On parle souvent de « zéro-day ». Scattered Spider, lui, a perfectionné le zéro-doute. Plutôt que d’attaquer vos firewalls, il appelle votre helpdesk. Plutôt que de développer un rootkit inédit, il envoie des vagues de notifications MFA jusqu’à l’erreur. En trois ans à peine, ce collectif aussi fuyant que prolifique a prouvé qu’un téléphone, un portail SSO cloné et un script social convaincant suffisent à faire plier des groupes du Fortune 500, jusqu’à paralyser des casinos, bousculer des retailers et désormais viser l’aviation.
De l’« Oktapus » au rançonnage d’infrastructures : genèse d’un prédateur
Printemps 2022. Des hameçonnages ciblés d’employés Okta balaient les timelines des CERT : la campagne « Oktapus » installe le décor. Très vite, les cibles s’élargissent vers les opérateurs télécoms et les BPO (Business Process Outsourcing), leviers idéaux pour court-circuiter l’authentification et se glisser dans des écosystèmes entiers.
En 2023, le collectif bascule à plein régime dans l’extorsion et le Ransomware-as-a-Service, avec des épisodes devenus cas d’école : MGM Resorts et Caesars. Les chiffres parlent : MGM estimera l’impact à >100 M$, Caesars paiera ≈15 M$ pour étouffer la divulgation.
2024 marque l’entrée fracassante dans le retail : Marks & Spencer annoncera ≈300 M£ d’impact opérationnel, un ordre de grandeur rarissime pour un acteur historique du secteur. Les arrestations de profils très jeunes au Royaume-Uni et aux États-Unis n’enrayeront pas la dynamique : Scattered Spider est une nébuleuse, pas une cellule unique.
2025, le ciel s’assombrit : pivot vers l’aviation
Début été 2025, le FBI et plusieurs acteurs privés tirent la sonnette d’alarme : le collectif pivote vers l’aviation, un domaine où la continuité d’activité est critique et les dépendances tierces innombrables. Des incidents touchent WestJet (13 juin) et Hawaiian Airlines (fin juin) ; la presse spécialisée et des intervenants sur incident y voient la patte de Scattered Spider, pendant que les compagnies gèrent encore la phase de remédiation. Des signaux émergent aussi autour de Qantas. Pour les SOC, le message est clair : menace trans-secteurs, capacité d’apprentissage rapide et chaîne d’attaque qui esquive la télémétrie endpoint lorsqu’elle remonte jusqu’aux hyperviseurs ESXi (logiciels VMware permettant de gérer des machines virtuelles, dont la compromission offre un contrôle total sur les serveurs).
L’anatomie d’une intrusion : le zéro-doute avant le zéro-day
La phase d’observation est méthodique : organigrammes, conventions de nommage, procédures de support, empreintes SaaS, jusqu’à la présence d’un IdP (Okta/Entra/OneLogin). Le premier coup porte sur l’identité : faux portails SSO au pixel près, domaines typosquattés qui reprennent okta, sso, helpdesk, internal, couplés à du smishing et du vishing façon « support IT ». L’objectif : récolter les identifiants et neutraliser le MFA par fatigue (push bombing), SIM-swap (détournement du numéro de téléphone d’une victime pour intercepter ses codes MFA), ou par ajout d’un nouvel appareil MFA via un helpdesk abusé.
Une fois dedans, le groupe vit de l’environnement : RMM légitimes (Remote Monitoring & Management – outils comme AnyDesk, TeamViewer, ScreenConnect utilisés pour administrer les machines à distance) pour la persistance invisible, commandes RDP/SSH/PsExec (RDP : Remote Desktop Protocol, SSH : Secure Shell, PsExec : exécution de commandes à distance pour Windows) pour la latéralisation, Mimikatz/LSASS/DCSync (Mimikatz : outil pour extraire mots de passe et jetons ; LSASS : processus Windows stockant les identifiants ; DCSync : technique permettant d’imiter un contrôleur AD pour aspirer tous les mots de passe) pour l’ascension vers Active Directory.
Les campagnes les plus redoutées sautent ensuite vers vCenter/VCSA (console VMware pour gérer les hyperviseurs et machines virtuelles), et ESXi, où le chiffrement « au niveau hyperviseur » et le sabotage des sauvegardes doublent l’effet de levier : peu d’IoC endpoint, beaucoup d’impact.
Au-delà de l’exploit, l’économie de l’extorsion
L’outil final importe moins que le théâtre. Selon les opportunités, Scattered Spider affilie ses intrusions à des franchises RaaS — ALPHV/BlackCat, RansomHub, Qilin/DragonForce — et orchestre la double extorsion : chiffrement + menace de divulgation. Dans plusieurs cas, le collectif instrumentalise l’opinion via Telegram/Discord pour amplifier la pression réputationnelle. En 2025, des recoupements médiatiques évoquent des proximités avec LAPSUS$ ou ShinyHunters ; l’essentiel pour un RSSI n’est pas l’étiquette, mais la constante : monétiser l’identité compromise.
À la mi-2025, de nombreux rapports de renseignement ont mis en évidence des connexions possibles avec LAPSUS$ et ShinyHunters. Pour les RSSI et les équipes CTI, ce n'est pas l'étiquette qui importe, mais la constante : la monétisation des identités compromises à grande échelle.
