En uppsättning läckta interna chattar från en utpressningsgrupp som kallar sig Silent Ransom Group ger försvarare en sällsynt inblick i hur ett IT-utgivningsbedrägeri via helpdesk är organiserat bakom kulisserna. Enligt en analys från GuidePoint Securitys forskarteam GRIT avslöjar chattarna IT-utgivningstaktiker, användningen av agenter på plats och en betalningsliggare som uppgår till 206,95 miljoner dollar.
Den publicerade sammanfattningen är kort, så det här inlägget håller sig till vad den säger och fokuserar på vad läsarna kan göra med den.
Vad läckan från Silent Ransom Group avslöjar
Läckan är anmärkningsvärd eftersom den kommer från angriparna själva. Istället för att rekonstruera en kampanj från offerrapporter hade forskarna tillgång till gruppens egna konversationer. GRIT:s analys, såsom den sammanfattats, lyfter fram tre saker:
- IT-utgivningstaktiker: gruppen bygger sin ansats kring att utge sig för att vara teknisk support.
- Agenter på plats: operationen är inte enbart på distans.
- En betalningsliggare på 206,95 miljoner dollar: en registrering av betalningar som pekar på operationens omfattning.
Vi har inte oberoende verifierat chattarna eller liggaren, och sammanfattningen redogör inte för hur siffran beräknades. Den bör bäst läsas som en signal om hur lönsam den här typen av attack förefaller vara, inte som en exakt granskad summa.
Hur helpdesk-utgivningen fungerar
Grundidén bakom all helpdesk-utgivning är enkel: angripare utger sig för att vara de personer som anställda redan litar på för att lösa problem. De flesta av oss är betingade att samarbeta med IT. Om någon säger att de är från supporten och behöver en stund av din tid är den automatiska reaktionen att hjälpa till.
Det förtroendet är svagheten som utnyttjas. Istället för att leta efter en mjukvarubugg siktar angriparen på ett mänskligt beslut: att godkänna en begäran, dela en kod eller släppa in någon. Eftersom attacken bygger på övertalning kan den fungera även när säkerhetsverktygen är väl konfigurerade.
Samma mönster dyker upp i andra nyliga kampanjer. En hackergrupp rapporterades missbruka Microsoft Teams för att ta sig in i företagsnätverk, vilket vi tar upp i vår artikel om falsk IT-support på Microsoft Teams som driver en ransomware-våg. En annan operation som dök upp i början av 2026 hoppade helt över kryptering, vilket vi förklarade i BlackFile vishing-utpressning och datastöld utan skadlig kod. Kanalen varierar (chatt, telefon, e-post), men förevändningen "vi är IT och vi behöver att du gör något" förblir densamma.
Varför agenter på plats och en liggare på 206,95 miljoner dollar spelar roll
Två detaljer från läckan sticker ut.
För det första agenterna på plats. Många säkerhetsmedvetenhetslektioner utgår från att utgivning sker via en skärm eller en telefonlinje. En operation som också använder personer på plats antyder att en uppringares påstående, en namnbricka eller ett självsäkert uppträdande inte bör betraktas som bevis på identitet. Verifiering behöver gälla alla kanaler, inte bara e-post och telefon.
För det andra liggaren. En betalningsregistrering på 206,95 miljoner dollar, även om den tas med försiktighet, antyder att utpressning uppbyggd på social manipulering kan vara organiserad och upprepbar, inte opportunistisk. Det spelar särskilt roll för mindre organisationer. Det är lätt att anta att kriminella bara jagar stora företag, men en processdriven grupp har allt att vinna på att köra samma spelbok mot alla som svarar i telefon.
Detta ekar också hur länge dessa metoder har hållit i sig. Vår bevakning av Scattered Spider som gör anspråk på ett nytt offer med ett gammalt socialt trick gjorde en liknande poäng: beprövad övertalning fortsätter att fungera eftersom den riktar sig mot människor, inte kod.
Vad detta innebär för dig
Om du är en enskild person är lärdomen att en legitimt låtande "IT"-kontakt som du inte själv har sökt förtjänar misstanke, oavsett hur professionell den låter. Om du driver ett litet företag har du förmodligen inget dedikerat säkerhetsteam, vilket gör en tydlig och enkel process mer värdefull än något verktyg.
Det praktiska målet är att skilja vem som kontaktar dig från vem du litar på. En uppringare kan påstå sig vara vem som helst. Ett telefonnummer som du själv slår upp, eller ett ärendesystem som du redan använder, kan inte förfalskas av en främmandes manus.
Hur du verifierar oväntade IT-supportkontakter
Dessa steg gäller oavsett om kontakten kommer via telefon, chatt, e-post eller personligen:
- Pausa när kontakten är oombedd. Om du inte har öppnat ett ärende eller bett om hjälp, behandla kontakten som overifierad som standard.
- Använd en återuppringningsvana. Lägg på eller avsluta chatten och nå sedan IT via ett nummer eller en kanal som du redan känner till från officiellt företagsmaterial, inte ett som kontakten gav dig.
- Dela aldrig koder eller godkänn prompter på begäran. Multifaktorkoder och inloggningsgodkännanden är för dina egna inloggningar, inte för att en hjälpare ska använda dem.
- Var vaksam mot begäranden om fjärråtkomst. Installera inte verktyg eller bevilja skärmkontroll baserat på en oväntad kontakt.
- Verifiera besökare. Om någon dyker upp och påstår sig vara från IT, bekräfta med din verkliga IT-leverantör eller chef innan du ger åtkomst till en enhet eller ett rum.
- Kom överens om en process i förväg. Små team bör bestämma hur legitima IT-förfrågningar ska göras, så att personalen vet hur en riktig ser ut.
- Rapportera det. Berätta för din IT-kontakt eller chef om misstänkta försök, även om du inte gick på dem. Andra kan vara nästa mål.
Slutsatsen
De läckta chattarna från Silent Ransom Group understryker att ett IT-utgivningsbedrägeri via helpdesk är en affärsprocess för dem som driver det, inte ett engångstrick. Försvaret är också en process: sakta ner, lägg på och ring tillbaka via en kanal du litar på. Gör den återuppringningsverifieringen till en vana för varje oombedd IT-kontakt, och dela den med ditt team eller din familj. För fler exempel på samma taktik, läs vår bevakning av falsk IT-support på Microsoft Teams och vishing-baserad utpressning.
