Consultant en cybersécurité senior — WebGuard Agency
FBI alerte : le Silent Ransom Group infiltre les cabinets d'avocats
TL;DR
- • Le 26 mai 2026, le FBI a publié une alerte FLASH : le Silent Ransom Group (Luna Moth / Chatty Spider / UNC3753) envoie désormais des opérateurs physiques dans les cabinets d'avocats, déguisés en techniciens de support IT.
- • Les agents insèrent des clés USB malveillantes en prétextant « imager le poste » ou « créer une sauvegarde » — les données sont exfiltrées vers un serveur C2 en temps réel.
- • 38 cabinets ont déjà vu leurs données publiées sur le site de fuite du SRG. Le nombre total d'attaques dépasse 100 cabinets.
- • En France, ZATAZ rapporte des tentatives similaires contre des cabinets européens. La menace est directement transposable aux cabinets français.
- • L'infiltration physique représente un changement de paradigme pour la cybersécurité des PME : vos firewalls et EDR ne protègent pas contre quelqu'un qui entre par la porte d'entrée.
L'alerte FBI en chiffres
— Qui est le Silent Ransom Group : de BazarLoader à l'infiltration physique
Le Silent Ransom Group (SRG) n'est pas un nouveau venu. Formé en 2022 comme spinoff de l'opération BazarLoader/BazarCall, héritière de l'écosystème TrickBot/Conti, le groupe s'est spécialisé dès l'origine dans l'extorsion de données sans chiffrement — ce que l'industrie appelle la data-only extortion. Pas de ransomware au sens classique : pas de fichiers chiffrés, pas de demande de clé de déchiffrement. Le modèle est plus simple et plus brutal : voler les données, menacer de les publier, encaisser la rançon.
Le groupe opère sous plusieurs appellations selon les chercheurs qui le traquent : Luna Moth (Unit 42, Palo Alto Networks), Chatty Spider (CrowdStrike), UNC3753 (Mandiant/Google). Peu importe l'étiquette : le mode opératoire est cohérent depuis 4 ans. Ce qui a changé début 2026, c'est l'escalade du vecteur d'attaque initial.
Jusqu'à fin 2025, le SRG utilisait principalement le callback phishing (vishing) : un email annonçant un abonnement fictif avec un numéro à rappeler, un opérateur au téléphone guidant la victime vers l'installation d'un outil d'accès distant (AnyDesk, Zoho Assist, Atera). Efficace, mais détectable par des campagnes de sensibilisation au phishing bien conçues.
En 2026, le SRG a franchi une ligne que peu de groupes cybercriminels avaient franchie auparavant : l'infiltration physique. Des opérateurs humains se présentent physiquement dans les locaux des cabinets d'avocats, badge factice au cou, sac à dos de technicien, et demandent à accéder aux postes de travail.
— Notre avis d'expert n°1 — l'infiltration physique change tout le modèle de menace
Depuis 15 ans, la cybersécurité se concentre sur le périmètre numérique : firewalls, EDR, SIEM, MFA. Quand un groupe cybercriminel envoie un être humain dans vos locaux avec une clé USB, 90 % de votre arsenal défensif devient inopérant.
Ce n'est pas un scénario théorique de red team. Ce n'est pas un exercice de sensibilisation. C'est un gang criminel qui paie des opérateurs pour entrer physiquement dans des bureaux et brancher un dispositif USB sur vos postes. Et cela ne concerne pas que les cabinets d'avocats. Tout secteur manipulant des données à forte valeur d'extorsion — cabinets comptables, notaires, mutuelles, cliniques privées, startups avec IP sensible — est dans le viseur.
Pour les entreprises françaises, le message est clair : votre politique de sécurité physique doit être revue avec la même rigueur que votre politique de sécurité informatique. Si n'importe qui peut entrer dans vos locaux en disant « je viens pour la maintenance informatique » et accéder à un poste de travail, vous êtes exposé.
— Comment fonctionne l'infiltration physique du SRG, étape par étape
L'alerte FLASH du FBI détaille le mode opératoire avec une précision inhabituelle. Voici la séquence reconstituée à partir du bulletin et des analyses complémentaires de FBI Cyber Division et de l'analyste ZATAZ :
- 1 Reconnaissance par phishing — le SRG collecte en amont les noms des associés, le prestataire IT habituel, l'organigramme et les horaires du cabinet. Source : emails de phishing de masse et OSINT sur LinkedIn, sites du barreau, annuaires professionnels.
