Хакеры наняли человека, чтобы он лично пришёл в американскую юридическую фирму, — CrowdStrike
- За первые восемь месяцев 2026 года активность CHATTY SPIDER выросла на 129% относительно всего 2024 года; почти 90% жертв — юридические фирмы.
- В ноябре 2025 года группировка наняла гражданина России: он проник в офис фирмы, установил инструменты удалённого доступа и попытался перенести данные в облако.
- За период отчёта вымогательские группировки назвали на сайтах утечек 455 юридических организаций — на 39% больше, чем годом ранее.
Почему это важно: Юридические фирмы привлекают преступников ценностью конфиденциальной информации клиентов; ради неё злоумышленники готовы действовать не только через сеть.
CrowdStrike называет CHATTY SPIDER главной угрозой для американских юридических фирм. За первые восемь месяцев 2026 года активность этой киберпреступной группировки выросла на 129% по сравнению со всем 2024 годом. Почти 90% её жертв составили юридические фирмы, говорится в новом отчёте CrowdStrike о юридическом секторе, опубликованном в среду.
Отчёт охватывает период с сентября 2025 по август 2026 года. По его данным, в ноябре 2025 года группировка наняла гражданина России, чтобы тот проник в одну из американских юридических фирм. Он выдал себя за сотрудника внутренней IT-службы и получил доступ к рабочей станции в офисе. Оттуда он помог группировке установить инструменты удалённого доступа и попытался перенести данные в облачное хранилище. Правоохранительные органы задержали его, когда на следующий день он вернулся во второй раз.
ФБР предупреждало о той же тактике в мае. В его бюллетене о Silent Ransom Group Chatty Spider указана как ещё одно название этой банды. Там говорится, что группировка атакует американские юридические фирмы с весны 2023 года. Если удалённый доступ получить не удаётся, пишет ФБР, группировка отправляет человека на место, чтобы он подключил к компьютеру накопитель. CrowdStrike также ссылается на материал CNN, согласно которому в 2026 году группировка использовала находящихся в США людей для нескольких физических проникновений.
«Юридические фирмы стали для киберпреступников новым банкоматом. Злоумышленники используют ценность конфиденциальной информации клиентов и готовы ради неё выйти за пределы клавиатуры», — заявил Адам Мейерс, руководитель направления по противодействию злоумышленникам в CrowdStrike, в заявлении.
Данные CrowdStrike получены из собственной телеметрии и от аналитических команд компании. Бюллетень ФБР подтверждает физические визиты, однако остальные случаи из отчёта TNW независимо не проверяло.
Как проходят атаки
На протяжении всего периода звонившие от имени группировки выдавали себя за IT-специалистов. Они уговаривали юристов или их помощников открыть сеансы удалённой поддержки в таких инструментах, как Quick Assist, AnyDesk, а в последнее время — Zoom и Cisco Webex. В одном из случаев в 2025 году группировка попыталась забрать данные уже через четыре минуты после проникновения. Если переговоры срываются, она угрожает опубликовать украденные данные на своём сайте.
Юридические фирмы атакуют и другие банды. За этот период группировки вымогателей и шифровальщиков назвали на своих сайтах утечек 455 юридических организаций. Это на 39% больше, чем годом ранее, когда их было 327. Две новые группировки, SNARKY SPIDER и CORDIAL SPIDER, с интервалом в месяц атаковали одну и ту же юридическую фирму. Обе используют звонки и поддельные страницы единого входа. В целом, по данным CrowdStrike, на долю преступников, движимых наживой, пришлось 82% зафиксированной вредоносной активности против сектора.
Связанные с Китаем группировки и биллинговое ПО
На государственных хакеров пришлось около 18%, причём большая часть этой активности исходила от группировок, связанных с Китаем. В апреле 2026 года группировка, которую CrowdStrike называет TITAN PANDA, воспользовалась жёстко прописанным ключом в Intapp Time Server. Почти все пользователи этого продукта — юридические фирмы, применяющие его для учёта рабочего времени и выставления счетов. По словам CrowdStrike, это первая замеченная ею атака на ПО, предназначенное именно для юридического сектора. Ранее в этом месяце CrowdStrike также связала взломы южнокорейских банков с подозреваемым в Китае.
Другая группировка, WARP PANDA, эксплуатировала уязвимость VMware ESXi CVE-2026–41709 ещё до выхода исправления. Третья, MURKY PANDA, совершила почти 500 неудачных попыток входа в примерно столько же учётных записей одной американской юридической фирмы. Попытки шли примерно с 300 IP-адресов в течение 30 дней. Согласно отчёту, объём связанной с Китаем активности против сектора с годами остаётся довольно стабильным. Число вовлечённых группировок с 2023 года почти удвоилось.
Рекомендации
В отчёте юридическим фирмам советуют усилить многофакторную аутентификацию (MFA) и строго контролировать инструменты удалённого доступа. Также рекомендуется проверить стандартные и жёстко прописанные настройки и отслеживать появление новых MFA-устройств в учётных записях. CrowdStrike продаёт подобные услуги по анализу и поиску угроз. В сентябре компания помогла ФБР ликвидировать ботнет Sality, а также сотрудничает с Anthropic, чтобы защищать энергетику и водоснабжение. ФБР советует компаниям проверять посетителей и сохранять копии их удостоверений личности.
