Paiement de rançon Scattered Spider chez Caesars Entertainment (2023)

En août 2023, Caesars Entertainment — l'un des plus grands opérateurs américains de casinos et d'hôtellerie — a été pénétré par Scattered Spider au moyen d'un appel téléphonique à un prestataire tiers de support informatique. Les attaquants ont exfiltré des données de fidélité clients dont des numéros de sécurité sociale et des permis de conduire, et en quelques semaines, Caesars a payé environ 15 millions de dollars en cryptomonnaie pour empêcher la publication des données. Le cas est aussi un rare contre-exemple : le FBI, à l'aide de l'outillage Chainalysis, a gelé une part substantielle de la rançon sur la blockchain après le paiement de Caesars.

Ce qui s'est passé

Le manuel de Scattered Spider en 2023 était bien rodé : identifier un prestataire tiers de support informatique disposant d'un accès privilégié aux systèmes d'identité de la cible, manipuler le prestataire par ingénierie sociale pour qu'il réinitialise des identifiants ou accorde un accès, et utiliser cet accès pour pénétrer dans l'environnement client. Chez Caesars, les attaquants se sont fait passer pour un employé de Caesars lors d'un appel au prestataire et ont obtenu des identifiants pour la plateforme de gestion des accès Okta de Caesars.

Le 23 août 2023, ils avaient atteint la base de fidélité clients — qui contenait les numéros de sécurité sociale et les informations de permis de conduire de dizaines de millions de clients. Les attaquants ont exfiltré les données et exigé 30 millions de dollars. Caesars a négocié et payé environ 15 millions de dollars en cryptomonnaie pour empêcher la publication.

Caesars a révélé l'incident dans un dépôt SEC le 14 septembre 2023 — ce qui en fait l'un des premiers dépôts publics américains à indiquer explicitement qu'un paiement de rançon avait été effectué. (La même équipe Scattered Spider a frappé MGM Resorts presque exactement au même moment ; MGM a refusé de payer et a absorbé environ 100 M$ de pertes opérationnelles.)

Le FBI, en collaboration avec Chainalysis, a retracé la rançon sur la blockchain et gelé une part substantielle des fonds — un rare contre-exemple médiatisé au récit habituel selon lequel les paiements de rançon en crypto ne sont pas récupérables.

Impact

• Données de fidélité clients dont SSN et permis de conduire exfiltrées.
• ~15 millions de dollars de rançon payés (contre une demande de 30 M$).
• Première divulgation très médiatisée d'un paiement de rançon dans un dépôt SEC par un grand casino américain.
• Le FBI et Chainalysis ont retracé et gelé une part substantielle de la rançon payée.

Pourquoi cela compte

Caesars est le cas de référence contemporain pour deux choses : l'ingénierie sociale du support informatique tiers comme vecteur d'accès initial dominant pour les cibles de grande valeur, et la récupération via blockchain comme une issue post-paiement réelle (mais incertaine). L'appariement avec MGM Resorts — même équipe, même semaine, décisions opposées — a offert aux conseils d'administration américains la comparaison côte à côte la plus nette possible entre payer et refuser.