Дослідниця Tammy Harper 7 жовтня 2026 року оприлюднила архів з 5 692 внутрішніх повідомлень угруповання Silent Ransom Group – і внутрішня відомість угод зафіксувала платежі від 27 американських юридичних фірм на загальну суму близько $207 млн між 3 квітня і 24 вересня 2026 року. Група не використовувала шифрувальне ПЗ: замість цього хакери телефонували жертвам від імені IT-підтримки і у частині випадків фізично заходили в офіси зі флеш-накопичувачами. Блокчейн-аналітик Crystal Intelligence підтвердила, що ончейн-дані підтримують масштаб, але не точні цифри.
- Метод без коду: вішинг, IT-підтримка і флешки в офісах
- Платіжна відомість: 7 млн, White & Case і підтверджені витоки чотирьох фірм
- Відмивання: московський брокер Женя, SAFU Exchange і Zelle
- Рекрутинг через російськомовні борди: нічний промоутер за 0 за ніч
- Більше матеріалів
- Bank of America отримав штраф ,21 млрд за порушення AML
- Silent Ransom Group вимагала 7 млн у 27 адвокатських фірм США
- Трамп скасував санкції закону Гремема, Київ вдарив по Петербургу
- Inverse ETF і Volmageddon 2018: механіка і крах XIV на ,9 млрд
- ЄС схвалив Kenvue-Kimberly-Clark: поступки по Kotex і Camelia
- Netflix Q3 2026: реклама млрд і відмова від метрик підписників
Метод без коду: вішинг, IT-підтримка і флешки в офісах
ФБР видало спеціальний FLASH-алерт 26 травня 2026 року: агентство попередило, що учасники Silent Ransom Group видавали себе за штатних IT-фахівців і зверталися до співробітників юридичних фірм по телефону або електронній пошті. Стандартна атака починалася з листа від підтримки через сфабрикований внутрішній обліковий запис – жертву переводили на дзвінок до технічного спеціаліста, який просив надати сеанс віддаленого робочого стола.
Blank Rome підтвердила травневий інцидент: адвокат фірми завантажив файли на зовнішній Google Drive після того, як особа, яка назвалася IT-підтримкою, надала відповідні інструкції. Goodwin Procter повідомила, що один співробітник «передав облікові дані неавторизованій стороні» після схожої комунікації. Mandiant, підрозділ Alphabet, відстежує угруповання під кодом UNC3753 і псевдонімами Luna Moth та Chatty Spider – аналітики зафіксували активну кампанію проти юридичних і фінансових структур принаймні з початку 2026 року.
Коли дистанційні методи не спрацьовували, SRG направляла польових агентів безпосередньо до офісів. За даними FBI FLASH-алерту від 26 травня 2026 р., самозванці «прибували до офісів жертв, під’єднувалися до комп’ютерів співробітників і використовували USB-накопичувачі або засоби віддаленого доступу для викрадення даних – контрактів, персональних відомостей включно з номерами соціального страхування, фінансових і податкових записів». Детальний технічний розбір вішинг-кампанії також увійшов до нашого Розділу OSINT-розслідувань.
Платіжна відомість: $207 млн, White & Case і підтверджені витоки чотирьох фірм
Злиті чати містять внутрішню таблицю угод SRG, де найбільшим рядком значиться White & Case – близько $30 млн за одну транзакцію; перерахунок в BTC при вищому курсі дає $31,25 млн. Медіанний платіж по вибірці з 27 фірм – $6 млн, середнє арифметичне – $7,66 млн. Кілька великих виплат підняли загальну суму. Chainalysis отримала на аналіз частину злитих адрес і встановила, що «певні адреси SRG є downstream від мільйонів доларів виплат ransomware»; один гаманець з нової бази поповнений єдиним платежем понад $10 млн у середині 2026 р., і ці кошти, за оцінкою Chainalysis, використовувалися на «заробітні плати членам угруповання і IT-інфраструктуру».
