På morgonen den 11 september 2023 fick en IT-supporttekniker hos MGM Resorts ett telefonsamtal från en man som identifierade sig som en MGM-anställd. Den som ringde sa att han var utelåst från sitt konto och behövde en lösenordsåterställning. Teknikern ställde standardverifieringsfrågorna. Den som ringde svarade rätt på var och en av dem, inklusive svaren på säkerhetsfrågor som borde ha varit privata för den verkliga anställde.
Informationen hade inte gissats. Den hade skrapats samma morgon från LinkedIn-profilen för en seniora IT-ingenjör hos MGM, kombinerad med offentligt tillgängliga uppgifter från datamäklare och repeterad av den som ringde före supportsamtalet. Teknikern, nöjd med verifieringen, återställde lösenordet. Den som ringde, en 19-årig brittisk tonåring ansluten till en hackergrupp som heter Scattered Spider, kontrollerade nu kontot för en MGM IT-ingenjör med administrativa privilegier över hela företagets identitetshanteringssystem. Hela samtalet varade ungefär tio minuter.
Inom timmar hade Scattered Spider använt de komprometterade autentiseringsuppgifterna för att komma åt MGM:s Okta single sign-on-plattform. Okta är identitetslagret som kontrollerar åtkomst till nästan alla interna system i de flesta stora företag. Med administrativ åtkomst till Okta kunde angriparna ge sig själva åtkomst till vad som helst. De rörde sig snabbt. Vid slutet av den 11 september hade de nått MGM:s domänkontrollanter, kärnservrarna som autentiserar varje användare på företagsnätverket. De installerade krypteringsverktyg från ALPHV, även känt som BlackCat, en ransomware-as-a-service-leverantör som tillhandahöll krypteringsnyttolasten i utbyte mot en procentandel av eventuell betald lösensumma.
Öva denna strategi
Öva det du lärt dig med en välkomstbonus på Upp till $10 000 + 200 gratissnurr.
På morgonen den 12 september insåg MGM:s säkerhetsteam vad som hände och började nödinneslutning. Beslutet var att koppla bort MGM:s system från internet för att stoppa krypteringen från att spridas vidare. Bortkopplingen fungerade, men den slog också ut nästan alla kundvända system som MGM driver. Resultatet var en kasinoindustrisk version av en sjukhuskod blå. Spelautomater på golven på Bellagio, Aria, Cosmopolitan, MGM Grand, Mandalay Bay och Mirage gick mörka. Digitala rumsnycklar slutade fungera. Hotellgäster blev utelåsta från sina egna rum eller strandade i lobbyer i väntan på manuella nyckelkort. Restaurangkassasystem havererade. MGM Rewards-lojalitetsprogrammet var offline. Bankomater slutade dela ut kontanter. Mobilappen kraschade. Webbplatsen serverade felmeddelanden.
Vad som hände på kasinogolven under de följande tio dagarna blev en av historiens mest fotograferade företags-IT-haverier. Köer av gäster sträckte sig genom hotellobby i väntan på handskrivna incheckningar. Kasinoanställda gick på golven med pappersbok som manuellt spårade jackpot-vinster eftersom övervaknings- och betalningssystemen var offline. Spelautomater som tidigare lagrade sitt tillstånd på centraliserade servrar var tvungna att startas om lokalt, en maskin i taget. Sportsbook-vad fick betalas från tillgängliga kontanter eftersom de digitala standardregleringssystemen inte var tillgängliga. Caesars Palace, tre kilometer längre ner på Strip, körde som vanligt.
Caesars Entertainment hade träffats av samma Scattered Spider-grupp den 27 augusti 2023, två veckor före MGM-attacken. Caesars attackvektor var nästan identisk: ett social engineering-samtal till en outsourcad IT-leverantör, en verifieringsbypass, en Okta-kompromettering och en ransomware-distribution. Caesars hade hanterat situationen annorlunda. Inom dagar efter intrånget hade Caesars tyst betalat ungefär 15 miljoner dollar i lösensumma i kryptovaluta till ALPHV. Lösensumman köpte en dekrypteringsnyckel, en radering av stulna kunddata (i teorin, aldrig oberoende verifierad) och ett offentligt åtagande från hackarna att inte publicera attacken. Caesars-intrånget gjordes inte offentligt förrän företaget lämnade in en SEC 8-K-anmälan den 14 september, tre dagar efter att MGM-attacken redan hade blivit en global nyhet.
