Een bedrijf heeft MFA op elk account, sterke wachtwoorden en een helpdesk die snel helpt. Dan belt iemand naar die helpdesk: hij is een collega, zijn telefoon is kapot en hij moet dringend in zijn mailbox. Tien minuten later staat er een nieuwe authenticatie-app op zijn naam, op een toestel van de aanvaller. Dat is in een notendop de werkwijze van Scattered Spider.
Dit artikel beschrijft wie de groep is, hoe de helpdesktruc stap voor stap werkt, en welke resetprocedure een kmo en haar IT-partner samen afspreken om er niet in te trappen.
In het kort
- Scattered Spider, ook Octo Tempest of UNC3944 genoemd, is een losse groep jonge, Engelstalige aanvallers die sinds 2022 actief is.
- De groep breekt zelden software open. Ze belt helpdesks op en laat wachtwoorden en MFA-toestellen resetten.
- Bekende slachtoffers zijn MGM Resorts en Caesars in 2023, en Marks & Spencer en Co-op in het Verenigd Koninkrijk in 2025.
- Arrestaties raakten individuele leden, maar de werkwijze wordt nog altijd gebruikt.
- De verdediging zit in de procedure: nooit resetten op basis van één telefoontje, wel terugbellen op een gekend nummer of verifiëren via video.
Wie is Scattered Spider?
Scattered Spider is een cybercriminele groep die sinds 2022 bedrijven binnendringt via social engineering, vooral telefonisch bij IT-helpdesks. Het Amerikaanse agentschap CISA beschrijft in zijn advies AA23-320A hoe de groep zich voordoet als medewerker of IT-personeel om wachtwoorden en MFA-codes te verkrijgen, en daarna gegevens steelt en ransomware inzet.
| Profielkaart | Scattered Spider |
|---|---|
| Andere namen | Octo Tempest (Microsoft), UNC3944 (Mandiant), Muddled Libra, Scatter Swine, Oktapus, Storm-0875 |
| Actief sinds | 2022, eerst met sms-phishing gericht op telecombedrijven en hun dienstverleners |
| Wie | Een los netwerk van vooral jonge, Engelstalige leden uit westerse landen |
| Werkwijze | Telefoontjes naar helpdesks, sms-phishing, MFA-moeheid en SIM-swapping |
| Ransomware | Werkte samen met ALPHV/BlackCat; in 2025 waargenomen met DragonForce |
| Doelwitten | Telecom, gastvrijheid en casino’s, retail, verzekeringen en financiële dienstverlening |
| Officiële bron | CISA-advies AA23-320A, 16 november 2023, bijgewerkt op 29 juli 2025; MITRE ATT&CK-groep G1015 |
Hoe werkt de helpdesktruc, stap voor stap?
De aanval begint niet met een technisch lek, maar met een telefoontje. Microsoft beschreef de werkwijze in 2023, Mandiant in 2025. In de termen van MITRE ATT&CK ziet ze er zo uit; wie dat model niet kent, vindt de uitleg in ons artikel over MITRE ATT&CK en de cyber kill chain.
| Stap | Wat de aanvaller doet | ATT&CK-ID |
|---|---|---|
| 1. Verkennen | Namen, functies en details van medewerkers verzamelen via LinkedIn, de bedrijfswebsite en gelekte gegevens | T1589 |
| 2. Bellen | De helpdesk bellen als een bestaande medewerker, met een dringend verhaal: kapotte telefoon, deadline, eerste werkdag | T1566.004, T1656 |
| 3. Laten resetten | De helpdesk een nieuw wachtwoord laten instellen en een nieuw MFA-toestel laten koppelen; als alternatief MFA-meldingen blijven sturen of het telefoonnummer laten overzetten | T1098.005, T1621, T1451 |
| 4. Aanmelden | Inloggen met het geldige account en eigen toestellen registreren | T1078 |
| 5. Onzichtbaar blijven | Mailboxregels die beveiligingsmeldingen verbergen, interne chats doorzoeken op tekenen van ontdekking | T1564.008 |
| 6. Rechten verhogen | Beheerdersrechten en de wachtwoorddatabank van het domein buitmaken | T1003 |
| 7. Toeslaan | Gegevens naar clouddiensten wegsluizen en daarna systemen versleutelen | T1567.002, T1486 |
Het verschil met klassieke phishing zit in stap 3. Een sterke authenticatie-app beschermt een account, maar niet de procedure om die app te vervangen. Wie de helpdesk overtuigt, krijgt een geldige sleutel. Andere manieren om MFA te omzeilen, beschreven we in ons artikel over MFA-bypass, en de psychologie achter zulke telefoontjes in onze inleiding tot social engineering.
