Araignée dispersée : Ce que ses attaques révèlent sur la posture du réseau
Cet été, Scattered Spider a refait la une des journaux avec une nouvelle vague d’arrestations très médiatisées. Ce qui a commencé par le harcèlement en ligne, l’échange de cartes SIM et le vol d’identité s’est transformé en extorsion, ransomware et attaques perturbant de grandes entreprises comme MGM et Marks & Spencer. Ce qui rend ces dégâts plus frappants, c’est la sophistication de leurs tactiques — et l’âge de ceux qui sont liés au groupe, la plupart adolescents ou à peine dans la vingtaine.
Les arrestations clôturent un chapitre. Mais cela ne change rien à ce qui rendait les attaques de Scattered Spider efficaces. Grâce à une ingénierie sociale inventive, le groupe a montré à quel point les gens peuvent être manipulés facilement — et combien de confiance les réseaux peuvent accorder à une identité volée. Un appel téléphonique, un service d’assistance et un compte employé compromis suffisaient souvent à entrer. À partir de là, la vraie question était : jusqu’où cette identité pouvait-elle aller ? C’est une question de posture réseau, et la réponse est déterminée bien avant qu’un attaquant ne prenne la décision.
Des hackers ayant grandi en ligne
Scattered Spider a une histoire d’origine inhabituelle. Les chercheurs de CrowdStrike retracent une partie de son écosystème à « the Com », une vaste communauté en ligne issue des cercles de Minecraft et Roblox. Certains sont passés du jeu vidéo au « griefing » — harceler d’autres joueurs et se hacker entre eux.
L’écosystème s’assombrit à partir de là. Ce qui a commencé comme du harcèlement en ligne est devenu un marché où les gens pouvaient payer pour que d’autres soient harcelés. CrowdStrike la décrit comme une « violence en tant que service », et elle comprenait des coups de poing, des menaces à la bombe, et même des intimidations en personne.
D’autres se sont tournés vers le vol de cryptomonnaies, où leurs compétences en matière d’accès volé pouvaient rapidement devenir de l’argent volé. Pour accéder aux comptes crypto, ils ont avancé dans l’ingénierie sociale, le vol d’identité, la compromission des identifiants, le contournement MFA et l’échange de cartes SIM. Ces mêmes compétences deviendraient plus tard centrales dans les attaques de Scattered Spider contre les grandes entreprises.
« Ce sont de jeunes acteurs de menaces qui ont commencé adolescents, sans forcément vouloir devenir des criminels », a déclaré Christer Swartz, directeur des solutions industrielles chez Illumio. « Ils s’y sont un peu laissés aller parce qu’ils le pouvaient. »
Certaines de ces mêmes personnes ont ensuite participé aux plus grandes attaques de ransomware depuis des années. Un membre présumé, citoyen américain-estonien connu sous le nom de « Bouquet », a publié sur Snapchat des photos de son argent, de montres de luxe et d’une chaîne en diamant « Hack the Planet ». Le FBI a ensuite retrouvé un identifiant d’appareil Windows que les procureurs disent appartenir à Peter Stokes, 19 ans. Stokes a été inculpé de complot, d’intrusion informatique et de fraude.
De l’échange de SIM à l’ingénierie sociale
En 2022, les compétences de piratage de Scattered Spider étaient destinées aux entreprises. Ils ciblaient les entreprises télécoms et les sous-traitants de processus métier ayant accès aux systèmes des opérateurs mobiles. Un échange de SIM réussi pourrait transférer le numéro de téléphone d’une victime vers un appareil contrôlé par l’attaquant, redirigeant ainsi tous les appels, SMS et MFA par SMS de la victime.
Ce modèle économique n’a pas duré. Les opérateurs télécoms et les centres d’appels ont renforcé leurs systèmes et l’accès est devenu plus difficile à obtenir. Scattered Spider s’est alors tourné vers des entreprises de jeux vidéo. Le plan consistait à voler le code source et à extorquer le propriétaire : payez-nous, ou nous divulguons votre code sur des marchés souterrains.
