Comprender Scattered Spider y el aumento de los ciberataques basados en la identidad

Puede sonar como la base de un thriller cinematográfico: un grupo cibercriminal conocido por moverse rápidamente, esquivar las investigaciones descentralizando sus operaciones y girando no solo en las industrias sino también en las regiones objetivo. Sin embargo, esta organización, conocida como Scattered Spider, es una amenaza muy real que enfrentan las empresas.

Scattered Spider sigue siendo uno de los grupos cibercriminales más activos y efectivos dirigidos a grandes organizaciones. Si bien muchos grupos dependen principalmente de las vulnerabilidades del software, Scattered Spider es conocido por explotar a las personas, los procesos comerciales y los sistemas de identidad para obtener acceso a las redes corporativas. Las advertencias recientes de agencias gubernamentales y socios de la industria indican que el grupo continúa refinando sus tácticas, lo que lo convierte en una amenaza significativa en múltiples industrias.

Para ayudar a las organizaciones a mantenerse informadas sobre Scattered Spider y los grupos de ciberdelincuencia con los que está alineado bajo Scattered LAPSUS$ Hunters (SLH), Mike McCauley, director de administración y respuesta a amenazas cibernéticas de BOK Financial®, proporcionó la siguiente información:

¿Quién es Scattered Spider?

Scattered Spider es un grupo de cibercrimen motivado financieramente conocido por realizar sofisticados ataques de ingeniería social contra empleados corporativos, contratistas y organizaciones de soporte de TI. El grupo de delitos cibernéticos se ha relacionado con incidentes de robo de datos, extorsión y ransomware dirigidos a grandes empresas de todo el mundo. En lugar de simplemente explotar una sola debilidad tecnológica, Scattered Spider se centra en robar identidades y abusar de procesos comerciales confiables.

¿Quiénes son los Dispersos LAPSUS$ Hunters (SLH)?

En 2025, comenzaron los elementos asociados con Scattered Spider, LAPSUS$ y ShinyHunters presentándose bajo una bandera compartida, Dispersos LAPSUS$ Hunters (SLH). Los investigadores caracterizan a SLH como una alianza federada en lugar de una fusión convencional, en la que un pequeño núcleo parece coordinar múltiples personas y afiliados mientras combina los métodos de ingeniería social y acceso a la identidad de Scattered Spider, el estilo de extorsión disruptivo de LAPSUS $ y las operaciones de robo y fuga de datos de ShinyHunters. El colectivo ha utilizado Telegram como un centro de comunicaciones públicas, reclutamiento y extorsión y ha promovido un modelo de "extorsión como servicio" orientado a los afiliados.

¿Qué hace Scattered Spider?

Los informes recientes de inteligencia de amenazas cibernéticas muestran que Scattered Spider continúa apuntando a sistemas de identidad como Microsoft Entra ID, plataformas de inicio de sesión único, infraestructura de escritorio virtual y servicios en la nube. El grupo suplanta con frecuencia a los empleados durante las llamadas a los servicios de asistencia, solicitando restablecimientos de contraseñas o cambios en la configuración de MFA.

Una vez que se obtiene el acceso, los atacantes buscan plataformas en la nube, herramientas de colaboración y repositorios de archivos para identificar información confidencial, como cuentas privilegiadas, documentación de red y valiosos datos comerciales patentados. También se les ha observado que monitorean plataformas como Microsoft Teams y Slack para comprender mejor las operaciones internas e identificar oportunidades adicionales de compromiso.

Muchos ataques modernos ya no se centran únicamente en los sistemas de cifrado. Estos grupos de actores de amenazas priorizan el robo de datos y la amenaza de divulgación pública a menos que se pague un rescate. Gobierno e industria Los informes indican Scattered Spider ha demostrado un fuerte enfoque en el robo de datos y la extorsión, lo que hace que la protección de la información confidencial y las capacidades de detección rápida sean cada vez más importantes.

Los investigadores han observado Araña dispersa que se concentra en industrias específicas durante períodos de tiempo antes de cambiar el enfoque. La actividad reciente ha afectado a múltiples industrias, incluidas las empresas minoristas, de seguros, de aviación, telecomunicaciones, hotelería, tecnología y servicios financieros. Las organizaciones deben reconocer que estar fuera de una industria actualmente objetivo no elimina el riesgo, ya que el grupo ha cambiado repetidamente su enfoque entre sectores.

