Morten Lyhne Petersen
18-årige Owen Flowers och 20-årige Thalha Jubair döms till 5,5 års fängelse vardera för TfL-hacket.
Domen föll i Woolwich Crown Court i torsdags och beskrivs av brittiska myndigheter som landets största cyberbrottsmål någonsin. Attacken mot Transport for London hösten 2024 slog ut 148 interna system, tvingade samtliga 27 000 anställda att återställa sina lösenord på plats och kostade myndigheten runt 29 miljoner pund att sanera, enligt National Crime Agency.
De två männen tillhörde den ökända hackargruppen Scattered Spider, ett löst nätverk av framför allt engelskspråkiga unga cyberkriminella. Gruppen har kopplats till attacker mot bland andra MGM Resorts, WestJet och identitetsleverantören Okta.
Ringde helpdesken och lurade till sig behörighet
Intrånget genomfördes med social manipulation, inte tekniska sårbarheter. Flowers och Jubair köpte partiella inloggningsuppgifter för TfL-anställda på kriminella forum, ringde sedan myndighetens IT-helpdesk och utgav sig för att vara medarbetare för att övertyga personalen om att återställa lösenord och kringgå tvåfaktorsautentisering.
Själva attacken pågick mellan den 31 augusti och 3 september 2024. Under perioden slogs bland annat färdtjänsten Dial-a-Ride, digital biljettförsäljning och systemen för seniorers reskort ut. Uppgifter från miljontals Oyster-kortsinnehavare exponerades i intrånget, uppger Crown Prosecution Service.
Chefsåklagare Lionel Idan pekade under förhandlingen på att skadan hade kunnat bli långt värre.
”TfL hanterar i snitt nio miljoner resor per dag, och om de fullföljt sina hot att slå ut åtkomsten till TfL:s system hade konsekvenserna för den bredare ekonomin kunnat bli katastrofala och kostat miljardbelopp”, sade han enligt CPS.
Första domen under skärpt lagstiftning
Duon är de första hackarna som fällts under paragraf 3ZA i den brittiska Computer Misuse Act från 1990, en bestämmelse som täcker de allvarligaste dataintrången med potential att skada kritisk infrastruktur. Båda erkände sig skyldiga den 22 juni 2026, den dag rättegången skulle ha inletts, rapporterar The Hacker News.
Domaren Mr Justice Turner framhöll enligt The Register att brotten var sofistikerade och noga planerade, samtidigt som han beaktade att båda de dömda är neurodivergenta.
Owen Flowers, från Walsall i West Midlands, dömdes även för attacker mot de amerikanska sjukvårdskoncernerna SSM Health och Sutter Health i september 2024. Thalha Jubair, från östra London, kopplas av amerikanska FBI till intrång mot över 120 nätverk hos totalt 47 organisationer, däribland det federala domstolssystemet i USA, enligt TechCrunch.
”Största cyberhotet mot Storbritannien”
För brittisk polis är domen ett tungt slag mot Scattered Spider. Paul Foster, chef för NCA:s nationella enhet mot cyberbrott, kallade gruppen det största cyberhotet mot landet de senaste åren.
”Scattered Spider har varit det mest betydande cyberbrottshotet mot Storbritannien under senare år. Genom den här utredningen har vi allvarligt stört det hotet och ställt centrala gärningsmän inför rätta”, sade Foster.
Domen väntas få genomslag långt utanför Storbritannien. Attacker mot kollektivtrafik, sjukvård och andra samhällsbärande system har blivit ett återkommande inslag också i övriga Europa, och myndigheter i Sverige och EU har flera gånger under det senaste året pekat på just social manipulation mot helpdeskar som en av de svåraste angreppsvägarna att stänga.