- 2 Entrée physique sous couverture — un opérateur se présente à l'accueil, généralement en fin de matinée ou début d'après-midi quand l'assistante est seule. Il se présente comme technicien envoyé par le prestataire IT pour « une mise à jour urgente » ou « une vérification du poste ».
- 3 Insertion du dispositif USB — l'opérateur branche un dispositif USB (type Rubber Ducky, Bash Bunny ou clé modifiée) en déclarant « imager le disque » ou « faire une sauvegarde ». Le dispositif exécute un payload en quelques secondes : installation d'un outil d'accès distant et exfiltration silencieuse vers un serveur C2.
- 4 Exfiltration des données — les données du cabinet (dossiers clients, contrats, correspondances, pièces de procédure) sont exfiltrées dans les heures qui suivent via le canal C2 persistant. Le volume moyen observé par le FBI : 200 à 800 Go par cabinet compromis.
- 5 Extorsion — le SRG contacte le cabinet et menace de publier les données sur son site de fuite. Pas de chiffrement, pas de ransomware classique. La pression porte sur le secret professionnel : un cabinet d'avocats qui voit ses dossiers clients exposés perd ses clients et potentiellement sa licence.
Le FBI souligne que l'activité du SRG a connu une accélération nette début 2026. Le groupe ne se limite plus au callback phishing : il combine systématiquement la reconnaissance numérique avec l'infiltration physique pour maximiser son taux de réussite sur les cibles à haute valeur.
— Notre avis d'expert n°2 — les cabinets d'avocats français sont des cibles prioritaires
L'alerte FBI cible les cabinets américains, mais le raisonnement s'applique à la lettre aux cabinets français. Un cabinet d'avocats français concentre trois facteurs qui en font une cible idéale pour le SRG :
- ▸Secret professionnel absolu — la publication de dossiers clients viole le secret professionnel (article 66-5 de la loi du 31 décembre 1971). Un avocat dont les dossiers fuitent risque des poursuites ordinales et la perte de ses clients. La pression d'extorsion est maximale.
- ▸Données RGPD ultra-sensibles — les dossiers contiennent des données judiciaires, des données de santé (expertises médicales), des données financières. Une fuite déclenche une obligation de notification CNIL sous 72 heures et des sanctions potentielles lourdes.
- ▸Sécurité physique faible — la plupart des cabinets français, surtout les structures de 2 à 20 avocats, n'ont pas de contrôle d'accès strict. L'accueil est souvent tenu par une secrétaire qui n'a reçu aucune formation à la vérification d'identité des intervenants techniques.
ZATAZ a déjà signalé des tentatives de reconnaissance (appels téléphoniques se faisant passer pour des prestataires IT) contre des cabinets à Paris, Lyon et Bruxelles. L'infiltration physique en Europe est une question de mois, pas d'années.
— Le phishing reste le socle : 91 % des attaques commencent par un email
L'infiltration physique ne remplace pas le phishing : elle le complète. Dans 91 % des cyberattaques documentées (source : FBI Internet Crime Complaint Center), le vecteur initial reste l'email. Le SRG ne fait pas exception : la phase de reconnaissance qui précède l'infiltration physique repose sur du phishing de masse pour identifier les cabinets les plus vulnérables.
La séquence typique observée par le FBI est la suivante : le SRG envoie un email de callback phishing (faux abonnement, fausse facture). Si la victime appelle le numéro, l'opérateur téléphonique tente de faire installer un outil d'accès distant. Si cette tentative échoue — parce que la victime se méfie, parce qu'un EDR bloque l'installation, parce que la politique de sécurité interdit l'installation de logiciels — alors le SRG envoie un opérateur physique. L'infiltration physique est le plan B quand le numérique échoue.
Cette combinaison est ce qui rend le SRG particulièrement dangereux en 2026. Pour en savoir plus sur la protection contre les vecteurs de phishing classiques, consultez notre guide Comment se protéger du ransomware.
Votre cabinet est-il protégé contre l'infiltration physique ?
WebGuard Agency réalise un audit de sécurité physique et numérique en 72 heures : test d'intrusion physique (social engineering), revue des ports USB, audit des accès prestataires, simulation de callback phishing. Diagnostic gratuit 30 minutes.
Demander mon audit sécurité cabinet— Notre avis d'expert n°3 — au-delà des avocats, toutes les PME manipulant des données sensibles sont exposées
L'alerte FBI mentionne les cabinets d'avocats parce que c'est la cible actuelle du SRG. Mais le mode opératoire est générique. N'importe quel attaquant motivé peut envoyer un opérateur dans les locaux d'une PME française en se faisant passer pour un technicien.
