Os escritórios de advocacia detêm algumas das informações mais sensíveis que existem fora de hospitais e agências governamentais: detalhes de fusões, estratégia de litígio, finanças de clientes e registos pessoais ligados a processos em curso. Essa combinação de alto valor e, em muitos casos, orçamentos reduzidos de cibersegurança tornou o setor jurídico um alvo cada vez mais atraente para um grupo conhecido como Silent Ransom Group (SRG). Também rastreado sob os pseudónimos Luna Moth, Chatty Spider e UNC3753, este grupo construiu um manual de extorsão que ignora totalmente a parte que a maioria das pessoas associa ao ransomware.

Um Tipo Diferente de Extorsão

Os ataques de ransomware tradicionais seguem um padrão familiar: o malware bloqueia os ficheiros da vítima e os atacantes exigem um pagamento pela chave de desencriptação. O SRG faz algo mais silencioso e, em alguns aspetos, mais perigoso. Em vez de encriptar sistemas, o grupo concentra-se em roubar os dados e ameaçar publicá‑los, a menos que a empresa pague. Não há ransomware para detetar, nem ficheiros baralhados que alertem a equipa de TI de que algo está errado. O primeiro sinal de problemas é, frequentemente, a própria exigência de extorsão.

O acesso começa normalmente com um truque de engenharia social tão simples quanto eficaz: os operadores do SRG fazem-se passar por funcionários do suporte de TI, telefonando ou enviando e‑mails aos colaboradores para os convencer a ceder credenciais ou a instalar ferramentas de acesso remoto. Uma vez lá dentro, o grupo exfiltra ficheiros discretamente, em vez de provocar o tipo de perturbação na rede que faria soar os alarmes. Quando um escritório de advocacia se apercebe de que algo aconteceu, os dados já desapareceram e a ameaça de exposição pública já está em cima da mesa.

Esta abordagem reflete uma mudança mais ampla na forma como os grupos de extorsão exercem pressão sobre as vítimas. Alguns operadores de ransomware começaram até a disfarçar as ameaças com uma linguagem jurídica fabricada, para que as exigências pareçam mais oficiais e difíceis de ignorar, uma tática detalhada em grupos de ransomware adicionam ameaças legais falsas geradas por IA a notas de resgate. Quer a pressão venha de memorandos jurídicos falsos ou da simples ameaça de divulgar ficheiros de clientes, o objetivo é o mesmo: fazer com que pagar pareça a única opção razoável.

Por que Escritórios de Advocacia São Especialmente Vulneráveis

Os escritórios de advocacia ocupam uma posição incomum no mundo da cibersegurança. São depositários de dados de terceiros extremamente sensíveis, muitas vezes pertencentes a vários clientes empresariais em simultâneo, mas muitos funcionam com equipas de TI mais pequenas e com formação em segurança menos formal do que as indústrias que servem. Advogados e pessoal de apoio estão frequentemente sob pressão de tempo, a lidar com chamadas de fornecedores, tribunais e clientes, o que torna mais fácil que uma chamada convincente de falsa identidade de TI passe despercebida.

Existe também um problema de incentivos estruturais. Uma violação num escritório de advocacia não expõe apenas os dados do próprio escritório – expõe informações confidenciais de todos os clientes cujos assuntos passaram por aquele sistema. Isto amplifica os riscos reputacionais e legais de qualquer fuga, que é exatamente a alavanca que grupos como o SRG esperam usar quando ameaçam a publicação em vez da encriptação.

O Que Isso Significa para Si

Se trabalha num escritório de advocacia, ou se é um cliente cujos registos sensíveis passam por um, esta tendência é relevante mesmo que nunca veja uma nota de resgate. O roubo de dados através de falsificação de identidade não exige uma exploração técnica sofisticada. Exige que um funcionário confie no telefonema ou e‑mail errado. Isto significa que escritórios de qualquer dimensão, e não apenas as grandes práticas empresariais, são alvos potenciais.

Para os clientes, vale a pena perguntar aos escritórios que tratam do seu caso ou transação quais os passos de verificação que exigem antes de conceder acesso remoto ou repor credenciais. Um escritório que tenha procedimentos claros e testados para confirmar pedidos de TI tem menos probabilidade de cair no tipo de falsificação de identidade em que o SRG se baseia.

Medidas Práticas que Valem a Pena Tomar Agora

A boa notícia é que este método de ataque específico tem um ponto de falha bastante limitado: a verificação humana. Alguns passos concretos podem reduzir significativamente o risco.

  • Estabeleça uma política rigorosa de retorno de chamada para qualquer pedido de TI que envolva credenciais, acesso remoto ou instalação de software. Os colaboradores devem verificar os pedidos de forma independente, utilizando um número interno conhecido, em vez de confiarem na identidade do interlocutor à primeira vista.
  • Forme o pessoal para tratar contactos de TI não solicitados, especialmente pedidos com ar de urgência, como um sinal de alerta e não como uma tarefa rotineira.
  • Limite e monitorize as ferramentas de acesso remoto, para que instalações ou inícios de sessão invulgares disparem alertas em vez de passarem despercebidos.
  • Construa um plano de resposta a incidentes que pressuponha o roubo de dados, e não apenas a encriptação, uma vez que os métodos de deteção construídos em torno dos sintomas do ransomware não detetarão este tipo de intrusão.

O sucesso do Silent Ransom Group depende da rapidez e da confiança: convencer alguém a agir rapidamente antes de parar para verificar. Os escritórios de advocacia que introduzirem fricção nesse processo, mesmo algo tão simples como uma política de retorno de chamada, retiram grande parte da vantagem do grupo. A cibersegurança no setor jurídico não exige uma reformulação massiva de um dia para o outro, mas exige que se trate a engenharia social com a mesma seriedade que qualquer vulnerabilidade técnica. Os escritórios que fizerem essa mudança agora estarão em muito melhor posição do que aqueles que esperarem que uma exigência de extorsão force a conversa.