Según la CISA y el FBI estadounidenses, el grupo Scattered Spider se dirige a grandes empresas y a sus helpdesks de IT subcontratados. Su aviso sobre el grupo es una de las advertencias más claras de que el service desk puede ser una puerta de entrada. ¿Qué dice, y qué significa para su organización?
¿Qué es Scattered Spider?
Scattered Spider es el nombre de un grupo de ciberdelincuentes que trabaja con ingeniería social. La CISA y el FBI publicaron en noviembre de 2023 un aviso conjunto sobre el grupo. El 29 de julio de 2025 el aviso se actualizó, junto con socios de, entre otros, Canadá, Australia y el Reino Unido.
¿Qué dice el aviso sobre el helpdesk?
El aviso describe cómo los atacantes se hacen pasar por empleados y convencen al helpdesk de IT para que restablezca contraseñas o tokens MFA. Así obtienen acceso a la cuenta de ese empleado. Esto se denomina account takeover a través del service desk.
El aviso menciona también lo contrario: atacantes que se hacen pasar por el helpdesk ante los empleados. En ambos casos se trata de la misma pregunta. ¿Sabe con certeza con quién está hablando?
Por qué esto también afecta a las organizaciones neerlandesas
El aviso procede de Estados Unidos, pero la vía que describe no está ligada a ningún país. Toda organización en la que el service desk pueda restablecer contraseñas o MFA a petición de quien llama tiene esa misma vía. Si ha externalizado su service desk, lo mismo se aplica a esa empresa.
Además, en los Países Bajos es un asunto de la dirección. Desde el 15 de agosto de 2026 está en vigor la Cyberbeveiligingswet (la ley neerlandesa de ciberseguridad). La dirección es la responsable última de la gestión de los riesgos cibernéticos, y NIS2 incluye la gestión de accesos y la autenticación multifactor entre las medidas obligatorias.
Qué recomienda el aviso
- MFA resistente al phishing. El aviso recomienda utilizar, siempre que sea posible, MFA resistente al phishing, como FIDO/WebAuthn o MFA basado en PKI.
- Seguir evaluando. El aviso recomienda ejercitar, probar y validar el programa de seguridad, y hacerlo de forma continua en el entorno de producción.
El aviso no ofrece un método específico para la verificación de identidad en el helpdesk. Y también el MFA resistente al phishing tiene que poder volver a configurarse cuando alguien pierde un dispositivo. Entonces la pregunta vuelve al service desk: ¿quién llama?
¿Qué puede hacer?
- Compruebe si su service desk resiste. Una evaluación de account takeover muestra si su service desk entrega una cuenta a alguien que llama. Siempre dentro de una autorización firmada.
- Observe dónde deja margen el proceso. Un análisis de procesos muestra dónde divergen la política y la práctica.
- Opte por la verificación técnica. Las medidas técnicas sustituyen el criterio de un solo empleado por un control que el propio llamante debe superar.
