Een reeks gelekte interne chats van een afpersingsgroep genaamd Silent Ransom Group geeft verdedigers een zeldzame blik op hoe een IT-imitatie helpdeskzwendel achter de schermen is georganiseerd. Volgens een analyse van het onderzoeksteam GRIT van GuidePoint Security onthullen de chats IT-imitatiepraktijken, het gebruik van agenten ter plaatse en een betalingsregister van in totaal $206,95 miljoen.

De gepubliceerde samenvatting is beknopt, dus dit bericht houdt zich aan wat er staat en richt zich op wat lezers ermee kunnen doen.

Wat het lek bij Silent Ransom Group onthult

Het lek is opmerkelijk omdat het van de aanvallers zelf afkomstig is. In plaats van een campagne te reconstrueren op basis van slachtoffermeldingen, hadden onderzoekers toegang tot de eigen gesprekken van de groep. De analyse van GRIT, zoals samengevat, belicht drie dingen:

  • IT-imitatiepraktijken: de groep bouwt haar aanpak rond het zich voordoen als technische ondersteuning.
  • Agenten ter plaatse: de operatie is niet puur op afstand.
  • Een betalingsregister van $206,95 miljoen: een overzicht van betalingen dat wijst op de schaal van de operatie.

We hebben de chats of het register niet onafhankelijk geverifieerd, en de samenvatting legt niet uit hoe het bedrag is berekend. Het kan het beste worden gelezen als een signaal van hoe winstgevend dit soort aanvallen lijkt te zijn, niet als een nauwkeurig gecontroleerd totaal.

Hoe de helpdesk-imitatie werkt

Het kernidee achter elke helpdesk-imitatie is eenvoudig: aanvallers doen zich voor als de mensen die medewerkers al vertrouwen om problemen op te lossen. De meesten van ons zijn erop geprogrammeerd om met IT mee te werken. Als iemand zegt dat hij van de supportafdeling is en even je tijd nodig heeft, is de standaardreactie om te helpen.

Dat vertrouwen is de zwakte die wordt misbruikt. In plaats van te zoeken naar een softwarefout, richt de aanvaller zich op een menselijke beslissing: een verzoek goedkeuren, een code delen of iemand binnenlaten. Omdat de aanval op overtuiging leunt, kan hij werken zelfs wanneer beveiligingstools goed zijn geconfigureerd.

Hetzelfde patroon duikt op in andere recente campagnes. Er werd gemeld dat een hackersgroep Microsoft Teams misbruikt om bedrijfsnetwerken binnen te dringen, zoals behandeld in ons stuk over nep-IT-support op Microsoft Teams dat een ransomware-golf aanwakkert. Een andere operatie die begin 2026 opdook, sloeg versleuteling volledig over, zoals we uitlegden in BlackFile vishing-afpersing en gegevensdiefstal zonder malware. Het kanaal verandert (chat, telefoon, e-mail), maar het voorwendsel "wij zijn IT en we hebben je nodig om iets te doen" blijft hetzelfde.

Waarom agenten ter plaatse en een register van $206,95 miljoen ertoe doen

Twee details uit het lek springen eruit.

Ten eerste de agenten ter plaatse. Veel bewustmakingslessen over beveiliging gaan ervan uit dat imitatie via een scherm of een telefoonlijn plaatsvindt. Een operatie die ook mensen ter plaatse inzet, suggereert dat de bewering van een beller, een naamkaartje of een zelfverzekerde houding niet als bewijs van identiteit moeten worden beschouwd. Verificatie moet op elk kanaal gelden, niet alleen bij e-mail en telefoon.

Ten tweede het register. Een betalingsregister van $206,95 miljoen, zelfs voorzichtig genomen, suggereert dat afpersing op basis van social engineering georganiseerd en herhaalbaar kan zijn, niet opportunistisch. Dat is vooral van belang voor kleinere organisaties. Het is gemakkelijk om aan te nemen dat criminelen alleen op grote ondernemingen jagen, maar een procesgedreven groep heeft er alle belang bij om hetzelfde draaiboek toe te passen op iedereen die de telefoon opneemt.

Dit weerspiegelt ook hoe lang deze methoden al standhouden. Onze berichtgeving over Scattered Spider dat een nieuw slachtoffer opeist met een oude sociale truc maakte een vergelijkbaar punt: beproefde overtuiging blijft werken omdat ze zich op mensen richt, niet op code.

Wat dit voor jou betekent

Als je een individu bent, is de les dat een legitiem klinkend "IT"-contact dat je niet hebt aangevraagd argwaan verdient, hoe professioneel het ook klinkt. Als je een klein bedrijf runt, heb je waarschijnlijk geen toegewijd beveiligingsteam, waardoor een duidelijk, eenvoudig proces waardevoller is dan welke tool dan ook.

Het praktische doel is om wie contact met je opneemt te scheiden van wie je vertrouwt. Een beller kan beweren iedereen te zijn. Een telefoonnummer dat je zelf opzoekt, of een ticketsysteem dat je al gebruikt, kan niet worden nagemaakt door het script van een vreemde.

Hoe je onverwachte IT-supportcontacten verifieert

Deze stappen gelden of het contact nu per telefoon, chat, e-mail of persoonlijk binnenkomt:

  1. Pauzeer wanneer het contact ongevraagd is. Als je geen ticket hebt geopend of om hulp hebt gevraagd, beschouw het contact dan standaard als ongeverifieerd.
  2. Gebruik een terugbelgewoonte. Hang op of beëindig de chat en bereik IT vervolgens via een nummer of kanaal dat je al kent uit officiële bedrijfsmaterialen, niet via een dat de contactpersoon je gaf.
  3. Deel nooit codes of keur prompts goed op verzoek. Multi-factorcodes en aanmeldingsgoedkeuringen zijn voor je eigen aanmeldingen, niet voor een helper om te gebruiken.
  4. Wees voorzichtig met verzoeken om toegang op afstand. Installeer geen tools en geef geen schermcontrole op basis van een onverwacht contact.
  5. Verifieer bezoekers. Als iemand opduikt die beweert van IT te zijn, bevestig dit dan bij je echte IT-provider of manager voordat je toegang geeft tot een apparaat of ruimte.
  6. Spreek vooraf een proces af. Kleine teams moeten beslissen hoe legitieme IT-verzoeken worden gedaan, zodat medewerkers weten hoe een echt verzoek eruitziet.
  7. Meld het. Vertel je IT-contactpersoon of manager over verdachte pogingen, zelfs als je er niet bent ingetrapt. Anderen kunnen als volgende doelwit worden gekozen.

De slotsom

De gelekte chats van Silent Ransom Group onderstrepen dat een IT-imitatie helpdeskzwendel voor de mensen die hem runnen een bedrijfsproces is, geen eenmalige truc. De verdediging is ook een proces: vertraag, hang op en bel terug via een kanaal dat je vertrouwt. Maak die terugbelverificatie een gewoonte voor elk ongevraagd IT-contact en deel het met je team of familie. Voor meer voorbeelden van dezelfde tactiek, lees onze berichtgeving over nep-IT-support op Microsoft Teams en vishing-gebaseerde afpersing.