Crystal Intelligence відстежила upstream-гаманець із загальним обігом 2 675 BTC за весь час існування облікового запису. Компанія підтвердила відповідний масштаб операцій, але відмовилася верифікувати суми за окремими жертвами.
«Ончейн-докази підтримують масштаб, але не точні цифри.»
Crystal Intelligence, звіт від 8 жовтня 2026 року
З фірм, які публічно підтвердили атаки: Jones Day повідомила 7 квітня 2026 р. Про несанкціонований доступ до «обмеженої кількості застарілих файлів 10 клієнтів». У вересні 2026 р. Про витік обмеженої кількості файлів заявили також Holland & Knight, Greenberg Traurig і Katten; всі три наголосили, що ширші корпоративні мережі лишилися недоторканими.
Відмивання: московський брокер Женя, SAFU Exchange і Zelle
Crystal Intelligence ідентифікувала щонайменше чотири паралельні канали виведення коштів. Для менших сум SRG застосовувала instant-обмінники і сервіси конвертації BTC у рублі з виплатою на картки російських банків. Для значних транзакцій залучався особистий готівковий брокер у Москві – у чатах він фігурує як Женя. Кілька записів свідчать, що учасники групи підозрювали його в маніпуляції обмінним курсом на власну користь.
Окремим каналом виступав SAFU Exchange – рекламований у Telegram сервіс конвертації Bitcoin у Zelle-перекази. Crystal Intelligence ідентифікувала цю структуру як «ліцензовану, але пов’язану з санкційними справами джорджіанську біржу». Великі придбання – нерухомість, спортивні автомобілі – учасники проводили через іпотеку чи прямий продаж; коли банки запитували про походження коштів, вони посилалися на спадщину або оформляли фіктивний кредитний договір.
«Дрібніші платежі надходили прямо на регульовані біржі, де облікові записи прив’язані до верифікованих особистостей. Це – найслабша ланка мережі.»
Crystal Intelligence, аналіз від 8 жовтня 2026 року
Рекрутинг через російськомовні борди: нічний промоутер за $300 за ніч
Польових агентів для фізичних вторгнень набирали через російськомовні дошки оголошень. Кандидатам обіцяли 300 доларів і більше за ніч у ролі промоутера нічного клубу; після первинного відбору їх скеровували на фактичну роботу – відвідання офісів юридичних фірм і копіювання файлів на флеш-носії. Check Point у незалежному аналізі злитих матеріалів встановила, що угруповання планувало охопити 100 найбільших юридичних фірм США.
«Оголошення з обіцянкою “нічних клубів” дозволяли уникнути прямої розмови про незаконну діяльність аж до моменту, коли кандидат вже пройшов початковий відбір.»
KELA Cyber, аналіз зливу, жовтень 2026 р.
ФБР у своєму FLASH-алерті не повідомило, скільки зафіксованих атак супроводжувалося фізичними вторгненнями – ймовірно, через труднощі документування: адже самозванець у діловому одязі виглядає переконливіше за фішинговий лист.
Злиті чати показали модель, де головна вразливість угруповання – не технічна, а фінансова: верифіковані акаунти на регульованих біржах, через які проходили відносно невеликі виплати польовим агентам, залишили персональні дані, доступні за стандартним судовим запитом.
ФБР не повідомило про арешти у справі станом на 18 жовтня 2026 року. KELA Cyber встановила, що архів з 5 692 повідомлень, ймовірно, містить ідентифікаційні відомості старших учасників SRG і польових агентів – але ці дані залишаються неверифікованими незалежними джерелами.
Джерела: Security Affairs, “Silent Ransom Group Allegedly Extorted $207 Million Without Encrypting Files” · The Register, “Money trail backs leaked chats from extortion crew that walks into US law firms” · TechCrunch, “Google and FBI warn of ransomware group that sends fake IT workers to hack victims in person”
