Silent Ransom Group: el nuevo chantaje cibernético que apunta a bufetes con llamadas de soporte y robo de datos

La advertencia de Mandiant y del FBI sobre el grupo conocido como Silent Ransom Group (UNC3753, Luna Moth, Chatty Spider) debe leerse como una llamada de atención: ya no estamos hablando solo de correos con enlaces maliciosos sino de un modelo de extorsión híbrido y veloz que combina ingeniería social por voz, herramientas legítimas de acceso remoto y una infraestructura de fuga de datos diseñada para evadir bloqueos.

El método es simple y efectivo: un correo aparentemente inocuo con un reclamo administrativo —factura, solicitud de soporte— induce a la víctima a devolver la llamada; el atacante, haciéndose pasar por soporte, convence al empleado de iniciar una sesión remota y de instalar software de asistencia legítimo (AnyDesk, Zoho Assist, Bomgar, SuperOps). Con ese vector el actor obtiene acceso directo a repositorios de documentos, plataformas de gestión y almacenamiento en la nube y puede exfiltrar archivos en cuestión de horas usando herramientas como Rclone o WinSCP.

Los riesgos para bufetes y firmas de servicios profesionales son elevados porque manejan datos concentrados y de alto valor: contratos en negociación, declaraciones fiscales, datos personales y secretos empresariales. El incentivo para pagar es cultural y económico La evolución del actor es notable: procedente del ecosistema Ryuk/Conti y de campañas tipo BazarCall, el grupo ya no depende de cifrar sistemas, sino de la doble palanca de robo y coacción inmediata. Resecurity, que analizó la infraestructura de fuga, documenta además el uso de técnicas de fast-flux con direcciones residenciales distribuidas globalmente para dificultar las takedowns y el bloqueo de los sitios de filtración, lo que complica la respuesta tradicional basada en listas de bloqueo. Las implicaciones prácticas van más allá de apagar un incidente técnico. Hay exposición legal y de cumplimiento: obligaciones de notificación a clientes y autoridades, posibles multas según leyes de protección de datos y riesgos de demandas por negligencia. Además, los equipos de respuesta deben lidiar con artefactos mínimos en los registros si los atacantes usan enlaces de autodestrucción como Privnote para entregar instrucciones, lo que requiere una estrategia forense distinta. En términos de defensa, las recomendaciones de Mandiant y el FBI siguen siendo válidas pero deben implementarse con rigor operacional: establecer procedimientos inquebrantables de verificación para solicitudes de soporte, exigir tickets internos validables antes de autorizar sesiones remotas y prohibir instalar herramientas de control remoto desde cuentas personales o enlaces recibidos por correo o teléfono. La verificación debe ser multi-canal y documentada, no basta con una llamada que "suena legítima". En el plano técnico conviene restringir y controlar el uso de RMM: mantener solo las versiones corporativas con gestión centralizada, aplicar listas blancas de aplicaciones, limitar privilegios de administrador, forzar MFA de segundo factor en accesos sensibles y monitorizar telemetría de EDR y SIEM para detectar uso de Rclone/WinSCP, movimientos laterales y exfiltración masiva hacia IPs o dominios inesperados. Bloquear o al menos monitorizar dominios de mensajería efímera y educar sobre el uso de herramientas de autodestrucción también ayuda a preservar evidencia. La detección requiere ajustar la receta habitual: alertas basadas en patrones de comportamiento (uso repentino de herramientas de soporte, conexiones desde ubicaciones inusuales, búsquedas de palabras clave sensibles en gestores documentales y picos de tráfico a servicios de almacenamiento) son más eficaces que filtros puramente estáticos. Además, la supervisión DNS y la inteligencia sobre fast-flux son esenciales para identificar y mitigar portales de fuga antes de que ganen tracción; investigaciones técnicas como la de Resecurity explican cómo identificar esa infraestructura: https://www.resecurity.com/blog/article/silent-ransom-group-srg-uncovering-dns-fast-flux-infrastructure. Para equipos legales y de cumplimiento es imprescindible preparar planes de respuesta que incluyan comunicación con clientes, evaluaciones regulatorias y coordinación con fuerzas del orden. Consultar y aplicar guías técnicas y de inteligencia pública como la publicada por Mandiant ayuda a comprender tácticas, técnicas y procedimientos y a traducirlos a controles concretos: https://cloud.google.com/blog/topics/threat-intelligence/targeted-campaign-us-law-firms. Si sospecha de una intrusión, actúe con rapidez pero con criterio: preserve evidencia, aisle endpoints comprometidos, cambie credenciales de cuentas con privilegios, invalide tokens y sesiones persistentes, y active su plan de respuesta a incidentes con soporte forense externo si es necesario. No confíe en la discreción prometida por el extorsionador; la táctica de presionar con un plazo de 72 horas y la amenaza de contactar a clientes externos es parte del esquema para forzar pagos inmediatos. Finalmente, la defensa más resiliente combina tecnología, procesos y cultura: formación práctica frente a vishing y callback phishing, ejercicios de mesa y simulaciones de brecha para probar protocolos de ticketing y verificación, y la segregación efectiva de datos sensibles para reducir el impacto si se produce un acceso no autorizado. Las firmas que integren estos elementos reducirán significativamente la ventaja que hoy tienen grupos como Silent Ransom.

