Advocatenkantoren beheren enkele van de meest gevoelige informatie die er bestaat buiten ziekenhuizen en overheidsinstanties: fusiedetails, processtrategie, financiële gegevens van cliënten en persoonlijke dossiers verbonden aan lopende zaken. Die combinatie van hoge waarde en, in veel gevallen, magere cybersecuritybudgetten heeft de juridische sector tot een steeds aantrekkelijker doelwit gemaakt voor een groep die bekendstaat als de Silent Ransom Group (SRG). Ook gevolgd onder de aliassen Luna Moth, Chatty Spider en UNC3753, heeft deze groep een afpersingsdraaiboek ontwikkeld dat het deel overslaat dat de meeste mensen met ransomware associëren.

Een andere vorm van afpersing

Traditionele ransomware-aanvallen volgen een bekend patroon: malware vergrendelt de bestanden van het slachtoffer en de aanvallers eisen betaling voor een decryptiesleutel. SRG doet iets stillers en in sommige opzichten gevaarlijkers. In plaats van systemen te versleutelen, richt de groep zich op het regelrecht stelen van gegevens en dreigt deze openbaar te maken tenzij het slachtoffer betaalt. Er is geen ransomware te detecteren, geen versleutelde bestanden die IT-medewerkers waarschuwen dat er iets mis is. Het eerste teken van problemen is vaak de afpersingsvordering zelf.

De toegang begint meestal met een social engineering-truc die even simpel als effectief is: SRG-agenten doen zich voor als IT-ondersteuningsmedewerkers en bellen of e-mailen medewerkers om hen te overtuigen inloggegevens af te staan of tools voor externe toegang te installeren. Eenmaal binnen exfiltreert de groep bestanden in stilte, zonder het soort netwerkverstoring te veroorzaken dat alarmbellen zou doen afgaan. Tegen de tijd dat een advocatenkantoor beseft dat er iets is gebeurd, zijn de gegevens al verdwenen en staat de dreiging van openbaarmaking al op tafel.

Deze aanpak weerspiegelt een bredere verschuiving in de manier waarop afpersingsgroepen druk uitoefenen op slachtoffers. Sommige ransomware-operatoren zijn zelfs begonnen hun dreigementen aan te kleden met verzonnen juridische taal om eisen officiëler te laten klinken en moeilijker te negeren, een tactiek die wordt beschreven in ransomwarebendes voegen nep-AI-juridische dreigementen toe aan losgeldnota's. Of de druk nu komt van nep-juridische memo's of de simpele dreiging van het lekken van cliëntbestanden, het doel is hetzelfde: betalen laten voelen als de enige redelijke optie.

Waarom advocatenkantoren bijzonder kwetsbaar zijn

Advocatenkantoren nemen een ongebruikelijke positie in binnen de cyberbeveiligingswereld. Ze zijn beheerders van uiterst gevoelige gegevens van derden, vaak van meerdere zakelijke cliënten tegelijk, maar veel kantoren werken met kleinere IT-teams en minder formele beveiligingstraining dan de sectoren die zij bedienen. Advocaten en ondersteunend personeel staan vaak onder tijdsdruk en moeten schakelen tussen telefoontjes van leveranciers, rechtbanken en cliënten, waardoor een overtuigend IT-imitatiegesprek makkelijker langs iemands waakzaamheid glipt.

Er is ook een structureel prikkelprobleem. Een inbreuk bij een advocatenkantoor legt niet alleen de eigen gegevens van het kantoor bloot, maar ook vertrouwelijke informatie van elke cliënt wiens zaak via dat systeem verliep. Dat vergroot de reputatie- en juridische risico's van elk lek aanzienlijk, en dat is precies de hefboom waarop groepen als SRG rekenen wanneer ze met publicatie dreigen in plaats van met versleuteling.

Wat dit voor u betekent

Als u bij een advocatenkantoor werkt, of als u een cliënt bent wiens gevoelige dossiers via zo'n kantoor lopen, is deze trend belangrijk, zelfs als u zelf nooit een losgeldnota te zien krijgt. Diefstal van gegevens via imitatie vereist geen geavanceerde technische exploit. Het vereist slechts één medewerker die op het verkeerde telefoontje of e-mailbericht vertrouwt. Dat betekent dat kantoren van elke omvang, niet alleen grote zakelijke praktijken, potentiële doelwitten zijn.

Voor cliënten is het de moeite waard om aan de kantoren die uw zaak of transactie behandelen te vragen welke verificatiestappen zij vereisen voordat externe toegang wordt verleend of inloggegevens opnieuw worden ingesteld. Een kantoor dat duidelijke, geteste procedures heeft om IT-verzoeken te bevestigen, is minder vatbaar voor het soort imitatie waarop SRG bouwt.

Praktische stappen die nu de moeite waard zijn

Het goede nieuws is dat deze specifieke aanvalsmethode een vrij smal faalpunt kent: menselijke verificatie. Een paar concrete stappen kunnen het risico aanzienlijk verkleinen.

  • Stel een strikt terugbelbeleid in voor elk IT-verzoek dat betrekking heeft op inloggegevens, externe toegang of software-installatie. Medewerkers moeten verzoeken onafhankelijk verifiëren via een bekend intern nummer, in plaats van klakkeloos te vertrouwen op de identiteit die de beller opgeeft.
  • Train medewerkers om ongevraagd IT-contact, vooral dringend klinkende verzoeken, te beschouwen als een alarmsignaal in plaats van een routineklus.
  • Beperk en monitor tools voor externe toegang, zodat ongebruikelijke installaties of aanmeldingen meldingen activeren in plaats van onopgemerkt te blijven.
  • Stel een incidentresponsplan op dat uitgaat van gegevensdiefstal, niet alleen van versleuteling, aangezien detectiemethoden die gebaseerd zijn op ransomware-symptomen dit soort inbraak zullen missen.

Het succes van de Silent Ransom Group hangt af van snelheid en vertrouwen: iemand overtuigen om snel te handelen voordat diegene stopt om te verifiëren. Advocatenkantoren die frictie in dat proces inbouwen, zelfs iets eenvoudigs als een terugbelbeleid, ontnemen de groep een groot deel van haar voordeel. Cyberbeveiliging in de juridische sector vereist niet van de ene op de andere dag een enorme revisie, maar het vereist wel dat social engineering even serieus wordt genomen als elke technische kwetsbaarheid. Kantoren die vandaag die omslag maken, zullen veel beter gepositioneerd zijn dan degenen die wachten tot een afpersingsvordering het gesprek forceert.