Hồ sơ tòa án cho thấy định danh thiết bị Windows giúp truy vết nghi phạm Scattered Spider
"A newly unsealed federal complaint says U.S. prosecutors used a persistent Windows Global Device Identifier to link an alleged Scattered Spider member to a May 2025 intrusion at a luxury jewelry retailer. The attackers used help-desk social engineering to reset credentials, deployed ngrok and Teleport for tunneling, exfiltrated at least 77 GB, and attempted ransomware; the retailer blocked encryption, and the case highlights identity verification and phishing-resistant MFA as the main mitigations rather than a software patch."
Vụ việc cho thấy rủi ro lớn từ social engineering vào help desk và khả năng liên kết điều tra nhờ Windows Global Device Identifier; điểm then chốt là reset MFA qua cuộc gọi có thể làm suy yếu phòng thủ dù có MFA.
Tác động kinh doanh gồm rò rỉ dữ liệu và gián đoạn hoạt động; hồ sơ nêu chi phí khoảng 2 triệu USD cho điều tra, khắc phục và gián đoạn, đồng thời rủi ro đòi tiền vẫn phát sinh dù không trả.
Một đơn khiếu nại liên bang vừa được công khai cho biết công tố viên Mỹ đã dùng Windows Global Device Identifier để liên kết một nghi phạm thuộc Scattered Spider với vụ xâm nhập xảy ra tại một cửa hàng trang sức hạng sang vào tháng 5/2025. Theo hồ sơ, Microsoft ghi nhận định danh này gắn với thiết bị đã truy cập trang đăng ký ngrok đúng thời điểm tài khoản được tạo, sau đó tiếp tục xuất hiện trong các phiên truy cập cùng thời điểm với các tài khoản trực tuyến bị cho là của Peter Stokes.
Về phương thức tấn công, kẻ xấu gọi điện tới bộ phận help desk bằng số Google Voice, giả danh nhân viên bị khóa tài khoản để yêu cầu đặt lại mật khẩu và thay đổi thiết bị dùng cho MFA. Sau khi chiếm quyền, họ cài ngrok và công cụ đường hầm Teleport, chuyển dữ liệu lên Amazon cloud storage và trích xuất ít nhất 77 GB. Nhóm cũng được cho là đã thử triển khai ransomware, nhưng đội bảo mật của nạn nhân đã chặn và loại bỏ khỏi mạng; vẫn có email đòi tiền và yêu cầu 8 triệu USD bằng tiền mã hóa.
Khuyến nghị trọng tâm: vì lối vào xuất phát từ quy trình help desk, cần xác minh danh tính trước khi reset, có cơ chế callback/duyệt của quản trị và kiểm tra tăng cường cho tài khoản đặc quyền; phishing-resistant MFA (ví dụ FIDO2) nên được kết hợp với kiểm soát quy trình đặt lại để tránh bị vượt qua qua kênh gọi điện.