SIM-Swapper, Scattered Spider Hacker Gets 10 Years

Condamnation d’un membre clé du groupe de cybercriminalité Scattered Spider

Un jeune homme de 20 ans, Noah Michael Urban, a été condamné à 10 ans de prison fédérale et à une restitution de 13 millions de dollars pour son implication dans le groupe de cybercriminalité “Scattered Spider”. Ce groupe est spécialisé dans les attaques par SIM-swapping et le hameçonnage par SMS ou voix.

Points clés :

• Attaque par SIM-swapping : Urban a conspiré avec d’autres pour détourner des appels et messages de téléphones portables vers des appareils contrôlés par le groupe, dérobant au moins 800 000 dollars à cinq victimes.
• Usurpation d’identité et vol de données : Scattered Spider, également connu sous les noms d’“Oktapus”, “Scatter Swine” et “UNC3944”, a ciblé plus de 130 entreprises. Le groupe utilisait des sites de hameçonnage imitant les pages d’authentification (comme Okta) pour obtenir les identifiants et codes d’accès uniques des employés. Ces accès ont permis de voler des données d’entreprise confidentielles, des informations client et des cryptomonnaies.
• Activités en ligne : Urban utilisait les pseudonymes “King Bob” et “Sosa”. Il était actif au sein de la communauté cybercriminelle “the Com” et faisait partie du groupe “Star Fraud”, impliqué dans des attaques d’extorsion contre des entreprises majeures comme Caesars Entertainment et MGM Resorts.
• Fraude et complot : Urban a plaidé coupable de fraude électronique et de complot. La restitution de 13 millions de dollars couvre les victimes des cas de Floride et de Californie.
• Incident de piratage de juge : Il a été révélé qu’un co-accusé avait piraté le compte email d’un juge pendant le déroulement de l’affaire d’Urban, dans le but d’obtenir des informations sur ses activités.

Vulnérabilités exploitées :

• SIM-swapping : Technique consistant à transférer un numéro de téléphone vers une carte SIM contrôlée par l’attaquant. Cela est souvent rendu possible par la compromission d’informations personnelles ou par des employés peu vigilants de fournisseurs de services mobiles.
• Ingénierie sociale (Hameçonnage SMS/voix) : Les attaquants trompent les employés pour obtenir leurs identifiants et codes d’accès via des messages textes ou des appels téléphoniques frauduleux.

Recommandations implicites :

• Sensibilisation à la sécurité des employés : Les entreprises doivent former leurs employés à reconnaître les tentatives de hameçonnage et à ne pas partager d’informations sensibles.
• Protection contre le SIM-swapping : Les utilisateurs devraient renforcer la sécurité de leurs comptes mobiles, par exemple en utilisant des codes PIN de blocage de carte SIM et des authentifications multifacteurs robustes.
• Sécurité des identifiants et des accès : Les entreprises doivent mettre en place des politiques de sécurité strictes pour la gestion des mots de passe et l’authentification multifacteur.
• Surveillance et conformité : Les opérateurs de téléphonie mobile doivent renforcer leurs procédures pour prévenir le SIM-swapping illégal.

Source