Une fuite de conversations internes du Silent Ransom Group (SRG) comprend un tableau des négociations selon lequel vingt-sept cabinets d'avocats auraient versé environ 207 millions de dollars entre le 3 avril et le 24 septembre 2026. Le groupe aurait opéré par appels téléphoniques et ingénierie sociale, sans chiffrement de fichiers. Le chiffre provient des propres registres du groupe, et l'analyse de la blockchain ne confirme que son ordre de grandeur général. Le récit est relayé par SecurityAffairs, à partir d'un reportage de DataBreaches.
Ce que contient la fuite
Le chercheur Tammy Harper a d'abord transmis les données à DataBreaches sous la forme d'un site onion. Il contient 5 692 messages de discussion extraits de deux serveurs du groupe, couvrant environ treize mois, d'août 2025 à septembre 2026.
Les thèmes abordés incluent les négociations de rançon, les moyens d'accéder aux systèmes des victimes et la manière d'approcher de futures cibles. Les conversations dérivent aussi vers des sujets personnels, notamment l'achat d'un appartement à Moscou par un membre, les armes à feu et les drones.
L'argent, selon les revendications
Les chiffres du tableau des négociations servent de base à tout ce qui suit. Crystal Intelligence, qui a examiné les mouvements de cryptomonnaies, indique que les preuves on-chain confirment l'ampleur de l'opération, mais pas les montants exacts.
- Total revendiqué : environ 207 millions de dollars pour vingt-sept cabinets.
- Médiane : 6 millions de dollars par cabinet, selon le calcul de SecurityAffairs sur les montants du tableau.
- Moyenne : environ 7,66 millions de dollars, tirée vers le haut par quelques paiements très élevés.
- Plus gros montant : 30 millions de dollars, attribués dans la fuite à White & Case.
Dans les conversations, un responsable du groupe écrit en russe à propos d'un paiement « record ». Le message indique qu'en raison de la hausse du cours du Bitcoin, il « a fini par atteindre 31,25 millions ». L'entrée de 30 millions de dollars et le chiffre de 31,25 millions apparaissent côte à côte dans les articles.
Circuits de conversion des fonds
Crystal Intelligence, relayé par SecurityAffairs, a retracé plusieurs chemins permettant de convertir les sommes perçues :
- des échangeurs instantanés ;
- un coursier porteur d'espèces à Moscou ;
- un bureau de conversion du Bitcoin vers Zelle ;
- un portefeuille de mélange de cryptomonnaies, utilisé lorsque les fonds étaient signalés comme suspects.
Les opérateurs ont fixé des règles strictes pour les portefeuilles, destinées à entraver le traçage, mais les conversations montrent qu'elles n'ont pas toujours été respectées. Crystal Intelligence indique par ailleurs que de nombreux paiements plus modestes ont été versés directement sur des plateformes régulées, vers des comptes liés à des identités vérifiées. Ce point est jugé le maillon le plus faible du réseau.
Victimes et schéma d'attaque
SecurityAffairs décrit la méthode de SRG comme reposant sur des appels téléphoniques et la tromperie d'employés, persuadés de téléverser des documents ou de partager un accès. Les cabinets d'avocats, souligne-t-il, détiennent des données sensibles sur leurs clients, que des criminels pourraient exploiter pour exiger de gros paiements. L'article ne précise pas que ces données aient servi de levier dans chacun des vingt-sept cas.
DataBreaches a comparé neuf des vingt-sept victimes nommées aux déclarations publiques d'incidents déposées en 2026, et constate que les dates concordent. Deux exemples :
- Blank Rome a signalé un incident survenu en mai, au cours duquel un attaquant se faisant passer pour le service informatique interne a convaincu un avocat de téléverser des fichiers sur un Google Drive externe. SecurityAffairs y voit un procédé classique de SRG, qui ne nécessite aucun logiciel malveillant.
- Goodwin Procter a indiqué qu'un seul employé avait été trompé et avait communiqué ses identifiants à une partie non autorisée.
Des entrées qui ne concordent pas
Deux cabinets présentent des écarts entre les notes de SRG et les conversations. L'article ne rapporte aucune réponse de l'un ni de l'autre.
- Hogan Lovells Cadwalader : une entrée de conversation fait état d'une offre de 4 millions de dollars le 2 septembre, correspondant à des captures d'écran fournies séparément par le groupe. DataBreaches n'a trouvé aucune trace que le cabinet ait versé le montant complet « GOLD » revendiqué par SRG sur son site de fuites.
- Sheppard : les notes du site de fuites de SRG indiquent une offre proche de 6 millions de dollars, mais les journaux de conversation ne montrent pas que le cabinet ait jamais répondu au groupe.
La réponse du groupe
SRG a d'abord accepté de répondre à un entretien, puis a nié que ses systèmes aient été compromis. Le 9 octobre, DataBreaches a publié un complément s'appuyant sur de nouveaux éléments qui contestent ce démenti. Le différend reste non résolu.
Ce que cela implique pour les cabinets
SecurityAffairs estime que les formations de sensibilisation à la sécurité pourraient ne pas suivre le rythme de ces méthodes. Selon l'analyse éditoriale, fondée sur la dépendance décrite à la tromperie par téléphone plutôt qu'aux logiciels malveillants, l'exposition tient aux employés qu'on peut convaincre de téléverser des fichiers ou de communiquer leurs identifiants. Vérifier par un canal distinct les demandes inattendues se présentant comme venant du service informatique constitue une précaution raisonnable.
