Une série de chats internes fuités d'un groupe d'extorsion appelé Silent Ransom Group offre aux défenseurs un aperçu rare de l'organisation en coulisses d'une arnaque au faux support informatique. Selon une analyse de l'équipe de recherche GRIT de GuidePoint Security, les chats révèlent des tactiques d'usurpation d'identité informatique, le recours à des agents physiques et un registre des paiements totalisant 206,95 M$.
Le résumé publié est bref, cet article s'en tient donc à ce qu'il énonce et se concentre sur ce que les lecteurs peuvent en faire.
Ce que révèle la fuite de Silent Ransom Group
La fuite est notable parce qu'elle provient des attaquants eux-mêmes. Au lieu de reconstituer une campagne à partir de rapports de victimes, les chercheurs ont eu accès aux conversations du groupe. L'analyse de GRIT, telle que résumée, met en évidence trois points :
- Tactiques d'usurpation d'identité informatique : le groupe construit son approche en se faisant passer pour le support technique.
- Agents physiques : l'opération n'est pas purement à distance.
- Un registre des paiements de 206,95 M$ : un relevé de paiements qui indique l'ampleur de l'opération.
Nous n'avons pas vérifié indépendamment les chats ni le registre, et le résumé ne détaille pas comment le chiffre a été calculé. Il vaut mieux le lire comme un signal de la rentabilité apparente de ce type d'attaque, et non comme un total audité précis.
Comment fonctionne l'usurpation d'identité du support
L'idée centrale derrière toute usurpation d'identité du support est simple : les attaquants se font passer pour les personnes en qui les employés ont déjà confiance pour résoudre les problèmes. La plupart d'entre nous sont conditionnés à coopérer avec l'informatique. Si quelqu'un dit venir du support et avoir besoin d'un moment, la réaction par défaut est d'aider.
Cette confiance est la faiblesse exploitée. Plutôt que de chercher une faille logicielle, l'attaquant vise une décision humaine : approuver une demande, partager un code ou laisser quelqu'un entrer. Parce que l'attaque repose sur la persuasion, elle peut fonctionner même lorsque les outils de sécurité sont bien configurés.
Le même schéma apparaît dans d'autres campagnes récentes. Un groupe de pirates a été signalé comme abusant de Microsoft Teams pour pénétrer des réseaux d'entreprise, comme nous l'avons couvert dans notre article sur le faux support informatique sur Microsoft Teams alimentant une vague de rançongiciels. Une autre opération apparue début 2026 a fait l'impasse totale sur le chiffrement, comme nous l'avons expliqué dans BlackFile : extorsion par vishing et vol de données sans malware. Le canal change (chat, téléphone, e-mail), mais le prétexte « nous sommes l'informatique et nous avons besoin que vous fassiez quelque chose » reste le même.
Pourquoi les agents physiques et un registre de 206,95 M$ comptent
Deux détails de la fuite ressortent.
Premièrement, les agents physiques. Beaucoup de formations de sensibilisation à la sécurité supposent que l'usurpation d'identité se fait via un écran ou une ligne téléphonique. Une opération qui utilise aussi des personnes sur le terrain suggère que l'affirmation d'un appelant, un badge nominatif ou une attitude assurée ne doivent pas être considérés comme une preuve d'identité. La vérification doit s'appliquer à tous les canaux, pas seulement à l'e-mail et au téléphone.
Deuxièmement, le registre. Un relevé de paiements de 206,95 M$, même pris avec prudence, suggère que l'extorsion fondée sur l'ingénierie sociale peut être organisée et reproductible, et non opportuniste. Cela compte particulièrement pour les petites organisations. Il est facile de supposer que les criminels ne s'en prennent qu'aux grandes entreprises, mais un groupe guidé par des processus a tout intérêt à appliquer le même mode opératoire contre quiconque répond à l'appel.
Cela fait aussi écho à la longévité de ces méthodes. Notre couverture de Scattered Spider revendiquant une nouvelle victime avec un vieux tour de passe-passe social faisait un constat similaire : la persuasion éprouvée continue de fonctionner parce qu'elle cible les personnes, pas le code.
Ce que cela signifie pour vous
Si vous êtes un particulier, la leçon est qu'un contact « informatique » d'apparence légitime que vous n'avez pas sollicité mérite la méfiance, peu importe son professionnalisme apparent. Si vous dirigez une petite entreprise, vous n'avez probablement pas d'équipe de sécurité dédiée, ce qui rend un processus clair et simple plus précieux que n'importe quel outil.
L'objectif pratique est de séparer qui vous contacte de qui vous faites confiance. Un appelant peut prétendre être n'importe qui. Un numéro que vous recherchez vous-même, ou un système de tickets que vous utilisez déjà, ne peut pas être falsifié par le script d'un inconnu.
Comment vérifier les contacts informatiques inattendus
Ces étapes s'appliquent que le contact arrive par téléphone, chat, e-mail ou en personne :
- Marquez une pause lorsque le contact est non sollicité. Si vous n'avez pas ouvert de ticket ni demandé d'aide, considérez le contact comme non vérifié par défaut.
- Adoptez l'habitude du rappel. Raccrochez ou terminez le chat, puis joignez l'informatique via un numéro ou un canal que vous connaissez déjà grâce aux supports officiels de l'entreprise, et non celui fourni par le contact.
- Ne partagez jamais de codes et n'approuvez jamais de demandes sur demande. Les codes multifacteurs et les approbations de connexion sont destinés à vos propres connexions, pas à l'usage d'un aidant.
- Méfiez-vous des demandes d'accès à distance. N'installez pas d'outils et n'accordez pas le contrôle d'écran sur la base d'un contact inattendu.
- Vérifiez les visiteurs. Si quelqu'un se présente en prétendant être de l'informatique, confirmez auprès de votre véritable prestataire informatique ou de votre responsable avant de donner accès à un appareil ou à une salle.
- Convenez d'un processus à l'avance. Les petites équipes devraient décider comment les demandes informatiques légitimes seront formulées, afin que le personnel sache à quoi ressemble une vraie demande.
- Signalez-le. Informez votre contact informatique ou votre responsable des tentatives suspectes, même si vous n'êtes pas tombé dans le piège. D'autres pourraient être ciblés ensuite.
À retenir
Les chats fuités de Silent Ransom Group soulignent qu'une arnaque au faux support informatique est un processus métier pour ceux qui la mènent, pas un tour isolé. La défense est aussi un processus : ralentir, raccrocher et rappeler via un canal de confiance. Faites de cette vérification par rappel une habitude pour chaque contact informatique non sollicité, et partagez-la avec votre équipe ou votre famille. Pour d'autres exemples de la même tactique, lisez notre couverture du faux support informatique sur Microsoft Teams et de l'extorsion par vishing.