Pourquoi ils gagnent : process contre process
La supériorité de Scattered Spider ne tient pas à des 0-day exotiques, mais à une connaissance chirurgicale de vos propres processus : comment un agent du helpdesk valide un reset, qui peut ajouter un device MFA, quelles exceptions sont tolérées « pour rétablir le service ».
Le collectif transforme chaque tolérance opérationnelle en vecteur d’intrusion. Quand l’EDR couvre parfaitement les postes, il déporte la bataille au-dessus du noyau : drivers vulnérables (BYOVD), hyperviseurs, IdP cloud et chaînes de sauvegardes. L’adversaire ne cherche pas la porte dérobée, il devient l’opérateur que vos procédures attendent.
Le coût réel : des chiffres, mais surtout des jours perdus
MGM et Caesars ont servi d’électrochoc côté hôtellerie-loisirs. En 2025, Marks & Spencer publie une estimation ≈300 M£ d’impact sur le résultat opérationnel ; quinze semaines auront été nécessaires pour restaurer certains services « click-and-collect ».
Dans l’aviation, même sans chute d’avions, chaque heure d’indisponibilité déstructure l’exploitation, contamine la relation client et accroît la pression à payer. Dans tous les cas, c’est la durée — pas seulement la rançon — qui saigne.
Passer à l’offensive défensive : trois chantiers en 90 jours
Identité & helpdesk. Reprendre le contrôle des changements sensibles : aucun ajout d’appareil MFA ni reset d’un compte à privilège sans double validation hors bande et preuve de possession forte. Bannir autant que possible SMS OTP au profit de FIDO2/WebAuthn et number-matching. Outiller le SOC pour surveiller les événements IdP (enrôlement MFA, ajout d’IdP tiers, échecs MFA en rafale) et croiser ces signaux avec les tickets helpdesk pour détecter l’usurpation "processuelle".
AD → vSphere Segregation. Décorréler ESXi d’Active Directory chaque fois que possible ; à défaut, comptes dédiés, rôles minimaux, MFA au login vCenter, SSH off par défaut, bastion et allow-list réseau. Centraliser la journalisation vCenter/VCSA/ESXi dans le SIEM et corréler les séquences « reset MFA → login vCenter → snapshots supprimés → pics d’I/O » pour détecter les chaînes d’attaque avant l’impact maximal. Tester la restauration hors bande depuis des sauvegardes immuables.
RMM & mouvements latéraux. Formaliser une politique d’outillage à distance : quelles solutions, quels usages, quelles traces, jamais d’accès « unattended » hors IT. Enrichir la télémétrie EDR/NDR pour repérer le RDP hors plage, PsExec hors norme, et les tunnels ad hoc (Chisel/Plink). Déployer des canaris d’identifiants et tokens de partage pour accélérer la détection de l’exfiltration.
Pour les CTI : traquer le label… sans s’y enfermer
La CTI utile ne s’arrête pas au nom Scattered Spider. Conservez des watchlists dynamiques sur les patterns DNS/HTTP autour de okta, sso, help, internal, corp et dérivés (« he1p », servicedesk, work, vpn), enrichies par les IoC de campagnes récentes ; suivez les évolutions sur les kits de phishing et les infrastructures publiées par la recherche (Check Point, Mandiant). Corrélez avec les tentatives d’enrôlement MFA et les créations d’IdP fédérés dans vos tenants cloud. Autrement dit, traquez la technique, pas l’avatar.
En bref : les failles humaines exigent une réponse organisationnelle.
Un adversaire qui exploite les failles de vos processus nécessite une défense axée sur les processus.
Scattered Spider a démontré qu’un adversaire processuel battra toujours une défense strictement technique. Si vos équipes durcissent l’EDR mais laissent une faille dans la vérification helpdesk, l’attaquant choisira la voie humaine.
La réponse est connue mais exigeante : MFA résistante au phishing, garde-fous formalisés sur le support, corrélations inter-plans (IdP, AD, hyperviseur, sauvegardes) et exercices de crise qui jouent le vrai scénario : de l’appel usurpé jusqu’au chiffrement depuis ESXi.
Vous ne déjouerez pas chaque ruse, mais vous réduirez l’angle mort qui transforme une intrusion en catastrophe.
Sources :
- Varonis - "Scattered Spider : Ce qu'il faut savoir"
- CISA/IC3 - "Scattered Spider" (cartographie MITRE, 29 juillet 2025, PDF)
- Check Point Research - "Exposer l'araignée dispersée : Nouveaux indicateurs..." (juillet 2025)
- Mandiant/Google Cloud - "Défendre votre patrimoine VMware vSphere contre l'UNC3944" (23 juillet 2025)
- Reuters - "Estimation des coûts des cyberattaques M&S (11/20 août 2025)
- SecurityWeek - "Cyberattaque de WestJet" (16 juin 2025)
- The Record - "Hawaiian Airlines Cyberattack" (27 juin 2025)
- CrowdStrike - "SCATTERED SPIDER et BYOVD" (10 janvier 2023)
