Scattered Spider

El grupo criminal organizado Scattered Spider, también conocido como Oktapus, Octo Tempest o UNC3944, fue observado por primera vez en el horizonte de amenazas a mediados de 2022. Este grupo no es un operador de ransomware como tal y, aunque se han observado campañas en las que han desplegado este tipo de malware, el grupo se centra principalmente en robo de datos sin cifrado.

Scattered Spider ha atacado gran cantidad de sectores como el tecnológico, entretenimiento o el financiero – siendo el sector de telecomunicaciones y el financiero los sectores preferidos del grupo. Si bien no se conoce el país de origen del grupo, algunos individuos identificados como pertenecientes a la organización eran estadounidenses y británicos, lo que indica que esta OCG es de origen angloparlante y no ruso (para variar). En octubre de 2023 el grupo pasó a ser un afiliado del ya desaparecido ALPHV.

Scattered Spider fue originalmente observado cuando llevó a cabo una intrusión en Twilio, una compañía estadounidense de tecnología dedicada a ofrecer una plataforma en la nube para servicios de comunicación. El primer paso de esta intrusión era llevar a cabo un ataque a la cadena de suministro; el objetivo final era obtener números de teléfono y contraseñas de un solo uso (One Time Passwords - OTP) que se habían enviado por SMS a clientes de Okta. Esta empresa utilizaba los servicios de Twilio para su autenticación multifactor (MFA) y, dado que Scattered Spider ya había comprometido credenciales válidas previamente, ahora podía iniciar sesión, evitando este tipo de medida de seguridad.

El grupo ha utilizado de manera satisfactoria técnicas de ingeniería social como el vishing (phishing por voz), smishing y la manipulación de empleados internos para obtener credenciales de acceso privilegiado – como en el ataque a MGM Resorts, en el que consiguió el acceso mediante ingeniería social dirigida contra el departamento de Help Desk y accedió a los hipervisores ESXi de la empresa. Una vez obtenido el acceso inicial, el grupo emplea diversas TTPs y herramientas para moverse a través de la red corporativa y ejecutar los comandos necesarios, establecer comunicación y, en algunos casos, desplegar ransomware. En julio de 2024, Microsoft detectó que Scattered Spider había usado el ransomware Qilin y el de RansomHub en diversos ataques.

Este grupo ha demostrado tener capacidad para comprometer entidades de alto perfil empleando diversas tácticas y técnicas. En noviembre de 2024, la Justicia estadounidense presentó cargos contra cinco individuos de entre 20 y 25 años que estaban presuntamente vinculados al grupo. Otros miembros del grupo han sido arrestados con anterioridad, una detención reciente fue llevada a cabo en Palma de Mallorca, donde la Policía Nacional detuvo al ciudadano británico de 22 años.

En la primera mitad de 2025 Scattered Spider evoluciona, pasando a convertirse en una pieza central del ecosistema de ransomware. Su campaña contra el retail británico en abril-mayo dejó pérdidas de £206M en Co-op y más de £300M en Marks & Spencer (M&S), operando con la plataforma del cartel DragonForce como herramienta de cifrado. El punto de inflexión llegó en agosto: Scattered Spider, LAPSUS$ y Shiny Hunters anunciaron su fusión bajo su joint-venture "Scattered LAPSUS$ Shiny Hunters (SLSH)", creando canales en Telegram y estableciendo el primer modelo de colaboración multi-grupo a escala. Más adelante, a finales de año realizaron ataques a Jaguar y Land Rover entre otros.

Durante 2026 el grupo mantuvo su actividad durante todo el primer semestre. En Abril, un miembro de Scattered Spider de 19 años de edad fue detenido en el aeropuerto de Helsinki cuando intentaba volar a Japón, más tarde EE.UU. solicitó su extradición a Chicago por al menos cuatro operaciones atribuidas al grupo. Por otra parte, el fabricante IBM X-Force señaló a Scattered Spider como uno de los principales impulsores del aumento de casi cuatro veces en compromisos de supply chain desde 2020.

Por el momento no se puede cuantificar el impacto que tendrán estas detenciones en las capacidades del grupo; existe la posibilidad de que Scattered Spider siga operando con normalidad o que, por otra parte, se disuelva y sus miembros pasen a operar como afiliados en otras OCGs.