Twee leden van de cybercrimegroep Scattered Spider zijn veroordeeld tot vijf en een half jaar gevangenisstraf voor het uitvoeren van de cyberaanval van 2024 op Transport for London (TfL), een inbraak die diensten verstoorde, klantgegevens blootstelde en resulteerde in naar schatting £29 miljoen ($39 miljoen) aan herstelkosten. Thalha Jubair, 20, en Owen Flowers, 18, werden veroordeeld bij de Woolwich Crown Court nadat ze eerder schuldig hadden gepleit aan misdrijven onder de Computer Misuse Act van het Verenigd Koninkrijk.
Volgens aanklagers hebben ze tussen 31 augustus en 3 september 2024 de systemen van TfL gecompromitteerd, waarbij ze social engineering-technieken gebruikten om toegang te krijgen tot het interne netwerk van de organisatie. Onderzoekers zeiden dat de hackers uitgebreide privileges binnen de omgeving verkregen, waardoor ze toegang kregen tot gevoelige systemen voordat TfL delen van zijn infrastructuur afschakelde om de aanval te stoppen.
De inbreuk verstoorde verschillende digitale diensten die door het Londense openbaar vervoersnetwerk worden gebruikt. Klanten ondervonden problemen met Oyster-kaartdiensten, online accounts en Dial-a-Ride-boekingen, terwijl duizenden medewerkers gedwongen werden hun inloggegevens te resetten. De autoriteiten bevestigden ook dat persoonlijke informatie van duizenden klanten tijdens het incident werd gecompromitteerd.
Bewijs dat in de rechtbank werd gepresenteerd, toonde aan dat Jubair delen van de aanval livestreamend uitzond terwijl Flowers op afstand keek, met opnames die later door onderzoekers werden teruggevonden. Aanklagers zeiden dat de twee hackers lange uren besteedden aan het binnendringen vanuit hun familiehuizen en dat ze nog grotere verstoring hadden kunnen veroorzaken als TfL de getroffen systemen niet van zijn netwerk had losgekoppeld.
Flowers gaf ook toe dat hij afzonderlijke cyberaanvallen had gericht op Amerikaanse gezondheidsorganisaties SSM Health en Sutter Health. Aanklagers zeiden dat onderzoekers extra bewijs hebben gevonden dat hem aan die indringers koppelt, waaronder opnames en gegevens die op in beslag genomen elektronische apparaten zijn gevonden.
De National Crime Agency omschreef de zaak als een van de meest complexe cybercrime-onderzoeken die in het Verenigd Koninkrijk zijn uitgevoerd. Functionarissen zeiden dat de aanklager aantoont dat personen die betrokken zijn bij spraakmakende cyberaanvallen kunnen worden geïdentificeerd en voor de rechter kunnen worden gebracht, zelfs wanneer ze opereren als onderdeel van losjes georganiseerde hackgroepen zoals Scattered Spider.