Dos miembros del grupo cibercriminal "Scattered Spider" fueron sentenciados a cinco años y seis meses de prisión por hackear Transport for London (TfL) en 2024. El ataque causó pérdidas de 29 millones de libras, robó datos de clientes y afectó múltiples servicios operativos y digitales. Los responsables también están vinculados a otros ataques masivos contra empresas de salud en EE. UU. y grandes minoristas en el Reino Unido.



Dos miembros destacados del colectivo de ciberdelincuencia Scattered Spider fueron condenados a cinco años y seis meses de prisión cada uno por hackear Transport for London (TfL) en 2024.

TfL reveló que su red fue vulnerada en agosto de 2024, y que el ataque interrumpió los sistemas internos y los servicios en línea, incluyendo el servicio Dial-a-Ride de TfL, las tarjetas de viaje concesionarias, los pagos digitales y la implementación de la boletería sin contacto, así como la capacidad de la agencia de transporte público para procesar reembolsos.

Además, 148 sistemas quedaron inoperables en toda la red de TfL, y los 27.000 empleados de TfL tuvieron que restablecer sus contraseñas en persona tras la brecha.


Aunque TfL informó pérdidas y costes de recuperación de 29 millones de libras tras el ataque, los funcionarios estimaron que la economía del Reino Unido podría haber perdido hasta 56.000 millones de libras si los atacantes hubieran logrado cerrar la red de transporte.

TfL reveló el 12 de septiembre de 2024 que los atacantes también habían robado datos de clientes (incluidos nombres, direcciones y detalles de contacto). Cuatro días después, el 16 de septiembre, agentes de la Policía de la City de Londres y de la Agencia Nacional contra el Crimen (NCA) del Reino Unido arrestaron a Thalha Jubair, de 20 años, y a Owen Flowers, de 18 años, en sus domicilios.

Los investigadores afirmaron que Flowers también estaba en proceso de hackear las empresas sanitarias estadounidenses Sutter Health y SSM Health Care Corporation y que, en el momento de su detención, los dispositivos incautados incluían pruebas de la intrusión en TfL.

Ambos se declararon culpables el mes pasado bajo la Ley de Mal Uso de la Informática y fueron condenados hoy a cinco años y seis meses de prisión cada uno en el mayor caso de ciberdelincuencia del Reino Unido.

Owen Flowers y Thalha Jubair (NCA)

El subdirector de la NCA, Paul Foster, describió a Scattered Spider como "la amenaza de ciberdelincuencia más significativa para el Reino Unido en los últimos años", y atribuyó la condena a la cooperación temprana de TfL con las fuerzas del orden.

"Es probable que estas condenas no hubieran sido posibles si Transport for London no hubiera colaborado tempranamente con las fuerzas del orden, por lo que instaría a cualquier otra organización a hacer lo mismo en tales circunstancias", dijo Foster en declaraciones oficiales. "Seguiremos trabajando con socios en el Reino Unido y en el extranjero para identificar a los delincuentes y llevarlos ante la justicia".

El Departamento de Justicia de EE. UU. también acusó a Jubair en septiembre de 2025 de conspiración para cometer fraude informático, blanqueo de capitales y fraude electrónico en relación con al menos 120 brechas de red entre mayo de 2022 y septiembre de 2025.

Según documentos judiciales presentados en el caso, estos ataques afectaron a docenas de organizaciones estadounidenses, incluidas entidades de infraestructuras críticas y tribunales de EE. UU., y Jubair y sus cómplices extorsionaron más de 115 millones de dólares a víctimas de todo el mundo entre agosto de 2024 y julio de 2025.

En julio de 2025, la NCA arrestó a otros cuatro presuntos miembros de Scattered Spider que se cree están vinculados a una ola de ciberataques contra importantes minoristas del Reino Unido, incluidos Harrods, Marks & Spencer y Co-op.

Fuente:
BleepingComputer