Scattered Spider members plead guilty to hacking Transport for London

Condamnation du groupe Scattered Spider pour l’attaque contre Transport for London

Deux membres du collectif cybercriminel « Scattered Spider », Thalha Jubair (20 ans) et Owen Flowers (18 ans), ont plaidé coupables de l’intrusion informatique ayant visé Transport for London (TfL) entre fin août et début septembre 2024. Cette cyberattaque a provoqué des perturbations majeures des systèmes de remboursement Oyster, compromis des données clients et engendré des pertes financières estimées à 29 millions de livres sterling (environ 38,3 millions de dollars).

Points clés :

• Impact opérationnel : L’attaque a contraint TfL à exiger le changement de mot de passe en présentiel pour l’ensemble de ses 28 000 employés.
• Preuves incriminantes : Les enquêteurs de la National Crime Agency (NCA) ont saisi des ordinateurs contenant des preuves directes (captures d’écran, vidéos des intrusions) et des traces d’accès à des marchés de revente d’identifiants volés.
• Mode opératoire : Les attaquants ont coordonné leur intrusion via Telegram et des plateformes de collaboration en ligne.
• Multiplicité des cibles : Outre TfL, Flowers est impliqué dans des intrusions visant des organisations de santé américaines (SSM Health Care et Sutter Health).

Vulnérabilités : L’article ne mentionne pas de CVE spécifique, mais l’incident souligne une vulnérabilité critique liée à la gestion des identifiants (compromission de comptes) et à l’accès initial aux infrastructures critiques par le biais de techniques de piratage sophistiquées.

Recommandations :

• Collaboration avec les autorités : La NCA souligne l’importance cruciale pour les organisations victimes d’engager une coopération précoce avec les forces de l’ordre pour faciliter les enquêtes et l’arrestation des coupables.
• Gestion des accès et durcissement : L’incident met en évidence la nécessité de renforcer les protocoles d’authentification et de surveiller activement les accès aux infrastructures sensibles pour limiter le mouvement latéral des attaquants.
• Réponse aux incidents : Maintenir des plans de continuité rigoureux, comme l’illustre la réponse d’urgence mise en place par TfL pour sécuriser ses systèmes après la compromission.

Source