En 2023, Scattered Spider a fait tomber MGM et Caesars par hameçonnage vocal : plus de 100 M$ de pertes et 45 M$ de règlement collectif.
En septembre 2023, deux des plus grands groupes hôteliers et de casinos de Las Vegas ont été mis à genoux sans qu’aucune faille logicielle ne soit exploitée. Deux appels téléphoniques au service d’assistance informatique ont suffi : des opérateurs du groupe Scattered Spider ont obtenu des réinitialisations de comptes, compromis un environnement Okta, puis déployé le rançongiciel BlackCat/ALPHV. Chez MGM Resorts, les conséquences se chiffrent en centaines de millions de dollars et en jours d’arrêt, et les régulateurs poursuivent leur travail. L’affaire est devenue le cas d’école du hameçonnage vocal dirigé contre l’identité.
MGM Resorts a déclaré l’attaque début septembre 2023. Le groupe a indiqué dans un document réglementaire déposé auprès de la SEC, la gendarmerie des marchés financiers américains, que des régulateurs fédéraux et de l’État du Nevada examinaient l’incident, selon son rapport annuel déposé à la SEC en février 2024. Sur place, l’effet a été immédiat : des systèmes entiers des établissements de Las Vegas se sont arrêtés, le tapis vert et les services numériques ont fonctionné au ralenti pendant environ dix jours, selon Group-IB, et des systèmes sont restés indisponibles après l’incident, selon l’AP relayée par The CyberWire.
Chez Caesars Entertainment, une attaque par ingénierie sociale confirmée par l’entreprise en septembre 2023 a touché les données de membres du programme de fidélité, dont des numéros de permis de conduire et de sécurité sociale, selon le Form 8-K déposé par l’entreprise le 14 septembre 2023. Les deux attaques portent la marque du même écosystème : Scattered Spider est décrit par Group-IB comme une affiliation anglophone d’ALPHV, le groupe qui se cache derrière BlackCat.
La technique n’exploite aucun bogue. Elle exploite un process. Group-IB résume la méthode : « ils ne passent pas par le pare-feu, ils appellent le helpdesk ». Les opérateurs réunissent d’abord des informations publiques sur des employés réels, profils LinkedIn et annuaires d’entreprise, pour construire un prétexte crédible. Ils contactent ensuite le service d’assistance et demandent une réinitialisation de mot de passe ou une désactivation de l’authentification multifacteur au nom de cet employé.
Une fois la porte d’entrée identité ouverte dans l’environnement Okta de MGM, les attaquants se sont déplacés dans le système en utilisant des logiciels de connexion à distance courants et l’accès au VPN d’entreprise, ce qui leur a permis d’échapper à la détection, comme l’a décrit le Financial Times repris par The CyberWire. Le rançongiciel déployé est BlackCat/ALPHV. Des serveurs ESXi auraient été chiffrés, et les attaquants affirment avoir dérobé environ six téraoctets de données chez les deux groupes, selon The CyberWire, des chiffres invérifiés à ce stade.
Group-IB décrit Scattered Spider comme un réseau lâche de jeunes anglophones des États-Unis et du Royaume-Uni, sans parrainage étatique, et identifie plus de quatorze sous-groupes. Leurs autres outils sont le phishing par SMS, la prise de carte SIM pour intercepter les codes de validation et l’épuisement MFA, le bombardement de notifications jusqu’à ce que l’utilisateur cède. Des interpellations et des inculpations aux États-Unis comme au Royaume-Uni ont suivi en 2024 et 2025, sans éteindre la méthode, selon Group-IB.
MGM a refusé de payer et a payé ailleurs : plus de 100 millions de dollars de pertes estimées par Group-IB et repris par la presse spécialisée, dont MGM avait attribué une part importante à la perte d’exploitation. Caesars, selon plusieurs sources concordantes reprises par Group-IB, The CyberWire et le cabinet McGriff, a négocié et versé une rançon estimée à 15 millions de dollars, tout en indiquant ne pas attendre d’effet matériel sur sa situation financière. L’entreprise n’a jamais publiquement confirmé ce paiement.
Le volet judiciaire a rattrapé MGM : le 21 janvier 2025, l’entreprise a accepté de verser 45 millions de dollars pour solder plus d’une douzaine de recours collectifs couvrant les compromissions de 2019 et de 2023, qui ont touché ensemble plus de 37 millions de clients, selon l’avis officiel du règlement et les dépôts judiciaires.
Le périmètre n’est plus le pare-feu, c’est l’identité. Trois défenses se dégagent des analyses de Group-IB : une procédure de vérification d’identité stricte et auditée pour toute réinitialisation demandée par téléphone, y compris pour un dirigeant ; une surveillance temps réel des journaux du fournisseur d’identité, création de comptes privilégiés, changement de configuration MFA, authentifications de masse depuis des localisations inhabituelles ; et une authentification résistante au phishing, l’application d’authentification ou la clé physique plutôt que le SMS.
Le mode opératoire s’est diffusé : Group-IB rattache au même playbook des attaques contre les détaillants britanniques M&S, Harrods et Co-op ou encore Qantas en 2025. Pour un hôtel, la ligne d’assistance informatique est désormais une surface d’attaque à traiter comme telle, avec la même rigueur qu’une borne réseau.
Trustwave, Imperva et Visa documentent des tests de cartes volées sur les moteurs de réservation hôteliers. Un phénomène persistant, pas un incident unique.
En 2012, une sonde branchée sur le port de service ouvrait les serrures Onity. Quatre CVE de SALTO ProAccess SPACE montrent que ce risque physique persiste.
Kr00K (CVE-2019-15126) : des puces Wi-Fi chiffraient des trames avec une clé nulle. Corrigé en 2019-2020, le sujet reste le micrologiciel des bornes d’hôtels.