Dois membros do grupo de cibercrime Scattered Spider foram condenados a cinco anos e meio de prisão por realizarem o ataque cibernético de 2024 contra a Transport for London (TfL), uma invasão que interrompeu serviços, expôs dados de clientes e resultou em custos estimados em £29 milhões (US$ 39 milhões) em custos de recuperação. Thalha Jubair, 20 anos, e Owen Flowers, 18, foram sentenciados no Tribunal da Coroa de Woolwich após terem se declarado culpados anteriormente de crimes sob a Lei de Uso Indevido de Computadores do Reino Unido.
Segundo promotores, a dupla comprometeu os sistemas da TfL entre 31 de agosto e 3 de setembro de 2024, utilizando técnicas de engenharia social para acessar a rede interna da organização. Investigadores disseram que os hackers obtiveram amplos privilégios dentro do ambiente, permitindo acessar sistemas sensíveis antes que a TfL desligasse partes de sua infraestrutura para impedir o ataque.
A violação interrompeu vários serviços digitais utilizados pela rede de transporte público de Londres. Os clientes enfrentaram problemas com serviços de cartão Oyster, contas online e reservas de Dial-a-Ride, enquanto milhares de funcionários foram obrigados a redefinir suas credenciais. As autoridades também confirmaram que informações pessoais pertencentes a milhares de clientes foram comprometidas durante o incidente.
Provas apresentadas no tribunal mostraram que Jubair transmitiu ao vivo partes do ataque enquanto Flowers assistia remotamente, com gravações posteriormente recuperadas pelos investigadores. Os promotores disseram que os dois hackers passaram longas horas realizando a invasão a partir de suas casas familiares e poderiam ter causado ainda mais distúrbios se a TfL não tivesse desconectado os sistemas afetados de sua rede.
Flowers também admitiu ataques cibernéticos separados direcionados às organizações de saúde dos EUA SSM Health e Sutter Health. Os promotores disseram que os investigadores recuperaram evidências adicionais que o ligam a essas intrusões, incluindo gravações e dados encontrados em dispositivos eletrônicos apreendidos.
A Agência Nacional do Crime descreveu o caso como uma das investigações de crimes cibernéticos mais complexas conduzidas no Reino Unido. Autoridades disseram que a promotoria demonstra que indivíduos envolvidos em ataques cibernéticos de alto perfil podem ser identificados e levados aos tribunais, mesmo quando atuam como parte de grupos de hackers pouco organizados, como o Scattered Spider.