes oder genehmigen Sie Aufforderungen auf Anfrage. Mehrfaktor-Codes und Anmeldegenehmigungen sind für Ihre eigenen Anmeldungen gedacht, nicht für einen Helfer.
  4. Seien Sie vorsichtig bei Fernzugriffsanfragen. Installieren Sie keine Tools und gewähren Sie keine Bildschirmkontrolle aufgrund eines unerwarteten Kontakts.
  5. Verifizieren Sie Besucher. Wenn jemand auftaucht und behauptet, von der IT zu sein, bestätigen Sie dies bei Ihrem echten IT-Anbieter oder Vorgesetzten, bevor Sie Zugang zu einem Gerät oder Raum gewähren.
  6. Vereinbaren Sie vorab einen Prozess. Kleine Teams sollten entscheiden, wie legitime IT-Anfragen gestellt werden, damit Mitarbeiter wissen, wie eine echte aussieht.
  7. Melden Sie es. Informieren Sie Ihren IT-Kontakt oder Vorgesetzten über verdächtige Versuche, auch wenn Sie nicht darauf hereingefallen sind. Andere könnten als Nächstes ins Visier geraten.

Das Fazit

Die geleakten Chats der Silent Ransom Group unterstreichen, dass ein IT-Identitätsbetrug am Helpdesk für die Betreiber ein Geschäftsprozess ist, kein einmaliger Trick. Auch die Verteidigung ist ein Prozess: langsamer werden, auflegen und über einen Kanal zurückrufen, dem Sie vertrauen. Machen Sie diese Rückruf-Verifizierung zur Gewohnheit bei jedem unaufgeforderten IT-Kontakt und teilen Sie sie mit Ihrem Team oder Ihrer Familie. Weitere Beispiele für dieselbe Taktik finden Sie in unserer Berichterstattung über gefälschten IT-Support auf Microsoft Teams und Vishing-basierte Erpressung.