Zestaw ujawnionych wewnętrznych czatów grupy zajmującej się wymuszeniami, zwanej Silent Ransom Group, daje obrońcom rzadki wgląd w to, jak oszustwo help deskowe z podszywaniem się pod IT jest zorganizowane od kulis. Według analizy zespołu badawczego GRIT firmy GuidePoint Security, czaty ujawniają taktyki podszywania się pod IT, wykorzystywanie agentów działających osobiście oraz rejestr płatności opiewający na 206,95 mln dolarów.

Opublikowane podsumowanie jest zwięzłe, więc ten wpis trzyma się tego, co w nim stwierdzono, i skupia się na tym, co czytelnicy mogą z tym zrobić.

Co ujawnia wyciek Silent Ransom Group

Wyciek jest godny uwagi, ponieważ pochodzi od samych atakujących. Zamiast rekonstruować kampanię na podstawie relacji ofiar, badacze mieli dostęp do rozmów samej grupy. Analiza GRIT, w formie podsumowania, wyróżnia trzy rzeczy:

  • Taktyki podszywania się pod IT: grupa buduje swoje podejście wokół podawania się za wsparcie techniczne.
  • Agenci działający osobiście: operacja nie jest wyłącznie zdalna.
  • Rejestr płatności na 206,95 mln dolarów: zapis płatności, który wskazuje na skalę operacji.

Nie zweryfikowaliśmy niezależnie czatów ani rejestru, a podsumowanie nie wyjaśnia, w jaki sposób obliczono tę kwotę. Najlepiej odczytywać ją jako sygnał, jak dochodowy wydaje się ten styl ataku, a nie jako precyzyjną, audytowaną sumę.

Jak działa podszywanie się pod help desk

Podstawowa idea każdego podszywania się pod help desk jest prosta: atakujący podają się za osoby, którym pracownicy już ufają, że rozwiążą problemy. Większość z nas jest uwarunkowana, by współpracować z IT. Jeśli ktoś mówi, że jest ze wsparcia i potrzebuje chwili twojego czasu, domyślną reakcją jest pomoc.

To zaufanie jest słabością, którą się wykorzystuje. Zamiast szukać luki w oprogramowaniu, atakujący celuje w ludzką decyzję: zatwierdzenie prośby, udostępnienie kodu lub wpuszczenie kogoś do środka. Ponieważ atak opiera się na perswazji, może zadziałać nawet wtedy, gdy narzędzia bezpieczeństwa są dobrze skonfigurowane.

Ten sam schemat pojawia się w innych niedawnych kampaniach. Odnotowano grupę hakerską wykorzystującą Microsoft Teams do dostawania się do sieci korporacyjnych, co opisaliśmy w artykule fałszywe wsparcie IT na Microsoft Teams napędza falę ransomware. Inna operacja, która pojawiła się na początku 2026 roku, całkowicie pominęła szyfrowanie, co wyjaśniliśmy w BlackFile – wymuszenia vishingowe i kradzież danych bez złośliwego oprogramowania. Kanał się zmienia (czat, telefon, e-mail), ale pretekst „jesteśmy z IT i potrzebujemy, żebyś coś zrobił" pozostaje ten sam.

Dlaczego agenci działający osobiście i rejestr na 206,95 mln dolarów mają znaczenie

Dwa szczegóły z wycieku się wyróżniają.

Po pierwsze, agenci działający osobiście. Wiele lekcji świadomości bezpieczeństwa zakłada, że podszywanie się odbywa się przez ekran lub linię telefoniczną. Operacja, która wykorzystuje także ludzi na miejscu, sugeruje, że twierdzenie rozmówcy, identyfikator czy pewny siebie sposób bycia nie powinny być traktowane jako dowód tożsamości. Weryfikacja musi obejmować każdy kanał, nie tylko e-mail i telefon.

