<div id="post_message_803452">

Национальное агентство по борьбе с преступностью Великобритании (NCA) <a href="https://www.nationalcrimeagency.gov.uk/news/retail-cyber-attacks-nca-arrest-four-for-attacks-on-m-s-co-op-and-harrods" target="_blank">арестовало </a>четырех человек, подозреваемых в причастности к атакам на крупных ритейлеров страны, включая Marks &amp; Spencer, Co-op и Harrods.<br/>
<br/>
Среди арестованных — два 19-летних подростка, один 17-летний подросток и 20-летьняя женщина, которые были задержаны в Лондоне и Уэст-Мидлендсе. Один из арестованных — латыш, а остальные граждане Великобритании.<br/>
<br/>
Сообщается, что полиция конфисковала электронные устройства подозреваемых, чтобы изучить их на предмет улик или информации, которая поможет выявить возможных соучастников.<br/>
<br/>
Всем подозреваемым предъявлены обвинения в нарушении Закона о неправомерном использовании компьютеров, шантаже, отмывании денег и участии в организованной преступной группе.<br/>
<br/>
Предполагается, что задержанные связаны с атаками на известные торговые сети в Великобритании, включая <a href="https://www.bleepingcomputer.com/news/security/harrods-the-next-uk-retailer-targeted-in-a-cyberattack/" target="_blank">Harrods</a>, <a href="https://www.bleepingcomputer.com/news/security/uk-retailer-co-op-shuts-down-some-it-systems-after-hack-attempt/" target="_blank">Co-op</a> и <a href="https://xakep.ru/2025/05/14/marks-spencer-hack/" target="_blank">Marks &amp; Spencer</a>. Взломы произошли в апреле и мае 2025 года, что привело к массовым сбоям в работе магазинов и негативным последствиям для предприятий.<br/>
<br/>
К примеру, Marks &amp; Spencer оценивает ущерб от атаки в 402 млн долларов США, так как компания была вынуждена приостановить прием онлайн-заказов, а позже подтвердила, что хакеры похитили данные клиентов.<br/>
<br/>
Во время атак на Co-op и Marks &amp; Spencer злоумышленники пытались развернуть в системах жертв <a href="https://www.bleepingcomputer.com/news/security/co-op-confirms-data-theft-after-dragonforce-ransomware-claims-attack/" target="_blank">вымогателя DragonForce</a>. Однако атака удалась только в случае Marks &amp; Spencer, так как специалисты Co-op успели отключить системы до развертывания шифровальщика.<br/>
<br/>
DragonForce называет себя «вымогательским картелем» (ransomware cartel) и активна с декабря 2023 года. Недавно эта группа начала продвигать <a href="https://www.bleepingcomputer.com/news/security/dragonforce-expands-ransomware-model-with-white-label-branding-scheme/" target="_blank">новый сервис</a>, позволяющий другим хакерам использовать ее сервисы под собственными «брендами» (white-label).<br/>
<br/>
При этом для взлома Marks &amp; Spencer использовались тактики социальной инженерии, схожие с группировкой Scattered Spider. В итоге злоумышленники успешно зашифровали виртуальные машины VMware ESXi, размещенные на серверах компании.<br/>
<br/>
Хотя в своем заявлении NCA не упоминает Scattered Spider, этническая принадлежность, тактики социальной инженерии и возраст арестованных соответствуют типичному профилю участников группировки.<br/>
<br/>
Группировка Scattered Spider известна и под другими именами: Starfraud, Octo Tempest, Muddled Libra, <a href="https://xakep.ru/2022/08/30/0ktapus/" target="_blank">0ktapus </a>(Group-IB), <a href="https://www.mandiant.com/resources/blog/hunting-attestation-signed-malware" target="_blank">UNC3944</a> (Mandiant) и <a href="https://sec.okta.com/scatterswine" target="_blank">Scatter Swine</a> (Okta).<br/>
<br/>
Считается, что группа активна с 2022 года, а раньше ее финансово мотивированные атаки были направлены на организации, работающие в сфере управления отношениями с клиентами (CRM), аутсорсинга бизнес-процессов, телекоммуникаций и технологий.<br/>
<br/>
Как правило, хакеры используют сложные схемы с применением социальной инженерии, которые часто связаны с подменой SIM-карт (SIM swap). В частности, Scattered Spider известна громкими атаками с использованием вымогательского ПО BlackCat (Alphv), Qilin и RansomHub, в том числе против <a href="https://xakep.ru/2023/09/15/mgm-resorts-scattered-spider/" target="_blank">MGM Resorts</a> и сети казино <a href="https://xakep.ru/2023/09/15/caesars-entertainment-hacked/" target="_blank">Caesars Entertainment</a>.<br/>
<br/>
Еще осенью 2023 года специалисты Mandiant <a href="https://xakep.ru/2023/09/18/unc3944-evolves/" target="_blank">предупреждали</a>, что Scattered Spider взломали как минимум 100 организаций, в основном расположенных в США и Канаде. Тогда ИБ-специалисты пришли к выводу, что основной состав Scattered Spider — это англоговорящие подростки в возрасте от 16 до 22 лет.<br/>
<br/>
По данным известного ИБ-журналиста Брайана Кребса (Brian Krebs), участники Scattered Spider также связаны со сравнительно молодым криминальным феноменом Com (иногда The Comm или The Com, сокращение от Community).<br/>
<br/>
Исходно группировка занималась финансовым мошенничеством, но затем ее участники перешли к более сложным атакам с использованием социальной инженерии, направленным на кражу криптовалюты у частных лиц, а также стали атаковать крупные компании с целью вымогательства.<br/>
<br/>
В этом году, после серии атак на британских ритейлеров, злоумышленники переключились на американские страховые компании, а затем на авиационные и транспортные организации. В частности, предполагается, что Scattered Spider стоит за недавним взломом австралийской авиакомпании <a href="https://xakep.ru/2025/07/08/qantas-hacked/" target="_blank">Qantas</a>. Также в июне 2025 года от похожих взломов пострадали канадская авиакомпания <a href="https://xakep.ru/2025/06/19/westjet-hack/" target="_blank">WestJet </a>и американская <a href="https://xakep.ru/2025/06/30/hawaiian-airlines-hack/" target="_blank">Hawaiian Airlines</a>.<br/>
<br/>
Предполагается, что аресты в Великобритании могут приостановить текущие кампании Scattered Spider, поскольку теперь оставшиеся члены группы могут сделать паузу и некоторое время не проявлять активности.<br/>
<br/>
При этом Брайан Кребс <a href="https://krebsonsecurity.com/2025/07/uk-charges-four-in-scattered-spider-ransom-group/" target="_blank">сообщил</a>, что среди арестованных числятся Оуэн Дэвид Флауэрс (Owen David Flowers, он же bo764, Holy и Nazi) и Талха Джубаир (Thalha Jubair, он же Earth2Star и Operator).<br/>
<br/>
По информации Кребса, Джубаир был одним из ключевых членов группировки <a href="https://xakep.ru/2022/03/29/lapsus-story/" target="_blank">LAPSUS$</a>, еще одного ответвления The Com. Также журналист пишет, что до недавнего времени Джубаир выступал администратором сайта Doxbin, где любой жела*ющий может раз*местить лич*ную информа*цию о сво*ей жер*тве или най*ти чьи‑то лич*ные дан*ные сре*ди информа*ции о сот*нях тысяч человек, которые ранее уже под*вер*глись док*сингу.<br/>
<br/>
<a href="https://xakep.ru/2025/07/15/scattered-spider-arrests/" target="_blank">@ xakep.ru</a>
</div>