Утечка внутренних чатов вымогательской группировки Silent Ransom Group даёт специалистам по защите редкую возможность увидеть, как за кулисами организовано мошенничество с выдачей себя за ИТ-поддержку. Согласно разбору исследовательской команды GuidePoint Security GRIT, чаты раскрывают тактики выдачи себя за ИТ-специалистов, использование агентов, действующих лично, и реестр платежей на общую сумму $206,95 млн.
Опубликованное резюме краткое, поэтому этот пост придерживается того, что в нём сказано, и сосредоточен на том, что читатели могут с этим сделать.
Что раскрывает утечка Silent Ransom Group
Утечка примечательна тем, что исходит от самих атакующих. Вместо того чтобы восстанавливать кампанию по отчётам жертв, исследователи получили доступ к собственным разговорам группировки. Анализ GRIT, в том виде, в каком он изложен в резюме, выделяет три вещи:
- Тактики выдачи себя за ИТ-специалистов: группировка строит свой подход вокруг выдачи себя за техническую поддержку.
- Агенты, действующие лично: операция не является чисто удалённой.
- Реестр платежей на $206,95 млн: запись платежей, указывающая на масштаб операции.
Мы не проверяли чаты или реестр независимо, и в резюме не объясняется, как была рассчитана эта сумма. Лучше всего воспринимать её как сигнал о том, насколько прибыльным выглядит этот стиль атаки, а не как точный проверенный итог.
Как работает выдача себя за службу поддержки
Основная идея любой выдачи себя за службу поддержки проста: атакующие выдают себя за людей, которым сотрудники уже доверяют в вопросах решения проблем. Большинство из нас привыкли сотрудничать с ИТ-отделом. Если кто-то говорит, что он из службы поддержки и ему нужно немного вашего времени, стандартная реакция — помочь.
Именно это доверие и эксплуатируется. Вместо поиска уязвимости в программном обеспечении атакующий нацелен на человеческое решение: одобрить запрос, сообщить код или впустить кого-то. Поскольку атака опирается на убеждение, она может сработать даже при хорошо настроенных средствах защиты.
Та же схема прослеживается и в других недавних кампаниях. Сообщалось, что хакерская группа злоупотребляла Microsoft Teams для проникновения в корпоративные сети, о чём рассказывается в нашем материале фальшивая ИТ-поддержка в Microsoft Teams подпитывает волну ransomware. Другая операция, всплывшая в начале 2026 года, полностью отказалась от шифрования, как мы объясняли в статье Вишинг-вымогательство и кража данных BlackFile без вредоносного ПО. Канал меняется (чат, телефон, электронная почта), но предлог «мы из ИТ, и нам нужно, чтобы вы кое-что сделали» остаётся тем же.
Почему важны агенты, действующие лично, и реестр на $206,95 млн
Две детали из утечки выделяются особенно.
Во-первых, агенты, действующие лично. Многие уроки по security awareness предполагают, что выдача себя за других происходит через экран или телефонную линию. Операция, которая также использует людей на местах, говорит о том, что заявление звонящего, бейдж с именем или уверенная манера поведения не должны восприниматься как доказательство личности. Проверка должна применяться к каждому каналу, а не только к электронной почте и телефону.
Во-вторых, реестр. Запись платежей на $206,95 млн, даже при осторожном к ней отношении, говорит о том, что вымогательство, построенное на социальной инженерии, может быть организованным и повторяемым, а не случайным. Это особенно важно для небольших организаций. Легко предположить, что преступники охотятся только за крупными предприятиями, но группировка, действующая по отработанному процессу, имеет все стимулы применять ту же схему против любого, кто ответит на звонок.
Это также перекликается с тем, как долго живут эти методы. Наш материал о Scattered Spider, заявляющей о новой жертве со старой социальной уловкой, делал аналогичный вывод: проверенные временем приёмы убеждения продолжают работать, потому что нацелены на людей, а не на код.
Что это значит для вас
Если вы частное лицо, урок в том, что правдоподобно звучащий контакт «из ИТ», которого вы не инициировали, заслуживает подозрения, как бы профессионально он ни звучал. Если вы руководите малым бизнесом, у вас, вероятно, нет выделенной команды по безопасности, а значит, чёткий и простой процесс ценнее любого инструмента.
Практическая цель — отделить того, кто с вами связывается, от того, кому вы доверяете. Звонящий может назваться кем угодно. Номер телефона, который вы нашли сами, или система тикетов, которую вы уже используете, не могут быть подделаны чужим сценарием.
Как проверять неожиданные обращения от ИТ-поддержки
Эти шаги применимы независимо от того, поступает ли обращение по телефону, в чате, по электронной почте или лично:
- Сделайте паузу, если обращение неожиданное. Если вы не открывали тикет и не просили о помощи, по умолчанию считайте обращение непроверенным.
- Заведите привычку перезванивать. Завершите звонок или чат, затем свяжитесь с ИТ по номеру или через канал, который вы уже знаете из официальных материалов компании, а не тот, который вам дал контакт.
- Никогда не сообщайте коды и не одобряйте запросы по просьбе. Многофакторные коды и подтверждения входа предназначены для ваших собственных входов, а не для использования помощником.
- Остерегайтесь запросов на удалённый доступ. Не устанавливайте инструменты и не предоставляйте управление экраном по инициативе неожиданного контакта.
- Проверяйте посетителей. Если кто-то приходит, утверждая, что он из ИТ, подтвердите это у вашего реального ИТ-провайдера или руководителя, прежде чем давать доступ к устройству или помещению.
- Заранее договоритесь о процессе. Небольшим командам следует решить, как будут делаться легитимные ИТ-запросы, чтобы сотрудники знали, как выглядит настоящий.
- Сообщите об этом. Расскажите своему ИТ-контакту или руководителю о подозрительных попытках, даже если вы не попались на них. Следующими могут стать другие.
Главный вывод
Утёкшие чаты Silent Ransom Group подчёркивают, что мошенничество с выдачей себя за ИТ-поддержку — это бизнес-процесс для тех, кто его ведёт, а не разовая уловка. Защита — тоже процесс: замедлиться, положить трубку и перезвонить через канал, которому вы доверяете. Сделайте эту проверку перезвоном привычкой для любого неожиданного обращения от ИТ и поделитесь ею с вашей командой или семьёй. Больше примеров той же тактики — в наших материалах о фальшивой ИТ-поддержке в Microsoft Teams и вымогательстве на основе вишинга.
