Gli studi legali custodiscono alcune delle informazioni più sensibili esistenti al di fuori di ospedali e agenzie governative: dettagli su fusioni, strategie processuali, dati finanziari dei clienti e documenti personali legati a casi in corso. Questa combinazione di alto valore e, in molti casi, budget ridotti per la cybersecurity ha reso il settore legale un bersaglio sempre più attraente per un gruppo noto come Silent Ransom Group (SRG). Tracciato anche con gli alias Luna Moth, Chatty Spider e UNC3753, questo gruppo ha messo a punto un manuale di estorsione che salta del tutto la parte che la maggior parte delle persone associa al ransomware.

Un tipo diverso di estorsione

Gli attacchi ransomware tradizionali seguono uno schema familiare: il malware blocca i file della vittima e gli aggressori chiedono un pagamento per la chiave di decrittazione. SRG fa qualcosa di più silenzioso e, per certi versi, più pericoloso. Invece di cifrare i sistemi, il gruppo si concentra sul furto dei dati e minaccia di pubblicarli se lo studio non paga. Non c'è ransomware da rilevare, né file cifrati che avvisino il personale IT che qualcosa non va. Il primo segnale di allarme è spesso la richiesta di estorsione stessa.

L'accesso inizia in genere con un trucco di ingegneria sociale tanto semplice quanto efficace: gli operatori di SRG si fingono personale del supporto IT, chiamando o inviando email ai dipendenti per convincerli a fornire le credenziali o a installare strumenti di accesso remoto. Una volta dentro, il gruppo sottrae silenziosamente i file anziché provocare il tipo di interruzione della rete che farebbe scattare gli allarmi. Quando uno studio legale si accorge dell'accaduto, i dati sono già spariti e la minaccia di esposizione pubblica è già sul tavolo.

Questo approccio rispecchia un cambiamento più ampio nel modo in cui i gruppi di estorsione fanno pressione sulle vittime. Alcuni operatori ransomware hanno persino iniziato a rivestire le loro minacce con un linguaggio legale artefatto per far sembrare le richieste più ufficiali e difficili da ignorare, una tattica descritta in dettaglio in bande ransomware che aggiungono false minacce legali AI alle note di riscatto. Che la pressione provenga da falsi memo legali o dalla semplice minaccia di divulgare i file dei clienti, l'obiettivo è lo stesso: far sembrare il pagamento l'unica opzione ragionevole.

Perché gli studi legali sono particolarmente vulnerabili

Gli studi legali occupano una posizione insolita nel mondo della cybersecurity. Sono custodi di dati di terzi estremamente sensibili, spesso per più clienti aziendali contemporaneamente, eppure molti operano con team IT ridotti e una formazione sulla sicurezza meno formale rispetto ai settori che servono. Avvocati e personale di supporto sono spesso sotto pressione, destreggiandosi tra chiamate di fornitori, tribunali e clienti, il che rende più facile che una chiamata convincente di finto supporto IT riesca a superare le difese.

C'è anche un problema di incentivi strutturale. Una violazione in uno studio legale non espone solo i dati dello studio stesso, ma anche le informazioni confidenziali di ogni cliente il cui fascicolo ha transitato su quel sistema. Questo amplifica le conseguenze reputazionali e legali di qualsiasi fuga, che è esattamente la leva su cui contano gruppi come SRG quando minacciano la pubblicazione invece della cifratura.

Cosa significa questo per te

Se lavori in uno studio legale, o sei un cliente i cui dati sensibili passano attraverso di esso, questa tendenza ti riguarda anche se non vedi mai una nota di riscatto. Il furto di dati tramite impersonificazione non richiede un exploit tecnico sofisticato. Richiede che un dipendente si fidi della telefonata o dell'email sbagliata. Ciò significa che studi di qualsiasi dimensione, non solo grandi realtà aziendali, sono potenziali bersagli.

Per i clienti, vale la pena chiedere allo studio che gestisce il tuo caso o la tua transazione quali procedure di verifica adottano prima di concedere accesso remoto o reimpostare le credenziali. Uno studio che ha procedure chiare e testate per confermare le richieste IT ha meno probabilità di cadere vittima del tipo di impersonificazione su cui fa affidamento SRG.

Passi concreti da adottare subito

La buona notizia è che questo specifico metodo di attacco ha un punto di cedimento piuttosto circoscritto: la verifica umana. Alcuni accorgimenti concreti possono ridurre significativamente il rischio.

  • Stabilire una rigorosa politica di richiamata per qualsiasi richiesta IT che coinvolga credenziali, accesso remoto o installazione di software. I dipendenti devono verificare in modo indipendente le richieste attraverso un numero interno conosciuto, invece di fidarsi dell'identità del chiamante a prima vista.
  • Formare il personale a considerare i contatti IT non sollecitati, soprattutto le richieste dal tono urgente, come un campanello d'allarme anziché un'attività di routine.
  • Limitare e monitorare gli strumenti di accesso remoto in modo che installazioni o accessi insoliti facciano scattare allerte invece di passare inosservati.
  • Elaborare un piano di risposta agli incidenti che parta dal presupposto del furto di dati, non solo della cifratura, poiché i metodi di rilevamento basati sui sintomi del ransomware non intercetteranno questo tipo di intrusione.

Il successo del Silent Ransom Group dipende dalla velocità e dalla fiducia: convincere qualcuno ad agire in fretta prima che si fermi a verificare. Gli studi legali che introducono attrito in quel processo, anche qualcosa di semplice come una politica di richiamata, eliminano gran parte del vantaggio del gruppo. La cybersecurity nel settore legale non richiede una revisione massiccia da un giorno all'altro, ma richiede di trattare l'ingegneria sociale con la stessa serietà di qualsiasi vulnerabilità tecnica. Gli studi che adottano questo cambiamento ora saranno molto meglio posizionati di quelli che aspettano che una richiesta di estorsione li costringa ad affrontare la questione.