ה-FBI פרסם ב-26 במאי התרעת FLASH על Silent Ransom Group, קבוצת סחיטה שמתחזה לעובדי מחלקת ה-IT של הקורבן. כשהשיחה הטלפונית לא מספיקה, הקבוצה שולחת אדם פיזית למשרד כדי לחבר התקן אחסון למחשב. משרדי עורכי דין בארה״ב הם יעד עקבי שלה מאז אביב 2023.
מי הקבוצה ומה השתנה
לפי ההתרעה, שתואמה עם CISA, הקבוצה מוכרת גם בשמות Luna Moth, Chatty Spider ו-UNC3753, ופעילה לפחות מ-2022. היא תקפה גם חברות ביטוח, פיננסים ובריאות, אבל עורכי הדין הם יעד קבוע. היא לא מצפינה מערכות כמו כופרה רגילה: המטרה היא גישה מהירה, הוצאת מידע מיידית, וסחיטה באיום לפרסם או למכור אותו.
בעבר הקבוצה נודעה בהודעות פישינג על "דמי מנוי" קטנים. הקורבן התבקש להתקשר כדי לבטל את המנוי, וקיבל קישור להורדת תוכנת גישה מרחוק. כבר בהתרעה ממאי 2025 תיאר ה-FBI את המעבר לשיחות בשם מחלקת ה-IT ולביקור פיזי במשרד. ההתרעה החדשה מעדכנת את התמונה נכון לאביב 2026.
איך נראית התקיפה
לפי ה-FBI, אנשי הקבוצה מתקשרים ישירות לעובדים או שולחים מייל פישינג שמפציר בהם להתקשר ל"תמיכה". בשיחה הם מבקשים מהעובד לאשר חיבור לשולחן עבודה מרוחק. אם זה לא עובד, מגיע אדם למשרד ומסביר שצריך לגבות את המחשב או ליצור ממנו תמונת דיסק בגלל מייל הפישינג, ואז מחבר כונן חיצוני או התקן USB.
אחרי שיש גישה, הקבוצה כמעט לא מסלימה הרשאות ועוברת מיד להוצאת המידע, באמצעות WinSCP או גרסה מוסתרת או בשם אחר של Rclone, וגם לשירותי ענן כמו Google Drive ו-OneDrive. לאחר מכן נשלח מייל כופר. הקבוצה גם מתקשרת לעובדים ולקוחות של המשרד כדי ללחוץ עליו לנהל משא ומתן, ומפעילה אתר שבו היא מפרסמת מידע של קורבנות.
למה קשה לזהות
ה-FBI מציין שהקמפיינים האחרונים משאירים מעט עקבות, ושתוכנות אנטי-וירוס רגילות כנראה לא יתריעו, כי הקבוצה משתמשת בכלי ניהול וגישה מרחוק לגיטימיים. בין הסימנים שההתרעה מונה:
- התקנה לא מורשית של כלים כמו Zoho Assist, Quick Assist, AnyDesk, RustDesk, Syncro, Splashtop או Atera.
- חיבור לא מורשה של כוננים חיצוניים או USB למחשבי המשרד.
- חיבורי WinSCP או Rclone לכתובת IP חיצונית.
- אנשים לא מזוהים שמגיעים למשרד ומציגים את עצמם כתמיכת IT.
- שיחות או מיילים ללקוחות שטוענים שהמידע שלהם נגנב.
ההמלצות
הרשימה בהתרעה החדשה מפורטת יותר מזו של 2025. ה-FBI ממליץ לאמת את זהות כל מי שנכנס למשרד, כולל צילום תעודה מזהה של מבקרים, ולקבוע ולהפיץ נוהל שמגדיר מתי ואיך אנשי ה-IT יוצרים קשר עם עובדים ומזדהים בפניהם. עוד הוא ממליץ להגביל גישה למידע רגיש מרשתות פחות מאובטחות כמו רשת ביתית או ציבורית, ולקיים הדרכות פישינג וגיבויים סדירים.
בצד הטכני, ההמלצות כוללות אימות רב-שלבי עמיד לפישינג (phishing-resistant MFA) בכמה שיותר שירותים, חסימת פורט 22 כשאפשר, וביטול הרשאות לגישה מרחוק ולחיבור כוננים חיצוניים במחשבים שיש בהם מידע רגיש או חסוי. בהתרעה של 2025 ההמלצה הייתה אימות דו-שלבי כללי, בלי הדרישה לעמידות בפני פישינג.
ה-FBI מבקש מקורבנות להעביר, ככל שהדין מאפשר, את מכתב הכופר, פרטי הטלפון או המייל של התוקפים, תמלילי שיחות, פרטי ארנקי קריפטו, וגם צילומי מצלמות אבטחה של מי שהתחזה לתמיכת IT. ההתרעה מסווגת TLP:CLEAR, כלומר מותר להפיץ אותה ללא הגבלה, ואפשר להעביר אותה כמו שהיא לצוות ה-IT ולהנהלת המשרד.