Les secteurs français qui doivent immédiatement réévaluer leur sécurité d'accès physique :
- ▸Cabinets comptables et d'expertise-comptable — accès aux données fiscales et patrimoniales de centaines de clients.
- ▸Études notariales — actes authentiques, données immobilières, successions.
- ▸Cliniques et cabinets médicaux — données HDS soumises au secret médical.
- ▸Startups deeptech et biotech — propriété intellectuelle à forte valeur.
- ▸Mutuelles et courtiers en assurance — données personnelles massives, obligations DORA/NIS2.
La question n'est pas « est-ce que ça arrivera en France ? ». La question est « est-ce que votre accueil sait quoi faire quand quelqu'un se présente avec un tournevis et un badge ? »
— Ce que votre cabinet doit faire maintenant — 5 actions prioritaires
Voici les 5 mesures à déployer dans les 7 prochains jours. Elles combinent sécurité physique et numérique, parce que le SRG combine les deux vecteurs. L'ordre est par criticité décroissante.
-
1
Désactivez les ports USB sur tous les postes de travail
Sous Windows, déployez une GPO qui désactive les classes de périphériques USB de stockage de masse (USBSTOR). Sur macOS, utilisez un profil MDM (Jamf, Mosyle) pour bloquer les supports de stockage amovibles. Ne whitelistez que les claviers et souris. Cette mesure seule aurait stoppé 100 % des infiltrations physiques documentées par le FBI. Délai de déploiement : moins de 24 heures avec un MDM existant.
-
2
Instaurez un protocole de vérification d'identité strict
Tout intervenant technique doit être annoncé par email au moins 24 heures avant la visite. À son arrivée, l'accueil rappelle le prestataire IT sur un numéro connu (pas le numéro donné par le visiteur) pour confirmer l'intervention. Aucune exception. Si le prestataire ne confirme pas, le visiteur n'entre pas. Formalisez ce protocole par une note de service signée par la direction.
-
3
Formez le personnel d'accueil et les assistantes juridiques
Session de sensibilisation de 30 minutes : ne jamais laisser un inconnu brancher quoi que ce soit sur un poste, même s'il est « envoyé par l'informatique ». Montrer des exemples de dispositifs USB malveillants (Rubber Ducky, Bash Bunny) et expliquer qu'ils ressemblent à des clés USB classiques. Intégrez cette session dans le parcours d'intégration des nouveaux collaborateurs.
-
4
Déployez un EDR avec détection de périphériques USB
Un EDR moderne (CrowdStrike Falcon, SentinelOne, Microsoft Defender for Endpoint) peut détecter en temps réel l'insertion d'un périphérique USB inconnu, le blocage de son exécution et l'alerte SOC. Configurez des règles spécifiques pour les classes de périphériques HID (Human Interface Device) qui ne correspondent pas aux claviers/souris autorisés. Pour les PME, notre guide ransomware PME 2026 détaille les options EDR adaptées aux petits budgets.
-
5
Auditez les accès physiques des 90 derniers jours
Récupérez le registre des visiteurs (s'il existe) et croisez-le avec les interventions techniques planifiées par votre prestataire IT. Toute visite technique qui n'apparaît pas dans le planning du prestataire est suspecte et doit faire l'objet d'une investigation : qui est venu, quand, quels postes ont été touchés, y a-t-il eu insertion USB. Si vous n'avez pas de registre des visiteurs, c'est la première chose à mettre en place.
— Notre avis d'expert n°4 — la convergence sécurité physique/numérique est inévitable
L'alerte FBI du 26 mai 2026 marque un point d'inflexion pour toute l'industrie de la cybersécurité. Pendant des années, nous avons traité la sécurité physique et la sécurité informatique comme deux domaines séparés, avec des budgets séparés, des équipes séparées, des audits séparés.
Le Silent Ransom Group vient de démontrer que cette séparation est une faille exploitable. Un attaquant qui combine phishing, vishing et infiltration physique attaque votre organisation sur trois plans simultanément. Si votre défense ne couvre que le plan numérique, vous êtes aveugle sur les deux tiers du champ de bataille.
Pour les RSSI et les dirigeants de PME françaises, cela signifie concrètement : votre prochain audit de cybersécurité doit inclure un volet d'intrusion physique (test de social engineering en personne). Si votre prestataire cybersécurité ne propose que du pentest applicatif et réseau, il manque la moitié du problème.
