.png)
¿Qué es la araña dispersa?
Scattered Spider es un grupo cibercriminal con motivaciones financieras conocido por emplear sofisticadas técnicas de ingeniería social, phishing, vishing, intercambio de SIM, ataques de identidad y otras técnicas para acceder a las organizaciones.
En lugar de depender principalmente de vulnerabilidades de software para el acceso inicial, Scattered Spider es especialmente conocido por dirigir a personas. Los atacantes pueden hacer pasar por empleados y contactar con los puestos de ayuda de TI para convencer al personal de soporte de que restablezca contraseñas, cambie la configuración de autenticación multifactor (MFA ) o proporcione acceso a cuentas corporativas de cualquier otra manera.
Una vez dentro de una organización, Scattered Spider puede intentar escalar privilegios, mover lateralmente a través de entornos en la nube y locales, robar información sensible y realizar ataques de extorsión o ransomware .
Puntos clave
- Scattered Spider es un grupo cibercriminal con motivaciones económicas conocido por emplear sofisticada ingeniería social, ataques basados en la identidad y robo de credenciales para acceder sin autorización a organizaciones.
- Scattered Spider se dirige frecuentemente a empleados y a las mesas de ayuda de TI. Los atacantes emplean técnicas como phishing, vishing, intercambio de SIM y manipulación de MFA para comprometer cuentas y eludir los controles de seguridad.
- Los ataques dispersos de Spider pueden provocar ransomware, robo de datos y movimientos laterales. Una vez dentro de una red, los atacantes pueden escalar privilegios, acceder a información sensible y mover entre sistemas en la nube y locales.
- Defender de Scattered Spider requiere más que impedir el acceso inicial. Las organizaciones deben combinar MFA resistente al phishing, verificación de identidad, visibilidad de la red y contención del incumplimiento para detectar actividades sospechosas, restringir el movimiento lateral y limitar el impacto de ataques exitosos.
¿Quién es Scattered Spider?
Araña Dispersa es el nombre comúnmente empleado para describir a un grupo de amenaza motivado por motivos financieros que atacó organizaciones de múltiples sectores.
El grupo se hizo especialmente conocido por su capacidad para manipular empleados y personal de soporte mediante ingeniería social. En lugar de tener que explotar siempre una vulnerabilidad técnica, los atacantes pueden convencer a usuarios legítimos o administradores para que los ayuden a eludir los controles de seguridad.
Esto convierte a Scattered Spider en un ejemplo útil de por qué las estrategias de ciberseguridad deben preparar para identidades comprometidas y credenciales legítimas, no solo para malware y exploits de software.
Lee: Scattered Spider: Lo que revelan sus ataques sobre la postura de la red
¿Cuáles son otros nombres para araña dispersa?
Las compañías de ciberseguridad y los investigadores de inteligencia de amenazas suelen emplear diferentes nombres para rastrear la misma actividad de amenazas o la que se solapan.
Araña dispersa también se asoció con nombres como:
- Octo Tempest
- UNC3944
- 0ktapus
- Balance confuso
Microsoft rastrea actividades relacionadas con Scattered Spider como Octo Tempest.
Diferentes investigadores de seguridad pueden definir grupos de amenazas y actividades superpuestas de forma distinta, por lo que no siempre se debe asumir que estos nombres representan conjuntos de actores o campañas perfectamente idénticos.
¿Cómo ataca Scattered Spider a las organizaciones?
Los ataques de Scattered Spider suelen comenzar atacando identidades en lugar de explotar directamente el software.
Los atacantes pueden investigar una organización y sus empleados antes de hacerse pasar por usuarios legítimos o contactar con el personal del servicio de ayuda.
Un ataque de Araña Dispersa puede implicar:
- Identificar empleados o usuarios privilegiados.
- Recopilar información personal u organizacional sobre el objetivo.
- Emplear phishing, smishing o vishing para robar credenciales.
- Suplantar a empleado al contactar con un servicio de ayuda de TI.
- Convencer al personal de soporte para que restablezca contraseñas o métodos de MFA.
- Registro de métodos de autenticación controlados por el atacante.
- Acceder a sistemas corporativos y entornos en la nube.
- Escalar privilegios y descubrir recursos adicionales.
- Mover lateralmente a través del entorno.
- Robar datos, realizar extorsión o desplegar ransomware.
El camino de ataque específico puede variar entre campañas.
¿Cómo emplea la Araña Dispersa la Ingeniería Social?
La ingeniería social es una de las tácticas más reconocibles de Scattered Spider.
Los atacantes pueden investigar a los empleados antes de contactar con el servicio de ayuda de una organización e hacer pasar por esos usuarios. La información recopilada de fuentes públicas, incumplimientos previos, campañas de phishing u otros métodos puede hacer que la suplantación resulte más convincente.
El atacante puede afirmar perder un dispositivo, olvidado una contraseña o experimentado un problema con la MFA.
Si el servicio de asistencia considera que la solicitud es legítima, puede restablecer credenciales o métodos de autenticación, lo que podría dar acceso al atacante sin requerir un exploit técnico tradicional.
