En lekkasje av interne chatter fra en utpressingsgruppe kalt Silent Ransom Group gir forsvarere et sjeldent innblikk i hvordan et IT-identitetsbedrageri via hjelpdesk organiseres bak kulissene. Ifølge en gjennomgang fra GuidePoint Securitys forskningsteam, GRIT, avslører chattene taktikker for IT-identitetsbedrageri, bruk av agenter på stedet og en betalingsjournal som til sammen utgjør 206,95 millioner dollar.
Den publiserte oppsummeringen er kort, så dette innlegget holder seg til det den sier og fokuserer på hva leserne kan gjøre med det.
Hva lekkasjen fra Silent Ransom Group avslører
Lekkasjen er bemerkelsesverdig fordi den kommer fra angriperne selv. I stedet for å rekonstruere en kampanje fra offerrapporter hadde forskerne tilgang til gruppens egne samtaler. GRITs analyse, slik den er oppsummert, fremhever tre ting:
- Taktikker for IT-identitetsbedrageri: gruppen bygger tilnærmingen sin rundt å utgi seg for å være teknisk support.
- Agenter på stedet: operasjonen er ikke utelukkende ekstern.
- En betalingsjournal på 206,95 millioner dollar: en registrering av betalinger som peker på omfanget av operasjonen.
Vi har ikke uavhengig verifisert chattene eller journalen, og oppsummeringen gir ingen detaljer om hvordan tallet ble beregnet. Det bør best leses som et signal om hvor lønnsom denne typen angrep ser ut til å være, ikke som en presis revidert total.
Hvordan identitetsbedrageri via hjelpdesk fungerer
Kjerneideen bak ethvert hjelpdesk-identitetsbedrageri er enkel: angripere utgir seg for å være de personene ansatte allerede stoler på for å fikse problemer. De fleste av oss er vant til å samarbeide med IT. Hvis noen sier de er fra support og trenger et øyeblikk av tiden din, er standardreaksjonen å hjelpe.
Det er denne tilliten som utnyttes. I stedet for å lete etter en programvaresvakhet sikter angriperen mot en menneskelig beslutning: godkjenne en forespørsel, dele en kode eller slippe noen inn. Fordi angrepet er avhengig av overtalelse, kan det fungere selv når sikkerhetsverktøyene er godt konfigurert.
Det samme mønsteret dukker opp i andre nylige kampanjer. En hackergruppe ble rapportert å misbruke Microsoft Teams for å komme seg inn i bedriftsnettverk, som dekket i vår artikkel om falsk IT-support på Microsoft Teams som driver løsepengevare-bølge. En annen operasjon som dukket opp tidlig i 2026 hoppet helt over kryptering, som vi forklarte i BlackFile vishing-utpressing og datatyveri uten skadevare. Kanalen endres (chat, telefon, e-post), men påskuddet «vi er IT, og vi trenger at du gjør noe» forblir det samme.
Hvorfor agenter på stedet og en journal på 206,95 millioner dollar betyr noe
To detaljer fra lekkasjen skiller seg ut.
For det første agentene på stedet. Mange sikkerhetsopplæringer antar at identitetsbedrageri skjer gjennom en skjerm eller en telefonlinje. En operasjon som også bruker folk fysisk på stedet antyder at en oppringers påstand, et navneskilt eller en selvsikker fremtoning ikke bør behandles som identitetsbevis. Verifisering må gjelde for alle kanaler, ikke bare e-post og telefon.
For det andre journalen. En betalingsregistrering på 206,95 millioner dollar, selv med forbehold, antyder at utpressing bygget på sosial manipulering kan være organisert og repeterbar, ikke opportunistisk. Det er spesielt viktig for mindre organisasjoner. Det er lett å anta at kriminelle bare jager store selskaper, men en prosessdrevet gruppe har all interesse av å kjøre samme playbook mot alle som svarer på henvendelsen.
Dette gjenspeiler også hvor lenge disse metodene har vart. Vår dekning av Scattered Spider som hevder et nytt offer med et gammelt sosialt triks pekte på det samme: velprøvd overtalelse fortsetter å fungere fordi det retter seg mot mennesker, ikke kode.
Hva dette betyr for deg
Hvis du er en enkeltperson, er læren at en legitimt klingende «IT»-kontakt du ikke har bedt om, fortjener mistanke, uansett hvor profesjonell den høres ut. Hvis du driver en liten bedrift, har du sannsynligvis ikke et dedikert sikkerhetsteam, noe som gjør en klar og enkel prosess mer verdifull enn noe verktøy.
Det praktiske målet er å skille hvem som kontakter deg fra hvem du stoler på. En oppringer kan hevde å være hvem som helst. Et telefonnummer du selv slår opp, eller et sakssystem du allerede bruker, kan ikke forfalskes av en fremmeds manus.
Hvordan verifisere uventede IT-supportkontakter
Disse trinnene gjelder enten kontakten kommer via telefon, chat, e-post eller personlig:
- Stopp når kontakten er uoppfordret. Hvis du ikke har opprettet en sak eller bedt om hjelp, behandl kontakten som uverifisert som standard.
- Bruk en tilbakeringingsvane. Legg på eller avslutt chatten, og kontakt deretter IT via et nummer eller en kanal du allerede kjenner fra offisielle selskapsdokumenter, ikke en kontakten ga deg.
- Del aldri koder eller godkjenn forespørsler på oppfordring. Flerfaktorkoder og innloggingsgodkjenninger er for dine egne innlogginger, ikke for at en hjelper skal bruke dem.
- Vær forsiktig med forespørsler om fjern tilgang. Ikke installer verktøy eller gi skjermkontroll basert på en uventet kontakt.
- Verifiser besøkende. Hvis noen dukker opp og hevder å være fra IT, bekreft med din faktiske IT-leverandør eller leder før du gir tilgang til en enhet eller et rom.
- Bli enige om en prosess på forhånd. Små team bør bestemme hvordan legitime IT-forespørsler skal gjøres, slik at ansatte vet hvordan en ekte ser ut.
- Rapporter det. Fortell IT-kontakten eller lederen din om mistenkelige forsøk, selv om du ikke gikk på dem. Andre kan bli neste mål.
Konklusjonen
De lekkede chattene fra Silent Ransom Group understreker at et IT-identitetsbedrageri via hjelpdesk er en forretningsprosess for dem som driver det, ikke et engangstriks. Forsvaret er også en prosess: ro ned, legg på og ring tilbake via en kanal du stoler på. Gjør denne tilbakeringingsverifiseringen til en vane for enhver uoppfordret IT-kontakt, og del den med teamet eller familien din. For flere eksempler på samme taktikk, les vår dekning av falsk IT-support på Microsoft Teams og vishing-basert utpressing.
