Dalla primavera del 2026 gli studi legali statunitensi si trovano a fronteggiare una minaccia che arriva, letteralmente, alla porta d’ingresso. Il Silent Ransom Group, gruppo criminale attivo almeno dal 2022 e già noto agli analisti di sicurezza con i nomi alternativi di Luna Moth, Chatty Spider e UNC3753, ha introdotto nelle proprie operazioni una componente del tutto insolita per il cybercrimine organizzato: l’intrusione fisica negli uffici delle vittime. Dopo aver messo a segno oltre cento attacchi documentati e aver pubblicato dati riservati di almeno 38 studi sul proprio sito pubblico, il gruppo ha ricevuto l’attenzione dell’FBI, che il 26 maggio 2026 ha emesso un FLASH alert, il secondo in dodici mesi e il primo a raggiungere quel livello di gravità per questo specifico attore criminale.
Come funziona l’attacco agli studi legali
La catena operativa del gruppo segue uno schema preciso, affinato nel corso di anni di attività. Tutto parte da una telefonata o da un messaggio di posta elettronica: un criminale contatta un dipendente dello studio spacciandosi per un tecnico del supporto informatico interno, segnala un presunto problema e chiede di avviare una sessione di accesso remoto al computer. Per rendere più credibile la richiesta, vengono usati domini appositamente costruiti per imitare quelli reali degli studi bersaglio, con piccole variazioni tipografiche difficili da individuare a prima vista.
Se il dipendente acconsente, il criminale ottiene il controllo del dispositivo e procede all’esfiltrazione dei file. Se invece il tentativo fallisce, il gruppo passa al piano successivo: un operativo si presenta fisicamente in sede, si qualifica come addetto IT e, una volta ottenuto l’accesso a una postazione di lavoro, inserisce un dispositivo di archiviazione esterno per copiare i dati. Per trasferire le informazioni verso server controllati dal gruppo vengono impiegati strumenti legittimi come WinSCP o versioni rinominate di Rclone, mentre piattaforme cloud di uso comune, tra cui Google Drive e Microsoft OneDrive, vengono usate come punto di raccolta intermedio. La scelta di strumenti ordinari serve a ridurre il rischio di attivare i sistemi di rilevamento delle anomalie presenti nelle reti aziendali.
A differenza dei gruppi ransomware convenzionali, SRG non cifra i dati delle vittime. Il meccanismo di pressione si basa esclusivamente sulla minaccia di pubblicare o vendere le informazioni sottratte.
Gli strumenti di estorsione e le vittime colpite
Le richieste di riscatto inviate dal gruppo variano tra uno e otto milioni di dollari, e vengono accompagnate da email che citano esplicitamente i dati in possesso degli estorsori. Il sito business-data-leaks[.]com, gestito direttamente dal gruppo, funge da piattaforma pubblica dove vengono caricati i file delle vittime che hanno rifiutato di pagare. Tra gli studi colpiti figura Orrick, Herrington & Sutcliffe, con oltre venticinque sedi nel mondo e un fatturato annuo superiore a 1,5 miliardi di dollari, i cui dati sono stati resi pubblici nel gennaio 2026 dopo il diniego alla richiesta di riscatto. Situazioni analoghe hanno riguardato Jones Day e Wood Smith Henning & Berman. Mandiant, che ha condotto analisi tecniche parallele all’allerta dell’FBI, ha attribuito al gruppo decine di attacchi nei settori legale, finanziario e dei servizi professionali tra gennaio e maggio 2026, sottolineando come gli studi legali restino il bersaglio preferito per via dei volumi di dati riservati che trattano e della pressione reputazionale e regolamentare che li rende più inclini a trovare un accordo rapido.
L’FBI raccomanda di verificare l’identità con documento di chiunque richieda accesso fisico agli spazi aziendali, adottare l’autenticazione a più fattori resistente al phishing, disabilitare l’installazione di dispositivi di archiviazione esterni sui computer che gestiscono dati sensibili, limitare l’accesso a tali dati da reti non protette e formare periodicamente il personale sul riconoscimento delle tecniche di phishing e delle richieste anomale provenienti da presunti tecnici IT.
