Los bufetes de abogados poseen parte de la información más sensible que existe fuera de hospitales y agencias gubernamentales: detalles de fusiones, estrategia de litigios, finanzas de clientes y registros personales vinculados a casos en curso. Esa combinación de alto valor y, en muchos casos, presupuestos de ciberseguridad limitados, ha convertido al sector legal en un objetivo cada vez más atractivo para un grupo conocido como el Silent Ransom Group (SRG). También rastreado bajo los alias Luna Moth, Chatty Spider y UNC3753, este grupo ha creado un manual de extorsión que omite la parte que la mayoría de la gente asocia con el ransomware por completo.

Un tipo diferente de extorsión

Los ataques de ransomware tradicionales siguen un patrón familiar: el malware bloquea los archivos de la víctima y los atacantes exigen un pago por la clave de descifrado. SRG hace algo más silencioso y, en cierto modo, más peligroso. En lugar de cifrar sistemas, el grupo se centra en robar los datos directamente y amenazar con publicarlos a menos que la firma pague. No hay ransomware que detectar, ni archivos codificados que alerten al personal de TI de que algo va mal. La primera señal de problemas suele ser la propia demanda de extorsión.

El acceso generalmente comienza con un truco de ingeniería social tan simple como efectivo: los agentes de SRG se hacen pasar por personal de soporte de TI, llamando o enviando correos electrónicos a los empleados para convencerlos de que entreguen credenciales o instalen herramientas de acceso remoto. Una vez dentro, el grupo extrae archivos de forma silenciosa en lugar de provocar el tipo de interrupción de red que haría sonar las alarmas. Para cuando un bufete de abogados se da cuenta de que algo sucedió, los datos ya desaparecieron y la amenaza de exposición pública ya está sobre la mesa.

Este enfoque refleja un cambio más amplio en la forma en que los grupos de extorsión presionan a las víctimas. Algunos operadores de ransomware incluso han comenzado a disfrazar sus amenazas con lenguaje legal fabricado para que las demandas suenen más oficiales y difíciles de ignorar, una táctica detallada en grupos de ransomware añaden amenazas legales falsas de IA a las notas de rescate. Ya sea que la presión provenga de memorandos legales falsos o de la simple amenaza de filtrar archivos de clientes, el objetivo es el mismo: hacer que pagar parezca la única opción razonable.

Por qué los bufetes de abogados son especialmente vulnerables

Los bufetes de abogados ocupan una posición inusual en el mundo de la ciberseguridad. Son custodios de datos de terceros extremadamente confidenciales, a menudo de múltiples clientes corporativos a la vez, sin embargo, muchos operan con equipos de TI más pequeños y una formación en seguridad menos formal que las industrias a las que sirven. Los abogados y el personal de apoyo están frecuentemente bajo presión de tiempo, haciendo malabares con llamadas de proveedores, tribunales y clientes, lo que hace que una llamada de suplantación de TI convincente sea más fácil de pasar por alto la guardia de alguien.

También hay un problema de incentivos estructural. Una brecha en un bufete de abogados no solo expone los datos propios de la firma, expone información confidencial perteneciente a cada cliente cuyo asunto pasó por ese sistema. Eso amplifica las apuestas reputacionales y legales de cualquier filtración, que es exactamente el apalancamiento con el que grupos como SRG cuentan cuando amenazan con la publicación en lugar del cifrado.

Qué significa esto para ti

Si trabajas en un bufete de abogados, o eres un cliente cuyos registros confidenciales pasan por uno, esta tendencia importa incluso si nunca ves una nota de rescate. El robo de datos mediante suplantación no requiere un exploit técnico sofisticado. Requiere que un empleado confíe en la llamada o correo electrónico equivocado. Eso significa que las firmas de cualquier tamaño, no solo las grandes prácticas corporativas, son objetivos potenciales.

Para los clientes, vale la pena preguntar a las firmas que manejan su caso o transacción qué pasos de verificación requieren antes de otorgar acceso remoto o restablecer credenciales. Una firma que tiene procedimientos claros y probados para confirmar las solicitudes de TI tiene menos probabilidades de caer en el tipo de suplantación en el que confía SRG.

Medidas prácticas que vale la pena tomar ahora

La buena noticia es que este método de ataque específico tiene un punto de falla bastante limitado: la verificación humana. Algunos pasos concretos pueden reducir significativamente el riesgo.

  • Establecer una política estricta de devolución de llamadas para cualquier solicitud de TI que involucre credenciales, acceso remoto o instalación de software. Los empleados deben verificar de forma independiente las solicitudes a través de un número interno conocido en lugar de confiar en la identidad del llamante a simple vista.
  • Capacitar al personal para que trate el contacto de TI no solicitado, especialmente las solicitudes que suenan urgentes, como una señal de alerta en lugar de una tarea rutinaria.
  • Limitar y monitorear las herramientas de acceso remoto para que las instalaciones o inicios de sesión inusuales activen alertas en lugar de pasar desapercibidos.
  • Crear un plan de respuesta a incidentes que asuma el robo de datos, no solo el cifrado, ya que los métodos de detección basados en los síntomas del ransomware pasarán por alto este tipo de intrusión.

El éxito del Silent Ransom Group depende de la velocidad y la confianza: convencer a alguien de que actúe rápidamente antes de que se detenga a verificar. Los bufetes de abogados que incorporan fricción en ese proceso, incluso algo tan simple como una política de devolución de llamadas, eliminan gran parte de la ventaja del grupo. La ciberseguridad en el sector legal no requiere una revisión masiva de la noche a la mañana, pero sí requiere tratar la ingeniería social con la misma seriedad que cualquier vulnerabilidad técnica. Las firmas que hagan ese cambio ahora estarán mucho mejor posicionadas que aquellas que esperan a que una demanda de extorsión obligue a la conversación.