La menace hybride de SRG : de l'appel trompeur à l'intrusion physique avec USB à la loi exfiltrée et aux données de signature

La récente mise en garde du FBI sur le groupe d'extorsion Silent Ransom Group (SRG) marque une escalade importante : il ne s'agit plus seulement de courriels malveillants ou d'accès à distance, mais d'une tactique hybride dans laquelle les attaquants se présentent comme du personnel de soutien et, s'ils échouent dans la tromperie à distance, physiquement aller aux bureaux pour introduire des dispositifs de stockage dans les équipes de victimes et extraire des données sensibles.

Cette combinaison de vissitude (appel téléphonique d'ingénierie sociale), d'hameçonnage du retour et d'accès physique modifie le calcul du risque pour les cabinets d'avocats et les cabinets financiers : la confidentialité des dossiers, les privilèges juridiques - obligations de client et de réglementation sont compromis par une intrusion qui commence par un appel apparemment inoffensif, mais peut se terminer par la suppression des gigaoctets de documents engagés.

SRG - également identifié dans l'industrie comme Luna Moth / Chatty Spider / UNC3753 - a un contexte lié à des campagnes qui ont servi de passerelle pour les familles Ransomware. La tactique décrite par le FBI comprend le remplacement du support technique, la demande de commencer des sessions à distance avec des outils légitimes et, en cas de refus, l'envoi d'un acteur en personne pour connecter des disques USB ou externes. Le mode d'exploitation est déjà documenté dans le cadre MITRE ATT & CK pour la technique d'exfiltration par des dispositifs externes: https: / / attack.mitre.org / techniques / T1052 / 001 /.

Les conséquences juridiques et de réputation pour les entreprises attaquées peuvent être graves: filtration de secrets commerciaux, contentieux en cours, sanctions pour non-respect des obligations de protection des données et perte de confiance des clients. En outre, la tactique consistant à demander directement aux clients ou aux employés de faire pression sur le paiement de la rançon accroît la violence du chantage et complique la communication des incidents avec les parties concernées.

Pour atténuer ce risque, il est essentiel de combiner contrôles techniques, processus et formation humaine. Au niveau de l'organisation, il convient d'appliquer des politiques qui exigent une vérification préalable de toute demande d'appui : Billets internes documentés, confirmation de canal connue et interdiction expresse d'autoriser l'accès à distance ou la connexion d'appareils externes sans l'autorisation d'un agent de sécurité. Sur le plan technique, le verrouillage et le contrôle du port USB, la restriction de privilèges locaux, l'utilisation d'EDR avec les capacités de verrouillage du périphérique et la segmentation du réseau réduisent la surface d'attaque.

La surveillance physique est également importante : l'enregistrement des visiteurs, le recours au personnel autorisé dans les installations sensibles et la tenue de caméras ou de registres d'accès peuvent créer des preuves médico-légales et dissuader les tentatives de rapprochement. Les signatures devraient revoir leurs protocoles de sauvegarde et de récupération, confirmant que les sauvegardes sont hors ligne ou inaccessibles à partir de postes de travail réguliers pour éviter la destruction ou le chiffrement par l'attaquant après l'exfiltration.

En cas de suspicion ou de confirmation d'intrusion, il est essentiel ne négocient ni ne paient en hâte sans avis spécialisé: activer le plan d'intervention en cas d'incident, préserver les preuves (logs, images médico-légales), informer les autorités compétentes et communiquer clairement aux clients lorsque la loi l'exige. Le FBI recommande de signaler ces incidents et de partager des indicateurs qui aident à identifier la présence de SRG; l'avis original peut être trouvé ici: https: / / www.ic3.gov / CSA / 2026 / 260526.pdf.

Pour les professionnels de la sécurité et les juristes, il est également recommandé de revoir les guides pratiques et les ressources nationales sur les ransomwares et l'extorsion afin d'aligner les politiques et les exercices de table sur des scénarios réalistes. Un point de départ utile est la page de la CISA avec des recommandations sur le ransomware et les bonnes pratiques de résilience: https: / / www.cisa.gov / ransomware.

La leçon centrale est que les agresseurs combinent des compétences sociales, techniques et physiques pour surmonter les contrôles traditionnels; c'est pourquoi la défense doit être également multidimensionnelle, intégrant technologie, processus, formation et contrôles physiques. Pour les cabinets d'avocats, la protection de la confidentialité n'est pas seulement une question technique : c'est une obligation professionnelle qui nécessite l'examen des contrats, des plans d'assurance et d'intervention en cas d'incident avec le même sérieux avec lequel les dossiers les plus sensibles sont gérés.