MGM tog det motsatta beslutet. Företaget vägrade betala lösensumman. MGM:s seniora ledning bekräftade senare att kostnaden för intrånget var ungefär 100 miljoner dollar i förlorade intäkter, åtgärdskostnader och återställningsoperationer, plus ytterligare ungefär 10 miljoner dollar i kunddatakriminalteknik och juridiska avgifter. De förlorade intäkterna ensamma uppskattades till ungefär 8 till 10 miljoner dollar per dag på de berörda fastigheterna under avbrottets varaktighet. Personlig information för cirka 10,6 miljoner MGM-gäster exfiltrerades av angriparna och postades offentligt inom veckor, inklusive namn, adresser, födelsedatum, telefonnummer och i vissa fall pass- och körkortsuppgifter. MGM erbjöd så småningom gratis kreditövervakning till alla berörda gäster och stod inför flera grupptalanmål.
De tekniska lärdomarna från intrånget handlade faktiskt inte om teknik. Okta-integrationen som angriparna utnyttjade var korrekt konfigurerad. MGM-nätverket var rimligt segmenterat. Endpoint-detektionssystemen på de berörda servrarna fungerade som designade och utlöste varningar inom timmar efter intrånget. Sårbarheten var det mänskliga verifieringssteget vid IT-helpdesk. Angriparen kringgick ingen teknisk kontroll. Angriparen övertygade en mänsklig anställd att verifieringsfrågorna hade besvarats korrekt, och den anställde återställde lösenordet. Varje efterföljande steg i attacken flödade från det enda tio minuter långa telefonsamtalet. Lärdomen, smärtsam och kontraintuitiv, är att säkerhetsperimetern för ett 50 miljarder dollar-företag kan besegras genom att veta svaren på säkerhetsfrågor som företaget lagrar offentligt på LinkedIn-profiler för sina egna anställda.
De flesta av de påstådda Scattered Spider-medlemmarna är nu i förvar. Tre misstänkta, inklusive den påstådda 19-årige uppringaren som inledde MGM-intrånget, arresterades i Storbritannien 2024. Flera ytterligare åtal avslöjades av USA:s federala domstol för Nevadas distrikt i slutet av 2024 och början av 2025. ALPHV, ransomware-as-a-service-infrastrukturen som tillhandahöll krypteringsnyttolasten, stördes av en FBI-beslagsoperation i december 2023, även om operatörerna lanserade det igen under ett annat varumärke inom två veckor efter beslaget. Arresteringarna verkar inte ha minskat takten av social engineering-attacker mot stora företag märkbart. Enligt data från cybersäkerhetsföretag som spårar sektorn är social engineering mot IT-helpdeskar fortfarande den vanligaste metoden för initial åtkomst för ransomware-grupper 2025 och 2026.
Den strukturella slutsatsen för kasinooperatörer, och för alla stora företag med kundvänd verksamhet, är att den säkerhetsinvestering som krävs för att besegra denna typ av attack inte primärt är teknisk. Den är procedurell. IT-helpdesk behöver verifieringsprotokoll som inte kan besegras med offentligt tillgänglig data. Okta och motsvarande identitetsplattformar behöver att administratörsnivåaccess kräver flera mänskliga godkännanden över separata team. Kunddataexfiltrering måste vara detekterbar i realtid innan angriparen har tid att kopiera gigabyte med poster. Inget av detta är tekniskt svårt. Allt detta är operativt dyrt. MGM-intrånget är, i bokstavligaste mening, hur 100 miljoner dollar av operativ genväg ser ut när räkningen kommer.