一组来自名为Silent Ransom Group的勒索团伙的内部聊天记录泄露，让防御者罕见地得以一窥IT冒充帮助台诈骗在幕后是如何组织的。根据GuidePoint Security研究团队GRIT的分析，这些聊天记录揭示了IT冒充手法、线下人员的动用，以及一份总额达2.0695亿美元的付款账本。
已发布的摘要较为简短，因此本文仅围绕其所陈述的内容展开，并聚焦于读者可以据此采取的行动。
Silent Ransom Group泄露事件揭示了什么
这次泄露之所以值得注意，是因为它来自攻击者自身。研究人员不必根据受害者报告来还原一次攻击活动，而是直接接触到了该团伙自己的对话。据摘要所述，GRIT的分析突出了三点：
- IT冒充手法： 该团伙围绕冒充技术支持来构建其攻击方式。
- 线下人员： 该行动并非纯粹远程进行。
- 一份2.0695亿美元的付款账本： 一份付款记录，指向该行动的规模。
我们尚未独立核实这些聊天记录或账本，摘要也没有说明该数字是如何计算得出的。最好将其视为一种信号，表明这类攻击似乎多么有利可图，而非经过审计的精确总额。
帮助台冒充是如何运作的
任何帮助台冒充的核心思路都很简单：攻击者冒充员工本来就信任、会来解决问题的那些人。我们大多数人都习惯于配合IT部门。如果有人说自己来自支持团队、需要占用你一点时间，默认反应就是帮忙。
这种信任正是被利用的弱点。攻击者不是去寻找软件漏洞，而是瞄准人的决定：批准一个请求、分享一个验证码，或者放某人进来。由于攻击依赖说服，即使安全工具配置得当，它也能奏效。
同样的模式也出现在其他近期攻击活动中。据报道，一个黑客组织滥用Microsoft Teams进入企业网络，详见我们关于Microsoft Teams上的假IT支持助长勒索软件狂潮的文章。另一起在2026年初浮出水面的行动完全跳过了加密环节，正如我们在BlackFile语音钓鱼勒索与无恶意软件的数据窃取中所解释的那样。渠道会变（聊天、电话、邮件），但“我们是IT，需要你做点什么”的借口始终不变。
为何线下人员和2.0695亿美元账本值得关注
这次泄露中有两个细节格外突出。
第一，线下人员。许多安全意识培训都假设冒充是通过屏幕或电话线进行的。一次行动如果还动用了实地人员，说明来电者的说辞、工牌或自信的举止都不应被视为身份证明。验证需要适用于每一个渠道，而不仅仅是电子邮件和电话。
第二，账本。一份2.0695亿美元的付款记录，即便谨慎看待，也表明建立在社会工程之上的勒索可以是有组织、可复制的，而非机会主义的。这对较小规模的组织尤其重要。人们很容易以为犯罪分子只盯大型企业，但一个流程驱动的团伙有充分动机对任何接听电话的人照搬同一套剧本。
这也印证了这些手法已持续了多久。我们关于Scattered Spider用老套社交伎俩声称新受害者的报道提出了类似观点：久经考验的说服手段之所以持续奏效，是因为它针对的是人，而非代码。
这对你意味着什么
如果你是个人，教训是：一个你并未主动请求、听起来却很正规的“IT”联系值得怀疑，无论它听起来多么专业。如果你经营一家小企业，你很可能没有专职安全团队，这使得清晰简单的流程比任何工具都更有价值。
实际目标是把谁在联系你与你信任谁区分开来。来电者可以自称是任何人。而你自己查到的电话号码，或你已经在使用的工单系统，是陌生人的剧本无法伪造的。
如何验证意外的IT支持联系
无论联系是通过电话、聊天、电子邮件还是当面到来，以下步骤都适用：
- 遇到主动上门的联系时先暂停。 如果你没有提交工单或请求帮助，默认将该联系视为未经核实。
- 养成回拨的习惯。 挂断电话或结束聊天，然后通过你从官方公司材料中已经知道的号码或渠道联系IT，而不是联系者提供的号码或渠道。
- 绝不应要求分享验证码或批准提示。 多因素验证码和登录批准是供你自己登录使用的，不是给“帮手”用的。
- 警惕远程访问请求。 不要基于意外的联系安装工具或授予屏幕控制权。
- 核实来访者。 如果有人上门自称是IT，在允许其接触设备或进入房间之前，先向你真正的IT服务商或经理确认。
- 提前约定流程。 小团队应确定合法的IT请求将如何发出，以便员工知道真正的请求是什么样子。
- 上报。 将可疑尝试告知你的IT联系人或经理，即使你没有上当。其他人可能是下一个目标。
要点总结
泄露的Silent Ransom Group聊天记录凸显出，IT冒充帮助台诈骗对运营者而言是一套业务流程，而非一次性伎俩。防御同样是一套流程：放慢节奏、挂断，并通过你信任的渠道回拨。把这种回拨验证变成应对每一次意外IT联系的习惯，并与你的团队或家人分享。想了解更多同一手法的案例，请阅读我们关于Microsoft Teams上的假IT支持和基于语音钓鱼的勒索的报道。
