Jovem suspeito de atuar com o Scattered Spider é extraditado aos EUA por invasões e extorsão

Um homem de 19 anos, com dupla cidadania dos Estados Unidos e da Estônia, foi extraditado da Finlândia para Chicago nesta semana para responder a acusações criminais relacionadas à participação em ataques atribuídos ao grupo de cibercrime Scattered Spider.

Peter Stokes compareceu inicialmente na terça-feira a um tribunal federal do Distrito Norte de Illinois, segundo o Departamento de Justiça dos Estados Unidos. A queixa criminal do FBI o acusa de conspiração, intrusão cibernética e fraude.

O principal caso descrito na denúncia envolve a violação de dados de uma empresa não identificada do setor de joias de luxo, citada no documento como “Company F”. Segundo o FBI, por volta de 12 de maio de 2025, Stokes e possivelmente outros integrantes do Scattered Spider teriam roubado dados da companhia e exigido um resgate de US$ 8 milhões em criptomoedas.

De acordo com a queixa, os invasores se passaram por usuários funcionários da empresa e solicitaram a redefinição de credenciais de autenticação, incluindo senha e dispositivo móvel usado para autenticação multifator. A técnica permitiu o comprometimento de três contas de usuários da empresa em um intervalo aproximado de duas a três horas. Entre elas estavam duas contas pertencentes a administradores de TI com acesso a contas de alto privilégio.

A cadeia de ataque descrita pelo FBI se baseou principalmente em engenharia social contra o help desk de TI. Os suspeitos teriam usado números do Google Voice para ligar para o suporte interno, solicitar redefinições de senha e, a partir disso, acessar contas com níveis mais elevados de permissão. Esse tipo de abordagem é uma marca recorrente em campanhas associadas ao Scattered Spider, grupo conhecido por explorar processos de suporte, identidade digital e autenticação em vez de depender apenas de exploração técnica de vulnerabilidades.

A denúncia também aponta que, após o acesso inicial, os responsáveis pela operação usaram o ngrok, uma ferramenta legítima usada por desenvolvedores para gerenciar tráfego de internet, para manter acesso não autorizado persistente ao data center da empresa. No contexto descrito pelo FBI, o uso da ferramenta teria funcionado como um meio de continuidade de acesso ao ambiente comprometido.

A empresa de joias não pagou o resgate de US$ 8 milhões, segundo o FBI. Ainda assim, os prejuízos relacionados à interrupção de negócios, investigação e mitigação chegaram a aproximadamente US$ 2 milhões, com expectativa de perdas adicionais. O caso mostra como ataques baseados em engenharia social podem gerar impacto financeiro relevante mesmo quando a vítima não realiza o pagamento exigido pelos criminosos.

A queixa revelada nesta semana também acusa Stokes de obter acesso não autorizado, em março de 2023, à rede de uma plataforma de comunicação online identificada no documento como “Company H”.

Stokes, que segundo as autoridades usava os aliases “Bouquet”, “Spencer” e “Jordan”, foi preso por autoridades finlandesas em abril, após a emissão de um alerta vermelho da Interpol. O jornal Chicago Tribune havia noticiado a prisão no início da primavera no hemisfério norte. Após a audiência de terça-feira, ele permaneceu sob custódia das autoridades.

O Scattered Spider é descrito como um grupo pouco estruturado, de língua inglesa, associado a diferentes operações de fraude e invasão. Integrantes ou supostos membros do grupo já foram acusados ou condenados por golpes com phishing via SMS, violações contra cassinos nos Estados Unidos, ataque a um sistema judicial federal e uma grande interrupção de rede na agência de transporte de Londres.

O governo dos Estados Unidos estima que o Scattered Spider tenha participado de mais de 100 intrusões em redes e arrecadado mais de US$ 100 milhões em pagamentos de resgate. As acusações contra Stokes acrescentam mais um caso à série de investigações envolvendo o grupo, cuja atuação tem chamado atenção pelo uso agressivo de engenharia social, abuso de processos internos de autenticação e extorsão baseada em roubo de dados.