Un identifiant d’appareil Windows a aidé le FBI à relier un pirate présumé de Scattered Spider à une attaque contre un détaillant

Selon les procureurs américains, un identifiant persistant d’appareil Windows a aidé les enquêteurs à relier un membre présumé de Scattered Spider à une intrusion menée en 2025 contre un joaillier de luxe, d’après une plainte fédérale récemment rendue publique.

L’affaire concerne Peter Stokes, 19 ans, un citoyen binational américano-estonien connu en ligne sous le pseudonyme « Bouquet », extradé de Finlande et comparu devant un tribunal de Chicago le 30 juin. Il est poursuivi notamment pour association de malfaiteurs, intrusion informatique et fraude. Les procureurs précisent qu’il est présumé innocent.

Comment le détaillant a été compromis

Selon la plainte, les attaquants ont appelé le service d’assistance informatique du détaillant entre le 12 et le 15 mai 2025, en utilisant des numéros Google Voice et en se faisant passer pour des employés ayant perdu l’accès à leurs comptes. En convainquant le personnel de réinitialiser des mots de passe et des appareils mobiles liés à l’authentification multifacteur, ils ont pris le contrôle de trois comptes, dont deux appartenant à des administrateurs informatiques.

Une fois à l’intérieur, les attaquants auraient déployé ngrok ainsi qu’un deuxième outil de tunneling, Teleport, afin de se déplacer dans le réseau et d’exfiltrer au moins 77 gigaoctets de données vers un espace de stockage cloud d’Amazon. Les procureurs affirment également qu’ils ont tenté de déployer un rançongiciel, mais que l’équipe de sécurité de l’entreprise a stoppé cette opération et les a expulsés du réseau. Le détaillant a ensuite reçu une demande de rançon de 8 millions de dollars en cryptomonnaie, mais n’a pas payé.

L’entreprise a estimé à environ 2 millions de dollars ses pertes liées à l’interruption d’activité, à la réponse à l’incident et au nettoyage. Les enquêteurs estiment que l’intrusion met en évidence une faiblesse courante : l’ingénierie sociale visant le personnel du support plutôt que l’exploitation d’une faille logicielle.

Comment les enquêteurs ont retracé l’appareil

Des relevés de Microsoft auraient associé l’attaque à un identifiant d’appareil global lié à une installation de Windows. La plainte indique que cet identifiant était associé à la création du compte ngrok et qu’il est ensuite apparu dans des activités liées à des comptes en ligne que les procureurs attribuent à Stokes. Les enquêteurs ont également fait correspondre des adresses IP et des relevés de voyage avec des lieux tels que Tallinn, New York et la Thaïlande.

• L’appareil a consulté la page d’inscription de ngrok au moment même de la création du compte.
• Il s’est ensuite connecté au site web du détaillant via le même proxy.
• Des comptes associés sur les réseaux sociaux et les services de messagerie ont été rattachés aux mêmes lieux et périodes.

Les chercheurs et les procureurs continuent de débattre de la question de savoir si Scattered Spider doit être considéré comme une organisation unique ou comme un réseau informel de petites cellules. Quoi qu’il en soit, la plainte vient s’ajouter à une liste croissante d’arrestations liées au mode opératoire commun du groupe : hameçonnage, abus des services d’assistance et intrusions fondées sur l’identité.