Zwei Mitglieder der Cybercrime-Gruppe Scattered Spider wurden zu fünfeinhalb Jahren Haft verurteilt, weil sie den Cyberangriff 2024 auf Transport for London (TfL) durchgeführt hatten – ein Einbruch, der Dienstleistungen störte, Kundendaten offenlegte und schätzungsweise 29 Millionen Pfund (39 Millionen US-Dollar) an Wiederherstellungskosten verursachte. Thalha Jubair, 20, und Owen Flowers, 18, wurden am Woolwich Crown Court verurteilt, nachdem sie zuvor Straftaten nach dem britischen Computer Misuse Act bekennt hatten.
Laut Staatsanwaltschaft haben die beiden zwischen dem 31. August und dem 3. September 2024 die Systeme von TfL kompromittiert, indem sie Social-Engineering-Techniken einsetzten, um Zugang zum internen Netzwerk der Organisation zu erhalten. Ermittler sagten, die Hacker hätten umfangreiche Privilegien innerhalb der Umgebung erhalten, die ihnen Zugang zu sensiblen Systemen ermöglichten, bevor TfL Teile seiner Infrastruktur abschaltete, um den Angriff zu stoppen.
Der Verstoß störte mehrere digitale Dienste, die vom öffentlichen Nahverkehrsnetz Londons genutzt werden. Kunden hatten Probleme mit Oyster-Kartendiensten, Online-Konten und Dial-a-Ride-Buchungen, während Tausende von Mitarbeitern gezwungen waren, ihre Zugangsdaten zurückzusetzen. Die Behörden bestätigten außerdem, dass persönliche Informationen von Tausenden Kunden während des Vorfalls kompromittiert wurden.
Vor Gericht vorgelegte Beweise zeigten, dass Jubair Teile des Angriffs live streamte, während Flowers aus der Ferne zusah, wobei Aufnahmen später von den Ermittlern gesichert wurden. Die Staatsanwaltschaft erklärte, die beiden Hacker hätten viele Stunden damit verbracht, aus ihren Familienhäusern einzudringen, und hätten noch größere Störungen verursachen können, wenn TfL die betroffenen Systeme nicht von seinem Netzwerk getrennt hätte.
Flowers gab außerdem zu, getrennte Cyberangriffe gegen US-Gesundheitsorganisationen SSM Health und Sutter Health getroffen zu haben. Die Staatsanwaltschaft sagte, die Ermittler hätten weitere Beweise gefunden, die ihn mit diesen Einbrüchen in Verbindung bringen, darunter Aufnahmen und Daten, die auf beschlagnahmten elektronischen Geräten gefunden wurden.
Die National Crime Agency bezeichnete den Fall als eine der komplexesten Cyberkriminalitätsermittlungen, die im Vereinigten Königreich durchgeführt wurden. Beamte sagten, die Staatsanwaltschaft zeige, dass Personen, die an hochkarätigen Cyberangriffen beteiligt sind, identifiziert und vor Gericht gebracht werden können, selbst wenn sie als Teil locker organisierter Hackergruppen wie Scattered Spider agieren.