Suspeito do Scattered Spider Extraditado da Finlândia para Enfrentar Acusações de Hacking nos EUA

Um cidadão duplo americano e estoniano de 19 anos foi extraditado da Finlândia para Chicago para enfrentar acusações federais de conspiração, intrusão computacional e fraude por sua suposta participação no Scattered Spider, o coletivo de hackers responsabilizado por mais de 100 invasões de rede e mais de US$ 100 milhões em pagamentos de resgate desde 2022. O Departamento de Justiça anunciou a extradição em 1º de julho, após a prisão de Peter Stokes pelas autoridades finlandesas em abril de 2025 sob um Interpol Red Notice.

O Scattered Spider não é um grupo de hackers convencional com liderança centralizada. É um coletivo de língua inglesa e afiliação frouxa — às vezes descrito por pesquisadores como "the Com" — que se especializa em engenharia social em vez de explorações técnicas. Membros se passam por funcionários para enganar help desks de TI a redefinir a autenticação multifator e senhas, dando-lhes acesso direto a redes corporativas sem precisar quebrar qualquer criptografia ou explorar vulnerabilidades de software. O grupo chamou ampla atenção do público em setembro de 2023, quando invadiu e bloqueou as redes da Caesars Entertainment e da MGM Resorts International, forçando as propriedades da MGM a operar sem seus sistemas de reserva e pagamento por mais de uma semana.

De acordo com a denúncia criminal, Stokes — que supostamente usava os pseudônimos "Bouquet", "Spencer" e "Jordan" — é acusado de acesso não autorizado a uma plataforma de comunicação online em março de 2023 e envolvimento em uma violação de uma joalheria de luxo em maio de 2025. Nesse incidente, os promotores afirmam que os invasores se passaram por funcionários e solicitaram a redefinição de credenciais por meio de phishing, comprometendo três contas, incluindo duas de administradores de TI, em duas a três horas. Os invasores usaram números do Google Voice e a ferramenta de túnel ngrok para manter acesso persistente a sistemas internos. A joalheria se recusou a pagar o pedido de resgate de US$ 8 milhões, mas sofreu perdas de aproximadamente US$ 2 milhões com o incidente.

A extradição representa uma escalada notável na perseguição das autoridades ao Scattered Spider, cujos membros acredita-se estarem espalhados pelos EUA e Reino Unido, compostos em grande parte por adolescentes e jovens adultos recrutados por meio de fóruns de jogos e crimes cibernéticos. Além das violações em cassinos, o grupo foi vinculado a invasões no sistema de tribunais federais dos EUA e a interrupções no Transport for London. O FBI e a Agência Nacional de Crime do Reino Unido conduziram uma investigação coordenada e de vários anos sobre a rede, com vários outros supostos membros presos anteriormente no Reino Unido e nos EUA.

Pesquisadores de segurança que monitoram o grupo observam que sua metodologia de baixa tecnologia e engenharia social em primeiro lugar torna particularmente difícil para as empresas se defenderem com ferramentas de segurança tradicionais. Em vez de explorar uma vulnerabilidade de software que pode ser corrigida, o Scattered Spider explora a confiança organizacional — um funcionário de help desk seguindo procedimentos, um administrador de TI concedendo uma redefinição rotineira de senha. Empresas que endureceram seu perímetro técnico ainda podem ser comprometidas em horas se seus processos de verificação de identidade para recuperação de contas não forem igualmente rigorosos.

Para as empresas, o caso é um lembrete de que a autenticação multifator resistente a phishing e protocolos estritos de verificação de identidade para redefinições de senha no help desk continuam sendo uma das defesas mais eficazes contra esse tipo de ataque — consideravelmente mais eficaz do que a maioria dos investimentos em segurança de endpoint ou camada de rede contra um grupo cuja principal superfície de ataque é a confiança humana, não o código.

Stokes fez sua primeira aparição no tribunal federal do Distrito Norte de Illinois, em Chicago, e permanece sob custódia das autoridades, aguardando novos procedimentos. Se condenado pelas acusações de conspiração, intrusão computacional e fraude, ele enfrenta uma pena federal significativa de prisão, embora as diretrizes de condenação ainda não tenham sido detalhadas nos autos.

Conforme noticiado pelo The Record e confirmado por comunicados do Departamento de Justiça, o caso ressalta a coordenação internacional das forças de ordem cada vez mais necessária para perseguir grupos de crimes cibernéticos cujos membros atuam em múltiplas jurisdições.