Um conjunto de chats internos vazados de um grupo de extorsão chamado Silent Ransom Group está dando aos defensores uma rara visão de como um golpe de help desk com personificação de TI é organizado nos bastidores. De acordo com uma análise da equipe de pesquisa GRIT da GuidePoint Security, os chats revelam táticas de personificação de TI, o uso de agentes presenciais e um registro de pagamentos que totaliza US$ 206,95 milhões.
O resumo publicado é breve, então este post se atém ao que ele afirma e se concentra no que os leitores podem fazer com isso.
O que o vazamento do Silent Ransom Group revela
O vazamento é notável porque vem dos próprios atacantes. Em vez de reconstruir uma campanha a partir de relatos de vítimas, os pesquisadores tiveram acesso às conversas do próprio grupo. A análise do GRIT, conforme resumida, destaca três coisas:
- Táticas de personificação de TI: o grupo baseia sua abordagem em se passar por suporte técnico.
- Agentes presenciais: a operação não é puramente remota.
- Um registro de pagamentos de US$ 206,95 milhões: um registro de pagamentos que aponta para a escala da operação.
Não verificamos de forma independente os chats ou o registro, e o resumo não detalha como o valor foi calculado. É melhor lê-lo como um sinal de quão lucrativo esse estilo de ataque parece ser, e não como um total auditado preciso.
Como funciona a personificação do help desk
A ideia central por trás de qualquer personificação de help desk é simples: os atacantes se passam pelas pessoas em quem os funcionários já confiam para resolver problemas. A maioria de nós está condicionada a cooperar com a TI. Se alguém diz que é do suporte e precisa de um momento do seu tempo, a reação padrão é ajudar.
Essa confiança é a fraqueza explorada. Em vez de procurar uma falha de software, o atacante mira uma decisão humana: aprovar uma solicitação, compartilhar um código ou deixar alguém entrar. Como o ataque depende da persuasão, ele pode funcionar mesmo quando as ferramentas de segurança estão bem configuradas.
O mesmo padrão aparece em outras campanhas recentes. Um grupo de hackers foi reportado por abusar do Microsoft Teams para entrar em redes corporativas, como abordado em nosso artigo sobre suporte de TI falso no Microsoft Teams alimentando uma onda de ransomware. Outra operação que surgiu no início de 2026 dispensou completamente a criptografia, como explicamos em extorsão por vishing e roubo de dados sem malware do BlackFile. O canal muda (chat, telefone, e-mail), mas o pretexto de "somos da TI e precisamos que você faça algo" permanece o mesmo.
Por que agentes presenciais e um registro de US$ 206,95 milhões importam
Dois detalhes do vazamento se destacam.
Primeiro, os agentes presenciais. Muitas lições de conscientização em segurança presumem que a personificação acontece através de uma tela ou de uma linha telefônica. Uma operação que também usa pessoas no local sugere que a alegação de um interlocutor, um crachá ou uma postura confiante não devem ser tratados como prova de identidade. A verificação precisa se aplicar a todos os canais, não apenas a e-mail e telefone.
Segundo, o registro. Um registro de pagamentos de US$ 206,95 milhões, mesmo visto com cautela, sugere que a extorsão baseada em engenharia social pode ser organizada e repetível, não oportunista. Isso importa particularmente para organizações menores. É fácil presumir que criminosos perseguem apenas grandes empresas, mas uma equipe orientada a processos tem todo o incentivo para aplicar o mesmo manual contra qualquer pessoa que atenda a ligação.
Isso também ecoa há quanto tempo esses métodos duram. Nossa cobertura sobre o Scattered Spider reivindicando uma nova vítima com um velho truque social fez um ponto semelhante: a persuasão testada e comprovada continua funcionando porque visa pessoas, não código.
O que isso significa para você
Se você é um indivíduo, a lição é que um contato de "TI" que parece legítimo e que você não solicitou merece desconfiança, não importa quão profissional pareça. Se você administra uma pequena empresa, provavelmente não tem uma equipe de segurança dedicada, o que torna um processo claro e simples mais valioso do que qualquer ferramenta.
O objetivo prático é separar quem está entrando em contato com você de em quem você confia. Um interlocutor pode alegar ser qualquer pessoa. Um número de telefone que você mesmo pesquisa, ou um sistema de tickets que você já usa, não pode ser falsificado pelo script de um estranho.
Como verificar contatos inesperados de suporte de TI
Estas etapas se aplicam se o contato chegar por telefone, chat, e-mail ou pessoalmente:
- Pare quando o contato não for solicitado. Se você não abriu um ticket nem pediu ajuda, trate o contato como não verificado por padrão.
- Adote o hábito de retornar a ligação. Desligue ou encerre o chat e, em seguida, procure a TI por meio de um número ou canal que você já conhece de materiais oficiais da empresa, não um fornecido pelo contato.
- Nunca compartilhe códigos ou aprove solicitações a pedido. Códigos de múltiplos fatores e aprovações de login são para os seus próprios acessos, não para um suposto ajudante usar.
- Desconfie de solicitações de acesso remoto. Não instale ferramentas nem conceda controle de tela com base em um contato inesperado.
- Verifique visitantes. Se alguém aparecer alegando ser da TI, confirme com seu provedor real de TI ou gerente antes de dar acesso a um dispositivo ou sala.
- Combine um processo com antecedência. Equipes pequenas devem decidir como solicitações legítimas de TI serão feitas, para que a equipe saiba como é uma solicitação real.
- Reporte. Informe seu contato de TI ou gerente sobre tentativas suspeitas, mesmo que você não tenha caído nelas. Outras pessoas podem ser o próximo alvo.
A conclusão
Os chats vazados do Silent Ransom Group deixam claro que um golpe de help desk com personificação de TI é um processo de negócio para quem o conduz, não um truque isolado. A defesa também é um processo: desacelere, desligue e retorne a ligação por um canal em que você confia. Transforme essa verificação por retorno de ligação em um hábito para todo contato não solicitado de TI e compartilhe isso com sua equipe ou família. Para mais exemplos da mesma tática, leia nossa cobertura sobre suporte de TI falso no Microsoft Teams e extorsão baseada em vishing.
