Scattered Spider: Windows-Kennung führt FBI zu 19-Jährigem
KI-generiert mit ChatGPT
Eine Windows-Kennung führte laut US-Anklageschrift zur Festnahme eines mutmaßlichen Hackers der Gruppe Scattered Spider. Der 19-jährige Peter Stokes soll dadurch trotz VPN und wechselnder IP-Adressen mit dem Angriff in Verbindung gebracht worden sein. Ermittler nutzten dafür den Global Device Identifier von Microsoft.
Was die Anklageschrift beschreibt
Die Spur führt laut US-Staatsanwaltschaft zu einem Einbruch bei einem Luxus-Juwelier im Mai 2025, an dem Stokes beteiligt gewesen sein soll. Die Anklageschrift bezeichnet ihn als mutmaßliches Mitglied von Scattered Spider. Die Gruppe ist auch unter den Namen Octo Tempest, UNC3944 und 0ktapus bekannt. Stokes ist Doppelstaatler der USA sowie Estlands und trat online unter Aliasnamen wie Bouquet auf. Nach seiner Auslieferung aus Finnland hatte er am 30. Juni 2026 seinen ersten Gerichtstermin in Chicago.
Der Angriff selbst lief über den IT-Helpdesk. Zwischen dem 12. und 15. Mai 2025 riefen die Angreifer mehrfach beim Support an. Sie gaben sich als Mitarbeiter mit gesperrten Konten aus und veranlassten die Beschäftigten, Passwörter sowie die hinterlegten Geräte für die Mehr-Faktor-Anmeldung zurückzusetzen. Innerhalb weniger Stunden kontrollierten die Angreifer drei Konten. Anschließend installierten sie die Tunnel-Werkzeuge ngrok sowie Teleport und zogen mindestens 77 GB an Daten ab.
Der Erpressungsversuch scheiterte. Das Sicherheitsteam des Juweliers blockierte die Ransomware und sperrte den Zugriff. Eine Lösegeldforderung über 8 Millionen US-Dollar in Kryptowährung blieb unbezahlt. Der Schaden durch die entstandene Betriebsstörung und die anschließenden Aufräumarbeiten lag laut eigenen Angaben bei rund 2 Millionen US-Dollar.
Eine Stellungnahme von Stokes oder seiner Verteidigung liegt bislang nicht vor.
AnzeigeWie die Windows-Kennung zum Verdächtigen führte
Die Ermittler verfolgten die Spur laut Unterlagen zurück zu dem Gerät, mit dem das ngrok-Konto erstellt wurde. Microsoft teilte dem FBI mit, dass dieses Gerät den Global Device Identifier mit der Kennung g:6755467234350028 trug. Der GDID ist nach Microsoft-Darstellung eine dauerhafte Kennung, die an eine einzelne Windows-Installation gebunden ist. Sie übersteht Updates und ändert sich erst bei einer Neuinstallation des Betriebssystems.
Laut den Microsoft-Aufzeichnungen besuchte besagtes Gerät die ngrok-Anmeldeseite um 19:21 Uhr UTC am 12. Mai 2025. Das war genau die Minute, in der das Konto erstellt wurde. Dieselbe Kennung tauchte immer wieder zusammen mit den gleichen IP-Adressen auf, die auch Konten bei Snapchat, Apple und Facebook zugeordnet waren. Nach Darstellung der Staatsanwaltschaft gehörten diese Konten Stokes. Die Spur reichte von Tallinn über New York bis nach Thailand und deckte sich mit Reisedaten des US-Außenministeriums.
Der Fall wirft Fragen zur Reichweite solcher Telemetrie auf. Der GDID benötigt keine Cookies, keine Browser-Fingerabdrücke und keine Zustimmung des Nutzers. Ähnliche Debatten über eingebaute Datenerfassung begleiten auch andere Konzerne. Ein Beispiel war die Meldung, dass Meta Maus und Tastatur seiner Mitarbeiter aufzeichnet.
Warum eine Festnahme die Gefahr kaum senkt
Die Sicherheitsfirma Group-IB beschreibt Scattered Spider nicht als eine Gruppe, sondern als loses Kollektiv kleiner, unabhängiger Zellen. Diese bestehen meist aus höchstens fünf Personen und teilen vor allem Taktiken, Werkzeuge und Chaträume. Group-IB vergleicht die Struktur mit der Anonymous-Bewegung und hält fest, dass Festnahmen einzelner Zellen die Bedrohung nicht stoppen. Parallel bleibt die Angriffsfläche groß, wie aktiv ausgenutzte Schwachstellen in der Windows-Shell zeigen.
Zur Festnahme von Stokes kam es bereits im April 2026 am Flughafen Helsinki. Dort stellten die Behörden zwei Festplatten mit je zwei Terabyte sicher, bevor er in die USA ausgeliefert wurde.
Server, KI-Modelle und Recherche kosten Geld. ClawNews ist unabhängig — hilf mit, dass das so bleibt.
