Dos miembros del grupo cibercriminal Scattered Spider, Thalha Jubair (20 años) y Owen Flowers (18 años), se han declarado culpables de lanzar un ciberataque contra Transport for London (TfL). La intrusión en la red interna de la entidad provocó graves interrupciones en el servicio y pérdidas estimadas en 29 millones de libras.

Dos miembros del grupo cibercriminal Scattered Spider se han declarado culpables de un ciberataque a Transport for London (TfL) que causó interrupciones graves en el servicio y resultó en pérdidas estimadas en 29 millones de libras esterlinas.

Thalha Jubair, de 20 años y residente del este de Londres, y Owen Flowers, de 18 años y residente de Walsall, West Midlands, admitieron su participación en la vulneración de la red interna de TfL entre el 31 de agosto y el 3 de septiembre de 2024.

El ataque afectó a sistemas críticos y obligó a la organización a implementar medidas de remediación de emergencia en toda su infraestructura.

Según investigadores de la Agencia Nacional del Crimen (NCA) del Reino Unido y la Policía de la City de Londres (COLP), los atacantes obtuvieron acceso no autorizado a los sistemas de TfL, lo que desencadenó una operación de restablecimiento de contraseñas a gran escala que afectó a aproximadamente 28.000 empleados.

El personal tuvo que acudir físicamente a las oficinas para reautenticarse, lo que pone de manifiesto la gravedad del compromiso y la pérdida de confianza en los sistemas de identidad internos.

La brecha también expuso datos vinculados al sistema de reembolso de tarjetas Oyster de TfL. Esta interrupción retrasó los reembolsos a los clientes y cerró temporalmente el sistema de solicitud de fototargetas Oyster utilizado por niños y jóvenes.

Scattered Spider vulneran TfL

Aunque el alcance total de la exposición de datos no se ha revelado públicamente, el impacto operativo afectó significativamente a los servicios públicos y a la experiencia del cliente.

El análisis forense digital desempeñó un papel fundamental en la investigación. Cuando Flowers fue arrestado el 6 de septiembre de 2024, las autoridades incautaron múltiples dispositivos, incluyendo portátiles, unidades externas y almacenamiento USB.

Un portátil Acer contenía una captura de pantalla que mostraba conectividad activa con la infraestructura de TfL, proporcionando pruebas directas del acceso no autorizado.

Los investigadores también descubrieron que Flowers había utilizado mercados en línea para acceder o comprar credenciales comprometidas, lo que sugiere que se utilizaron técnicas de intrusión basadas en credenciales durante el ataque.

Las pruebas adicionales incluyeron videos grabados que mostraban a Jubair navegando activamente por los sistemas de TfL durante la brecha. La pareja se coordinó a través de Telegram y otras herramientas colaborativas en línea, lo que indica una ejecución de ataque estructurada y en tiempo real.

Análisis posteriores vincularon a Flowers con intrusiones dirigidas a organizaciones sanitarias de EE. UU., incluidas SSM Health Care Corporation y Sutter Health, demostrando la huella de objetivos internacionales más amplia del grupo.

Esto coincide con las tácticas conocidas de Scattered Spider, que a menudo implican ingeniería social, robo de credenciales y el ataque a grandes empresas e infraestructuras críticas.

Flowers fue liberado posteriormente bajo fianza, pero violó las condiciones dos veces en 2025, lo que generó preocupación sobre la persistencia de conductas de riesgo durante el periodo de investigación.

Ambos individuos, que debían comparecer ante el Tribunal de la Corona de Woolwich, se declararon culpables al inicio del proceso y tienen programada su sentencia para el 16 de julio de 202

Los funcionarios encargados de hacer cumplir la ley enfatizaron el impacto en el mundo real del cibercrimen, especialmente cuando se ataca una infraestructura crítica. El ataque interrumpió servicios esenciales de transporte público e impuso costes de recuperación significativos.

Las autoridades también destacaron la tendencia creciente de cibercriminales jóvenes de habla inglesa que se unen a grupos de amenazas organizados como Scattered Spider.

El caso subraya la importancia de informar los incidentes a tiempo y de una respuesta coordinada entre las organizaciones y las fuerzas del orden.

Los funcionarios señalaron que la cooperación de TfL fue un factor clave en el éxito de la investigación y el procesamiento judicial. Se aconseja a las organizaciones reforzar los controles de seguridad de identidad, supervisar el abuso de credenciales e implementar procedimientos de respuesta rápida ante incidentes para mitigar amenazas similares.