Po drugie, rejestr. Zapis płatności na 206,95 mln dolarów, nawet odczytywany ostrożnie, sugeruje, że wymuszenia oparte na inżynierii społecznej mogą być zorganizowane i powtarzalne, a nie oportunistyczne. Ma to znaczenie zwłaszcza dla mniejszych organizacji. Łatwo założyć, że przestępcy ścigają tylko duże przedsiębiorstwa, ale zespół działający procesowo ma wszelkie zachęty, by stosować ten sam scenariusz wobec każdego, kto odbierze telefon.

To odzwierciedla również, jak długo te metody przetrwały. Nasze omówienie Scattered Spider zgłaszającego nową ofiarę za pomocą starej socjotechnicznej sztuczki wskazywało na podobną rzecz: sprawdzona perswazja wciąż działa, ponieważ celuje w ludzi, a nie w kod.

Co to oznacza dla ciebie

Jeśli jesteś osobą prywatną, lekcja jest taka, że budzący zaufanie kontakt „z IT", o który nie prosiłeś, zasługuje na podejrzliwość, niezależnie od tego, jak profesjonalnie brzmi. Jeśli prowadzisz małą firmę, prawdopodobnie nie masz dedykowanego zespołu bezpieczeństwa, co sprawia, że jasny, prosty proces jest cenniejszy niż jakiekolwiek narzędzie.

Praktycznym celem jest oddzielenie kto się z tobą kontaktuje od komu ufasz. Rozmówca może twierdzić, że jest kimkolwiek. Numer telefonu, który sam wyszukasz, lub system zgłoszeń, którego już używasz, nie mogą zostać podrobione przez skrypt obcej osoby.

Jak weryfikować nieoczekiwane kontakty wsparcia IT

Te kroki mają zastosowanie niezależnie od tego, czy kontakt przychodzi telefonicznie, przez czat, e-mail czy osobiście:

  1. Zatrzymaj się, gdy kontakt jest nieoczekiwany. Jeśli nie otwierałeś zgłoszenia ani nie prosiłeś o pomoc, domyślnie traktuj kontakt jako niezweryfikowany.
  2. Wykształć nawyk oddzwaniania. Odłóż słuchawkę lub zakończ czat, a następnie skontaktuj się z IT przez numer lub kanał, który już znasz z oficjalnych materiałów firmy, a nie ten podany przez kontakt.
  3. Nigdy nie udostępniaj kodów ani nie zatwierdzaj promptów na żądanie. Kody wieloskładnikowe i zatwierdzenia logowania są do twoich własnych logowań, a nie do użycia przez „pomocnika".
  4. Uważaj na prośby o zdalny dostęp. Nie instaluj narzędzi ani nie udzielaj kontroli nad ekranem na podstawie nieoczekiwanego kontaktu.
  5. Weryfikuj odwiedzających. Jeśli ktoś pojawia się, twierdząc, że jest z IT, potwierdź to u swojego prawdziwego dostawcy IT lub menedżera, zanim dasz dostęp do urządzenia lub pomieszczenia.
  6. Ustal proces z wyprzedzeniem. Małe zespoły powinny zdecydować, jak będą przekazywane legalne prośby IT, aby pracownicy wiedzieli, jak wygląda prawdziwa prośba.
  7. Zgłoś to. Powiadom swój kontakt IT lub menedżera o podejrzanych próbach, nawet jeśli się nie dałeś nabrać. Inni mogą być następnym celem.

Wnioski

Ujawnione czaty Silent Ransom Group podkreślają, że oszustwo help deskowe z podszywaniem się pod IT jest dla osób je prowadzących procesem biznesowym, a nie jednorazową sztuczką. Obrona również jest procesem: zwolnij, odłóż słuchawkę i oddzwoń przez kanał, któremu ufasz. Uczyń tę weryfikację przez oddzwonienie nawykiem przy każdym nieoczekiwanym kontakcie z IT i podziel się nią z zespołem lub rodziną. Więcej przykładów tej samej taktyki znajdziesz w naszych materiałach o fałszywym wsparciu IT na Microsoft Teams i wymuszeniach opartych na vishingu.