Una indagine congiunta tra Dipartimento di Giustizia USA, FBI e autorità finlandesi ha portato all’arresto di un presunto membro di Scattered Spider, gruppo noto per attacchi di social engineering e richieste di riscatto milionarie. Il sospettato, 19 anni, è stato fermato a Helsinki mentre si preparava a imbarcarsi su un volo per il Giappone.
Nel caso è emerso un elemento tecnico molto rilevante: Microsoft ha fornito dati del proprio sistema GDID, un identificatore globale dei dispositivi Windows che ha aiutato gli investigatori a collegare hardware, attività online e spostamenti.
L’arresto del presunto membro di Scattered Spider passa anche dai dati raccolti da Windows
Il giovane arrestato è Peter Stokes, con doppia cittadinanza statunitense ed estone. Le accuse comprendono cospirazione, intrusione informatica e frode. Dopo il fermo in Finlandia, è stato estradato negli Stati Uniti e il 30 giugno 2026 è comparso per la prima volta davanti a un tribunale federale di Chicago, restando in custodia in attesa del processo.
Scattered Spider è considerato uno dei gruppi cybercriminali più pericolosi in circolazione e avrebbe estorto oltre 100 milioni di dollari, pari a circa 92 milioni di euro. Il collettivo è noto anche con altri nomi, tra cui Octo Tempest, UNC3944 e Oktapus, ed è specializzato soprattutto in truffe basate sull’ingegneria sociale.
- Il fermo è avvenuto a Helsinki prima di un volo diretto in Giappone.
- Le autorità seguivano il sospettato già dal 2024, ma l’età e i continui spostamenti internazionali avevano complicato l’arresto.
- Al momento del fermo portava con sé due hard disk, ritenuti utili per rafforzare il quadro probatorio.
L’episodio chiave riguarda un attacco a un rivenditore di gioielli con credenziali resettate via social engineering
L’accusa principale ruota attorno a un attacco del maggio 2025 contro un rivenditore statunitense di gioielli di fascia alta. Gli aggressori avrebbero contattato il supporto IT aziendale tramite Google Voice, fingendosi dipendenti interni, e sarebbero riusciti a convincere gli operatori a reimpostare le credenziali di accesso.
Da lì il gruppo avrebbe compromesso tre account aziendali, due dei quali con privilegi amministrativi completi. Dopo aver sottratto dati sensibili, gli attaccanti avrebbero chiesto un riscatto in criptovalute da 8 milioni di dollari, circa 7,4 milioni di euro.
- Contatto iniziale al supporto IT tramite Google Voice.
- Reset delle credenziali ottenuto impersonando personale interno.
- Compromessi 3 account aziendali, di cui 2 con privilegi amministrativi.
- Richiesta di riscatto in criptovalute da 8 milioni di dollari.
Che cos’è GDID e perché il suo ruolo nell’indagine apre un tema concreto sulla privacy
GDID, sigla di Global Device Identifier, è un identificatore univoco associato all’installazione di Windows e utilizzato per raccogliere dati di telemetria del dispositivo. È anche uno dei motivi per cui, quando si sostituiscono componenti hardware principali, l’attivazione di Windows può richiedere una nuova verifica.
Nel procedimento giudiziario, i dati GDID avrebbero permesso di associare il dispositivo fisico usato dal sospettato a comportamenti specifici in rete e a precise posizioni operative. I registri consegnati agli investigatori includevano timestamp dettagliati, cronologia di navigazione, attività di gioco, indirizzi IP, utilizzo di strumenti come Ngrok e stato d’uso dei servizi cloud Azure.
Sul piano tecnico il caso dimostra l’efficacia della telemetria quando viene usata per ricostruire un’attività criminale. Sul piano della privacy, però, evidenzia anche quanto possa essere profonda la raccolta dati su una macchina Windows e quanto sia difficile per l’utente disattivare o rimuovere completamente questo tipo di identificatore.
- GDID identifica in modo univoco una specifica installazione di Windows.
- I log forniti includevano timestamp precisi e associazioni tra dispositivo, rete e attività.
- Tra gli elementi analizzati compaiono IP, cronologia web, uso di Azure e strumenti di tunneling come Ngrok.
- Il dibattito si concentra sul livello di dettaglio della telemetria e sulla possibilità reale di limitarla.