Welke aanvallen worden aan Scattered Spider gelinkt?
| Organisatie | Wanneer | Wat er gebeurde |
|---|---|---|
| MGM Resorts | September 2023 | Langdurige uitval van systemen in hotels en casino’s; MGM raamde de impact in zijn officiële melding op ongeveer 100 miljoen dollar |
| Caesars Entertainment | September 2023 | Volgens de officiële melding van Caesars begon de aanval met social engineering bij een externe IT-dienstverlener; volgens Amerikaanse media betaalde Caesars ongeveer 15 miljoen dollar losgeld |
| Marks & Spencer en Co-op | April en mei 2025 | Bij M&S lag de webshop wekenlang stil en raamde het bedrijf de impact op de winst op ongeveer 300 miljoen pond; Co-op schakelde uit voorzorg systemen uit |
Er zijn geen publiek bevestigde Belgische slachtoffers. De werkwijze is wel niet aan een land gebonden: ze vraagt alleen een helpdesk en een telefoon.
En de arrestaties?
In januari 2024 werd in Florida Noah Urban opgepakt, in juni 2024 in Spanje de Brit Tyler Buchanan. In november 2024 vervolgde het Amerikaanse ministerie van Justitie vijf vermoedelijke leden. Op 10 juli 2025 arresteerde de Britse National Crime Agency vier jongeren tussen 17 en 20 jaar in het onderzoek naar de aanvallen op Marks & Spencer, Co-op en Harrods. Omdat de groep een open netwerk is, vullen nieuwe leden de plaatsen in. CISA werkte zijn advies in juli 2025 nog bij met nieuwe werkwijzen.
“Onze helpdesk kent iedereen bij naam”
Dat hoort u vaak in een kmo van twintig of vijftig mensen, en intern klopt het misschien. Maar bij de meeste kmo’s neemt een externe IT-partner de telefoon op. Die medewerker bedient tientallen klanten en kent uw mensen niet van stem of gezicht. Daarnaast zijn er freelancers, deeltijdse krachten en thuiswerkers die minder zichtbaar zijn. En een stem herkennen wordt minder betrouwbaar nu een paar seconden opname volstaat om ze na te bootsen; daarover schreven we in ons artikel over deepfake-fraude en voice cloning. Tot slot spelen aanvallers op tijdsdruk: een “zaakvoerder” die op weg is naar een klant en nu zijn mail nodig heeft. Zonder vaste procedure wint die druk bijna altijd.
Checklist: een veilige resetprocedure voor uw kmo en uw IT-partner
Bij elke reset van een wachtwoord of MFA-toestel
- Geen controle op gegevens die iemand kan opzoeken. Geboortedatum, personeelsnummer of de naam van de leidinggevende bewijzen niets; aanvallers vinden ze online of in gelekte gegevens.
- Altijd terugbellen. Hang op en bel de medewerker terug op het nummer dat al in het personeelsbestand staat, nooit op een nummer dat de beller zelf opgeeft.
- Video als de telefoon “kapot” is. Verifieer via een videogesprek op het interne samenwerkingsplatform, met de camera aan.
- Akkoord van de leidinggevende. Geen reset zonder bevestiging van de directe leidinggevende, schriftelijk of via het ticketsysteem.
- Phishing-resistente MFA voor wie het meest kan. Beveiligingssleutels of passkeys voor beheerders en financiële profielen maken een telefonisch ontfutselde code waardeloos.
Afspraken met uw externe IT-partner
- Verificatie gaat voor snelheid. Leg in de serviceovereenkomst vast dat een helpdeskmedewerker nooit wordt afgerekend op een trage afhandeling door een verificatie.
