The Com включает группы, занимающиеся кражей данных и вымогательством
The Com представляет собой децентрализованную киберпреступную экосистему, а не единую иерархически организованную группировку. Её участники выходят из таких сообществ, как OGUsers и RaidForums, и переходят между группами, псевдонимами, инфраструктурой и брендами.
Финансово мотивированные группы The Com
К финансово мотивированному направлению относятся LAPSUS$, Scattered Spider и ShinyHunters, а позднее к ним добавилась объединённая идентичность Scattered LAPSUS$ Hunters (SLH). Эти группы занимаются кражей данных, вымогательством, посредничеством при продаже доступа и укреплением репутации. Иногда они сотрудничают с операторами программ-вымогателей.
LAPSUS$ атаковал Okta, NVIDIA и Microsoft, используя социальную инженерию и вербуя инсайдеров. Группа размещала в Telegram объявления о поиске сотрудников, готовых продавать доступ. Как правило, LAPSUS$ крал данные для публичного раскрытия, а не шифровал системы.
Scattered Spider применяет фишинг по телефону (vishing), выдачу себя за сотрудников служб поддержки, SIM-свопинг, MFA-бомбардировку, злоупотребление провайдерами идентификации, в том числе Okta и Azure AD, и техники использования штатных инструментов (Living-off-the-land). Цели группы расширились от телекоммуникационных компаний и провайдеров аутсорсинга бизнес-процессов (BPO) до казино, гостиничного бизнеса, страховых компаний, розничной торговли и авиации. Группа также монетизировала полученный доступ в операциях с программами-вымогателями, включая ALPHV/BlackCat, DragonForce и Qilin.
Среди задокументированных жертв Scattered Spider названы MGM Resorts и Caesars Entertainment. Розничные сети Великобритании пострадали в ходе кампании программы-вымогателя DragonForce в 2025 году. Scattered Spider обычно регистрирует фишинговые домены, визуально похожие на легитимные, и использует в них ключевые слова, связанные с организациями. Многие такие домены имитируют технологических вендоров, провайдеров идентификации, службы единого входа (SSO) или платформы VPN для кражи учётных данных.
ShinyHunters сначала сосредоточились на краже баз данных и их подпольной продаже. Позднее группа стала злоупотреблять токенами OAuth и сторонними интеграциями, включая интеграцию Salesloft Drift, чтобы получать доступ к средам Salesforce и выгружать данные из SaaS.
Scattered LAPSUS$ Hunters и связанные с ними инциденты
SLH появилась в 2025 году для координации деятельности по утечке данных и ассоциируется с операцией по распространению программы-вымогателя как услуги Sh1nySp1d3r. По имеющимся данным, группа скомпрометировала SoundCloud, Betterment и Crunchbase, а также эксплуатировала CVE-2025-61882, критическую уязвимость в Oracle E-Business.
Рекомендации по защите
Авторы отчёта рекомендуют организациям:
- использовать устойчивую к фишингу многофакторную аутентификацию (MFA), например FIDO2 или passkeys;
- отключить устаревшие методы аутентификации и потоки на основе кодов устройств;
- ограничить регистрацию устройств;
- принудительно применять условный доступ;
- внедрить управление привилегированным доступом;
- проверять личность пользователя перед сбросом пароля или регистрацией MFA;
- обучать сотрудников служб поддержки распознавать попытки выдать себя за них;
- отслеживать домены-двойники;
- поддерживать процедуры реагирования на инциденты.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
