Suposto membro do grupo Scattered Spider é extraditado para os EUA após prisão na Finlândia

Peter Stokes, de 19 anos, é o segundo membro do Scattered Spider preso e extraditado para os EUA em menos de três meses, depois de Tyler Buchanan, que se declarou culpado em abril. Diferente de Buchanan, cujo foco foi o roubo direto de criptomoedas via phishing e acesso a carteiras, Stokes é acusado de atuar na fase crítica de engenharia social e invasão inicial: manipular funcionários de empresas-alvo para obter credenciais válidas, como fez no caso da joalheira de luxo em maio de 2025. O DOJ detalha que o grupo usou técnicas de vishing com scripts pré-ensaiados, simulação de suporte técnico e até clonagem de vozes para contornar MFA, um padrão já observado em ataques anteriores ao Grupo Boticário e à operadora TIM Brasil, embora não citados oficialmente no processo.

O caso reforça uma mudança tática confirmada por relatórios recentes da Mandiant e da CISA: o Scattered Spider migrou de ataques massivos com ransomware genérico para operações discretas, com foco em exfiltração silenciosa de dados sensíveis (PII, credenciais, dados financeiros) e chantagem direta, sem necessariamente criptografar sistemas. Isso reduz o tempo de detecção e dificulta a resposta baseada em assinaturas tradicionais de EDR/XDR.

Em abril, a cobertura CEVIU relatava apenas a prisão de Stokes na Finlândia e acusações ainda sob sigilo. Agora, o DOJ descreveu publicamente o papel dele na conspiração, incluindo o ataque à joalheira em maio de 2025, evento que não constava do relato anterior. Também houve confirmação formal de que Stokes fazia parte da célula responsável por operações de 'initial access' (acesso inicial), não por execução de ransomware. Isso contrasta com o perfil de Buchanan, que atuava mais tarde na cadeia, no estágio de monetização via roubo de criptoativos.

Stokes é o primeiro acusado do Scattered Spider cujas ações foram vinculadas diretamente a um ataque bem-sucedido de exfiltração seguido de chantagem, sem pagamento, mas com prejuízo real de $2 milhões só em resposta e contenção. Isso mostra que o dano não depende de ransomware instalado: basta a ameaça crível de vazamento. Empresas brasileiras com operações nos EUA ou dados de cidadãos americanos estão agora sob risco legal ampliado pelo CFAA e pela Lei de Proteção de Dados dos EUA (CPRA), mesmo que o ataque tenha origem fora do país. A extradição também sinaliza que a Finlândia passou a priorizar cooperação em crimes cibernéticos com os EUA, um precedente relevante para jurisdições como Brasil e Portugal, que ainda enfrentam entraves legais nesse tipo de pedido.