¿Cómo emplea Scattered Spider el Vishing?
El vishing, o phishing por voz, puede desempeñar un papel importante en los ataques de ingeniería social de Scattered Spider.
Los atacantes pueden llamar a empleados o personal de soporte técnico mientras se hacen pasar por usuarios legítimos. A través de la conversación, la urgencia y la información recopilada sobre el objetivo, el atacante intenta convencer a la víctima de que tome una acción que le proporcione acceso.
Por ejemplo, un atacante podría persuadir a un empleado del soporte para restablecer una contraseña o modificar un método MFA. Esto demuestra por qué las organizaciones no deberían basar únicamente en el conocimiento personal o de la compañía por parte del llamante como prueba de identidad.
¿Cómo puede Scattered Spider Bypass MFA?
La autenticación multifactor puede mejorar significativamente la seguridad de la cuenta, pero los atacantes pueden intentar manipular los procesos relacionados con la autenticación multifactor (MFA) en lugar de neutralizar directamente la tecnología subyacente.
La araña dispersa se asoció con técnicas como:
- Mesas de ayuda de ingeniería social para resetear MFA
- Registro de métodos MFA controlados por atacantes
- Intercambio de SIM
- Robo de credenciales de autenticación
- Phishing a usuarios mediante páginas de autenticación falsas
- Manipulación de los procedimientos de recuperación de cuentas
Si un atacante convence a un administrador para que sustituya el método de autenticación de un usuario legítimo por uno controlado por el atacante, la MFA puede dejar de impedir la toma de control de la cuenta.
Los métodos de autenticación resistentes al phishing pueden dificultar varias de estas técnicas.
¿Qué es el SIM swapping y cómo lo emplea Scattered Spider?
El intercambio de SIM es un ataque en el que el número de teléfono de una víctima se transfiere a una tarjeta SIM o dispositivo controlado por un atacante.
Una vez que el atacante controla el número de teléfono, puede ser capaz de interceptar llamadas o mensajes SMS dirigidos a la víctima.
Para cuentas que dependen de la autenticación basada en SMS o la recuperación de cuentas, esto puede ayudar a los atacantes a acceder a la compañía.
Scattered Spider se asoció con el intercambio de SIM como parte de campañas dirigidas a identidades de usuarios y sistemas de autenticación.
¿Emplea Scattered Spider ransomware?
Scattered Spider se asoció con ransomware y actividad de extorsión de datos.
Tras obtener acceso, los atacantes pueden robar información sensible y usar la amenaza de exponer esos datos para presionar a una organización a pagar una demanda de extorsión.
Algunas actividades observadas relacionadas con Scattered Spider también implicaron el despliegue de ransomware.
Esto hace que la contención temprana sea especialmente importante. Evitar que los atacantes se desplacen libremente de la identidad o sistema inicialmente comprometido a infraestructuras críticas puede reducir el impacto potencial del ataque.
¿Qué industrias apunta Scattered Spider?
Scattered Spider dirigió a organizaciones de múltiples sectores en lugar de centrar en un solo sector.
Las campañas reportadas afectaron a industrias como:
- Telecomunicaciones
- Tecnología
- Externalización de procesos de negocio
- Venta al por menor
- Hospitalidad
- Seguro
- Aerolíneas y transporte
La segmentación del grupo cambió con el tiempo, reforzando la importancia de centrar en sus tácticas en lugar de asumir que solo las organizaciones de un sector concreto están en riesgo.
¿Por qué es difícil detectar la araña dispersa?
Scattered Spider puede ser difícil de detectar porque los atacantes pueden acceder usando credenciales legítimas y procesos de autenticación aprobados.
Si un servicio de ayuda restablece la contraseña de alguien que cree que es un empleado, el inicio de sesión resultante puede parecer inicialmente legítimo. Una vez dentro, los atacantes también pueden emplear herramientas administrativas legítimas e infraestructuras existentes en lugar de desplegar inmediatamente malware evidente.
Esto hace que entender la postura de red de una organización sea especialmente importante. Los equipos de seguridad necesitan visibilidad sobre cómo se comunican normalmente los sistemas, dónde existen conexiones arriesgadas o innecesarias, y qué vías podrían permitir que una identidad o carga de trabajo comprometida llegue a recursos críticos.
Al combinar el contexto de identidad con la comprensión de la postura de la red, la comunicación con la carga de trabajo y patrones de acceso inusuales, los equipos de seguridad pueden identificar más rápidamente la actividad que pueda indicar que un atacante está ampliando su acceso o intentando mover lateralmente.
¿Cómo se mueve lateralmente la araña dispersa?
Tras obtener el acceso inicial, Scattered Spider puede intentar descubrir usuarios, sistemas, aplicaciones, recursos en la nube y cuentas privilegiadas adicionales.
El atacante puede entonces emplear credenciales comprometidas y conexiones de red existentes para ampliar el acceso en todo el entorno.
