Un documento giudiziario reso pubblico negli Stati Uniti mostra come un identificatore persistente di Windows abbia aiutato gli investigatori a collegare un presunto membro di Scattered Spider a una violazione informatica contro un rivenditore di gioielli di lusso. Il punto chiave non è una vulnerabilità software, ma una catena di social engineering che parte dall’help desk IT e porta al controllo di account privilegiati, al furto di dati e a una richiesta di riscatto.
Timeline dell’attacco e compromissione degli account
Tra il 12 e il 15 maggio 2025 gli attaccanti hanno contattato il supporto tecnico usando numeri Google Voice, fingendosi dipendenti bloccati. Ottenendo reset di password e dei dispositivi associati alla multifactor authentication, sono riusciti in poche ore a prendere il controllo di tre account, inclusi due di amministratori IT.
Strumenti usati, accesso remoto ed esfiltrazione
Una volta dentro hanno installato strumenti di tunneling come ngrok e Teleport per creare canali di accesso e movimento laterale, poi hanno trasferito dati verso storage cloud su Amazon, esfiltrando almeno 77 gigabyte.
Ransomware, estorsione e impatto economico
Secondo gli atti, il tentativo di distribuire ransomware sarebbe stato bloccato dal team di sicurezza, che ha interrotto la permanenza degli intrusi nella rete. Nonostante ciò, è stata inviata una email di estorsione con richiesta di 8 milioni di dollari in criptovaluta. La vittima non avrebbe pagato, ma la gestione dell’incidente avrebbe comunque generato circa 2 milioni di dollari tra interruzioni operative, indagini e bonifica.
Lezioni per la cybersecurity: help desk e reset MFA
La lezione per la cybersecurity aziendale è chiara: se il processo di verifica identità dell’help desk è debole, anche la MFA più moderna può essere aggirata con un semplice reset telefonico. Per ridurre il rischio servono procedure robuste per i reset:
- Richiamata su numeri già registrati
- Approvazione del responsabile per richieste sensibili
- Verifiche aggiuntive per account privilegiati
- Adozione di MFA resistente al phishing (es. chiavi FIDO2), ricordando però che non sostituisce i controlli del supporto
Svolta investigativa: Global Device Identifier di Windows
Sul fronte investigativo, la svolta è arrivata da un Global Device Identifier associato a una installazione Windows, un ID che sopravvive agli aggiornamenti ma cambia con la reinstallazione del sistema. Questo identificatore è stato collegato alla creazione dell’account ngrok usato nell’attacco e poi incrociato con altri accessi online e tracciamenti IP in diverse località, costruendo un percorso attribuivo nonostante l’uso di proxy e VPN. Il caso evidenzia come tracce tecniche apparentemente secondarie, come gli identificatori di dispositivo, possano diventare decisive nelle indagini su gruppi di cybercrime distribuiti e difficili da smantellare.