Витік внутрішніх чатів угруповання з вимагання під назвою Silent Ransom Group дає захисникам рідкісну можливість зазирнути за лаштунки того, як організовано шахрайство з імітацією IT-служби підтримки. Згідно з аналізом дослідницької команди GuidePoint Security GRIT, чати розкривають тактики імітації IT-фахівців, використання агентів особистої присутності та реєстр платежів на загальну суму $206,95 млн.
Опубліковане резюме коротке, тому цей пост дотримується лише того, що в ньому зазначено, і зосереджується на тому, як читачі можуть цим скористатися.
Що розкриває витік Silent Ransom Group
Витік примітний тим, що він походить від самих атакуючих. Замість того щоб реконструювати кампанію за звітами жертв, дослідники мали доступ до власних розмов угруповання. Аналіз GRIT, як зазначено в резюме, висвітлює три речі:
- Тактики імітації IT-фахівців: група будує свій підхід на видаванні себе за технічну підтримку.
- Агенти особистої присутності: операція не є виключно віддаленою.
- Реєстр платежів на $206,95 млн: запис платежів, що вказує на масштаб операції.
Ми не перевіряли чати чи реєстр незалежно, і резюме не пояснює, як було розраховано цю цифру. Найкраще сприймати це як сигнал про те, наскільки прибутковим виглядає цей стиль атаки, а не як точну перевірену суму.
Як працює імітація служби підтримки
Основна ідея будь-якої імітації служби підтримки проста: атакуючі видають себе за людей, яким співробітники вже довіряють у вирішенні проблем. Більшість із нас звикли співпрацювати з IT. Якщо хтось каже, що він зі служби підтримки і потребує хвилинки вашої уваги, типова реакція — допомогти.
Саме ця довіра і є слабкістю, яку використовують. Замість пошуку вразливості в програмному забезпеченні атакуючий прагне людського рішення: схвалити запит, поділитися кодом або когось впустити. Оскільки атака покладається на переконання, вона може спрацювати навіть за добре налаштованих засобів безпеки.
Та сама схема простежується й в інших нещодавніх кампаніях. Повідомлялося, що хакерське угруповання зловживає Microsoft Teams для проникнення в корпоративні мережі, про що йдеться в нашій статті фальшива IT-підтримка в Microsoft Teams живить хвилю програм-вимагачів. Інша операція, що з'явилася на початку 2026 року, взагалі оминула шифрування, як ми пояснили в BlackFile: вішинг-вимагання та крадіжка даних без шкідливого ПЗ. Канал змінюється (чат, телефон, електронна пошта), але привід «ми з IT, і нам потрібно, щоб ви дещо зробили» залишається тим самим.
Чому агенти особистої присутності та реєстр на $206,95 млн важливі
Дві деталі з витоку вирізняються.
По-перше, агенти особистої присутності. Багато уроків з обізнаності про безпеку припускають, що імітація відбувається через екран або телефонну лінію. Операція, яка також використовує людей на місці, свідчить про те, що заява того, хто телефонує, бейдж або впевнена манера поведінки не повинні вважатися доказом особи. Перевірка має застосовуватися до кожного каналу, а не лише до електронної пошти та телефону.
По-друге, реєстр. Запис платежів на $206,95 млн, навіть сприйнятий з обережністю, свідчить про те, що вимагання, побудоване на соціальній інженерії, може бути організованим і повторюваним, а не випадковим. Це особливо важливо для менших організацій. Легко припустити, що злочинці полюють лише на великі підприємства, але угруповання, кероване процесами, має всі стимули застосовувати ту саму схему до кожного, хто відповість на дзвінок.
Це також перегукується з тим, як довго тримаються ці методи. Наше висвітлення Scattered Spider, що заявляє про нову жертву за допомогою старої соціальної хитрості, робило подібний висновок: перевірені часом методи переконання продовжують працювати, бо вони націлені на людей, а не на код.
Що це означає для вас
Якщо ви приватна особа, урок такий: правдоподібний «IT»-контакт, який ви не ініціювали, заслуговує на підозру, хоч би як професійно він звучав. Якщо ви керуєте малим бізнесом, у вас, імовірно, немає відокремленої команди безпеки, що робить чіткий і простий процес ціннішим за будь-який інструмент.
Практична мета — відокремити хто з вами зв'язується від кому ви довіряєте. Той, хто телефонує, може назватися ким завгодно. Номер телефону, який ви знайшли самостійно, або система заявок, яку ви вже використовуєте, не можуть бути підроблені чужим сценарієм.
Як перевіряти неочікувані контакти від IT-підтримки
Ці кроки застосовні незалежно від того, чи контакт надходить телефоном, у чаті, електронною поштою чи особисто:
- Зупиніться, якщо контакт неочікуваний. Якщо ви не відкривали заявку і не просили допомоги, за замовчуванням вважайте контакт неперевіреним.
- Заведіть звичку передзвонювати. Завершіть дзвінок або чат, а потім зв'яжіться з IT за номером чи каналом, який ви вже знаєте з офіційних матеріалів компанії, а не тим, який надав контакт.
- Ніколи не діліться кодами та не схвалюйте запити на прохання. Багатофакторні коди та схвалення входу призначені для ваших власних входів, а не для використання помічником.
- Остерігайтеся запитів на віддалений доступ. Не встановлюйте інструменти та не надавайте контроль над екраном на основі неочікуваного контакту.
- Перевіряйте відвідувачів. Якщо хтось з'являється, називаючись IT-фахівцем, підтвердьте це у вашого справжнього IT-провайдера або керівника, перш ніж надавати доступ до пристрою чи приміщення.
- Домовтеся про процес заздалегідь. Малі команди мають визначити, як робитимуться легітимні IT-запити, щоб персонал знав, як виглядає справжній.
- Повідомте про це. Розкажіть своєму IT-контакту або керівнику про підозрілі спроби, навіть якщо ви на них не піддалися. Інші можуть стати наступними цілями.
Головний висновок
Витік чатів Silent Ransom Group підкреслює, що шахрайство з імітацією IT-служби підтримки є бізнес-процесом для тих, хто його проводить, а не одноразовою хитрістю. Захист також є процесом: сповільніться, завершіть дзвінок і передзвоніть через канал, якому довіряєте. Зробіть цю перевірку передзвоном звичкою для кожного неочікуваного IT-контакту та поділіться нею зі своєю командою чи родиною. Більше прикладів тієї самої тактики читайте в наших матеріалах про фальшиву IT-підтримку в Microsoft Teams та вішинг-вимагання.
