Dos miembros principales del colectivo cibercriminal Scattered Spider fueron condenados a cinco años y seis meses de prisión cada uno por el hackeo a Transport for London (TfL) en 2024. El ataque, revelado el 2 de septiembre de 2024, afectó a los servicios que presta TfL a más de 8,4 millones de londinenses, interrumpiendo sistemas internos y plataformas en línea.
Entre los servicios afectados se incluyeron Dial-a-Ride, tarjetas de viaje con descuento, pagos digitales, la implementación de ticketing sin contacto y la capacidad de procesar reembolsos. Además, 148 sistemas quedaron inoperativos en la red de TfL y los 27.000 empleados tuvieron que restablecer sus contraseñas presencialmente tras la brecha.
TfL reportó pérdidas y costos de recuperación de 29 millones de libras, pero funcionarios estimaron que la economía del Reino Unido podría haber perdido hasta 56.000 millones de libras si los atacantes hubieran logrado paralizar la red de transporte. El 12 de septiembre de 2024, TfL reveló que los atacantes también robaron datos de clientes, incluidos nombres, direcciones y detalles de contacto.
El 16 de septiembre de 2024, agentes de la Policía de la City de Londres y la Agencia Nacional contra el Crimen (NCA) del Reino Unido arrestaron a Thalha Jubair, de 20 años, y Owen Flowers, de 18 años, en sus domicilios. Los investigadores señalaron que Flowers también estaba en proceso de hackear las empresas estadounidenses de salud Sutter Health y SSM Health Care Corporation, y que en sus dispositivos se encontraron pruebas de la intrusión en TfL.
Ambos se declararon culpables el mes pasado bajo la Computer Misuse Act y fueron sentenciados hoy a cinco años y medio de prisión cada uno. Paul Foster, director adjunto de la NCA, describió a Scattered Spider como "la amenaza cibercriminal más significativa para el Reino Unido en los últimos años" y atribuyó las condenas a la cooperación temprana de TfL con las autoridades.
"Estas condenas probablemente no habrían sido posibles si Transport for London no se hubiera comprometido con las autoridades desde el principio, por lo que instaría a cualquier otra organización a hacer lo mismo en tales circunstancias", dijo Foster. "Seguiremos trabajando con socios en el Reino Unido y en el extranjero para identificar a los delincuentes y llevarlos ante la justicia".
El Departamento de Justicia de EE.UU. también imputó a Jubair en septiembre de 2025 por conspiración para cometer fraude informático, lavado de dinero y fraude electrónico en relación con al menos 120 intrusiones ocurridas entre mayo de 2022 y septiembre de 2025. Según documentos judiciales, estos ataques afectaron a decenas de organizaciones estadounidenses, incluidas entidades de infraestructura crítica y tribunales, y Jubair y sus cómplices extorsionaron a víctimas por más de 115 millones de dólares entre agosto de 2024 y julio de 2025.
En julio de 2025, la NCA arrestó a otros cuatro sospechosos de pertenecer a Scattered Spider, presuntamente vinculados a una ola de ciberataques contra importantes minoristas del Reino Unido, como Harrods, Marks & Spencer y Co-op.
Deja una respuesta