El FBI advierte que el grupo Silent Ransom Group sigue atacando firmas de abogados en EE. UU. mediante phishing y suplantación de personal de IT. Los criminales utilizan accesos remotos o incluso se presentan físicamente en las oficinas para robar datos confidenciales a través de USB. Se recomienda bloquear puertos externos, usar autenticación multifactor y capacitar al personal para evitar estas extorsiones.

El FBI está advirtiendo a abogados desprevenidos que sus firmas siguen siendo un objetivo activo para los miembros de una banda de extorsión veterana.

Silent Ransom Group ha estado operando desde 2022, según las estimaciones del FBI, y su último mensaje [PDF] sobre la banda llega casi exactamente un año después del anterior. El grupo sigue atacando a bufetes de abogados estadounidenses y a su personal, y los criminales están fingiendo ser personal de TI de la empresa.

También se advirtió el año pasado que los especialistas en phishing de devolución de llamada habían empezado a entrar físicamente en las oficinas de los bufetes cuando los intentos de ingeniería social remota fallaban. La última advertencia del FBI reafirma estos hallazgos, con nuevos ataques reportados en la primavera de 2026.

Los bufetes de abogados deberían bloquear sus puertos USB porque la banda de extorsión sigue enviando miembros para conectar sus memorias USB en los ordenadores, para aquellos casos en los que no pueden convencer a los empleados de ceder el acceso remoto.

En estos escenarios, se presentan ante la víctima a la que han intentado engañar mediante phishing e ingeniería social desde detrás de un teléfono o una pantalla de ordenador, mantienen la fachada de ser un representante de TI de la empresa y luego afirman que necesitan crear una imagen del dispositivo de la persona o un archivo de copia de seguridad para evaluar el daño de su propio correo electrónico de phishing.

Lo que realmente están haciendo es copiar archivos importantes en dicha memoria USB, que SRG utilizará más tarde para extorsionar al bufete de abogados.

El FBI no dijo exactamente cuántas de estas visitas presenciales ha realizado SRG, pero fue evidentemente suficiente para incluirlo en una nueva advertencia sobre los métodos y tácticas del grupo.

Según el aviso, estos ataques se reportaron por primera vez en la primavera de 2026.

Srg en breve

Las industrias objetivo de SRG solían ser más amplias que solo el sector legal. Se sabe que el grupo de hackeo y filtración ha atacado organizaciones que operan en diversas industrias, pero el sector legal ha sido un tema común desde 2023.

El FBI dijo en su aviso sobre el grupo el año pasado que cree que SRG ataca sistemáticamente a bufetes de abogados de EE. UU. "probablemente debido a la naturaleza altamente sensible de los datos de la industria legal".

Cuando no envían delincuentes a los bloques de oficinas, el objetivo principal de SRG es lograr sus fines a través del phishing de devolución de llamada.

Utilizando mensajes SMS o correos electrónicos, los miembros del grupo seleccionan a empleados de las empresas objetivo, pidiéndoles que llamen a un número mientras se hacen pasar por personal de TI real.

Si el empleado cae en el engaño, llama, y el impostor de TI de SRG intenta convencerlo de que conceda acceso a una sesión de escritorio remoto, durante la cual elevarían sus privilegios y comenzarían a robar datos para usarlos como palanca de extorsión.

En algunos casos, SRG ejecuta WinSCP o una versión disfrazada de Rclone para recolectar archivos de interés. En otros, se sabe que comparten esos documentos utilizando plataformas internas de intercambio de archivos como Google Drive o Microsoft OneDrive.

Antes de la metodología de phishing de devolución de llamada, el grupo enviaba correos electrónicos alegando que se había autorizado una suscripción falsa que cobraría pequeñas sumas a la cuenta del objetivo cada mes. El correo incluía un número de teléfono para cancelar la suscripción y, una vez en la llamada, los delincuentes convencían al objetivo de instalar software de acceso remoto, y repetían el manual de robo de datos.

No se sabe que SRG utilice ransomware, pero opera un sitio de filtración de datos (DLS) al igual que cualquier otra banda de extorsión y cobra a las víctimas por devolver los datos que robaron, amenazando con filtrarlos en línea si se niegan a pagar.

Víctimas presuntas recientes del grupo han incluido al gigante legal Jones Day, los abogados preferidos por el presidente de EE. UU. Donald Trump durante sus dos campañas electorales. SRG incluyó a Jones Day en su DLS, y el bufete confirmó un "incidente de ciber phishing" en abril, pero no nombró a SRG como los culpables.

"Su país le necesita"

El FBI pidió al público que enviara cualquier prueba de SRG en acción para ayudar en futuras investigaciones. Serían de particular utilidad los números de teléfono utilizados para contactar con los delincuentes, copias de las transcripciones de las llamadas telefónicas y correos electrónicos de phishing, información de carteras de criptomonedas e información identificativa de las personas que entran en los edificios de oficinas.

En cuanto a cómo prevenir los ataques de SRG o de otros que adopten métodos similares, el FBI recomendó que las organizaciones prohíban la conexión de unidades externas a los dispositivos emitidos por la empresa, especialmente aquellos que almacenan información confidencial o sensible.

Verificar las credenciales de cada persona que entre en el edificio tampoco estaría de más.

El consejo habitual se aplica a los ataques remotos del grupo: limitar el acceso a datos sensibles desde redes menos seguras y requerir MFA resistente al phishing para tantos servicios como sea posible.

El FBI también recomienda bloquear el acceso al puerto 22, lo que evitaría el acceso remoto cifrado, e invertir en programas robustos de formación para el personal para que sepan que no deben dejar que personas ajenas conecten hardware en sus máquinas.

Fuente:
TheRegister