Un diciannovenne sospettato di far parte del gruppo di cybercriminali Scattered Spider è stato estradato dalla Finlandia per affrontare negli Stati Uniti accuse legate a cospirazione, intrusione informatica e frode. Il giovane, cittadino con doppia nazionalità statunitense ed estone, è comparso davanti a un tribunale federale a Chicago e il giudice ha disposto la custodia cautelare.
L’arresto era avvenuto in aprile su richiesta internazionale tramite Interpol, segnale di un coordinamento crescente tra forze dell’ordine europee e autorità USA nella lotta al cybercrime.
Secondo gli atti, il sospettato sarebbe noto online con un nickname e risulterebbe collegato ad almeno quattro intrusioni, con i primi episodi attribuiti a quando aveva 16 anni. Tra i casi citati spicca un attacco del 2025 contro un rivenditore di gioielli di lusso, dove gli aggressori avrebbero sottratto dati e avanzato una richiesta di riscatto di circa 8 milioni in criptovaluta. L’azienda avrebbe rifiutato il pagamento, bloccato l’accesso e sostenuto costi di ripristino stimati in almeno 2 milioni. Durante un controllo all’aeroporto di Helsinki, le autorità finlandesi avrebbero inoltre sequestrato due hard disk da 2 terabyte, potenzialmente utili per ricostruire infrastrutture, chat, identità digitali e collegamenti con altri membri.
Scattered Spider: una rete più che una gang
Scattered Spider non è una gang tradizionale ma una rete fluida di giovani, spesso anglofoni, distribuiti tra Stati Uniti, Regno Unito ed Europa. Il gruppo è tracciato anche con altre denominazioni e si distingue per tecniche di social engineering più che per exploit software.
Tecniche usate: social engineering e help desk
La tattica tipica consiste nel contattare l’help desk IT di un’azienda, fingersi un dipendente bloccato e convincere l’operatore a reimpostare password o approvare accessi. Una volta ottenuto l’ingresso, gli attaccanti puntano a furto di dati ed estorsione, minacciando la pubblicazione delle informazioni.
Impatto e numeri attribuiti alle intrusioni
Le indagini indicano un impatto su più settori, con intrusioni attribuite a casinò, retailer, assicurazioni e compagnie aeree. Le autorità stimano oltre 100 intrusioni di rete e oltre 100 milioni in pagamenti di riscatto. Parallelamente cresce la pressione giudiziaria con casi e condanne che mostrano come l’anonimato basato su nickname stia lasciando spazio a identificazioni, arresti ed estradizioni.
Lezioni di sicurezza: il punto debole sono i processi
Dal punto di vista della sicurezza informatica, il punto debole non è solo il firewall ma i processi di verifica identità dell’assistenza tecnica. Le contromisure più efficaci includono controlli rigorosi prima dei reset, procedure anti-impersonificazione e l’adozione di metodi di accesso resistenti al phishing, insieme a monitoraggio delle comunicazioni interne per evitare che un intruso osservi la risposta all’incidente.