Scattered Spider țintește help desk-ul, nu MFA-ul

Autentificarea multi-factor este la fel de solidă ca procesul prin care poate fi resetată. Scattered Spider a demonstrat asta de multe ori: în loc să atace tehnologia, operatorii grupării sună la help desk-ul IT, se dau drept un angajat și conving agentul să reseteze o parolă sau să înregistreze un nou dispozitiv MFA.

Ce s-a întâmplat

O cercetare recentă descrie Scattered Spider (urmărit și ca UNC3944 și Octo Tempest) ca pe un grup de intruziune construit în jurul ingineriei sociale aplicate help desk-urilor, platformelor de identitate și fluxurilor de recuperare a conturilor. Rețeta este simplă:

• Recunoaștere. Atacatorii adună informații despre un angajat din profiluri profesionale, site-uri de companie, date scurse și alte surse publice.
• Apelul. Dându-se drept acel angajat, invocă un telefon pierdut, un număr nou sau un cont blocat chiar înaintea unei ședințe importante și folosesc detaliile adunate ca să pară credibili.
• Resetarea. Dacă agentul acceptă acele detalii drept dovadă de identitate, atacatorul primește o parolă nouă sau își înregistrează propriul dispozitiv pentru MFA și trece de următoarea autentificare ca utilizatorul real.

De acolo, un singur cont poate deschide e-mailul, portalurile SSO, VPN-ul și serviciile cloud. Cercetătorii plasează grupul și într-un ecosistem mai larg: Scattered Spider și ShinyHunters au membri și metode comune, iar din august 2025 activează sub un brand comun, „Scattered LAPSUS$ Hunters”, folosit pentru extorcare și recrutare. Gruparea LAPSUS$ originală nu mai este activă.

De ce contează

Nu este implicată nicio vulnerabilitate software. Punctul slab este un proces de suport gândit să fie de ajutor. Tehnica se alătură altor metode de presiune asupra utilizatorilor, precum MFA fatigue (bombardarea cu notificări push până când una este aprobată) și SIM swapping (preluarea numărului de telefon care primește codurile). CISA și agențiile partenere le-au documentat pe toate trei.

După preluarea contului, atacatorii își pot crește privilegiile, își pot asigura persistența sau pot abuza de instrumente legitime de administrare la distanță, așa că activitatea lor se distinge greu de munca IT obișnuită. În unele cazuri au urmat furt de date, extorcare sau ransomware; DragonForce apare în avertizările oficiale despre grup. Analiza menționează și un RAT numit RattyRAT, însă nu au fost publicate hash-uri sau indicatori de rețea.

Sunt necesare două precizări. Mai întâi, o resetare prin help desk nu înseamnă automat compromiterea întregii rețele; impactul depinde de permisiunile contului și de viteza de reacție. Apoi, vishing-ul împotriva help desk-ului este folosit acum pe scară largă în lumea infracțională, deci un asemenea apel nu dovedește, singur, implicarea Scattered Spider. Atribuirea are nevoie de dovezi tehnice și de infrastructură.

Ce trebuie făcut

1. Tratați recuperarea contului ca pe un control de securitate. Schimbările de parolă, de număr de telefon sau de metodă MFA trebuie verificate printr-un al doilea canal de încredere ori prin date de contact deja înregistrate, niciodată prin informații oferite de apelant.
2. Îngreunați schimbările cu risc ridicat. Cereți aprobarea managerului sau a echipei de securitate pentru reînrolarea MFA pe conturile privilegiate.
3. Învățați help desk-ul să facă o pauză. Urgența, presiunea „de VIP” și cererile de a sări peste verificări sunt semnale de alarmă, nu motive de grabă.
4. Treceți la MFA rezistent la phishing. FIDO2/WebAuthn și alte metode cu cheie publică rezistă mult mai bine la push bombing și SIM swap decât SMS-ul sau aprobările push.
5. Creați alerte pentru succesiunea de evenimente. Urmăriți înregistrările MFA noi, rafalele de notificări și recuperările urmate de o autentificare de pe un dispozitiv sau dintr-o locație necunoscute.
6. Limitați impactul. Revizuiți accesul prin SSO și drepturile de administrator, astfel încât o singură resetare să nu ajungă la toate sistemele.

Aceste scenarii se bazează pe date personale, iar multe provin din breșe și scurgeri. Serviciul nostru de monitorizare Deep/Dark Web ajută echipele să afle când credențialele sau datele personale ale angajaților circulă online, ca să întărească verificarea pentru persoanele expuse înainte ca cineva să sune la help desk în numele lor.

MFA rămâne important, dar nu poate compensa un proces de recuperare prin care un apelant convingător reușește să treacă.

Credit: articolul pornește de la relatarea originală Cyber Security News și cercetarea Flare.