Scattered Spider-Verdächtiger aus Finnland an die USA ausgeliefert

Ein 19-jähriger Doppelstaatsbürger der USA und Estlands ist aus Finnland nach Chicago ausgeliefert worden. Ihm werden Verschwörung, Computereinbruch und Betrug vorgeworfen, da er angeblich Mitglied von Scattered Spider war – jener Hackerkollektiv, dem seit 2022 mehr als 100 Netzwerkeinbrüche und Lösegeldzahlungen von über 100 Millionen Dollar zur Last gelegt werden. Das US-Justizministerium gab die Auslieferung am 1. Juli bekannt, nachdem Peter Stokes im April 2025 von den finnischen Behörden auf Grundlage eines Interpol-Red-Notices festgenommen worden war.

Scattered Spider ist keine konventionelle Hackergruppe mit zentraler Führung. Es handelt sich um ein loses, englischsprachiges Kollektiv – von Forschern manchmal als "the Com" bezeichnet – das sich auf Social Engineering statt auf technische Exploits spezialisiert hat. Mitglieder geben sich als Mitarbeiter aus, um IT-Helpdesks dazu zu bringen, Multi-Faktor-Authentifizierungen und Passwörter zurückzusetzen – und erhalten so direkten Zugang zu Unternehmensnetzwerken, ohne Verschlüsselung knacken oder Software-Sicherheitslücken ausnutzen zu müssen. Die Gruppe erregte erstmals im September 2023 große öffentliche Aufmerksamkeit, als sie die Netzwerke von Caesars Entertainment und MGM Resorts International infiltrierte und lahmlegte. MGM-Immobilien mussten daraufhin über eine Woche lang ohne ihre Buchungs- und Zahlungssysteme betrieben werden.

Laut der Strafanzeige wird Stokes – der angeblich die Aliasnamen "Bouquet", "Spencer" und "Jordan" verwendete – beschuldigt, im März 2023 unbefugt auf eine Online-Kommunikationsplattform zugegriffen und im Mai 2025 an einem Einbruch bei einem Luxusjuwelier beteiligt gewesen zu sein. Bei diesem Vorfall hätten sich die Angreifer laut Staatsanwaltschaft als Mitarbeiter ausgegeben und über Phishing-Passwortzurücksetzungen angefordert. Innerhalb von zwei bis drei Stunden hätten sie drei Konten kompromittiert, darunter zwei IT-Administratorkonten. Die Angreifer nutzten offenbar Google-Voice-Nummern und das ngrok-Tunneling-Tool, um dauerhaften Zugang zu internen Systemen zu erhalten. Der Juwelier weigerte sich, die geforderten 8 Millionen Dollar Lösegeld zu zahlen, erlitt aber durch den Vorfall Schäden in Höhe von rund 2 Millionen Dollar.

Die Auslieferung stellt eine deutliche Eskalation der Strafverfolgungsbemühungen gegen Scattered Spider dar, deren Mitglieder vermutlich über die USA und Großbritannien verstreut sind und weitgehend aus Teenagern und jungen Erwachsenen bestehen, die über Gaming- und Cybercrime-Foren rekrutiert wurden. Neben den Casino-Einbrüchen wird die Gruppe mit Angriffen auf das US-Bundesgerichtssystem und Störungen bei Transport for London in Verbindung gebracht. Das FBI und die britische National Crime Agency haben eine koordinierte, mehrjährige Untersuchung des Netzwerks durchgeführt; mehrere andere mutmaßliche Mitglieder wurden zuvor in Großbritannien und den USA festgenommen.

Sicherheitsforscher, die die Gruppe beobachten, weisen darauf hin, dass ihre lowtech-, social-engineering-first-Methodik es Unternehmen besonders schwer macht, sich mit herkömmlichen Sicherheitstools dagegen zu wehren. Statt eine patchbare Software-Sicherheitslücke auszunutzen, nutzt Scattered Spider das Vertrauen innerhalb von Organisationen aus – ein Helpdesk-Mitarbeiter, der einer Routine folgt, ein IT-Administrator, der eine routinemäßige Passwortzurücksetzung gewährt. Unternehmen, die ihre technische Peripherie gehärtet haben, können dennoch innerhalb von Stunden kompromittiert werden, wenn ihre Identitätsverifizierungsprozesse für die Kontowiederherstellung nicht ebenso rigoros sind.

Für Unternehmen ist dieser Fall eine Erinnerung daran, dass phishing-resistente Multi-Faktor-Authentifizierung und strenge Identitätsverifizierungsprotokolle für Passwortzurücksetzungen am Helpdesk zu den effektivsten Abwehrmaßnahmen gegen diese Art von Angriffen gehören – wesentlich effektiver als die meisten Endpunkt- oder Netzwerkschicht-Investitionen gegen eine Gruppe, deren primäre Angriffsfläche menschliches Vertrauen und nicht Code ist.

Stokes erschien erstmals vor einem Bundesgericht im Northern District of Illinois in Chicago und bleibt bis zu weiteren Verfahren in Haft. Sollte er wegen der Verschwörungs-, Computereinbruchs- und Betrugsvorwürfe verurteilt werden, droht ihm eine erhebliche Bundesgefängnisstrafe, wobei die Strafrichtlinien in den Gerichtsakten noch nicht im Detail dargelegt wurden.

Wie zuerst von The Record berichtet und durch Mitteilungen des US-Justizministeriums bestätigt, unterstreicht der Fall die zunehmend erforderliche internationale Strafverfolgungskoordination, um Cyberkriminalitätsgruppen zu verfolgen, deren Mitglieder in mehreren Rechtsräumen agieren.