Un identificatore del dispositivo Windows ha aiutato l’FBI a collegare un presunto hacker di Scattered Spider alla violazione di un rivenditore

I procuratori statunitensi affermano che un identificatore persistente del dispositivo Windows ha aiutato gli investigatori a collegare un presunto membro di Scattered Spider a un’intrusione del 2025 ai danni di un rivenditore di gioielli di lusso, secondo una denuncia federale recentemente resa pubblica.

Il caso riguarda il diciannovenne Peter Stokes, cittadino statunitense ed estone noto online come “Bouquet”, estradato dalla Finlandia e comparso in tribunale a Chicago il 30 giugno. Deve rispondere, tra le altre, delle accuse di associazione a delinquere, intrusione informatica e frode. I procuratori affermano che resta presunto innocente.

Come è stato violato il rivenditore

Secondo la denuncia, tra il 12 e il 15 maggio 2025 gli aggressori hanno chiamato l’help desk IT del rivenditore utilizzando numeri Google Voice e fingendosi dipendenti che avevano perso l’accesso ai propri account. Convincendo il personale a reimpostare le password e i dispositivi mobili associati all’autenticazione a più fattori, hanno ottenuto il controllo di tre account, inclusi due appartenenti ad amministratori IT.

Una volta entrati, gli aggressori avrebbero distribuito ngrok e un secondo strumento di tunneling, Teleport, per spostarsi nella rete ed esfiltrare almeno 77 gigabyte di dati verso l’archiviazione cloud di Amazon. I procuratori affermano che hanno anche tentato di distribuire un ransomware, ma il team di sicurezza dell’azienda ha bloccato il tentativo e li ha estromessi dalla rete. In seguito il rivenditore ha ricevuto una richiesta di riscatto di 8 milioni di dollari in criptovaluta, ma non ha pagato.

L’azienda ha stimato in circa 2 milioni di dollari le perdite dovute all’interruzione delle attività, alla risposta all’incidente e alle operazioni di ripristino. Gli investigatori affermano che l’intrusione evidenzia una debolezza comune: l’ingegneria sociale ai danni del personale dell’assistenza, invece dello sfruttamento di una vulnerabilità software.

Come gli investigatori hanno tracciato il dispositivo

Secondo quanto riferito, i dati di Microsoft hanno collegato l’attacco a un identificatore globale del dispositivo associato a un’installazione di Windows. La denuncia afferma che l’identificatore era collegato alla creazione dell’account ngrok ed è comparso in seguito in attività connesse ad account online che i procuratori attribuiscono a Stokes. Gli investigatori hanno inoltre confrontato gli indirizzi IP e i dati di viaggio con località tra cui Tallinn, New York e Thailandia.

• Il dispositivo ha visitato la pagina di registrazione di ngrok nello stesso momento in cui è stato creato l’account.
• In seguito si è connesso al sito web del rivenditore attraverso lo stesso proxy.
• Gli account associati sui social media e sulle piattaforme di messaggistica sono stati collegati alle stesse località e agli stessi periodi.

Ricercatori e procuratori continuano a discutere se Scattered Spider debba essere considerato un’unica organizzazione o una rete informale di piccole cellule. In ogni caso, la denuncia si aggiunge a un elenco crescente di arresti collegati al playbook condiviso del gruppo, fatto di phishing, abuso degli help desk e intrusioni basate sull’identità.