Scattered Spider, l’FBI lancia l’allarme, obiettivo il settore aereo

Il gruppo di criminali informatici noto come Scattered Spider ha ripreso a colpire, questa volta mirando a compagnie aeree e fornitori di servizi tecnologici collegati al settore dell’aviazione. L’FBI ha emesso un'allerta formale. Il gruppo è già noto per attacchi ad alto impatto nel 2023 contro MGM Resorts e Caesars Entertainment.

I loro attacchi si basano su un’evoluzione sofisticata del social engineering. Fingendosi dipendenti legittimi, i membri del gruppo contattano l’helpdesk IT delle aziende vittime. Puntano a ottenere l’aggiunta di nuovi dispositivi di autenticazione multifattore (MFA) o il reset delle credenziali di accesso. In alcuni casi riescono a convincere gli operatori a disabilitare temporaneamente l’MFA. Tutto questo avviene senza l’utilizzo di malware tradizionale.

La tecnica di base è il cosiddetto "MFA fatigue", ma potenziata da pretexting convincente e spoofing di chiamate. Utilizzano dati precedentemente sottratti da altre intrusioni o acquistati nel dark web per rendere la richiesta plausibile. Possono anche fare "SIM swapping" per intercettare OTP su SMS.

Una volta ottenuto l’accesso iniziale, si muovono lateralmente nella rete con strumenti legittimi, spesso Living-Off-The-Land (LOTL), come PowerShell, PsExec o RDP. Non lasciano quasi tracce evidenti. In alcuni casi, hanno anche registrato le sessioni dei dipendenti per raccogliere credenziali e sessioni attive.

Scattered Spider è composto da individui giovani, probabilmente basati negli Stati Uniti, con una forte competenza tecnica e un’abilità particolare nel manipolare operatori umani. Non sempre usano ransomware: a volte minacciano la pubblicazione dei dati esfiltrati, puntando al doppio guadagno tra estorsione e rivendita.

Le aziende colpite non hanno riportato impatti diretti sulla sicurezza dei voli, ma in più casi i sistemi interni e i flussi operativi sono stati compromessi. L’accesso privilegiato alle infrastrutture IT, anche solo temporaneo, basta per mettere a rischio asset critici.

Questo tipo di minaccia può colpire anche in Europa. Le tecniche sfruttate non richiedono exploit, ma debolezze umane e organizzative. I SOC italiani devono prepararsi a rispondere non solo a IOC statici, ma a comportamenti anomali, escalation silenziose, e manipolazioni fuori dal perimetro tecnico. L'ingegneria sociale, oggi, è l’entrypoint preferito dagli attori più efficaci.