Ein Leak interner Chats der Silent Ransom Group (SRG) enthält ein Angebotsboard, laut dem 27 Kanzleien zwischen dem 3. April und dem 24. September 2026 rund 207 Millionen US-Dollar gezahlt haben sollen. Die Gruppe soll über Telefonanrufe und Social Engineering gearbeitet haben, ohne Dateiverschlüsselung. Die Zahl stammt aus den eigenen Aufzeichnungen der Gruppe, die Blockchain-Analyse stützt lediglich deren ungefähre Größenordnung. SecurityAffairs berichtet darüber unter Bezug auf eine Meldung von DataBreaches.
Was das Leak enthält
Die Sicherheitsforscherin Tammy Harper hat das Material zunächst als Onion-Seite an DataBreaches weitergegeben. Es umfasst 5.692 Chatnachrichten von zwei Servern der Gruppe und deckt rund 13 Monate ab, von August 2025 bis September 2026.
Die Themen reichen von Lösegeldverhandlungen über Wege, in die Systeme der Opfer zu gelangen, bis hin zur Frage, wie künftige Ziele angegangen werden sollen. Die Chats driften außerdem ins Private ab, etwa zum Kauf einer Wohnung in Moskau durch ein Mitglied sowie zu Waffen und Drohnen.
Das Geld, wie behauptet
Die Zahlen des Angebotsboards bilden die Grundlage für alles Folgende. Crystal Intelligence, die die Kryptowährungsbewegungen untersucht hat, sagt, On-Chain-Belege stützten das Ausmaß der Operation, nicht aber die genauen Beträge.
- Behaupteter Gesamtbetrag: rund 207 Millionen US-Dollar von 27 Firmen.
- Median: 6 Millionen US-Dollar pro Kanzlei, laut der Rechnung von SecurityAffairs auf Basis der Angaben des Boards.
- Mittelwert: rund 7,66 Millionen US-Dollar, nach oben gedrückt durch einige sehr hohe Zahlungen.
- Größter Eintrag: 30 Millionen US-Dollar, im Leak White & Case zugeordnet.
In den Chats schreibt ein Gruppenchef auf Russisch über eine „Rekordzahlung“. Wegen des gestiegenen Bitcoin-Kurses sei sie auf „31,25 Millionen“ gekommen. Der Eintrag über 30 Millionen US-Dollar und die Angabe von 31,25 Millionen erscheinen in der Berichterstattung nebeneinander.
Wege zum Geldabfluss
Crystal Intelligence hat, wie von SecurityAffairs wiedergegeben, mehrere Wege nachverfolgt, über die die Erlöse umgewandelt wurden:
- Sofortwechsler;
- einen Bargeldkurier in Moskau;
- eine Bitcoin-zu-Zelle-Umtauschstelle;
- eine Wallet mit Coin-Mixing, die genutzt wurde, wenn Gelder als verdächtig markiert waren.
Die Betreiber legten strenge Wallet-Regeln fest, die die Nachverfolgung erschweren sollten. Die Chats zeigen jedoch, dass diese Regeln nicht immer eingehalten wurden. Crystal Intelligence sagt außerdem, dass viele kleinere Zahlungen direkt an regulierte Börsen auf Konten mit verifizierten Identitäten gingen. Das bezeichnet sie als die schwächste Stelle des Netzwerks.
Opfer und Angriffsmuster
SecurityAffairs beschreibt das Vorgehen der SRG als Telefonanrufe und Täuschung von Mitarbeitenden, die dazu gebracht werden, Dokumente hochzuladen oder Zugriffe freizugeben. Kanzleien halten, so der Artikel, sensible Mandantendaten, mit denen Kriminelle hohe Zahlungen erzwingen könnten. Der Artikel sagt nicht, dass solche Daten in jedem der 27 Fälle als Druckmittel eingesetzt wurden.
DataBreaches hat neun der 27 namentlich genannten Opfer mit öffentlichen Meldungen zu Datenpannen aus dem Jahr 2026 verglichen und stellte fest, dass der Zeitpunkt passt. Zwei Beispiele:
- Blank Rome meldete einen Vorfall im Mai, bei dem ein Angreifer, der sich als interne IT ausgab, einen Anwalt dazu brachte, Dateien auf ein externes Google Drive hochzuladen. SecurityAffairs nennt das einen klassischen Schritt der SRG, für den keine Malware nötig ist.
- Goodwin Procter erklärte, ein einzelner Mitarbeiter sei getäuscht worden und habe Zugangsdaten an eine unbefugte Partei weitergegeben.
Einträge, die nicht zusammenpassen
Bei zwei Kanzleien gibt es Lücken zwischen den Notizen der SRG und den Chats. Von keiner der beiden Kanzleien liegt eine Stellungnahme vor.
- Hogan Lovells Cadwalader: Ein Chat-Eintrag zeigt am 2. September ein Angebot über 4 Millionen US-Dollar, das zu Screenshots passt, die die Gruppe separat geliefert hat. DataBreaches fand keinen Beleg dafür, dass die Kanzlei den vollen Betrag der Kategorie „GOLD“ gezahlt hat, den SRG auf ihrer Leak-Seite angibt.
- Sheppard: Die Notizen der SRG auf der Leak-Seite weisen ein Angebot von etwa 6 Millionen US-Dollar aus. Die Chatprotokolle geben jedoch keinen Hinweis darauf, dass die Kanzlei der Gruppe je geantwortet hätte.
Die Reaktion der Gruppe
SRG willigte zunächst in ein Interview ein und bestritt dann, dass ihre Systeme kompromittiert wurden. Am 9. Oktober veröffentlichte DataBreaches eine Nachfassmeldung mit weiteren Belegen, die dieses Dementi infrage stellen. Der Streit ist ungeklärt.
Was das für Kanzleien bedeutet
SecurityAffairs argumentiert, dass Schulungen zum Sicherheitsbewusstsein womöglich nicht mit diesen Taktiken Schritt halten. Als redaktionelle Einordnung, abgeleitet aus der beschriebenen Abhängigkeit von telefonischer Täuschung statt Malware, liegt das Risiko bei Mitarbeitenden, die sich zum Hochladen von Dateien oder zur Herausgabe von Zugangsdaten überreden lassen. Unerwartete Anfragen, die angeblich von der IT stammen, über einen separaten Kanal zu überprüfen, ist eine vernünftige Vorsichtsmaßnahme.
