Schedule a Strategy Call

Scattered Lapsus$ Hunters y la oleada de intrusiones contra instancias SaaS

Las mejores conferencias de hacking en Latinoamérica y España

Devel Group presenta un análisis técnico y operativo exhaustivo sobre la alianza criminal autodenominada Scattered Lapsus$ Hunters, responsable en 2025 de una serie de intrusiones coordinadas que afectaron a más de 90 organizaciones globales de alto perfil. Nuestra investigación demuestra que estas campañas no explotaron vulnerabilidades de plataforma, sino que se basaron en un conjunto sofisticado de técnicas centradas en la ingeniería social y el abuso de mecanismos de identidad y autorización en entornos SaaS, con impactos significativos en la confidencialidad, disponibilidad y reputación de las víctimas.

Hallazgos principales

  1. La campaña opera mediante una coalición operativa que combina capacidades de acceso inicial, robo y publicación de datos, y amplificación de extorsión.

  2. El vector dominante es la ingeniería social a escala: vishing automatizado (incluyendo agentes de voz con IA), SIM-swapping, MFA fatigue y reclutamiento de insiders.

  3. El abuso de flujos de autorización (OAuth/SSO) y la autorización de aplicaciones conectadas constituyen la principal vía para obtener tokens persistentes que evaden controles basados en MFA.

  4. Los atacantes realizan exfiltración masiva mediante APIs y herramientas de carga trojanizadas, y amplifican la coacción mediante publicaciones públicas en canales de mensajería y foros, maximizando presión mediática y daño reputacional.

Métodos y TTPs observados

Acceso inicial

  • Vishing escalado con automatización y síntesis de voz; suplantación de help desk para inducir actions por parte de usuarios.

  • SIM-swapping y técnicas de MFA fatigue para forzar aprobaciones.

  • Reclutamiento o compra de credenciales/privilegios a empleados con acceso a SSO, CRM y repositorios.

Persistencia y abuso de autorización

  • Ingeniería para inducir a usuarios a autorizar aplicaciones conectadas OAuth maliciosas, generando tokens de larga duración.

  • Trojanización de herramientas legítimas de carga/exportación de datos y uso de remote-admin tools autorizadas socialmente.

  • Creación de cuentas SSO sombra y abuso de permisos mal configurados.

Evasión y movimiento lateral

  • Uso de tokens OAuth y cookies robadas para operar via API sin necesidad de autenticación interactiva.

  • Pivot a integraciones de terceros (repositorios de código, data warehouses, plataformas de colaboración) para escalar privilegios y ampliar superficie de exfiltración.

Exfiltración y coacción

  • Extracción masiva de CRM, listados de clientes, repositorios y documentos comerciales mediante APIs y exportaciones programáticas.

  • Publicación selectiva de datos en canales públicos como mecanismo de presión para extorsión y venta de datos.

Impacto observado
Las organizaciones objetivo comparten características: gran volumen de datos sensibles, extensas integraciones SaaS/SSO, help-desk con acceso telefónico y permisos de exportación amplios. El riesgo combinó pérdida de información crítica, exposición regulatoria y daño reputacional, además de la posibilidad de efectos en cadena sobre proveedores y socios.

Recomendaciones operativas de Devel Group (priorizadas)

  1. Control centralizado de aprobaciones de aplicaciones conectadas: bloquear autorizaciones desde enlaces no verificados y forzar aprobación administrativa previa.

  2. Despliegue de MFA resistente a phishing: implementar FIDO2 / hardware keys y eliminar flujos susceptibles a MFA fatigue.

  3. Restricción y auditoría de permisos de exportación: limitar derechos de exportación masiva y generar reglas que detecten patrones de consultas repetitivas y pequeñas.

  4. Monitorización y alertas sobre grants OAuth: instrumentar alertas SIEM/SOAR para aprobaciones inusuales, scopes amplios y creación de nuevas integraciones.

  5. Playbook de respuesta inmediata: procedimientos para revocar tokens, desconectar apps comprometidas, aislar cuentas afectadas y preservar telemetría para análisis forense.

  6. Simulacros y formación específica: ejercicios prácticos de vishing para help-desk y personal con capacidad para autorizar cambios, validación de call-back a números oficiales.

  7. Harden SSO y políticas de acceso condicional: aplicar posture checks de dispositivo, restricciones por ubicación/IP y bloqueo de autenticación heredada.

Metodología de la investigación Devel Group

El estudio integró ingesta y correlación de indicadores públicos, análisis técnico de cadenas de ataque reproducidas en laboratorio controlado, validación de vectores OAuth/SSO en entornos de prueba y seguimiento de actividad pública en canales abiertos para entender tácticas, técnicas y procedimientos. Las conclusiones fueron contrastadas internamente para asegurar aplicabilidad operativa a clientes empresariales.

ConclusióN

Scattered Lapsus$ Hunters representa una evolución en el panorama de amenazas: su estrategia prioriza la manipulación humana y el abuso de flujos de identidad sobre la explotación de fallos técnicos. Esto exige un cambio de paradigma en defensa corporativa: endurecer controles de identidad y autorización, instrumentar detección y respuesta centrada en grants OAuth y preparar capacidades de revocación inmediata. Las organizaciones con grandes ecosistemas SaaS deben priorizar controles en people, apps y respuesta para mitigar efectivamente esta amenaza.

REFERENCIAS

INDICADORES DE COMPROMISO

  • gucci-cdn[.]com
    cts-comcast[.]com
    birdsso[.]com
    bestbuy-cdn[.]com
    duelbits-cdn[.]com
    activecampiagn[.]net
    corporatetools-okta[.]com
    groups[.]claims
    ticket-dior[.]com
    company-salesforce[.]com
    ticket-companyname[.]com
    attribution[.]read
    exercises[.]to
    company-okta[.]com
    company-ticket[.]com
    dashboard-salesforce[.]com
    sso-company[.]com
    companyname-okta[.]com
    shinyhunters[.]at
    companyname-my-salesforce[.]com
    extortion[.]as
    email[@]mailshan[.]com
    helpdesk-guardprotect[.]com
    ai360helpdesk[.]com
    helpdesk-academy[.]net
    altruistonline[.]shop
    helpdesk-direct[.]online
    helpdesk-software-29[.]online
    helpdeskmaintenanceinc[.]online
    cdn-truist[.]com
    360aihelpdesk[.]com
    helpdesk-truist[.]com
    breachforums[.]hn
    oktalogin-targetcompany[.]com
    targetsname-okta[.]com
    targetsname-servicedesk[.]com
    targetsname-helpdesk[.]com
    targetsname-sso[.]com
    targetsname-cms[.]com
    justification[.]network
    engineering[.]Push
    workstations[.]zero
    weeks[.]uk
    exfiltration[.]how
    company-sso-example[.]com
    apt[.]tl
    accurate[.]financial
    assurance[.]by
    cookies[.]cloud
    proxifier[.]social
    devices[.]cloud
    rustdesk[.]cloud
Back to all Post

Related Post