Immagina questa scena: in segreteria squilla il telefono, è “il tecnico informatico” che segnala un problema alla posta e chiede di avviare un collegamento remoto. Oppure, peggio, si presenta in studio una persona con un badge e una chiavetta USB, dicendo che deve “fare un backup urgente”. Non è un film: è il metodo di un gruppo criminale, Silent Ransom Group, che da anni prende di mira gli studi legali e che in questi giorni è finito sui giornali per una fuga di dati sui suoi incassi. In questo articolo ti spiego cosa è emerso, perché il falso tecnico informatico è una minaccia concreta anche per uno studio italiano e quali regole semplici bastano per non farsi ingannare.
Cosa è successo: la fuga di dati su Silent Ransom Group
Ai primi di ottobre 2026 è comparso online un sito chiamato “The Luna Moth Files” (Luna Moth è un altro nome con cui è noto il gruppo). Secondo quanto riportato da The Register e da Reuters, contiene migliaia di messaggi interni, documenti e decine di indirizzi di portafogli in criptovaluta.
I punti principali, con le dovute cautele:
- la società di analisi blockchain Chainalysis ha confermato che alcuni portafogli presenti nel materiale corrispondono a quelli che già monitorava, collegati a milioni di dollari di riscatti, tra cui un singolo pagamento di oltre 10 milioni di dollari incassato a metà 2026;
- nelle chat il gruppo sostiene di aver incassato circa 207 milioni di dollari da 27 studi tra aprile e settembre 2026: una cifra che però nessuno è riuscito a verificare in modo indipendente;
- il gruppo, attivo almeno dal 2022, si concentra soprattutto sugli studi legali, ma colpisce anche assicurazioni, società finanziarie e sanità.
La notizia in sé riguarda soprattutto gli Stati Uniti. A me interessa per un altro motivo: il modo in cui questi criminali entrano negli studi è replicabile ovunque, Italia compresa, e non richiede alcuna tecnologia sofisticata.
Come lavora il falso tecnico informatico
L’FBI ha descritto il metodo in un avviso pubblicato a maggio 2026, ripreso da Help Net Security. Lo schema è in tre fasi.
1. L’email e la telefonata “dall’assistenza”
Arriva un’email che annuncia un problema (un abbonamento in scadenza, un errore sulla casella di posta) e invita a chiamare un numero. Oppure è direttamente il criminale a telefonare, presentandosi come il reparto IT o il fornitore che segue lo studio. Si chiama callback phishing: invece di farti cliccare un link, ti convincono a chiamarli tu, così ti fidi di più.
2. Il collegamento remoto
Durante la telefonata ti chiedono di installare o avviare un programma di assistenza remota, cioè uno strumento legittimo che permette a qualcuno di vedere e controllare il tuo computer a distanza. Da quel momento copiano documenti, archivi e posta. Ne ho parlato in un articolo dedicato ai software di assistenza remota usati dagli hacker.
3. La visita in studio
È la parte più inquietante. Se telefono ed email non funzionano, il gruppo manda una persona di persona in ufficio. Si presenta come tecnico, spiega che serve un backup o una “copia del sistema” per risolvere il problema segnalato e inserisce un dispositivo di memoria nel computer. Secondo l’FBI questi attacchi lasciano poche tracce e un antivirus tradizionale difficilmente se ne accorge, perché usano programmi normali.
Perché non cifrano i file (e perché il backup non basta)
Nonostante il nome, Silent Ransom Group di solito non blocca i computer con un ransomware. Ruba i dati e poi minaccia di pubblicarli o venderli, arrivando a contattare dipendenti e clienti dello studio per aumentare la pressione.
Questo cambia le cose: il backup 3-2-1 resta indispensabile, ma contro un furto di dati non ti salva. Per uno studio legale, commerciale o medico la fuga di fascicoli e documenti dei clienti è anche una violazione di dati personali: se c’è un rischio per le persone coinvolte, il GDPR prevede la notifica al Garante Privacy entro 72 ore da quando se ne viene a conoscenza, oltre al danno di reputazione con i clienti.
Come difendere lo studio dal falso tecnico informatico
La buona notizia è che le contromisure sono soprattutto regole di comportamento, a costo quasi zero. Ecco quelle che consiglio.
Una regola scritta: chi è il tuo tecnico
Tutti in studio devono sapere chi si occupa dell’informatica, con nome e numero di telefono. Se chiama qualcun altro, o anche “lui” da un numero diverso, si riattacca e si richiama il numero conosciuto. Mai il numero indicato nell’email o dato al telefono.
Nessun tecnico entra senza appuntamento
Un tecnico vero non si presenta all’improvviso per un’urgenza che nessuno in studio ha segnalato. Chi accoglie i visitatori deve avere il permesso esplicito di dire: “Aspetti un attimo, verifico”. La verifica si fa chiamando il fornitore al numero abituale, non quello che ti dà la persona davanti a te.
Uno strumento di assistenza remota “ufficiale”
Decidi qual è l’unico programma di assistenza remota usato in studio. Se qualcuno chiede di installarne un altro, è un campanello d’allarme. Ancora meglio se i dipendenti non hanno i diritti di amministratore e quindi non possono installare programmi da soli.
Porte USB sotto controllo
Sui computer che contengono i dati più delicati si può limitare l’uso di chiavette e dischi esterni, oppure consentire solo dispositivi autorizzati. È una configurazione che il tuo tecnico può fare in poco tempo con gli strumenti già inclusi in Windows.
Doppia autenticazione e procedure per il reset delle password
L’FBI raccomanda l’autenticazione a due fattori su tutti gli account e una procedura chiara per i cambi password: nessun reset solo perché qualcuno lo chiede al telefono.
Cinque minuti di formazione
Basta una breve riunione per raccontare questo caso a segreteria e collaboratori. Le persone si difendono meglio quando sanno che questo tipo di truffa esiste e che fermarsi a verificare non è maleducazione.
Se pensi di essere già stato contattato
- Se è in corso un collegamento remoto sospetto, scollega il computer dalla rete (cavo o Wi-Fi), ma non spegnerlo: potrebbe servire per le verifiche.
- Avvisa subito il tuo tecnico di fiducia, chiamandolo al numero che conosci.
- Cambia le password degli account usati su quel computer, partendo dalla posta, da un dispositivo pulito.
- Annota orari, numeri di telefono, nomi e descrizione delle persone: serviranno per la denuncia alla Polizia Postale e per valutare se notificare il Garante.
Se vuoi rivedere insieme le procedure del tuo studio, dagli accessi remoti alla gestione dei fornitori, trovi come posso aiutarti nella pagina dei servizi.
Domande frequenti
Silent Ransom Group colpisce anche in Italia?
Le vittime note sono soprattutto studi statunitensi. Il metodo però non ha confini: telefonate e visite di finti tecnici sono una tecnica usata anche da altri gruppi criminali, quindi conviene prepararsi comunque.
Come riconosco un falso tecnico informatico?
Crea urgenza, chiede di installare un programma o di inserire una chiavetta, e ti dà lui il numero da richiamare. Un tecnico vero accetta senza problemi che tu verifichi la sua identità con il fornitore.
L’antivirus non basta a bloccarlo?
Spesso no: questi attacchi usano programmi legittimi di controllo remoto e copia dei file, che l’antivirus non considera pericolosi. La difesa principale sono le procedure di verifica.