Un ensemble de conversations internes du Silent Ransom Group (SRG) a été analysé par la société de renseignement sur les menaces KELA, et les chats divulgués du Silent Ransom Group offrent une vision rare de la façon dont un groupe d'extorsion moderne pense et opère. Les détails comptent pour les grandes entreprises, mais ils comptent aussi pour les petites organisations et les particuliers dont les comptes et les données peuvent finir par servir de levier.

Cet article s'en tient à ce que l'analyse de KELA rend disponible. Le résumé publié est bref, donc lorsque des détails ne figurent pas dans la source, nous le disons plutôt que de deviner.

Qui est le Silent Ransom Group

SRG est un groupe d'extorsion. Selon l'analyse de KELA, des groupes comme celui-ci persistent parce que le modèle fonctionne et est difficile à éradiquer, et cette persistance fait partie de ce qui les rend dangereux. L'analyse se demande également si les organisations américaines sont davantage ciblées que les autres, ce qui indique que la géographie des victimes fait partie des questions auxquelles les conversations divulguées aident à répondre.

Le point clé est le modèle économique. Plutôt que de s'appuyer uniquement sur le chiffrement des fichiers, les groupes de cette catégorie se concentrent sur l'obtention d'un accès, le vol de données, puis l'exercice d'une pression. Cette approche abaisse la barrière technique et déplace le combat des systèmes vers les personnes et les réputations.

Ce que les chats divulgués révèlent sur leur mode opératoire

L'analyse de KELA, fondée sur les chats internes divulgués, détaille comment le groupe construit son opération de rançongiciel et d'extorsion. L'angle le plus pertinent pour le lecteur quotidien est le recours à l'usurpation d'identité informatique par téléphone. Dans ce style d'attaque, quelqu'un appelle un employé en se faisant passer pour le support technique, puis le guide pour qu'il cède un accès ou approuve quelque chose qu'il ne devrait pas.

Nous avons traité cette tactique plus en profondeur dans notre article sur l'arnaque au faux support technique par usurpation d'identité, qui examine comment le stratagème est organisé en coulisses. Cela vaut la peine d'être lu si vous voulez les détails opérationnels.

Le schéma plus large est que les données volées, et non les fichiers chiffrés, deviennent le point de pression. Les victimes peuvent être en mesure de restaurer leurs systèmes à partir de sauvegardes et faire face malgré tout à la menace de fuite d'informations. C'est le même basculement décrit dans notre reportage sur la façon dont les rançongiciels contournent le chiffrement et sont quand même payés.

Pourquoi les identifiants et les données volés importent pour la vie privée

Il est facile de lire une histoire comme celle-ci comme un problème d'entreprise. Mais les données qu'un groupe comme SRG vole appartiennent souvent à des personnes ordinaires : clients, patients, employés et usagers. Un seul appel téléphonique réussi auprès d'un membre du personnel peut exposer des dossiers contenant des noms, des coordonnées et des informations de compte.

Pour les particuliers, le risque se manifeste de plusieurs façons :

  • Vos informations peuvent être détenues par une organisation qui est ciblée, même si vous n'avez rien fait de mal.
  • Des identifiants réutilisés sur plusieurs services peuvent transformer une seule exposition en plusieurs.
  • Des messages d'extorsion peuvent vous être adressés directement une fois vos informations entre les mains de criminels.

Un VPN n'empêche rien de tout cela. Il chiffre votre trafic et masque votre adresse IP, mais il ne peut pas empêcher quelqu'un de convaincre un employé du support de céder un accès, ni empêcher un tiers de divulguer les données qu'il détient sur vous. Les défenses qui comptent ici sont les habitudes et l'hygiène des comptes.

Mesures pratiques pour réduire votre exposition

Vous ne pouvez pas contrôler la façon dont chaque organisation protège vos données, mais vous pouvez limiter les dégâts et rendre votre personne et votre lieu de travail plus difficiles à cibler.

Vérifiez avant de faire confiance à un appelant. Si quelqu'un prétend être du support informatique, raccrochez et contactez le support via un numéro que vous connaissez déjà. Un support légitime ne s'en formalisera pas. Méfiez-vous particulièrement de toute demande d'installer un logiciel, d'approuver une demande de connexion ou de lire un code.

Renforcez l'authentification multifacteur. Activez la MFA partout où elle est proposée, et privilégiez si possible les méthodes par application ou matérielles aux messages texte. N'approuvez jamais une demande que vous n'avez pas déclenchée vous-même.

Utilisez des mots de passe uniques. Un gestionnaire de mots de passe rend cela réaliste. Si un compte est compromis, des mots de passe uniques circonscrivent le problème.

Maintenez des sauvegardes testées et hors ligne. Les sauvegardes aident si des fichiers sont chiffrés, mais rappelez-vous qu'elles ne servent à rien contre le vol de données. Considérez-les comme une couche, pas comme le plan complet.

Limitez ce que vous partagez. Moins une organisation détient de données personnelles sur vous, moins il y a de choses à divulguer. Réfléchissez à deux fois avant de fournir des détails facultatifs.

Pour les petites organisations : rédigez une procédure de vérification du support, comme une règle de rappel ou un mot de passe partagé, et assurez-vous que chaque employé la connaît. Formez le personnel au fait que l'urgence est une tactique de manipulation courante.

Ce que cela signifie pour vous

Les chats divulgués du Silent Ransom Group rappellent que de nombreuses attaques commencent par une conversation, pas par un logiciel malveillant. Que vous dirigiez un petit bureau ou que vous déteniez simplement des comptes auprès de nombreuses entreprises, les défenses les plus utiles sont peu technologiques : confirmer les identités, protéger les connexions avec une MFA robuste et partir du principe que les données détenues par d'autres peuvent finir par être exposées.

Points clés à retenir

Quelques minutes consacrées à ces vérifications maintenant coûtent bien moins cher que de devoir gérer un message d'extorsion plus tard.