Owen Flowers y Thalha Jubair fueron condenados a cinco años y medio de prisión por hackear el sistema de transporte de Londres (TfL) en 2024. El ataque causó pérdidas de 29 millones de libras y afectó servicios críticos, exponiendo además datos personales de miles de usuarios. Ambos son vinculados al grupo criminal Scattered Spider, considerado uno de los casos de ciberdelincuencia más grandes del Reino Unido.



Owen Flowers, de 18 años, y Thalha Jubair, de 20, fueron condenados a cinco años y medio de prisión cada uno en el Tribunal de la Corona de Woolwich el jueves 16 de julio de 2026, por el hackeo de Transport for London (TfL) en 2024.

El ataque dejó inoperables 148 sistemas de TfL y obligó a los 27.000 empleados de la autoridad de transporte a acudir a una oficina para restablecer sus contraseñas en persona. Tanto la NCA como el CPS estiman que las pérdidas y los costes de recuperación de TfL ascienden a 29 millones de libras.

Ambos se declararon culpables el 22 de junio de 2026 aquí, el día en que debía comenzar su juicio. El cargo fue la Sección 3ZA de la Ley de Abuso de Computadoras de 1990, la más grave de la ley, y admitieron que actuaron de forma temeraria al crear un riesgo significativo de daños graves al bienestar humano.

El CPS aquí afirma que se cree que Flowers y Jubair son los primeros hackers procesados con éxito bajo la Sección 3ZA. La NCA aquí considera el caso como el segundo procesamiento de este tipo. Ambas lecturas pueden coincidir, una contando los procesamientos iniciados y la otra los que terminaron en condena, pero ninguna agencia explica la diferencia.

La NCA lo califica como el mayor procesamiento por ciberdelincuencia que han visto los tribunales del Reino Unido.

La intrusión ocurrió del 31 de agosto al 3 de septiembre de 2024. TfL supervisa un promedio de 9 millones de viajes al día. Dial-a-Ride, el servicio de reservas para londinenses vulnerables, dejó de funcionar, junto con el canal de pagos digitales y la emisión de tarjetas de viaje concesionadas.

Se cerraron las solicitudes para las tarjetas fotográficas Oyster, las tarjetas de tarifa reducida para niños y jóvenes de Londres. La extensión de la boletería sin contacto falló y los reembolsos se ralentizaron.

TfL informó a los clientes aquí que se había accedido a nombres y direcciones de correo electrónico, así como a domicilios. También podrían haberse filtrado datos de reembolsos de Oyster, incluidos números de cuenta bancaria y códigos de banco de unas 5.000 personas.

Solo ellos dos sabían qué pretendían hacer con el acceso, dice el CPS, aunque sus chats sugerían que borrarían el acceso al salir. De ahí proviene la cifra más alta del caso: la NCA afirma que un cierre total de la red podría haber costado a la economía del Reino Unido hasta 56.000 millones de libras, y el CPS sitúa la misma hipótesis en miles de millones. Se quedó en hipótesis, dice el CPS, porque TfL desconectó su propia red para contenerlos.

Flowers fue arrestado en su casa el 6 de septiembre de 2024, tres días después de que terminara la intrusión en TfL, y la NCA dice que los agentes lo encontraron en medio de un ataque contra dos organizaciones sanitarias de EE. UU., SSM Health Care Corporation y Sutter Health.

Los investigadores incautaron portátiles, computadoras de torre, discos duros y memorias USB. Un portátil contenía una captura de pantalla de la conectividad de red a la infraestructura de TfL, además de videos que Flowers había grabado de Jubair moviéndose por los sistemas de TfL durante el ataque. La pareja se comunicaba por Telegram mientras ocurría y compartía un espacio de trabajo en línea.

Los fiscales demostraron que Flowers había estado conectado al servidor remoto utilizado para lanzar las tres intrusiones, y sus propios dispositivos lo vincularon a todas ellas. La información que vinculaba a Jubair con TfL se descubrió en el extranjero, obtenida con ayuda de fiscales locales.

Flowers admitió otros dos cargos relacionados con los ataques sanitarios: una conspiración contra SSM Health y un intento contra Sutter Health. El CPS afirma que amenazó con bloquear esos sistemas, reconociendo en los chats que "podría matar a algún anciano de 90 años con soporte vital" aquí. El arresto fue lo que lo detuvo.

La NCA describe a ambos hombres como miembros destacados de Scattered Spider, el grupo de extorsión también rastreado como Octo Tempest, UNC3944 y 0ktapus. El CPS es más cauteloso, señalando que los acusados afirmaron en varios momentos ser miembros de un grupo que los fiscales creen que llevó a cabo cientos de ataques entre 2022 y 2025.

El FBI, citado en el anuncio de la NCA, vincula al grupo con la extorsión de datos, el SIM swapping y la ingeniería social.

El otro caso de jubair sigue abierto

Una denuncia revelada en Nueva Jersey aquí en septiembre de 2025 acusa a Jubair de fraude informático, fraude electrónico y conspiraciones de blanqueo de capitales. La denuncia sitúa el esquema en aproximadamente 120 intrusiones de red y al menos 47 víctimas en EE. UU. entre mayo de 2022 y septiembre de 2025, con más de 115 millones de dólares pagados en rescates.

Los fiscales también lo sitúan en intrusiones en una empresa de infraestructura crítica de EE. UU. y en los Tribunales de EE. UU., y alegan que movió unos 8,4 millones de dólares en criptomonedas fuera de una billetera de servidor mientras los agentes la incautaban. Estas son alegaciones no probadas en tribunal. La pena máxima por todos los cargos es de 95 años. Ni el anuncio del DOJ ni los comunicados del Reino Unido abordan la extradición.

¿Ha terminado scattered spider?

La NCA afirma que su acción contra los dos hombres detuvo eficazmente al grupo, y cita la evaluación de Microsoft de que los arrestos degradaron materialmente la capacidad operativa del grupo. Al mismo tiempo, admite que otros criminales podrían seguir usando la marca.

Scattered Spider no es la única marca con vida. En enero, Mandiant rastreó una expansión aquí de la extorsión bajo la marca ShinyHunters, utilizando el mismo tipo de ingeniería social: llamadas de vishing a empleados, páginas de recolección de credenciales falsas para capturar inicios de sesión SSO y códigos MFA, y luego el registro del propio dispositivo del atacante para el MFA.

Ni los comunicados escritos de la NCA ni los del CPS explican cómo Flowers y Jubair entraron inicialmente en TfL. La guía de endurecimiento de Google aquí de la misma investigación sitúa la solución en un punto: verificar la identidad en los restablecimientos de contraseña, el registro de dispositivos y los cambios de MFA, que son los flujos de trabajo manuales donde estos grupos llaman y engañan a las personas.

Paul Foster, jefe de la Unidad Nacional de Delitos Cibernéticos de la NCA, pide una sola cosa a todo el mundo: llamen a las autoridades lo antes posible. Afirma que estas condenas probablemente no habrían ocurrido si TfL no lo hubiera hecho.

La Policía de la City de Londres utilizó la sentencia para abogar por una facultad que no posee. Las Órdenes de Riesgo de Delitos Cibernéticos permitirían que un tribunal restringiera los dispositivos, servicios en línea y tecnologías de un individuo en proporción al riesgo que represente.

El comandante Ollie Shaw las presentó como una "prisión digital" aquí para los delincuentes. Así que el conjunto de herramientas es el mismo de siempre: una pena de prisión, esta vez impuesta a dos personas que tenían 17 y 18 años cuando lo hicieron.

Fuente:
THN