Luna Moth Files: chaturile Silent Ransom Group și 207 milioane

Marți, 6 octombrie 2026, pe un site onion creat special, numit „Luna Moth Files”, a apărut o arhivă de chaturi interne atribuită grupului Silent Ransom Group (SRG, cunoscut și ca Luna Moth). Cifra care a făcut vâlvă este totalul răscumpărărilor din registrul propriu al grupului: 206,95 milioane de dolari plătiți de 27 de organizații în aproximativ șase luni, fără criptarea vreunui fișier. Este contabilitate infracțională, nu o cifră verificată: niciuna dintre organizațiile din listă nu a confirmat sumele.

Ce s-a întâmplat

Arhiva a fost semnalată mai întâi către DataBreaches.net, potrivit Security Affairs de cercetătoarea Tammy Harper. Nu se știe cine a publicat-o. Grupul a acceptat un interviu cu DataBreaches.net, dar a negat orice breșă și a declarat fișierele false. Pe 9 și 11 octombrie, DataBreaches.net a publicat două analize: potrivit publicației, datele indică faptul că arhiva este autentică, iar scurgerea nu provine dintr-un atac informatic împotriva grupului, ci din alte împrejurări.

Ce conține arhiva și ce este verificat

Potrivit Insicurezza Digitale și Security Affairs, arhiva cuprinde 5.692 de mesaje de pe două servere, din 27 august 2025 până în 29 septembrie 2026: negocieri cu victimele, metode de acces, atacuri noi, împărțirea și conversia câștigurilor.

În registrul intern, starea „GOLD” indică o plată primită. Cele 27 de înregistrări marcate astfel se încadrează între 3 aprilie și 24 septembrie 2026, cu o mediană de 6 milioane de dolari, o medie de circa 7,66 milioane și sume între 100.000 de dolari și 30 de milioane. Sursele diferă în privința perimetrului: pentru Security Affairs toate cele 27 de victime sunt case de avocatură, în timp ce Insicurezza Digitale vorbește despre 27 de organizații și indică firmele de avocatură drept țintă preferată.

Confirmările disponibile sunt parțiale:

• Analiza on-chain. Crystal Intelligence a găsit tranzacții compatibile cu unele chaturi. Portofelele analizate direct au primit circa 37 BTC (aproximativ 3 milioane de dolari), mai ales cotele operatorilor; un portofel de colectare ar fi primit 344 BTC în șase săptămâni, între aprilie și mai 2026. Potrivit Crystal, datele confirmă ordinul de mărime, nu răscumpărările individuale și nici totalul.
• Notificări de breșe. Pentru 9 dintre cele 27 de organizații există notificări publice ale unor incidente cu date compatibile: ele confirmă existența incidentelor, nu plățile.
• Neconcordanțe. DataBreaches.net, citată de Security Affairs, a găsit înregistrări pe site-ul de scurgeri al grupului care nu se potrivesc cu chaturile: într-un caz o ofertă fără nicio urmă a plății „GOLD”, în altul niciun răspuns al victimei în conversații.

Detalii tehnice: extorcare fără malware

SRG, apărut după destrămarea Conti potrivit Insicurezza Digitale, practică extorcarea pură bazată pe date: intră, sustrage informații și amenință că le publică, fără ransomware care criptează. Vectorul este ingineria socială:

• callback phishing: facturi false care împing victima să sune la un număr controlat de grup;
• apeluri de fals suport IT pentru a convinge angajații să acorde acces de la distanță;
• vizite la birouri sub identități false, potrivit analizei Crystal preluate de Insicurezza Digitale;
• într-un incident notificat public, citat de Security Affairs, atacatorul s-a dat drept departamentul IT intern și a convins un avocat să încarce fișiere pe un Google Drive extern; în altul, un angajat a fost păcălit să își predea credențialele.

În interpretarea noastră, tehnicile descrise corespund acestor intrări MITRE ATT&CK: Spearphishing Voice (T1566.004), Impersonation (T1656), Remote Access Software (T1219), Valid Accounts (T1078), Exfiltration to Cloud Storage (T1567.002) și Financial Theft (T1657). Nu există CVE și nici malware de detectat prin semnături.

Chaturile descriu reguli împotriva urmăririi câștigurilor (o adresă nouă pentru fiecare plată, fondurile victimelor ținute separat), nu întotdeauna respectate: pe 22 aprilie 2026 un recrutor a cheltuit împreună două plăți distincte, legându-le on-chain. Conversia trecea prin exchangeri cu plăți pe carduri bancare rusești, un curier de numerar la Moscova, un serviciu Bitcoin-Zelle și, potrivit Security Affairs, un mixer atunci când fondurile erau semnalate. Multe plăți mai mici ajungeau pe exchange-uri reglementate, cu conturi legate de identități verificate: potrivit Crystal, punctul cel mai slab al rețelei.

Indicatorii din arhivă, pe care Insicurezza Digitale îi adună pe forumul său, trebuie folosiți ca context: prezența în scurgere nu dovedește folosirea în atacuri.

Impactul pentru companiile europene și italiene

Casele de avocatură, contabilii și consultanții păstrează date confidențiale ale clienților, iar amenințarea publicării lor creează o presiune reputațională uriașă: asta face posibile răscumpărări de această mărime fără blocarea vreunui server. Firmele de profesii liberale nu sunt, în general, entități NIS2, dar mulți dintre clienții lor sunt și, în Italia prin Decretul legislativ 138/2024, trebuie să evalueze securitatea furnizorilor. Potrivit GDPR, o sustragere de date personale trebuie evaluată pentru notificarea autorității de supraveghere în 72 de ore, indiferent dacă se plătește sau nu.

Cazul arată și limitele controalelor tehnice clasice: dacă un angajat deschide accesul sau încarcă fișierele, antivirusul și EDR-ul pot să nu vadă nimic anormal.

Ce să faci imediat

1. O regulă simplă pentru toți: IT-ul nu cere niciodată, într-un apel primit, să instalezi programe de acces de la distanță, să predai credențiale sau să încarci fișiere pe cloud-uri externe. Orice cerere se verifică sunând înapoi la un număr aflat deja în agendă.
2. Facturi cu numere de telefon de sunat: departamentul financiar trebuie să știe că reînnoirile și debitările neașteptate sunt o momeală tipică de callback phishing.
3. Permite doar instrumentele de acces de la distanță aprobate și generează o alertă la fiecare nouă instalare sau execuție a unui astfel de software.
4. Blochează sau monitorizează încărcările pe cloud-uri personale și transferurile de ieșire de volum mare, mai ales din folderele clienților.
5. Verifică identitatea celor care se prezintă la birou ca tehnicieni sau furnizori, cu confirmarea unui responsabil intern înainte de a le da acces la stații de lucru sau la rețea.
6. Dacă ești șantajat, verifică înainte de a negocia: reconstituie din loguri ce a ieșit cu adevărat și implică imediat avocații și autoritățile.

Cum ajută ARXDOME

ARX Sentry colectează inventarul de software și procese al fiecărui computer și, în paginile SOC dedicate identităților, arată conectările prin desktop la distanță, conectările de noapte și modificările conturilor: un program de acces de la distanță apărut după un apel telefonic se vede. ARX Shield îți permite să izolezi de rețea o mașină suspectă cu un clic, ARX Trace colectează dovezile pentru a reconstitui ce a fost sustras, iar ARX Expose semnalează domeniile asemănătoare cu al tău și conturile companiei expuse în breșe, utile oricui pregătește o uzurpare de identitate.

Ultima actualizare: 11 octombrie 2026