— Contexte : le SRG et l'écosystème cybercriminel en 2026
Le Silent Ransom Group s'inscrit dans une tendance de fond de l'écosystème cybercriminel en 2026 : la spécialisation sectorielle. Contrairement aux groupes ransomware traditionnels qui ciblent tout ce qui bouge, le SRG se concentre exclusivement sur les professions réglementées dont les données ont une valeur d'extorsion supérieure à la moyenne.
Cette spécialisation explique l'investissement dans l'infiltration physique : envoyer un opérateur dans un cabinet d'avocats coûte plus cher qu'un email de phishing, mais le retour sur investissement est supérieur parce que le taux de réussite est plus élevé et que la valeur des données volées justifie le coût. Le FBI estime que les rançons demandées par le SRG oscillent entre 500 000 et 5 millions de dollars par cabinet, avec un taux de paiement estimé à 45 % (contre 30 % pour le ransomware classique).
Pour les entreprises françaises qui souhaitent approfondir leur compréhension des menaces ransomware et des stratégies de protection adaptées aux PME, notre article Protection ransomware PME 2026 couvre les fondamentaux. Pour un audit méthodologique complet de votre posture de sécurité, consultez notre guide Comment se protéger du ransomware.
— Ressources et références
- ▸FBI Cyber Division — Alerte FLASH du 26 mai 2026 sur le Silent Ransom Group
- ▸FBI Internet Crime Complaint Center (IC3) — Statistiques sur les cyberattaques ciblant les professions juridiques
- ▸ZATAZ — Rapports sur les menaces similaires ciblant les cabinets européens
- ▸Unit 42 (Palo Alto Networks) — Analyse technique Luna Moth / SRG
- ▸CrowdStrike Intelligence — Profil de menace Chatty Spider
— Questions fréquentes
Le Silent Ransom Group (Luna Moth / Chatty Spider / UNC3753) est un groupe cybercriminel formé en 2022 comme spinoff de BazarLoader. Le FBI a publié une alerte FLASH le 26 mai 2026 parce que le groupe envoie désormais des opérateurs physiques dans les cabinets d'avocats, déguisés en techniciens IT, pour insérer des clés USB malveillantes. Plus de 100 attaques recensées, 38 cabinets dont les données ont été publiées sur leur site de fuite.
Oui. ZATAZ rapporte des tentatives de reconnaissance (appels téléphoniques de repérage) contre des cabinets à Paris, Lyon et Bruxelles. Les cabinets français concentrent trois facteurs de vulnérabilité : le secret professionnel absolu (pression d'extorsion maximale), les données RGPD ultra-sensibles (obligation de notification CNIL) et une sécurité physique souvent insuffisante. Le mode opératoire est directement transposable.
Cinq mesures prioritaires : (1) Désactiver les ports USB de stockage via GPO ou MDM, (2) Instaurer un protocole de vérification d'identité pour tout intervenant technique avec rappel systématique du prestataire, (3) Former le personnel d'accueil à ne jamais laisser un inconnu accéder à un poste, (4) Déployer un EDR avec détection USB, (5) Auditer les accès physiques des 90 derniers jours en croisant avec les interventions planifiées.
Oui. 91 % des cyberattaques débutent par un email de phishing. L'infiltration physique du SRG est un plan B déployé quand le phishing échoue ou pour les cibles à très haute valeur. Le groupe combine les deux approches : phishing de reconnaissance pour préparer l'infiltration physique. La protection doit couvrir les deux vecteurs simultanément.
Le Silent Ransom Group s'est formé en 2022 comme un spinoff de l'opération BazarLoader/BazarCall, liée à l'écosystème TrickBot/Conti. Après le démantèlement partiel de Conti, plusieurs opérateurs se sont regroupés sous la bannière SRG en se spécialisant dans l'extorsion de données sans chiffrement (data-only extortion), ciblant spécifiquement les professions réglementées comme les cabinets d'avocats.
Oui. Le mode opératoire d'infiltration physique est générique et transposable à tout secteur. Les cabinets comptables, études notariales, cliniques, startups deeptech, mutuelles et courtiers en assurance sont des cibles naturelles. Toute organisation dont les locaux sont accessibles sans contrôle strict et dont les données ont une valeur d'extorsion est exposée. Le SRG cible les avocats aujourd'hui ; d'autres groupes adopteront ce mode opératoire demain.
Ne laissez pas un faux technicien compromettre votre entreprise
WebGuard Agency propose un audit combiné sécurité physique et numérique : test d'intrusion physique (social engineering en personne), audit des ports USB, revue des protocoles d'accès prestataires, simulation de callback phishing, et plan de remédiation en 72 heures. Première consultation 30 minutes offerte.