Peter Stokes, 19, an die USA ausgeliefert im Fall Scattered Spider

Ein Teenager im Zentrum eines millionenschweren Lösegeld-Systems

Ein 19-jähriger Doppelstaatsbürger der USA und Estlands ist an die Vereinigten Staaten ausgeliefert worden, um sich vor einem Bundesgericht für seine mutmaßliche Beteiligung an der Hacking-Gruppe „Scattered Spider“ zu verantworten – eine der derzeit aktivsten Ransomware- und Erpresserbanden. Der als Peter Stokes identifizierte Verdächtige wurde Anfang des Jahres in Finnland aufgrund einer Interpol-Red-Notice festgenommen und den US-Behörden übergeben, bevor er vor einem Bundesgericht in Chicago erschien.

Die Staatsanwaltschaft wirft Stokes, der online offenbar den Namen „Bouquet“ nutzte, vor, mindestens vier separate Eindringversuche mitgesteuert zu haben, darunter einen Einbruch bei einem Luxusschmuckhändler, bei dem eine Lösegeldforderung von 8 Millionen Dollar in Kryptowährung gestellt wurde. Scattered Spider, die lose organisierte Gruppierung, die der Anklage zufolge von Stokes unterstützt wurde, bringen Ermittler mit über 100 Millionen Dollar erpresster Lösegelder aus einer Reihe von spektakulären Angriffen in Verbindung. Stokes werden nun Verschwörung, Computersabotage und Betrug zur Last gelegt.

Das Besondere an diesem Fall ist nicht nur die Summe, um die es geht. Es ist das Alter des Verdächtigen – und wie sich das in ein zunehmend vertrautes Muster einfügt: junge, technisch versierte Akteure, die innerhalb großer, dezentraler Cybercrime-Netzwerke operieren, die Social Engineering mit finanzieller Erpressung kombinieren.

Wer ist Scattered Spider und warum ist das relevant?

Scattered Spider hat sich weniger mit ausgefeilter Malware einen Namen gemacht, als vielmehr durch die Beherrschung von Social Engineering: Helpdesks täuschen, sich als Mitarbeiter ausgeben und die Zurücksetzung von Multi-Faktor-Authentifizierung manipulieren, um Zugang zu Unternehmensnetzwerken zu erlangen. Drinnen, so der Vorwurf, schwenken die Mitglieder auf Datendiebstahl und Ransomware-Einsatz um und verlangen Lösegeld in Kryptowährung, die schwerer nachzuverfolgen und einfacher über Grenzen hinweg zu waschen ist als traditionelles Geld.

Der Einsatz von Krypto als bevorzugte Lösegeldwährung ist ein wiederkehrendes Motiv in solchen Fällen. Er erlaubt es den Angreifern, hohe Summen zu fordern – wie die 8 Millionen Dollar im Fall des Schmuckhändlers – und erschwert zugleich die Arbeit der Strafverfolgungsbehörden, die dem Geldfluss folgen wollen. Diese Kombination aus aggressivem Social Engineering und kryptobasierter Erpressung macht Gruppen wie Scattered Spider zu einem Dauerproblem für Sicherheitsteams in Unternehmen und für Bundesermittler gleichermaßen.

Es ist nicht das erste Mal, dass ein auffallend junger Verdächtiger mit einem schwerwiegenden Eindringen in Verbindung gebracht wird. Erst in diesem Jahr leiteten französische Behörden ein formelles Verfahren gegen einen 15-Jährigen ein, der 18 Millionen Identitätsdatensätze einer nationalen Dokumentenbehörde offengelegt haben soll – ein Fall, der die Frage aufwarf, wie ein Teenager-Hacker mutmaßlich Millionen französischer Ausweisdatensätze exponieren konnte und später zu einer vertieften justiziellen Untersuchung des Ausmaßes des Verstoßes führte. Ob die Personen in diesen Fällen zusammenhängen oder nicht: Das Muster ist eindeutig – einige der folgenreichsten Sicherheitsverletzungen der jüngeren Vergangenheit gehen mutmaßlich auf Tatverdächtige zurück, die kaum die Schule abgeschlossen haben.

Was das für Sie bedeutet

Für die meisten Menschen mag die Nachricht von einer Auslieferung und einer Bundesanklage weit vom Alltag entfernt wirken. Doch die Methoden, die Scattered Spider zugeschrieben werden, sind unmittelbar relevant für alle, die online einkaufen, an einem Firmen-Helpdesk arbeiten oder Konten verwalten, die durch Multi-Faktor-Authentifizierung geschützt sind.

Social-Engineering-Angriffe gelingen, weil sie auf Menschen zielen, nicht nur auf Systeme. Wenn es einer Gruppe gelingt, den IT-Support eines Unternehmens dazu zu bringen, Zugangsdaten zurückzusetzen oder eine betrügerische MFA-Anfrage zu bestätigen, hilft keine Firewall und keine Antivirensoftware dagegen. Deshalb schulen Unternehmen ihre Mitarbeiter zunehmend darin, die Identität über mehrere Kanäle zu verifizieren, bevor sie Zugang gewähren oder Sicherheitseinstellungen ändern – und deshalb sollten auch Privatpersonen bei unaufgeforderten Passwort-Reset-Aufforderungen oder dringlich klingenden Bitten, die schnelles Handeln verlangen, misstrauisch sein.

Auch der Krypto-Aspekt ist wichtig. In Kryptowährung geleistete Lösegeldzahlungen lassen sich nach dem Versand nur schwer rückgängig machen, weshalb diese Gruppen sie bevorzugen. Falls Sie oder Ihr Unternehmen jemals mit einer Lösegeldforderung konfrontiert werden, ist es entscheidend, die Strafverfolgungsbehörden einzuschalten, bevor irgendeine Zahlungsentscheidung getroffen wird – denn Bezahlen garantiert weder die Wiederherstellung der Daten, noch verhindert es, dass damit weitere Straftaten finanziert werden.

Umsetzbare Maßnahmen

• Seien Sie misstrauisch bei unerwarteten Aufforderungen zum Zurücksetzen des Passworts oder zur MFA-Bestätigung, selbst wenn sie scheinbar vom internen IT-Support stammen.
• Unternehmen sollten die Identität über einen zweiten Kanal verifizieren (zum Beispiel einen Rückruf an eine bekannte Nummer), bevor sie sensible Kontoänderungen vornehmen.
• Betrachten Sie Krypto-Lösegeldforderungen in erster Linie als Angelegenheit der Strafverfolgung; eine Zahlung garantiert keine Wiederherstellung und kann weitere Angriffe fördern.
• Achten Sie auf Benachrichtigungen über Datenschutzverletzungen von Firmen, mit denen Sie Geschäfte machen, denn Eindringlinge wie die, die Scattered Spider zugeschrieben werden, kommen oft erst Monate nach dem ursprünglichen Einbruch ans Licht.

Die Auslieferung eines 19-jährigen Verdächtigen, der sich wegen eines 8-Millionen-Dollar-Lösegeldsystems verantworten muss, macht deutlich, dass Ransomware-Aktionen nicht ausschließlich von gesichtslosen, im Verborgenen agierenden Organisationen ausgehen. Oft sind daran junge, technikaffine Personen beteiligt, die ebenso sehr menschliches Vertrauen wie technische Schwachstellen ausnutzen. Wachsam gegenüber Social-Engineering-Methoden zu bleiben – zu Hause wie am Arbeitsplatz – ist nach wie vor einer der wirksamsten Schutzmechanismen, die uns zur Verfügung stehen.