Kancelarie prawne przechowują jedne z najbardziej poufnych informacji poza szpitalami i instytucjami rządowymi: szczegóły fuzji, strategie procesowe, dane finansowe klientów i akta osobowe związane z toczącymi się sprawami. To połączenie wysokiej wartości i, w wielu przypadkach, skromnych budżetów na cyberbezpieczeństwo sprawiło, że sektor prawny stał się coraz bardziej atrakcyjnym celem dla grupy znanej jako Silent Ransom Group (SRG). Śledzona również pod aliasami Luna Moth, Chatty Spider i UNC3753, grupa ta opracowała schemat wymuszeń, który całkowicie pomija ten element, który większość ludzi kojarzy z ransomware.

Inny rodzaj wymuszenia

Tradycyjne ataki ransomware podążają za znanym schematem: złośliwe oprogramowanie blokuje pliki ofiary, a napastnicy domagają się okupu za klucz deszyfrujący. SRG stosuje coś cichszego i, pod pewnymi względami, groźniejszego. Zamiast szyfrować systemy, grupa koncentruje się na kradzieży danych i grożeniu ich publikacją, jeśli firma nie zapłaci. Nie ma żadnego ransomware do wykrycia, nie ma zaszyfrowanych plików, które zaalarmowałyby personel IT, że coś jest nie tak. Pierwszym sygnałem problemów jest często samo żądanie okupu.

Dostęp zwykle zaczyna się od socjotechnicznego triku tak prostego, jak skutecznego: operatorzy SRG podszywają się pod pracowników wsparcia IT, dzwoniąc lub wysyłając e‑maile do pracowników, aby przekonać ich do przekazania danych uwierzytelniających lub zainstalowania narzędzi zdalnego dostępu. Po dostaniu się do środka grupa po cichu wykrada pliki, zamiast wywoływać zakłócenia w sieci, które uruchomiłyby alarmy. Gdy kancelaria orientuje się, że coś się stało, dane już zniknęły, a groźba publicznego ujawnienia wisi w powietrzu.

Takie podejście odzwierciedla szerszą zmianę w tym, jak grupy wymuszające okup wywierają presję na ofiary. Niektórzy operatorzy ransomware zaczęli nawet ubierać swoje groźby w sfabrykowany język prawniczy, aby żądania brzmiały bardziej oficjalnie i trudniej było je zignorować – tę taktykę opisano szczegółowo w gangi ransomware dodają fałszywe groźby prawne do not okupu. Niezależnie od tego, czy presja pochodzi od sfałszowanych not prawnych, czy od zwykłej groźby wycieku plików klientów, cel jest ten sam: sprawić, by zapłata wydawała się jedyną rozsądną opcją.

Dlaczego kancelarie prawne są szczególnie narażone

Kancelarie prawne zajmują nietypową pozycję w świecie cyberbezpieczeństwa. Są depozytariuszami bardzo wrażliwych danych osób trzecich, często dla wielu klientów korporacyjnych jednocześnie, a mimo to wiele z nich działa z mniejszymi zespołami IT i mniej formalnym szkoleniem w zakresie bezpieczeństwa niż branże, które obsługują. Adwokaci i personel pomocniczy często pracują pod presją czasu, żonglując telefonami od dostawców, sądów i klientów, przez co przekonujący telefon z podszyciem się pod IT łatwiej prześlizguje się przez czujność.

Istnieje również strukturalny problem motywacyjny. Naruszenie w kancelarii prawnej nie ujawnia jedynie danych samej firmy – ujawnia poufne informacje należące do każdego klienta, którego sprawa przeszła przez ten system. To zwiększa stawkę reputacyjną i prawną każdego wycieku, co jest dokładnie tym, na co liczą grupy takie jak SRG, grożąc publikacją zamiast szyfrowaniem.

Co to oznacza dla Ciebie

Jeśli pracujesz w kancelarii prawnej lub jesteś klientem, którego wrażliwe dokumenty przez nią przechodzą, ten trend ma znaczenie, nawet jeśli nigdy sam nie zobaczysz noty z żądaniem okupu. Kradzież danych przez podszywanie się nie wymaga wyrafinowanego exploita technicznego. Wymaga jednego pracownika, który zaufa niewłaściwemu telefonowi lub e‑mailowi. Oznacza to, że firmy każdej wielkości, nie tylko duże praktyki korporacyjne, są potencjalnymi celami.

Dla klientów warto zapytać kancelarie zajmujące się Twoją sprawą lub transakcją, jakie kroki weryfikacyjne stosują przed przyznaniem zdalnego dostępu lub zresetowaniem danych uwierzytelniających. Firma, która ma jasne, przetestowane procedury potwierdzania próśb IT, jest mniej podatna na podszywanie się, na którym opiera się SRG.

Praktyczne kroki, które warto podjąć już teraz

Dobra wiadomość jest taka, że ta konkretna metoda ataku ma dość wąski punkt awarii: weryfikację ludzką. Kilka konkretnych działań może znacząco zmniejszyć ryzyko.

  • Wprowadź ścisłą politykę oddzwaniania w przypadku każdej prośby IT dotyczącej danych uwierzytelniających, zdalnego dostępu lub instalacji oprogramowania. Pracownicy powinni samodzielnie weryfikować prośby przez znany wewnętrzny numer, zamiast ufać tożsamości rozmówcy na słowo.
  • Przeszkol personel, aby traktował niezamówiony kontakt ze strony IT, zwłaszcza pilnie brzmiące prośby, jako sygnał ostrzegawczy, a nie rutynowe zadanie.
  • Ogranicz i monitoruj narzędzia zdalnego dostępu tak, aby nietypowe instalacje lub logowania wyzwalały alarmy, a nie pozostawały niezauważone.
  • Stwórz plan reagowania na incydenty, który zakłada kradzież danych, a nie tylko szyfrowanie, ponieważ metody wykrywania oparte na symptomach ransomware przegapią ten rodzaj włamania.

Sukces grupy Silent Ransom opiera się na szybkości i zaufaniu: przekonaniu kogoś, aby działał szybko, zanim zatrzyma się w celu weryfikacji. Kancelarie prawne, które wprowadzą tarcie do tego procesu – nawet coś tak prostego, jak polityka oddzwaniania – odbierają dużą część przewagi grupy. Cyberbezpieczeństwo w sektorze prawnym nie wymaga ogromnej przebudowy z dnia na dzień, ale wymaga traktowania socjotechniki tak poważnie, jak każdej technicznej podatności. Firmy, które dokonają tej zmiany teraz, będą znacznie lepiej przygotowane niż te, które czekają, aż żądanie okupu wymusi rozmowę.