Il Silent Ransom Group torna a fare notizia con una campagna di social engineering particolarmente insidiosa. Il gruppo criminale, attivo almeno dal 2022, prende di mira gli studi legali americani fingendosi personale IT interno. L’FBI ha emesso un alert ufficiale nel maggio 2025 per mettere in guardia organizzazioni e aziende.
Chi è il Silent Ransom Group e come opera
Un gruppo con molti alias
Il Silent Ransom Group è conosciuto anche come Luna Moth, Chatty Spider e UNC3753. Opera nel panorama del cybercrimine da almeno tre anni. Il gruppo ha costruito una reputazione basata su tecniche di inganno sofisticate, non su malware tradizionale.
Tuttavia, non bisogna sottovalutarlo. I criminali non usano ransomware con cifratura dei file. Preferiscono rubare dati sensibili e poi ricattare le vittime. Minacciano di vendere o pubblicare le informazioni sottratte se non viene pagato un riscatto.
Il profilo delle vittime
Il Silent Ransom Group ha preso di mira in modo sistematico gli studi legali americani almeno dal 2023. La scelta non è casuale. Gli studi legali custodiscono dati altamente confidenziali. Contratti, informazioni su clienti, cause in corso: un tesoro per chi vuole fare estorsione.
In questo contesto, un attacco riuscito può avere conseguenze devastanti. Non solo economiche, ma anche reputazionali.
Le tattiche di attacco: dal phishing all’impersonificazione fisica
Email di phishing e chiamate telefoniche
Il metodo preferito del gruppo è il callback phishing. Gli attaccanti inviano email che sembrano provenire dall’helpdesk IT aziendale. L’email invita il dipendente a chiamare un numero di supporto tecnico. Quando la vittima chiama, risponde un finto operatore IT del gruppo criminale.
L’obiettivo è convincere il dipendente a installare software di accesso remoto. In alternativa, gli chiedono di avviare una sessione di desktop remoto. A quel punto, gli attaccanti entrano direttamente nei sistemi aziendali.
In particolare, la tecnica risulta efficace perché sfrutta la fiducia dei dipendenti verso l’IT interno. Non serve superare firewall o antivirus. Basta convincere un essere umano.
Quando il digitale non basta: l’impersonificazione fisica
Parallelamente, il gruppo ha sviluppato una tattica ancora più audace. Se il tentativo di accesso remoto fallisce, gli attaccanti si presentano fisicamente in azienda. Si fingono tecnici IT in visita di supporto.
L’FBI ha confermato questo scenario nel suo alert. I criminali inseriscono dispositivi USB malevoli nei computer aziendali. In questo modo ottengono accesso diretto alle reti e ai dati interni.
Vale la pena sottolineare la gravità di questa escalation. Un attacco informatico che diventa fisico è uno scenario che poche organizzazioni hanno considerato nei loro piani di sicurezza. Le contromisure tradizionali non bastano più.
Impatto e rischi per le organizzazioni
Furto di dati ed estorsione
Il modello criminale del Silent Ransom Group è chiaro. Prima rubano i dati. Poi minacciano le vittime. Infine chiedono un pagamento per non diffonderli.
Di conseguenza, le organizzazioni colpite si trovano in una posizione difficile. Pagare il riscatto non garantisce che i dati non vengano comunque venduti. Non pagare espone a gravi rischi di divulgazione.
Inoltre, nel settore legale il danno reputazionale può essere irreversibile. I clienti affidano allo studio informazioni riservate. Una violazione può compromettere anni di fiducia costruita.
Il vettore umano: il punto debole più difficile da correggere
Il caso del Silent Ransom Group dimostra ancora una volta che il fattore umano è il vettore d’attacco più sfruttato. Non servono vulnerabilità zero-day. Non servono exploit sofisticati. Basta una telefonata convincente.
Tuttavia, questo non significa che le organizzazioni siano impotenti. Una formazione continua del personale è fondamentale. I dipendenti devono saper riconoscere richieste sospette, anche da presunti colleghi IT.
Come difendersi: raccomandazioni pratiche
Misure tecniche e organizzative
Le organizzazioni possono adottare diverse contromisure efficaci:
- Verificare sempre l’identità di chi richiede accesso remoto, anche se sembra personale IT interno.
- Disabilitare le porte USB sui dispositivi aziendali dove non strettamente necessario.
- Implementare procedure di autorizzazione per le sessioni di supporto remoto.
- Formare il personale sulle tecniche di social engineering, incluso il callback phishing.
- Segnalare immediatamente qualsiasi contatto anomalo al team di sicurezza.
In questo contesto, la collaborazione tra HR, IT e sicurezza è essenziale. Un attaccante che si presenta fisicamente in azienda deve essere bloccato anche dalle procedure operative, non solo dalla tecnologia.
Fonti
- DataBreaches.net – Silent Ransom Group Impersonating IT Personnel through Social Engineering
- SecurityWeek – FBI: Hackers Sending Operatives In Person to Insert USB Drives and Steal Data
Fonte: Articolo originale
Campagne come quella del Silent Ransom Group evidenziano quanto sia critica la capacità delle organizzazioni di condividere rapidamente intelligence sulle minacce emergenti. IsacChain offre una piattaforma per la condivisione sicura di threat intelligence tra operatori del settore, con compliance NIS2 automatizzata che semplifica gli obblighi normativi europei e verifica blockchain che garantisce l’integrità e la tracciabilità di ogni informazione condivisa. In un contesto in cui il vettore umano è sempre più sfruttato, disporre di dati verificati e aggiornati in tempo reale può fare la differenza tra prevenire un attacco e subirne le conseguenze. Scopri come IsacChain può aiutare la tua organizzazione su www.isacchain.com