Hacker Scattered LAPSUS$ Hunters: accesso non autorizzato a Google LERS

Redazione RHC : 17 Settembre 2025 06:52

I dirigenti di Google hanno affermato che gli hacker hanno creato un account falso sul Law Enforcement Request System (LERS), la piattaforma aziendale utilizzata dalle forze dell’ordine per inviare richieste ufficiali di dati.

Alla fine della scorsa settimana, i membri dei gruppi di hacker Scattered Spider, LAPSUS$ e Shiny Hunters (che affermano di essersi uniti e ora si fanno chiamare Scattered LAPSUS$ Hunters) hanno annunciato su Telegram di aver ottenuto l’accesso sia al portale Google LERS sia al sistema di controllo dei precedenti eCheck dell’FBI.

LERS ed eCheck sono utilizzati dalle forze di polizia e dalle agenzie di intelligence di tutto il mondo per trasmettere citazioni e ordini, nonché richieste di divulgazione urgente di informazioni. L’accesso non autorizzato a questi sistemi ha consentito agli aggressori di impersonare agenti delle forze dell’ordine e di accedere ai dati sensibili degli utenti.

CVE Enrichment Mentre la finestra tra divulgazione pubblica di una vulnerabilità e sfruttamento si riduce sempre di più, Red Hot Cyber ha lanciato un servizio pensato per supportare professionisti IT, analisti della sicurezza, aziende e pentester: un sistema di monitoraggio gratuito che mostra le vulnerabilità critiche pubblicate negli ultimi 3 giorni dal database NVD degli Stati Uniti e l'accesso ai loro exploit su GitHub. Cosa trovi nel servizio: ✅ Visualizzazione immediata delle CVE con filtri per gravità e vendor. ✅ Pagine dedicate per ogni CVE con arricchimento dati (NIST, EPSS, percentile di rischio, stato di sfruttamento CISA KEV). ✅ Link ad articoli di approfondimento ed exploit correlati su GitHub, per ottenere un quadro completo della minaccia. ✅ Funzione di ricerca: inserisci un codice CVE e accedi subito a insight completi e contestualizzati. Ricerca per singola CVE Ricerca le ultime CVE emesse Articolo sul CVE enrichment Supporta Red Hot Cyber attraverso:  L'acquisto del fumetto sul Cybersecurity Awareness Ascoltando i nostri Podcast Seguendo RHC su WhatsApp Seguendo RHC su Telegram Scarica gratuitamente “Byte The Silence”, il fumetto sul Cyberbullismo di Red Hot Cyber Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì.

“Abbiamo accertato che nel nostro sistema di richieste delle forze dell’ordine è stato creato un account fraudolento e lo abbiamo disattivato”, ha dichiarato ai giornalisti un portavoce di Google. “Nessuna richiesta è stata effettuata tramite questo account fraudolento. Non è stato effettuato alcun accesso ai dati”.

L’FBI ha rifiutato di commentare le dichiarazioni dei colpevoli.

Si noti che gli hacker hanno pubblicato screenshot dell’accesso presumibilmente ottenuto poco dopo aver annunciato la loro intenzione di “nascondersi”.

Ricordiamo che all’inizio di quest’anno, il collettivo Scattered LAPSUS$ Hunters ha attirato molta attenzione dopo attacchi su larga scala a Salesforce.

Inizialmente gli aggressori hanno utilizzato l’ingegneria sociale per indurre i dipendenti a collegare lo strumento Data Loader alle istanze aziendali di Salesforce, che è stato poi utilizzato per rubare dati e commettere estorsioni.

Successivamente, gli hacker hanno compromesso il repository GitHub di Salesloft e hanno utilizzato Trufflehog per scoprire segreti nel codice sorgente privato. Ciò ha permesso loro di trovare token di autenticazione per Salesloft Drift, utilizzati per sferrare ulteriori attacchi e il conseguente furto di massa di dati da Salesforce.

Il fatto è che gli specialisti di Google Threat Intelligence (Mandiant) sono stati i primi a notare cosa stava succedendo, hanno attirato l’attenzione sugli attacchi a Salesforce e Salesloft e hanno avvisato tutti della necessità di rafforzare le proprie difese.

Dopodiché, gli hacker hanno iniziato a ridicolizzare regolarmente l’FBI, Google, Mandiant e i ricercatori di sicurezza informatica nelle pubblicazioni sui loro canali Telegram.

Ora, gli Scattered LAPSUS$ Hunters hanno pubblicato un lungo messaggio su un dominio associato a BreachForums, affermando che stanno cessando le operazioni.

“Abbiamo deciso che d’ora in poi la nostra forza risiede nel silenzio”, hanno scritto gli aggressori. “Continuerete a vedere i nostri nomi nei resoconti sulle fughe di dati di decine di aziende multimiliardarie che non hanno ancora ammesso l’attacco, così come di alcune agenzie governative, comprese quelle altamente protette. Ma questo non significa che siamo ancora attivi”.

Redazione
La redazione di Red Hot Cyber è composta da un insieme di persone fisiche e fonti anonime che collaborano attivamente fornendo informazioni in anteprima e news sulla sicurezza informatica e sull'informatica in generale.

Lista degli articoli