Un grupo de jóvenes ciberdelincuentes representa la "amenaza más inminente" de ciberataques en este momento

Los estantes vacíos de los supermercados y los aviones en tierra suelen ser señal de una crisis, ya sea un fenómeno meteorológico extremo , una crisis de salud pública o una emergencia geopolítica . Sin embargo, estas escenas de caos de las últimas semanas en el Reino Unido, Estados Unidos y Canadá fueron causadas por ciberataques con fines económicos, aparentemente perpetrados por un grupo de adolescentes que se divertían conduciendo.

Un conocido grupo cibercriminal, a menudo llamado Scattered Spider, es conocido por usar técnicas de ingeniería social para infiltrarse en empresas objetivo, engañando a los empleados de soporte técnico de TI para que les concedan acceso a sus sistemas. Los investigadores afirman que el grupo parece adquirir conocimientos sobre los sistemas administrativos que suelen utilizar las empresas de un sector en particular y luego utiliza este conocimiento para atacar a un grupo de objetivos antes de pasar a otro. El grupo suele implementar ransomware o realizar ataques de extorsión de datos una vez que ha comprometido a sus víctimas.

Ante la creciente presión de las fuerzas del orden el año pasado, que culminó con la imputación y el arresto de cinco sospechosos presuntamente vinculados con Scattered Spider, los investigadores afirman que el grupo se mostró menos activo en 2024 y parecía estar intentando mantener un perfil bajo. Sin embargo, la escalada de ataques del grupo en las últimas semanas ha demostrado que, lejos de estar derrotado, Scattered Spider se ha envalentonado de nuevo.

“En Scattered Spider hay actores con una habilidad excepcional en ingeniería social, y han identificado una importante vulnerabilidad en nuestros sistemas de seguridad, la cual están aprovechando con éxito”, afirma John Hultquist, analista jefe del grupo de inteligencia de amenazas de Google. “Este grupo está llevando a cabo graves ataques contra nuestra infraestructura crítica, y espero que no estemos desaprovechando la oportunidad de abordar la amenaza más inminente”.

Aunque no se han atribuido públicamente varios incidentes, una abrumadora oleada de ataques recientes contra cadenas de supermercados del Reino Unido, aseguradoras norteamericanas y aerolíneas internacionales se ha vinculado ampliamente a Scattered Spider. En mayo, la Agencia Nacional contra el Crimen del Reino Unido confirmó que estaba investigando a Scattered Spider en relación con los ataques a minoristas británicos. Y el FBI advirtió en una alerta el viernes que ha observado "al grupo cibercriminal Scattered Spider expandiendo sus objetivos para incluir al sector de las aerolíneas". La advertencia se produjo cuando las aerolíneas norteamericanas Westjet y Hawaii Airlines dijeron que habían sido víctimas de ataques cibercriminales. El miércoles, la aerolínea australiana Qantas también dijo que había sido golpeada con un ciberataque, aunque no estaba claro de inmediato si este ataque era parte de la campaña del grupo.

“Se desaceleraron y los vimos disiparse por un tiempo a lo largo de 2024”, afirma Adam Meyers, vicepresidente sénior de operaciones anti-adversarios de la empresa de seguridad CrowdStrike. “Luego han vuelto con fuerza en los últimos meses, primero atacando al comercio minorista, luego a las aseguradoras y, más recientemente, a las aerolíneas”.

Scattered Spider surgió como un grupo de alto perfil a finales de 2023, cuando sus miembros pasaron de los ataques de intercambio de tarjetas SIM a lanzar devastadores ataques de ransomware contra Caesar's Entertainment y MGM Resorts . La recuperación de este último le costó a MGM alrededor de 100 millones de dólares . Los investigadores enfatizan que el colectivo tiene motivaciones económicas y está compuesto principalmente por adolescentes y jóvenes angloparlantes que suelen residir en Estados Unidos o el Reino Unido. Los hackers de Scattered Spider se consideran una rama de Com , una red amorfa de potencialmente miles de troles y delincuentes, muchos de los cuales se dedican al acoso, la extorsión y la explotación infantil.

Los miembros de Scattered Spider se han unido cada vez más en torno a una táctica que consiste en usar ingeniería social dirigida para introducirse en las redes empresariales. Los atacantes pueden hacerse pasar por un empleado que no tiene acceso a su cuenta de correo electrónico y contactar con el servicio de asistencia de TI para obtener acceso, antes de restablecer las credenciales de autenticación multifactor . Los investigadores afirman que el grupo también ha empleado la táctica de crear sitios web de phishing convincentes cuyas URL suelen incluir el nombre de la organización objetivo junto con palabras como "okta", "vpn" o "helpdesk". Una vez dentro de las redes, los hackers implementan diversos tipos de ransomware o roban datos que utilizan para extorsionar a las empresas.

Meyers afirma que Crowdstrike cree que Scattered Spider cuenta con aproximadamente cuatro miembros principales, que dirigen la búsqueda de víctimas potenciales y aprovechan recursos del ecosistema Com según sea necesario. La estructura y el tamaño exactos de Scattered Spider no están claros, pero los investigadores coinciden en que el grupo se basa en diversos servicios de terceros para ejecutar sus ataques.

“La disuasión es extremadamente difícil porque, básicamente, luchamos contra un mercado donde muchos actores son reemplazables”, afirma Hultquist de Google. “Por ejemplo, Scattered Spider ha trabajado con múltiples servicios de ransomware, así que si uno falla, siempre hay alguien que lo reemplace”.

Aiden Sinnott, investigador sénior de amenazas de la Unidad de Contraamenazas de la empresa de ciberseguridad Sophos, afirma que Scattered Spider y, en general, Com están conectados a través de relaciones y comunidades en servidores de Discord o grupos de Telegram. "Es este tipo de grupo en evolución donde quizás se están incorporando nuevos actores de amenazas más jóvenes", afirma Sinnott. "Se puede observar esta progresión natural de escalada a medida que aprenden habilidades mutuamente, y también comparten sus logros con entusiasmo".

Algunos miembros de Scattered Spider pueden atacar a grandes empresas, mientras que otros participan en actividades menos visibles. «Hay grupos o individuos que se centran en hackear cuentas de Coinbase y robar criptomonedas, entre otras cosas», afirma Sinnott. «Así que ni siquiera se centran en estas grandes corporaciones».

Como dice Hultquist, "la actividad es extremadamente resiliente, porque en lugar de luchar contra un solo actor, en realidad estamos luchando contra un mercado".