Une tentative consistait à extorquer une société de jeux vidéo pour son code source anti-triche volé. La société de jeux ne voulait pas payer, et les acheteurs clandestins n’étaient pas intéressés par le code. Le plan s’effondra. En 2023, le groupe s’est tourné vers le ransomware. C’est là que se trouvait l’argent.
Du support technique au cœur du réseau
L’échange de SIM fut une étape importante dans l’évolution de Scattered Spider. Grâce à cela, le groupe est devenu expert à se faire passer pour des employés et à manipuler les supports informatiques. CrowdStrike a trouvé des assaillants qui ont étudié les victimes en détail. Ils utilisaient des numéros de téléphone locaux, adoptaient des accents et restaient au téléphone pendant 45 minutes ou plus. Parmi des centaines d’appels de vishing enregistrés, les chercheurs ont identifié sept voix récurrentes portant des noms et des personnalités différents.
L’attaque de MGM en 2023 a montré jusqu’où ce type d’accès pouvait aller. Scattered Spider a utilisé l’ingénierie sociale pour accéder au réseau, puis s’est enfoncé plus profondément dans l’environnement. L’attaque a finalement perturbé les machines à sous, les distributeurs automatiques, les clés numériques des salles et les systèmes de paiement. MGM a indiqué à la SEC que l’incident couperait environ 100 millions de dollars des bénéfices du troisième trimestre.
La brèche M&S montrait le même schéma avec une profondeur encore plus grande. Les attaquants auraient usurpé l’identité des employés et convaincu le service d’assistance informatique de réinitialiser les mots de passe, donnant ainsi aux attaquants une base sur le réseau. De là, ils sont passés à Active Directory et ont volé le NTDS.dit. Il stocke toutes les informations de domaine, y compris les comptes utilisateurs, les adhésions de groupes, les objets informatiques et les hachages de mots de passe critiques.
Les attaquants ont utilisé DragonForce, une opération de ransomware en tant que service. Elle offre aux affiliés les outils pour chiffrer les systèmes et extorquer les victimes. Cet accès a provoqué une panne générale. M&S a cessé d’accepter des commandes de vêtements et de maisons en ligne pendant près de sept semaines.
Scattered Spider : Une chronologie de tactiques changeantes
- 2022 — Échange de SIM à grande échelle
Scattered Spider a détourné des numéros de téléphone chez les opérateurs télécoms et les centres d’appels, ce qui lui permettait d’intercepter des codes MFA. - Août 2023 — Le support technique devient la porte d’entrée
L’ingénierie sociale face à un fournisseur informatique externalisé a permis à des attaquants d’entrer chez Caesars Entertainment. Il aurait payé environ 15 millions de dollars. - Septembre 2023 — Une seule identité, tout le sol
La même approche chez MGM Resorts a touché les machines à sous, les distributeurs automatiques et les clés de chambre. MGM a indiqué à la SEC qu’elle s’attendait à une baisse de 100 millions de dollars sur les bénéfices du troisième trimestre. - 2024 — Passage au cloud et au SaaS
Les identifiants volés ont remplacé les malwares. Les attaquants ont récupéré des données d’applications commerciales en ligne et exigé des paiements, souvent sans ransomware. - Avril 2025 — Ransomware comme fin
Chez Marks & Spencer, l’ingénierie sociale du support technique a atteint Active Directory, et DragonForce a fait le reste. M&S a indiqué s’attendre à ce que l’attaque réduise le bénéfice d’exploitation d’environ 300 millions de livres sterling avant la mitigation. - Mi-2025 — Le playbook passe à la version portable
L’assurance et l’aviation ont suivi à leur tour. Le point d’entrée resta le même : un appel au service d’assistance.