La evolución del actor es notable: procedente del ecosistema Ryuk/Conti y de campañas tipo BazarCall, el grupo ya no depende de cifrar sistemas, sino de la doble palanca de robo y coacción inmediata. Resecurity, que analizó la infraestructura de fuga, documenta además el uso de técnicas de fast-flux con direcciones residenciales distribuidas globalmente para dificultar las takedowns y el bloqueo de los sitios de filtración, lo que complica la respuesta tradicional basada en listas de bloqueo.

Las implicaciones prácticas van más allá de apagar un incidente técnico. Hay exposición legal y de cumplimiento: obligaciones de notificación a clientes y autoridades, posibles multas según leyes de protección de datos y riesgos de demandas por negligencia. Además, los equipos de respuesta deben lidiar con artefactos mínimos en los registros si los atacantes usan enlaces de autodestrucción como Privnote para entregar instrucciones, lo que requiere una estrategia forense distinta.

En términos de defensa, las recomendaciones de Mandiant y el FBI siguen siendo válidas pero deben implementarse con rigor operacional: establecer procedimientos inquebrantables de verificación para solicitudes de soporte, exigir tickets internos validables antes de autorizar sesiones remotas y prohibir instalar herramientas de control remoto desde cuentas personales o enlaces recibidos por correo o teléfono. La verificación debe ser multi-canal y documentada, no basta con una llamada que "suena legítima".

En el plano técnico conviene restringir y controlar el uso de RMM: mantener solo las versiones corporativas con gestión centralizada, aplicar listas blancas de aplicaciones, limitar privilegios de administrador, forzar MFA de segundo factor en accesos sensibles y monitorizar telemetría de EDR y SIEM para detectar uso de Rclone/WinSCP, movimientos laterales y exfiltración masiva hacia IPs o dominios inesperados. Bloquear o al menos monitorizar dominios de mensajería efímera y educar sobre el uso de herramientas de autodestrucción también ayuda a preservar evidencia.

La detección requiere ajustar la receta habitual: alertas basadas en patrones de comportamiento (uso repentino de herramientas de soporte, conexiones desde ubicaciones inusuales, búsquedas de palabras clave sensibles en gestores documentales y picos de tráfico a servicios de almacenamiento) son más eficaces que filtros puramente estáticos. Además, la supervisión DNS y la inteligencia sobre fast-flux son esenciales para identificar y mitigar portales de fuga antes de que ganen tracción; investigaciones técnicas como la de Resecurity explican cómo identificar esa infraestructura: https://www.resecurity.com/blog/article/silent-ransom-group-srg-uncovering-dns-fast-flux-infrastructure.

Para equipos legales y de cumplimiento es imprescindible preparar planes de respuesta que incluyan comunicación con clientes, evaluaciones regulatorias y coordinación con fuerzas del orden. Consultar y aplicar guías técnicas y de inteligencia pública como la publicada por Mandiant ayuda a comprender tácticas, técnicas y procedimientos y a traducirlos a controles concretos: https://cloud.google.com/blog/topics/threat-intelligence/targeted-campaign-us-law-firms.

Si sospecha de una intrusión, actúe con rapidez pero con criterio: preserve evidencia, aisle endpoints comprometidos, cambie credenciales de cuentas con privilegios, invalide tokens y sesiones persistentes, y active su plan de respuesta a incidentes con soporte forense externo si es necesario. No confíe en la discreción prometida por el extorsionador; la táctica de presionar con un plazo de 72 horas y la amenaza de contactar a clientes externos es parte del esquema para forzar pagos inmediatos.

Finalmente, la defensa más resiliente combina tecnología, procesos y cultura: formación práctica frente a vishing y callback phishing, ejercicios de mesa y simulaciones de brecha para probar protocolos de ticketing y verificación, y la segregación efectiva de datos sensibles para reducir el impacto si se produce un acceso no autorizado. Las firmas que integren estos elementos reducirán significativamente la ventaja que hoy tienen grupos como Silent Ransom.