Scattered Spider : un suspect extradé de la Finlande vers les États-Unis pour des accusations de piratage

Un jeune homme de 19 ans, binationaux américano-estonien, a été extradé de la Finlande vers Chicago pour faire face à des accusations fédérales de complot, d’intrusion informatique et de fraude en raison de sa présumée appartenance à Scattered Spider, le collectif de piratage accusé de plus de 100 intrusions réseau et de plus de 100 millions de dollars de paiements de rançons depuis 2022. Le ministère de la Justice a annoncé l’extradition le 1er juillet, après l’arrestation de Peter Stokes par les autorités finlandaises en avril 2025 sur la base d’une notice rouge d’Interpol.

Scattered Spider n’est pas un groupe de piratage conventionnel avec une direction centralisée. C’est un collectif anglophone lâchement affilié – parfois décrit par les chercheurs comme « the Com » – qui se spécialise dans l’ingénierie sociale plutôt que dans les exploits techniques. Les membres se font passer pour des employés afin de tromper les services d’assistance IT et leur faire réinitialiser l’authentification multifacteur et les mots de passe, obtenant ainsi un accès direct aux réseaux d’entreprise sans avoir à briser un cryptage ni à exploiter de vulnérabilités logicielles. Le groupe a attiré pour la première fois l’attention du public en septembre 2023 lorsqu’il a pénétré et verrouillé les réseaux de Caesars Entertainment et de MGM Resorts International, forçant les propriétés MGM à fonctionner sans leurs systèmes de réservation et de paiement pendant plus d’une semaine.

Selon la plainte pénale, Stokes – qui aurait utilisé les alias « Bouquet », « Spencer » et « Jordan » – est accusé d’avoir accédé sans autorisation à une plateforme de communication en ligne en mars 2023 et d’avoir participé à une brèche en mai 2025 chez un bijoutier de luxe. Dans cet incident, les procureurs affirment que les attaquants ont imité des employés et demandé des réinitialisations d’identifiants via du phishing, compromettant trois comptes, dont deux comptes d’administrateur IT, en deux à trois heures. Les attaquants auraient utilisé des numéros Google Voice et l’outil de tunneling ngrok pour maintenir un accès persistant aux systèmes internes. Le bijoutier a refusé de payer la rançon de 8 millions de dollars exigée par les attaquants, mais a subi environ 2 millions de dollars de pertes suite à l’incident.

L’extradition constitue une escalade notable dans la poursuite judiciaire de Scattered Spider par les forces de l’ordre, dont les membres seraient dispersés aux États-Unis et au Royaume-Uni, et seraient en grande partie des adolescents et des jeunes adultes recrutés via des forums de jeux et de cybercriminalité. Au-delà des brèches dans les casinos, le groupe a été lié à des intrusions dans le système judiciaire fédéral américain et à des perturbations chez Transport for London. Le FBI et l’Agence nationale de lutte contre la criminalité du Royaume-Uni ont mené une enquête coordonnée et pluriannuelle sur le réseau, plusieurs autres membres présumés ayant été arrêtés auparavant au Royaume-Uni et aux États-Unis.

Les chercheurs en sécurité qui suivent le groupe notent que sa méthodologie low-tech, axée d’abord sur l’ingénierie sociale, rend particulièrement difficile pour les entreprises de se défendre avec des outils de sécurité traditionnels. Plutôt que d’exploiter une vulnérabilité logicielle pouvant être corrigée, Scattered Spider exploite la confiance organisationnelle – un employé du support qui suit la procédure, un administrateur IT qui accorde une réinitialisation de mot de passe de routine. Les entreprises qui ont durci leur périmètre technique peuvent encore être compromises en quelques heures si leurs processus de vérification d’identité pour la récupération de compte ne sont pas tout aussi rigoureux.

Pour les entreprises, cette affaire rappelle que l’authentification multifacteur résistante au phishing et les protocoles stricts de vérification d’identité pour les réinitialisations de mots de passe au service d’assistance restent parmi les défenses les plus efficaces contre ce type d’attaque – nettement plus efficaces que la plupart des investissements en sécurité des terminaux ou du réseau contre un groupe dont la surface d’attaque principale est la confiance humaine plutôt que le code.

Stokes a comparu pour la première fois devant le tribunal fédéral du district nord de l’Illinois à Chicago et reste sous la garde des forces de l’ordre en attendant la suite de la procédure. S’il est reconnu coupable des accusations de complot, d’intrusion informatique et de fraude, il encourt une peine d’emprisonnement fédérale significative, bien que les lignes directrices de la peine n’aient pas encore été détaillées dans les documents judiciaires.

Comme l’a rapporté The Record en premier et confirmé par les déclarations du ministère de la Justice, cette affaire souligne la coordination internationale des forces de l’ordre de plus en plus nécessaire pour poursuivre les groupes de cybercriminalité dont les membres opèrent dans plusieurs juridictions.