Este proceso se conoce como movimiento lateral.
El movimiento lateral puede transformar una cuenta o endpoints comprometido en un incumplimiento mucho mayor. Restringir la comunicación innecesaria entre cargas de trabajo y aplicaciones puede reducir el número de vías disponibles para un atacante.
¿Cómo pueden las organizaciones proteger contra la araña dispersa?
Defender de Scattered Spider requiere proteger tanto a las personas como a la tecnología.
Las organizaciones pueden reducir su riesgo mediante:
- Emplear MFA resistente al phishingsiempre que sea posible
- Fortalecimiento de los procedimientos de verificación de identidad del servicio de ayuda
- Formar a los empleados para que reconozcan phishing, smishing y vishing
- Monitorización de la actividad de contraseña y restablecimiento de MFA
- Restringimiento del acceso privilegiado
- Aplicación de los principios de privilegio mínimo
- Monitorización de autenticaciones inusuales y actividad de red
- Limitación del acceso remoto innecesario
- Segmentación de sistemas y cargas de trabajo críticas
- Identificación y restricción de vías de comunicación innecesarias
- Preparación de planes de respuesta a incidentes y recuperación
Las organizaciones también deberían asumir que algunos intentos de ingeniería social acabarán teniendo éxito e implementar controles que limiten lo que un atacante puede acceder tras un compromiso inicial.
Araña dispersa y contención del incumplimiento
Scattered Spider demuestra por qué impedir el acceso inicial no puede ser la única estrategia de seguridad de una organización.
Un empleado puede caer en un ataque de phishing. Un empleado del servicio de ayuda puede aprobar una solicitud convincente. Las credenciales pueden ser robadas. Un atacante puede acabar encontrando la forma de entrar.
La contención del incumplimiento se centra en limitar lo que ocurre a continuación.
Al restringir la comunicación innecesaria y hacer cumplir el acceso de privilegio mínimo entre sistemas, las organizaciones pueden reducir las vías que los atacantes pueden usar para mover lateralmente desde un recurso inicialmente comprometido hacia aplicaciones, cargas de trabajo y datos críticos.
Detecta movimientos sospechosos con Illumio Insights
Scattered Spider puede entrar a través de una identidad comprometida, pero el ataque no termina necesariamente con esa cuenta.
Illumio Insights ayuda a los equipos de seguridad a entender la comunicación entre sus entornos e identificar conexiones sospechosas, vías arriesgadas y posibles movimientos laterales que podrían indicar que un atacante está ampliando su acceso.
Obtén la visibilidad e inteligencia que necesitas para detectar amenazas más rápido y contenerlas antes de que se conviertan en incumplimientos generalizados.
Descubre más sobre Illumio Insights →
Preguntas frecuentes
¿Qué es Scattered Spider?
Scattered Spider es un grupo cibercriminal con motivaciones económicas conocido por su sofisticada ingeniería social y ataques basados en la identidad. El grupo empleó técnicas como phishing, vishing, intercambio de SIM, robo de credenciales y manipulación de mesas de ayuda informática.
¿Es Scattered Spider un grupo de ransomware?
Scattered Spider es más amplio que un grupo tradicional de ransomware. Los actores de amenazas son conocidos por el compromiso de identidad, la ingeniería social, el robo de datos, la extorsión y actividades que pueden acabar implicando ransomware.
¿Es Scattered Spider lo mismo que Octo Tempest?
Microsoft rastrea la actividad asociada con Scattered Spider bajo el nombre Octo Tempest. Otros investigadores de seguridad emplean nombres como UNC3944, 0ktapus y Muddled Libra para actividades relacionadas o superpuestas.
¿Cómo llega Scattered Spider a las redes?
Scattered Spider apunta frecuentemente a identidades mediante ingeniería social, phishing, smishing, vishing, intercambio de SIM y suplantación de soporte técnico. Los atacantes pueden convencer al personal de soporte para restablecer contraseñas o métodos MFA, permitiéndoles acceder usando credenciales aparentemente legítimas.
¿Scattered Spider usa vishing?
Sí. La ingeniería social basada en la voz es una técnica asociada con Scattered Spider. Los atacantes pueden hacer pasar por empleados y manipular al personal de soporte técnico u otros usuarios para que proporcionen acceso o modifiquen la configuración de autenticación.
¿Cómo pueden las organizaciones defender contra Scattered Spider?
Las organizaciones pueden reforzar la verificación de help desk, desplegar MFA resistente al phishing, monitorizar cambios de identidad, restringir accesos privilegiados, formar a empleados en ingeniería social, segmentar sistemas críticos y monitorizar comunicaciones inusuales y movimientos laterales.
¿Por qué es peligroso Scattered Spider?
Scattered Spider combina una ingeniería social eficaz con técnicas para comprometer identidades y navegar por entornos en la nube y locales. Una vez que los atacantes establecen acceso, pueden intentar robar datos, ampliar sus privilegios, mover lateralmente y llevar a cabo ataques de extorsión o ransomware.