Una serie di chat interne trapelate da un gruppo estorsivo chiamato Silent Ransom Group offre ai difensori uno sguardo raro su come viene organizzata dietro le quinte una truffa del falso help desk IT. Secondo un'analisi del team di ricerca GRIT di GuidePoint Security, le chat rivelano tattiche di impersonificazione IT, l'uso di agenti in persona e un registro dei pagamenti che ammonta a 206,95 milioni di dollari.
Il riepilogo pubblicato è breve, quindi questo articolo si attiene a quanto dichiarato e si concentra su ciò che i lettori possono farne.
Cosa rivela la fuga di dati del Silent Ransom Group
La fuga di dati è degna di nota perché proviene dagli stessi attaccanti. Invece di ricostruire una campagna dalle segnalazioni delle vittime, i ricercatori hanno avuto accesso alle conversazioni del gruppo stesso. L'analisi di GRIT, come riassunta, evidenzia tre aspetti:
- Tattiche di impersonificazione IT: il gruppo costruisce il proprio approccio fingendosi supporto tecnico.
- Agenti in persona: l'operazione non è puramente remota.
- Un registro dei pagamenti da 206,95 milioni di dollari: una registrazione dei pagamenti che indica la scala dell'operazione.
Non abbiamo verificato in modo indipendente le chat o il registro, e il riepilogo non spiega come sia stata calcolata la cifra. È meglio leggerla come un segnale di quanto redditizio sembri essere questo tipo di attacco, non come un totale preciso e verificato.
Come funziona l'impersonificazione dell'help desk
L'idea centrale dietro qualsiasi impersonificazione dell'help desk è semplice: gli attaccanti si fingono le persone di cui i dipendenti si fidano già per risolvere i problemi. La maggior parte di noi è abituata a collaborare con l'IT. Se qualcuno dice di essere del supporto e ha bisogno di un momento del tuo tempo, la reazione predefinita è aiutare.
Questa fiducia è la debolezza sfruttata. Invece di cercare una falla nel software, l'attaccante punta a una decisione umana: approvare una richiesta, condividere un codice o lasciare entrare qualcuno. Poiché l'attacco si basa sulla persuasione, può funzionare anche quando gli strumenti di sicurezza sono ben configurati.
Lo stesso schema compare in altre campagne recenti. Un gruppo di hacker è stato segnalato per aver abusato di Microsoft Teams per entrare nelle reti aziendali, come trattato nel nostro articolo su falso supporto IT su Microsoft Teams che alimenta una raffica di ransomware. Un'altra operazione emersa all'inizio del 2026 ha saltato completamente la crittografia, come abbiamo spiegato in BlackFile vishing ed estorsione con furto di dati senza malware. Il canale cambia (chat, telefono, email), ma il pretesto "siamo l'IT e abbiamo bisogno che tu faccia qualcosa" resta lo stesso.
Perché gli agenti in persona e un registro da 206,95 milioni di dollari contano
Due dettagli della fuga di dati risaltano.
Primo, gli agenti in persona. Molte lezioni di sensibilizzazione alla sicurezza presuppongono che l'impersonificazione avvenga attraverso uno schermo o una linea telefonica. Un'operazione che utilizza anche persone sul campo suggerisce che l'affermazione di un interlocutore, un badge nominativo o un atteggiamento sicuro non dovrebbero essere considerati prova di identità. La verifica deve applicarsi a ogni canale, non solo a email e telefono.
Secondo, il registro. Un registro dei pagamenti da 206,95 milioni di dollari, anche preso con cautela, suggerisce che l'estorsione basata sull'ingegneria sociale può essere organizzata e ripetibile, non opportunistica. Questo conta in particolare per le organizzazioni più piccole. È facile supporre che i criminali inseguano solo le grandi imprese, ma una squadra guidata da processi ha tutto l'interesse a mettere in atto lo stesso playbook contro chiunque risponda alla chiamata.
Questo riecheggia anche quanto a lungo siano durati questi metodi. La nostra copertura di Scattered Spider che rivendica una nuova vittima con un vecchio trucco sociale ha fatto un punto simile: la persuasione collaudata continua a funzionare perché prende di mira le persone, non il codice.
Cosa significa per te
Se sei un individuo, la lezione è che un contatto "IT" dall'aria legittima che non hai richiesto merita sospetto, per quanto professionale suoni. Se gestisci una piccola impresa, probabilmente non hai un team di sicurezza dedicato, il che rende un processo chiaro e semplice più prezioso di qualsiasi strumento.
L'obiettivo pratico è separare chi ti sta contattando da di chi ti fidi. Un interlocutore può affermare di essere chiunque. Un numero di telefono che cerchi tu stesso, o un sistema di ticketing che già usi, non possono essere falsificati dallo script di un estraneo.
Come verificare i contatti IT inaspettati
Questi passaggi si applicano indipendentemente dal fatto che il contatto arrivi per telefono, chat, email o di persona:
- Fermati quando il contatto non è richiesto. Se non hai aperto un ticket o richiesto aiuto, considera il contatto come non verificato per impostazione predefinita.
- Adotta l'abitudine di richiamare. Riaggancia o termina la chat, poi contatta l'IT tramite un numero o un canale che già conosci dai materiali ufficiali dell'azienda, non uno fornito dal contatto.
- Non condividere mai codici né approvare prompt su richiesta. I codici multi-fattore e le approvazioni di accesso sono per i tuoi accessi, non per un aiutante.
- Diffida delle richieste di accesso remoto. Non installare strumenti né concedere il controllo dello schermo in base a un contatto inaspettato.
- Verifica i visitatori. Se qualcuno si presenta affermando di essere dell'IT, conferma con il tuo vero fornitore IT o con il tuo manager prima di dare accesso a un dispositivo o a una stanza.
- Concordate un processo in anticipo. I team piccoli dovrebbero decidere come verranno effettuate le richieste IT legittime, così il personale sa come appare una richiesta reale.
- Segnalalo. Informa il tuo referente IT o il tuo manager dei tentativi sospetti, anche se non ci sei cascato. Altri potrebbero essere presi di mira in seguito.
Il punto chiave
Le chat trapelate del Silent Ransom Group sottolineano che una truffa del falso help desk IT è un processo aziendale per chi la gestisce, non un trucco isolato. Anche la difesa è un processo: rallenta, riaggancia e richiama tramite un canale di cui ti fidi. Rendi la verifica tramite richiamata un'abitudine per ogni contatto IT non richiesto, e condividila con il tuo team o la tua famiglia. Per altri esempi della stessa tattica, leggi la nostra copertura su falso supporto IT su Microsoft Teams e estorsione basata su vishing.