¿Cuáles son las tácticas de Scattered Spider?

Usos de Scattered Spider sofisticadas técnicas de ingeniería social, manipulando a las personas para que revelen secretos a través de varios métodos:

• Vishing de la mesa de ayuda de TI: Hacerse pasar por empleados o ejecutivos por teléfono (phishing de voz) para manipular las mesas de ayuda de TI para que eludan los controles y restablezcan las credenciales.
• Fatiga MFA y bombardeo de empuje: Objetivos abrumadores con notificaciones push de autenticación multifactor (MFA) o el uso del intercambio de SIM para secuestrar números de teléfono móvil e interceptar códigos de segundo factor.
• Vivir de la tierra (LOTL): Aprovechar herramientas administrativas legítimas y preinstaladas, consolas de administración en la nube y software de monitoreo remoto (RMM) para evitar la detección por parte de las herramientas de seguridad de endpoints.
• Segmentación en la nube y SaaS: Pivotar agresivamente hacia entornos de nube, aplicaciones SaaS (como proveedores de identidad y plataformas de atención al cliente) y bases de datos de identidad, en lugar de solo puntos finales locales tradicionales.
• Asociaciones de extorsión y ransomware: Exfiltrar datos corporativos confidenciales para extorsión monetaria e implementar variantes de ransomware (como DragonForce u operaciones anteriores de ALPHV/BlackCat) a través de VMware ESXi e hipervisores empresariales.
• Resiliencia de los ecosistemas: Operando a través de redes sueltas de operadores jóvenes distribuidos globalmente que rápidamente cumplen roles después de arrestos y extradiciones internacionales en América del Norte y Europa. Gran parte de este talento proviene de "The Com", un entorno informal, principalmente de habla inglesa, en línea en lugar de una sola organización. Sus comunidades fluidas se superponen a través de delitos cibernéticos, intercambio de SIM, robo de credenciales, ingeniería social, intermediación de datos, extorsión y fraude relacionado. Los participantes pueden compartir acceso, herramientas, infraestructura, técnicas y marcas criminales o moverse entre tripulaciones a medida que surjan oportunidades. Esta estructura flexible brinda a grupos como Scattered Spider acceso a un amplio grupo de especialistas y afiliados, al tiempo que dificulta la definición de la membresía y la atribución.

¿Cuáles son algunos pasos para defender a su organización y a usted mismo?

Las organizaciones y los individuos pueden tomar varias medidas para ayudar a protegerse contra Scattered Spider y amenazas similares, según McCauley. Las empresas deben consultar con expertos en seguridad cibernética y evaluar si su organización debe fortalecer la verificación de identidad o utilizar una autenticación multifactor más sólida.  Además, las organizaciones deben:

• Capacitar a los empleados para que reconozcan la ingeniería social.
• Controle la actividad inusual.
• Prepárese para escenarios de extorsión de datos.

Mientras tanto, las personas pueden:

• Tenga cuidado con las llamadas telefónicas, correos electrónicos o mensajes de texto inesperados solicitando contraseñas, códigos de seguridad o información de cuenta.
• Nunca apruebe una solicitud de MFA que no haya iniciado.
• Use contraseñas seguras y únicas para cuentas importantes y considere usar un administrador de contraseñas.
• Habilite MFA siempre que esté disponible.
• Verifique las solicitudes a través de un método de contacto de confianza, especialmente cuando alguien dice ser de su banco, empleador o proveedor de tecnología.
• Mantenga los dispositivos, sistemas operativos y aplicaciones actualizados con los últimos parches de seguridad.
• Controle las cuentas financieras y en línea con regularidad para detectar actividades inusuales.
• Tenga cuidado con las solicitudes urgentes que crean presión para actuar rápidamente o eludir los procedimientos normales.

Conclusiones

Si bien sus tácticas pueden cambiar, el objetivo subyacente de Scattered Spider sigue siendo el mismo: obtener acceso a información y sistemas confidenciales. Adoptar un enfoque proactivo para la seguridad de la identidad, la educación de los empleados y la preparación para incidentes puede ayudar a las organizaciones a reducir su exposición y responder de manera más efectiva cuando surgen amenazas. La vigilancia sigue siendo una de las herramientas de ciberseguridad más importantes.