Un adolescente acusado de pertenecer al grupo de hackers Araña dispersa ha sido extraditado de Finlandia para enfrentar cargos estadounidenses de conspiración, intrusión informática y fraude, anunció el Departamento de Justicia de Estados Unidos el 1 de julio.
Peter Stokesde 19 años, con doble ciudadanía estadounidense y estonia, compareció ante un tribunal federal de Chicago el 30 de junio, donde un juez ordenó su detención bajo custodia.
La policía finlandesa lo arrestó en abril mediante una Notificación Roja de Interpol, una solicitud de arresto internacional, antes de su extradición a fines de junio. Su caso es el último de una serie de arrestos dirigidos a un equipo vinculado a infracciones en casinos, minoristas y aerolíneas.
Los registros judiciales identifican a Stokes con el nombre en línea “Bouquet” y describen al menos cuatro intrusiones, la primera cuando tenía 16 años. En un caso, en mayo de 2025, los fiscales dicen que él y otros irrumpieron en un minorista de joyería de lujo, copiaron sus datos y exigieron alrededor de 8 millones de dólares en criptomonedas.
El minorista se negó a pagar, desalojó a los intrusos y gastó al menos 2 millones de dólares en la limpieza. Según esos registros, los agentes finlandeses confiscaron dos discos duros de 2 terabytes cuando detuvieron a Stokes en el aeropuerto de Helsinki cuando intentaba abordar un vuelo a Japón.
¿Quién es la araña dispersa?
Scattered Spider no es una pandilla tradicional. Es un grupo de jóvenes dispersos, en su mayoría de habla inglesa, muchos de ellos adolescentes, repartidos por Estados Unidos, Reino Unido y Europa.
Las empresas de seguridad también lo rastrean con los nombres Octo Tempest, UNC3944 y 0ktapus. Su truco principal es simple y difícil de detener. En lugar de dañar el software, engaña a la gente.
Los miembros llaman al servicio de asistencia técnica de TI de una empresa, se hacen pasar por un trabajador bloqueado y convencen al personal para que restablezca una contraseña o apruebe un inicio de sesión. Una vez dentro, roban archivos y amenazan con filtrarlos a menos que se les pague.
El grupo es mejor conocido por los ataques de 2023 a MGM Resorts y Caesars Entertainment, que cerraron los sistemas de casinos y hoteles de MGM. Hasta 2025, se vinculó con ataques a minoristas del Reino Unido, incluidos Marks & Spencer, Harrods y Co-op, luego a aseguradoras estadounidenses y, más tarde, a aerolíneas, un patrón que los investigadores de seguridad describen como un movimiento a través de un sector a la vez.
El Fiscal General Adjunto A. Tysen Duva dijo que el grupo ha estado involucrado en “más de 100 intrusiones en la red, lo que resultó en más de $100 millones en pagos de rescate”.
Parte de una represión más amplia
Stokes es parte de un cambio más amplio en la historia de Scattered Spider: la policía está poniendo nombres, países y fechas de corte a un equipo que durante mucho tiempo operó como identificador en salas de chat. Los casos recientes incluyen:
- Tyler Buchanan, un escocés de 24 años que alguna vez fue descrito como cabecilla, se declaró culpable ante un tribunal estadounidense en abril de 2026 de fraude y robo de identidad. Admitió haber robado al menos 8 millones de dólares en criptomonedas a través de campañas de phishing que afectaron a empresas como Twilio y LastPass, y se enfrenta a una pena máxima legal de 22 años de prisión.
- Noah Urban, un miembro de Florida, fue sentenciado en agosto de 2025 a 10 años y se le ordenó reembolsar alrededor de 13 millones de dólares.
- Thalha Jubair y Owen Flowers, dos jóvenes del Reino Unido, se declararon culpables en junio de 2026 de un ataque cometido en 2024 contra Transport for London, la agencia de tránsito de la capital. Flowers también admitió haber conspirado para piratear dos sistemas de salud estadounidenses, SSM Health y Sutter Health.
Cómo pueden defenderse las empresas
El manual ha sobrevivido a los arrestos. Mandiant informó de una pausa en los ataques vinculados al grupo después de los arrestos de 2025, y luego advirtió que otros equipos ya lo están copiando.
El punto débil es la mesa de ayuda, no el firewall, por lo que las soluciones que se mantienen son controles de identidad más estrictos antes de un reinicio y claves de inicio de sesión que el phishing no puede robar.
Un aviso conjunto de Estados Unidos e internacional agrega que una vez dentro, los intrusos a menudo acechan en las herramientas de chat de una empresa y se unen a las llamadas que mantiene para responder a la infracción, observando quién los está persiguiendo.
Para los investigadores, los discos incautados en Helsinki pueden importar tanto como los cargos: los dispositivos arrebatados a un miembro a menudo conducen a otros. Se presume que Stokes es inocente y su caso aún debe ir a juicio, pero el año pasado dejó una cosa clara: ser joven, estar disperso a través de fronteras y ser bueno hablando más allá de un servicio de asistencia ya no mantiene a este equipo fuera de los tribunales.