Scatter Spider intensifica ataques dirigidos a seguros y minoristas

El colectivo cibercriminal Scatter Spider ha vuelto a dominar los titulares en 2025, tras una ola de ciberataques dirigidos a empresas del sector asegurador y minorista. Entre las víctimas más recientes se encuentran Aflac, Philadelphia Insurance Companies y Erie Insurance, cuyos incidentes fueron revelados a través de informes del Formulario 8-K de la SEC, confirmando robo de datos confidenciales y parálisis operativa.

Google y CISA advierten sobre múltiples intrusiones

El Threat Intelligence Group de Google confirmó que actualmente investiga "múltiples intrusiones con patrones de Scatter Spider" en empresas estadounidenses, particularmente en el sector de los seguros. Este nuevo repunte en la actividad refuerza la peligrosidad de un actor que ha perfeccionado las técnicas de acceso no autorizado basadas en ingeniería social y suplantación de identidad.

Un repaso: ¿quién es Scatter Spider?

Activo desde 2022, Scatter Spider ha sido vinculado a violaciones de alto perfil como:

• Caesars Entertainment (2023): suplantación de un empleado de TI para restablecer credenciales. Resultado: base de datos de fidelización robada y rescate pagado de $15 millones.
• MGM Resorts (2023): ataque vía LinkedIn y call center externo, con filtración de 6 TB de datos, interrupciones de 36 horas y pérdidas por más de $100 millones.
• Transport for London (2024): exposición de datos bancarios de usuarios y empleados, y parálisis de servicios en línea durante meses.

La técnica común en estos ataques es el abuso de procesos de asistencia técnica para eludir el MFA (autenticación multifactor), ganando control de cuentas mediante ingeniería social.

2025: el resurgir de Scatter Spider

En 2025, Scatter Spider ha vuelto a atacar, esta vez centrando sus esfuerzos en retailers del Reino Unido como Marks & Spencer (M&S) y Co-op, ocasionando:

• M&S: £300 millones en pérdidas, desplome bursátil de casi £1.000 millones y una demanda colectiva en curso.
• Co-op: interrupciones en servicios físicos y digitales, junto a exfiltración de datos sensibles.

Las brechas se extendieron rápidamente a marcas globales como Dior, Victoria's Secret, Cartier, Coca-Cola, Adidas, The North Face y United Natural Foods, en una campaña masiva que, a diferencia de incidentes como Snowflake (2024), no se debió a una vulnerabilidad común, sino a una estrategia enfocada en comprometer identidades a escala.

TTP de Scatter Spider: identidad como vector de ataque principal

Scatter Spider se caracteriza por explotar debilidades humanas y procesos de seguridad mal implementados. Sus tácticas, técnicas y procedimientos (TTP) más relevantes incluyen:

• Phishing de credenciales vía correo electrónico y smishing.
• SIM swapping para sortear MFA basada en SMS.
• Fatiga de MFA (push bombing).
• Vishing para obtener códigos MFA de víctimas directamente.
• Ataques contra registradores de dominio, secuestrando DNS corporativo y correos entrantes.
• Uso de kits AiTM como Evilginx, robando sesiones activas del navegador.

Estas técnicas permiten eludir controles tradicionales de endpoint y red, demostrando que la identidad digital es el nuevo punto de ataque.

La identidad es el nuevo perímetro

Scatter Spider refleja una tendencia más amplia: los ataques basados en identidad son ahora la norma. Ya no se trata solo de malware o vulnerabilidades técnicas, sino de suplantación, manipulación de procesos y abuso de confianza. Grupos como Lapsus$, ShinyHunters y hasta APT rusos han adoptado estos métodos, dejando en claro que el terreno de juego ha cambiado.

Las estafas al soporte técnico llegaron para quedarse

Los ataques de asistencia técnica no son nuevos, pero su eficiencia y bajo costo los han vuelto casi inevitables. Su éxito radica en que muchas organizaciones no diferencian procesos de recuperación de cuentas entre empleados comunes y administradores privilegiados, lo que facilita la escalada de privilegios tras el primer acceso.

Scatter Spider evita controles tradicionales de seguridad

Este grupo evita deliberadamente herramientas como EDR, firewalls o antivirus, actuando en zonas donde la visibilidad es baja:

• Servicios en la nube (SaaS), con manipulación de registros y actividad difícil de diferenciar de lo legítimo.
• Entornos VMware, donde despliegan ransomware desde el hipervisor ESXi, fuera del alcance de herramientas de protección del host.

¿Cómo defenderse? Push Security ofrece una solución centrada en la identidad

La seguridad basada en navegador es clave frente a amenazas como Scatter Spider. La plataforma Push Security detecta y responde a ataques de identidad como:

• Phishing AiTM
• Relleno de credenciales y ataques de pulverización de contraseñas
• Secuestro de sesiones y vulnerabilidades en OAuth

Además, Push ha lanzado códigos de verificación de identidad en el navegador: una solución ligera para que los servicios de asistencia puedan verificar de forma segura que el solicitante forma parte legítima de la organización, reduciendo la exposición a fraudes telefónicos.

En fin, Scatter Spider no es solo un grupo de ciberdelincuentes: es el reflejo de una evolución en la forma en que se ejecutan los ciberataques en 2025. La suplantación de identidad, la ingeniería social altamente dirigida y la evasión de MFA son tácticas replicables y efectivas que cualquier organización puede enfrentar.

Reforzar los controles de identidad, revisar procesos de recuperación de cuentas y educar al personal ya no son prácticas recomendadas, sino requisitos fundamentales para sobrevivir en el nuevo panorama de amenazas.

Fuente: No tienes permitido ver enlaces. Registrate o Entra a tu cuenta