- Vaste contactpersonen. Alleen resetverzoeken die een vooraf aangeduide contactpersoon in uw bedrijf goedkeurt, worden uitgevoerd.
- Nooit telefonisch voor beheerders. Accounts met beheerdersrechten worden nooit op basis van een telefoontje gereset, ook niet in noodgevallen.
- Logboek en controle. Elke reset wordt gelogd met tijdstip, aanvrager, verificatiemethode en wie goedkeurde, en u krijgt dat logboek maandelijks te zien.
De helpdesk testen: een vishingsimulatie in België
Een procedure op papier zegt weinig zolang niemand ze test. Een gecontroleerd testtelefoontje naar de helpdesk toont of de afspraken in de praktijk standhouden. Hoe u telefonische fraude in het algemeen herkent, leest u in ons artikel over vishing.
Zo’n test raakt aan de privacy van werknemers. Hou daarom drie principes aan. Het doel is de beveiliging van het bedrijf, en dat staat vooraf in een beleid dat alle medewerkers kennen. De test staat in verhouding tot dat doel en wordt niet persoonlijker dan nodig. En bedrijven met een comité voor preventie en bescherming op het werk of een ondernemingsraad bespreken de opzet daar vooraf. De resultaten dienen om te leren: rapporteer ze op het niveau van het team, niet per persoon, en verbind er geen sancties aan. Wie bang is voor straf, meldt een vreemd telefoontje later niet meer. Hoe u zo’n test inbedt in een breder traject, leest u in ons artikel over een security awareness-programma opzetten.
Weet u hoe uw helpdesk reageert op zo’n telefoontje?
Cyberplan test met een gecontroleerde simulatie hoe uw helpdesk of IT-partner reageert op een dringend resetverzoek, binnen afspraken die u vooraf goedkeurt. U krijgt een rapport per procedure, geen lijst met namen. Meer daarover leest u op onze pagina over phishing- en vishingsimulaties.
Veelgestelde vragen
Wie is Scattered Spider?
Scattered Spider is een cybercriminele groep, ook bekend als Octo Tempest of UNC3944, die sinds 2022 actief is. De groep bestaat uit vooral jonge, Engelstalige leden en dringt bedrijven binnen door helpdesks en medewerkers telefonisch te misleiden, waarna ze gegevens steelt en soms ransomware inzet.
Hoe omzeilt Scattered Spider MFA?
Scattered Spider omzeilt MFA meestal niet technisch, maar via de helpdesk. Een aanvaller belt als een medewerker, overtuigt de helpdesk om het wachtwoord te resetten en een nieuw MFA-toestel te koppelen, en krijgt zo zelf alle codes. Daarnaast gebruikt de groep MFA-moeheid en SIM-swapping.
Waarom beschermt onze authenticatie-app niet tegen deze aanval?
Een authenticatie-app beschermt het aanmelden, niet de procedure om de app te vervangen. Als de helpdesk de bestaande koppeling verwijdert en een nieuw toestel registreert op vraag van een beller, krijgt de aanvaller een geldige sleutel. De verdediging zit dus in een strikte resetprocedure.
Hoe verifieert een helpdesk veilig wie er belt?
Een helpdesk verifieert veilig door op te hangen en terug te bellen op het nummer dat in het personeelsbestand staat, of door een videogesprek te voeren met de camera aan. Vraag daarnaast het akkoord van de leidinggevende. Gegevens zoals een geboortedatum bewijzen niets, want die vindt een aanvaller online.
Welke afspraken maken we met onze IT-partner?
Leg vast dat verificatie altijd voorgaat op snelheid, dat alleen vooraf aangeduide contactpersonen een reset mogen goedkeuren, dat beheerdersaccounts nooit telefonisch gereset worden, en dat elke reset gelogd wordt met tijdstip, aanvrager, methode en goedkeuring. Vraag die logs maandelijks op.
Mag een Belgisch bedrijf zijn helpdesk testen met een nepbelletje?
Ja, als het doel de beveiliging is, medewerkers vooraf via een beleid op de hoogte zijn, de test in verhouding blijft en de resultaten enkel dienen om te leren. Bespreek de opzet waar nodig met het comité voor preventie en bescherming of de ondernemingsraad, en verbind geen sancties aan de resultaten.
