Adolescente acusado de pertenecer al grupo de hackers Scattered Spider extraditado a Estados Unidos

El Departamento de Justicia de EE.UU. anunció el 1 de julio que un adolescente acusado de pertenecer al grupo de hackers Scattered Spider ha sido extraditado desde Finlandia para enfrentar cargos de conspiración, intrusión informática y fraude. Peter Stokes, de 19 años, ciudadano con doble nacionalidad estadounidense y estonia, compareció ante un tribunal federal de Chicago el 30 de junio, donde un juez ordenó su detención.

La policía finlandesa arrestó a Stokes en abril mediante una Notificación Roja de Interpol, una solicitud internacional de arresto, antes de su extradición a finales de junio. Su caso es el último de una serie de arrestos dirigidos contra un grupo vinculado a filtraciones en casinos, minoristas y aerolíneas.

Los registros judiciales identifican a Stokes con el alias en línea "Bouquet" y describen al menos cuatro intrusiones, la primera cuando tenía 16 años. En un caso, en mayo de 2025, los fiscales afirman que él y otros irrumpieron en un minorista de joyería de lujo, copiaron sus datos y exigieron aproximadamente 8 millones de dólares en criptomonedas. El minorista se negó a pagar, expulsó a los intrusos y gastó al menos 2 millones de dólares en la limpieza. Según esos registros, los agentes finlandeses incautaron dos discos duros de 2 terabytes cuando detuvieron a Stokes en el aeropuerto de Helsinki mientras intentaba abordar un vuelo a Japón.

Quién es Scattered Spider

Scattered Spider no es una banda tradicional. Es un grupo difuso, mayoritariamente de habla inglesa, de jóvenes, muchos de ellos adolescentes, repartidos por EE.UU., Reino Unido y Europa. Las empresas de seguridad también lo rastrean bajo los nombres Octo Tempest, UNC3944 y 0ktapus. Su truco principal es simple y difícil de detener: en lugar de romper software, engañan a las personas.

Los miembros llaman a la mesa de ayuda de TI de una empresa, se hacen pasar por un trabajador que no puede acceder y convencen al personal para que restablezca una contraseña o apruebe un inicio de sesión. Una vez dentro, roban archivos y amenazan con filtrarlos a menos que se les pague. El grupo es más conocido por los ataques de 2023 a MGM Resorts y Caesars Entertainment, que paralizaron los sistemas de casinos y hoteles de MGM. A lo largo de 2025, se vinculó con ataques a minoristas del Reino Unido, incluidos Marks & Spencer, Harrods y Co-op, luego a aseguradoras estadounidenses y, más tarde, a aerolíneas, un patrón que los investigadores de seguridad describen como moverse por un sector a la vez.

El fiscal general adjunto A. Tysen Duva dijo que el grupo ha estado involucrado en "más de 100 intrusiones en redes, lo que resultó en más de 100 millones de dólares en pagos de rescate".

Parte de una represión más amplia

Stokes es parte de un cambio más amplio en la historia de Scattered Spider: la policía está poniendo nombres, países y fechas judiciales a un grupo que durante mucho tiempo operó con alias en salas de chat. Los casos recientes incluyen:

• Tyler Buchanan, de 24 años, de Escocia, quien una vez fue descrito como cabecilla, se declaró culpable en un tribunal de EE.UU. en abril de 2026 de fraude y robo de identidad. Admitió haber robado al menos 8 millones de dólares en criptomonedas a través de campañas de phishing que afectaron a empresas como Twilio y LastPass, y enfrenta una pena máxima legal de 22 años de prisión.
• Noah Urban, un miembro de Florida, fue condenado en agosto de 2025 a 10 años y se le ordenó devolver aproximadamente 13 millones de dólares.
• Thalha Jubair y Owen Flowers, dos jóvenes en el Reino Unido, se declararon culpables en junio de 2026 de un ataque de 2024 a Transport for London, la agencia de tránsito de la capital. Flowers también admitió haber conspirado para hackear dos sistemas de salud estadounidenses, SSM Health y Sutter Health.

Cómo pueden defenderse las empresas

El manual ha sobrevivido a los arrestos. Mandiant informó una pausa en los ataques vinculados al grupo después de los arrestos de 2025, luego advirtió que otros grupos ya lo están copiando. El punto débil es la mesa de ayuda, no el cortafuegos, por lo que las soluciones que funcionan son controles de identidad más estrictos antes de un restablecimiento y claves de inicio de sesión que el phishing no puede robar.

Un aviso conjunto de EE.UU. e internacional agrega que, una vez dentro, los intrusos a menudo se esconden en las herramientas de chat de una empresa y se unen a las llamadas que realiza para responder a la violación, observando quién los está cazando.

Para los investigadores, los discos incautados en Helsinki pueden ser tan importantes como los cargos: los dispositivos tomados de un miembro a menudo llevan a otros. Se presume que Stokes es inocente, y su caso aún debe ir a juicio, pero el año pasado ha dejado claro una cosa: ser joven, estar disperso a través de las fronteras y ser bueno para engañar a una mesa de ayuda ya no mantiene a este grupo fuera de los tribunales.