Silent Ransom Group extorquiu US$ 207 milhões de escritórios de advocacia sem usar um único malware
O grupo Silent Ransom Group extraiu aproximadamente US$ 207 milhões de 27 escritórios de advocacia dos EUA entre abril e setembro de 2026, usando apenas ligações telefônicas e engenharia social — sem ransomware, sem criptografia, sem payload técnico. Os atacantes se passam por suporte interno de TI para convencer advogados a enviar documentos confidenciais de clientes para contas de armazenamento externas, que depois servem de base para a extorsão. O pagamento mediano por caso foi de US$ 6 milhões, com um pico de US$ 30 milhões pago pelo escritório White & Case.
O que chama atenção neste caso é a ausência total de malware: o Silent Ransom Group opera num modelo de extorsão puramente baseado em vishing e pretexting, dispensando qualquer ferramenta que normalmente acionaria antivírus, EDR ou análise de tráfego de rede. O vetor de ataque é o telefone — um funcionário recebe uma ligação de alguém se identificando como suporte técnico interno, pedindo para 'validar' um backup ou resolver um problema de acesso, e o convence a copiar arquivos sensíveis para um Google Drive ou serviço de armazenamento controlado pelo atacante.
A escolha de escritórios de advocacia como alvo não é acidental: esses ambientes concentram informações extremamente sensíveis de terceiros — contratos, processos, dados financeiros e pessoais de clientes corporativos — o que eleva o valor de resgate que a vítima está dispostas a pagar para evitar a exposição. Diferente do ransomware clássico, aqui não há arquivo criptografado para recuperar; a ameaça é puramente reputacional e legal, o que torna a decisão de pagar ainda mais pressionada pelo medo de litígio e dano à marca do escritório.
Tecnicamente, o ataque é simples de descrever e difícil de bloquear com ferramentas tradicionais, porque nenhuma etapa passa por execução de código malicioso. A defesa depende quase inteiramente de processo humano: protocolos de verificação de identidade antes de qualquer transferência de arquivo para fora da rede corporativa, callback para números institucionais conhecidos (nunca o número fornecido por quem liga), e treinamento recorrente de funcionários para reconhecer pretextos de 'suporte de TI' como um vetor de risco tão relevante quanto um e-mail de phishing.
O caso também expõe um ponto estrutural: o treinamento de segurança da informação em muitas organizações ainda é desenhado em torno de ameaças técnicas (anexos maliciosos, links, downloads), deixando um ponto cego em interações puramente verbais. Empresas que lidam com dados sensíveis de terceiros deveriam tratar qualquer solicitação não solicitada por telefone, que envolva movimentação de arquivos ou credenciais, como um gatilho automático de verificação fora de banda antes de qualquer ação ser tomada.