Chaque nouveau modèle économique les rendait plus dangereux
Les tactiques de Scattered Spider changeaient sans cesse, mais chaque pivot ajoutait de nouvelles compétences. L’ingénierie sociale a conduit à la compromission identitaire. La compromission d’identité a ouvert des voies vers le cloud, le SaaS et les infrastructures critiques. Le ransomware est devenu un moyen de monétiser leur accès.
L’IA pourrait accélérer cette adaptation. Des chercheurs de CrowdStrike affirment avoir vu Scattered Spider déployer des scripts présentant des signes de génération de LLM. L’IA pourrait aider le groupe à travailler plus rapidement à travers des systèmes inconnus.
Les arrestations récentes pourraient perturber les personnes à l’origine de certaines de ces attaques. Mais le manuel de stratégie reste.
Trouver les chemins qui ne devraient pas exister
La posture du réseau compte. Les défenseurs doivent savoir quels systèmes peuvent communiquer et lesquels devraient réellement le faire. Un appareil utilisateur peut techniquement accéder à Active Directory, à une base de données ou à un hyperviseur. Cela ne veut pas dire que c’est nécessaire.
« La distinction importante est entre ce qui peut communiquer et ce qui devrait communiquer », a déclaré Swartz.
Ces chemins inutiles sont ce que les attaquants peuvent transformer en déplacement latéral. La visibilité les expose. Certains mènent à un endroit qui compte plus que d’autres.
Swartz pointe vers Active Directory et les hyperviseurs. « Les hyperviseurs sont probablement aussi importants qu’Active Directory », a-t-il déclaré. « Si tu compromets cette fondation, tu peux causer d’énormes dégâts. »
Active Directory, hyperviseurs, systèmes DNS clés et sauvegardes doivent être strictement contrôlés. Seuls les utilisateurs et les charges de travail qui ont réellement besoin d’accès devraient les atteindre. La segmentation ferme le reste.
Contenir d’abord, enquêter ensuite
Scattered Spider a montré à quelle vitesse une intrusion peut devenir un ransomware. Cela signifie que le confinement ne peut pas dépendre entièrement du fait qu’une personne voie une alerte et décide de la suite à donner.
« Il faut retirer l’humain de la boucle autant que possible », dit Swartz.
Les équipes doivent préparer des politiques de quarantaine et automatiser le confinement pour les menaces à haute confiance. Si une charge de travail commence à se comporter dangereusement, isole-la d’abord. Enquêtez une fois la propagation arrêtée.
Swartz compare cela à l’activation d’une alarme incendie : vous ne savez peut-être pas encore exactement ce qui a causé la fumée, mais vous n’attendez pas pour arrêter l’incendie.
Testez jusqu’où un attaquant peut aller
La dernière leçon consiste à tester le réseau du point de vue de l’attaquant.
Supposons qu’une identité ait déjà été compromise. Puis demandez jusqu’où il peut se déplacer. Peut-il atteindre Active Directory ? VMware ? Des sauvegardes ? Des bases de données sensibles ? Les défenseurs peuvent-ils voir ce mouvement et l’arrêter sans perturber le reste de l’entreprise ?
« Supposons que quelqu’un puisse prendre le contrôle de l’identité ; regardez et voyez combien de dégâts ils peuvent causer », dit Swartz. « Pense comme l’assaillant. Pénétrer dans ton propre environnement et trouver ces chemins avant que quelqu’un d’autre ne le fasse. »
Les personnes et les tactiques peuvent changer. Ce qui change le résultat est la réponse à la question : jusqu’où une identité volée peut-elle aller ?
Prêt à passer à l’étape suivante ? Découvrez comment Illumio Insights utilise la détection et la réponse cloud alimentées par l’IA pour révéler les déplacements latéraux, le trafic risqué, les menaces pilotées par l’IA et les lacunes de conformité. Analysez votre score de posture réseau et priorisez ce que segmenter ensuite.
