Hakerzy z Wielkiej Brytanii skazani za cyberatak na londyński transport, który kosztował 29 milionów funtów

Atak

Między 31 sierpnia a 3 września 2024 r. Jubair i Flowers włamali się do systemów TfL po tym, jak wspólnik podszył się pod pracownika na infolinii, by zresetować dane logowania. Rozszerzyli uprawnienia, tworząc konto administratora domeny – w sądzie określone jako „klucze do królestwa”. Para przeszukiwała bazy danych klientów w poszukiwaniu celebrytów, naruszyła systemy zwrotów pieniędzy i zablokowała portal składania wniosków o kartę Oyster dla młodych. TfL było zmuszone odłączyć systemy, by powstrzymać włamanie.

To był najgorszy incydent, z jakim się spotkałem w swojej karierze.

Skutki i koszty

Bezpośrednia strata finansowa sięgnęła 29 milionów funtów, choć niektóre raporty podają łącznie 39 milionów funtów. Wszyscy 28 000 pracowników TfL musieli osobiście zresetować hasła. Usługa Dial-a-Ride dla pasażerów z niepełnosprawnościami przez tygodnie nie mogła przetwarzać rezerwacji, a aplikacje z rozkładami jazdy w czasie rzeczywistym, takie jak TfL Go i Citymapper, przestały działać. Skradziono dane należące do milionów pasażerów. Prokuratorzy stwierdzili, że hakerzy mogli wyrządzić „katastrofalne szkody”, a gdyby systemy nie zostały odłączone, potencjalne straty pośrednie mogłyby sięgnąć 56 miliardów funtów.

Hakerzy

Jubair (20 l.) z Tower Hamlets miał 22 wcześniejsze wyroki, w tym za stalking oraz ataki na BT/EE, Nvidię i City of London Police. Został również oskarżony w Stanach Zjednoczonych o spisek w celu popełnienia oszustwa komputerowego, oszustwa elektronicznego i prania pieniędzy – zarzucono mu wyłudzenie 115 milionów dolarów okupu. Flowers (18 l.) z Walsall został aresztowany podczas włamywania się do dwóch amerykańskich dostawców opieki zdrowotnej, SSM Health i Sutter Health, zaledwie kilka dni po ataku na TfL. Obaj mieszkali z rodzinami, komunikowali się przez Telegram, a Flowers transmitował atak na żywo. Jubaira zidentyfikowano częściowo dlatego, że zamówił jedzenie do domu, używając bonów zakupionych za kryptowalutę powiązaną z serwerem przechowującym okupy.

Zakłócenie działań Scattered Spider

Para była kluczowymi członkami Scattered Spider, luźnego kolektywu anglojęzycznych hakerów powiązanego z atakami na MGM, Marks & Spencer, Harrods i inne. Paul Foster, szef Krajowej Jednostki ds. Cyberprzestępczości NCA, oświadczył, że wyroki „poważnie osłabiły” zdolność grupy do działania.

Scattered Spider był najpoważniejszym zagrożeniem cyberprzestępczym dla Wielkiej Brytanii w ostatnich latach. Dzięki temu śledztwu znacznie osłabiliśmy to zagrożenie i postawiliśmy przed wymiarem sprawiedliwości kluczowych przestępców.

Wyrok

16 lipca 2026 r. w Woolwich Crown Court sędzia Mark Turner skazał obu na pięć i pół roku więzienia. Uznał ich młody wiek, ale podkreślił, że powaga przestępstwa wymaga kary pozbawienia wolności, stwierdzając, że kierowali się „samolubną brawurą, nie zważając na poważne konsekwencje dla innych”.