Un conjunto de chats internos filtrados de un grupo de extorsión llamado Silent Ransom Group está dando a los defensores una rara visión de cómo se organiza entre bastidores una estafa de suplantación de IT en el servicio de ayuda. Según un desglose del equipo de investigación de GuidePoint Security, GRIT, los chats revelan tácticas de suplantación de IT, el uso de agentes presenciales y un libro de pagos que suma 206,95 M$.
El resumen publicado es breve, por lo que esta publicación se ciñe a lo que afirma y se centra en lo que los lectores pueden hacer con ello.
Qué revela la filtración de Silent Ransom Group
La filtración es notable porque proviene de los propios atacantes. En lugar de reconstruir una campaña a partir de informes de víctimas, los investigadores tuvieron acceso a las propias conversaciones del grupo. El análisis de GRIT, según se resume, destaca tres cosas:
- Tácticas de suplantación de IT: el grupo construye su enfoque en torno a hacerse pasar por soporte técnico.
- Agentes presenciales: la operación no es puramente remota.
- Un libro de pagos de 206,95 M$: un registro de pagos que apunta a la escala de la operación.
No hemos verificado de forma independiente los chats ni el libro de pagos, y el resumen no desglosa cómo se calculó la cifra. Lo mejor es leerlo como una señal de lo rentable que parece ser este estilo de ataque, no como un total auditado preciso.
Cómo funciona la suplantación del servicio de ayuda
La idea central detrás de cualquier suplantación del servicio de ayuda es simple: los atacantes se hacen pasar por las personas en las que los empleados ya confían para resolver problemas. La mayoría de nosotros estamos condicionados a cooperar con IT. Si alguien dice que es de soporte y necesita un momento de tu tiempo, la reacción por defecto es ayudar.
Esa confianza es la debilidad que se explota. En lugar de buscar un fallo de software, el atacante apunta a una decisión humana: aprobar una solicitud, compartir un código o dejar entrar a alguien. Debido a que el ataque se basa en la persuasión, puede funcionar incluso cuando las herramientas de seguridad están bien configuradas.
El mismo patrón aparece en otras campañas recientes. Se informó que un grupo de hackers estaba abusando de Microsoft Teams para entrar en redes corporativas, como se cubrió en nuestro artículo sobre soporte técnico de IT falso en Microsoft Teams alimentando una ola de ransomware. Otra operación que surgió a principios de 2026 se saltó el cifrado por completo, como explicamos en extorsión por vishing y robo de datos de BlackFile sin malware. El canal cambia (chat, teléfono, correo electrónico), pero el pretexto de "somos IT y necesitamos que hagas algo" sigue siendo el mismo.
Por qué importan los agentes presenciales y un libro de pagos de 206,95 M$
Dos detalles de la filtración destacan.
Primero, los agentes presenciales. Muchas lecciones de concienciación en seguridad asumen que la suplantación ocurre a través de una pantalla o una línea telefónica. Una operación que también utiliza personas sobre el terreno sugiere que la afirmación de un llamante, una credencial o una actitud segura no deben tratarse como prueba de identidad. La verificación debe aplicarse a todos los canales, no solo al correo electrónico y al teléfono.
Segundo, el libro de pagos. Un registro de pagos de 206,95 M$, incluso tomado con cautela, sugiere que la extorsión basada en ingeniería social puede ser organizada y repetible, no oportunista. Eso importa especialmente para las organizaciones más pequeñas. Es fácil suponer que los criminales solo persiguen a grandes empresas, pero un equipo impulsado por procesos tiene todos los incentivos para aplicar el mismo manual contra cualquiera que responda a la llamada.
Esto también refleja cuánto tiempo han durado estos métodos. Nuestra cobertura de Scattered Spider reclamando una nueva víctima con un viejo truco social planteó un punto similar: la persuasión probada y verdadera sigue funcionando porque se dirige a las personas, no al código.
Qué significa esto para ti
Si eres un particular, la lección es que un contacto de "IT" que suena legítimo y que no solicitaste merece sospecha, por muy profesional que suene. Si diriges una pequeña empresa, probablemente no tengas un equipo de seguridad dedicado, lo que hace que un proceso claro y sencillo sea más valioso que cualquier herramienta.
El objetivo práctico es separar quién te contacta de en quién confías. Un llamante puede afirmar ser cualquiera. Un número de teléfono que buscas tú mismo, o un sistema de tickets que ya utilizas, no pueden ser falsificados por el guion de un desconocido.
Cómo verificar contactos de soporte de IT inesperados
Estos pasos se aplican tanto si el contacto llega por teléfono, chat, correo electrónico o en persona:
- Detente cuando el contacto no sea solicitado. Si no abriste un ticket ni solicitaste ayuda, trata el contacto como no verificado por defecto.
- Adopta el hábito de devolver la llamada. Cuelga o termina el chat, y luego contacta con IT a través de un número o canal que ya conozcas por materiales oficiales de la empresa, no uno que te haya dado el contacto.
- Nunca compartas códigos ni apruebes solicitudes a petición. Los códigos de múltiples factores y las aprobaciones de inicio de sesión son para tus propios inicios de sesión, no para que los use un ayudante.
- Desconfía de las solicitudes de acceso remoto. No instales herramientas ni concedas control de pantalla basándote en un contacto inesperado.
- Verifica a los visitantes. Si alguien se presenta afirmando ser de IT, confírmalo con tu proveedor real de IT o tu gerente antes de dar acceso a un dispositivo o una sala.
- Acuerden un proceso de antemano. Los equipos pequeños deberían decidir cómo se harán las solicitudes legítimas de IT, para que el personal sepa cómo es una real.
- Repórtalo. Informa a tu contacto de IT o a tu gerente sobre intentos sospechosos, incluso si no caíste en ellos. Otros pueden ser el próximo objetivo.
La conclusión
Los chats filtrados de Silent Ransom Group subrayan que una estafa de suplantación de IT en el servicio de ayuda es un proceso de negocio para quienes la ejecutan, no un truco puntual. La defensa también es un proceso: ve más despacio, cuelga y devuelve la llamada a través de un canal en el que confíes. Convierte esa verificación mediante devolución de llamada en un hábito para cada contacto de IT no solicitado, y compártelo con tu equipo o tu familia. Para más ejemplos de la misma táctica, lee nuestra cobertura sobre soporte técnico de IT falso en Microsoft Teams y extorsión basada en vishing.
