{"id":720,"date":"2026-04-30T15:49:06","date_gmt":"2026-04-30T15:49:06","guid":{"rendered":"https:\/\/cybercolombia.co\/index.php\/2026\/04\/30\/dos-nuevos-equipos-de-extorsion-estan-acelerando-el-libro-de-jugadas-de-scattered-spider\/"},"modified":"2026-04-30T15:49:06","modified_gmt":"2026-04-30T15:49:06","slug":"dos-nuevos-equipos-de-extorsion-estan-acelerando-el-libro-de-jugadas-de-scattered-spider","status":"publish","type":"post","link":"https:\/\/cybercolombia.co\/index.php\/2026\/04\/30\/dos-nuevos-equipos-de-extorsion-estan-acelerando-el-libro-de-jugadas-de-scattered-spider\/","title":{"rendered":"Dos nuevos equipos de extorsi\u00f3n est\u00e1n acelerando el libro de jugadas de Scattered Spider"},"content":{"rendered":"
\n

Seg\u00fan CrowdStrike, un par de grupos de amenazas persistentes y problem\u00e1ticos afiliados a The Com est\u00e1n apuntando activamente a organizaciones en m\u00faltiples sectores de infraestructura cr\u00edtica para realizar r\u00e1pidos ataques de extorsi\u00f3n y robo de datos.<\/p>\n

Los atacantes con motivaci\u00f3n financiera, a los que CrowdStrike rastrea como Cordial Spider y Snarky Spider, han utilizado ataques de phishing de voz e ingenier\u00eda social para irrumpir en las plataformas de identidad de las v\u00edctimas y atravesar entornos SaaS desde al menos octubre de 2025, dijo la compa\u00f1\u00eda en un informe<\/a> Jueves, que comparti\u00f3 exclusivamente con CyberScoop antes del lanzamiento. <\/p>\n

Adam Meyers, vicepresidente senior de operaciones contra adversarios de CrowdStrike, dijo que los subgrupos compuestos por hablantes nativos de ingl\u00e9s se dirigen principalmente a organizaciones con sede en EE. UU. en los sectores acad\u00e9mico, de aviaci\u00f3n, minorista, hotelero, automotriz, de servicios financieros, legal y tecnol\u00f3gico.<\/p>\n

Esta \u201cnueva ola de actores de amenazas de cr\u00edmenes electr\u00f3nicos\u201d est\u00e1 estrechamente alineada con Scattered Spider y vinculada a otros subconjuntos de The Com, incluidos SLSH y ShinyHunters, dijo Meyers. <\/p>\n

Debido a que estos ataques apuntan a sistemas de identidad y pueden exponer datos en otros servicios conectados m\u00e1s all\u00e1 del punto de infracci\u00f3n inicial, es dif\u00edcil determinar cu\u00e1ntas v\u00edctimas han quedado atrapadas en estas campa\u00f1as. <\/p>\n

La advertencia de CrowdStrike sigue de cerca la investigaci\u00f3n que la Unidad 42 de Palo Alto Networks y el Centro de an\u00e1lisis e intercambio de informaci\u00f3n minorista y hotelera compartieron la semana pasada sobre la serie de ataques de Cordial Spider dirigidos a organizaciones de la industria minorista y hotelera, entre otras. <\/p>\n

Cordial y Snarky Spider han colocado se\u00f1uelos a trav\u00e9s de llamadas de voz, mensajes de texto y correos electr\u00f3nicos dirigiendo a los empleados a p\u00e1ginas de phishing que se hacen pasar por la p\u00e1gina leg\u00edtima de inicio de sesi\u00f3n \u00fanico o el proveedor de identidad principal de su empleador, dijeron los investigadores. <\/p>\n

Estas p\u00e1ginas de phishing, que capturan credenciales, claves de sesi\u00f3n o tokens, seg\u00fan el flujo de trabajo, proporcionan a los atacantes un punto de entrada a los sistemas, que explotan para obtener un acceso generalizado a todos los ecosistemas SaaS de las v\u00edctimas.<\/p>\n

Los atacantes utilizan estos ganchos iniciales para eliminar y establecer dispositivos de autenticaci\u00f3n multifactor, luego eliminan correos electr\u00f3nicos y otras alertas que de otro modo advertir\u00edan a las organizaciones sobre una posible actividad maliciosa, dijeron los investigadores. <\/p>\n

El robo de datos para campa\u00f1as de extorsi\u00f3n comparte sorprendentes similitudes, pero CrowdStrike dijo que las t\u00e1cticas, t\u00e9cnicas y procedimientos para cada subgrupo son distintos. Estas variaciones incluyen horas de operaci\u00f3n, diferentes proveedores de dominios de phishing, sistemas operativos preferidos, sitios de fuga de datos y las herramientas o dispositivos que utilizaron para registrarse para la autenticaci\u00f3n multifactor. <\/p>\n

El dominio de BlackFile, el sitio de filtraci\u00f3n de datos de Cordial Spider, estaba desconectado el mi\u00e9rcoles, seg\u00fan Meyers.<\/p>\n

CrowdStrike se neg\u00f3 a poner un rango a las demandas de extorsi\u00f3n de los grupos, pero la Unidad 42 dijo anteriormente que Cordial Spider, que tambi\u00e9n se rastrea como CL-CRI-1116 y UNC6671, generalmente se encuentran en el rango de siete cifras.<\/p>\n

Algunas v\u00edctimas que no pagaron las demandas de extorsi\u00f3n han sido sometidas a ataques DDoS, y Snarky Spider ha utilizado t\u00e1cticas de acoso posteriores m\u00e1s agresivas, incluido el aplastamiento de los empleados de las organizaciones v\u00edctimas, dijo Meyers. <\/p>\n

CrowdStrike dijo que Cordial y Snarky Spider tambi\u00e9n utilizan redes proxy residenciales, incluidas Mullvad, Oxylabs, NetNut, 9Proxy, Infatica y NSOCKS, para evadir la detecci\u00f3n basada en IP y mezclarse con el tr\u00e1fico t\u00edpico. <\/p>\n

Las redes de proxy residenciales, que dependen de direcciones IP asignadas a usuarios dom\u00e9sticos reales, pueden tener un prop\u00f3sito leg\u00edtimo, pero los investigadores han estado advirtiendo que operadores criminales poco \u00e9ticos o descarados est\u00e1n abusando de estas redes para construir y respaldar botnets, campa\u00f1as de delitos cibern\u00e9ticos, espionaje y otras actividades maliciosas.<\/p>\n

Cordial y Snarky Spider no han logrado el impacto o la capacidad t\u00e9cnica de Scattered Spider, pero los grupos comparten muchos puntos en com\u00fan y objetivos, dijo Meyers. <\/p>\n

\u00abHan tomado su libro de jugadas y est\u00e1n usando muchas de sus t\u00e9cnicas, pero realmente no hemos visto la sofisticaci\u00f3n t\u00e9cnica demostrada por ellos que vimos en Scattered Spider\u00bb, dijo. \u00abEs una especie de nueva generaci\u00f3n de Scattered Spider\u00bb.<\/p>\n