Scattered Spider: hackers recebem 5 anos e meio de prisão por ataque de £29 milhões à TfL

Dois hackers associados ao coletivo de cibercrime Scattered Spider foram condenados a cinco anos e seis meses de prisão cada um pelo ataque cibernético que comprometeu a Transport for London (TfL) em 2024. A invasão afetou serviços internos, expôs dados de passageiros e gerou £29 milhões em prejuízos e despesas de recuperação para a autoridade responsável pelo transporte público de Londres.

Thalha Jubair, de 20 anos, morador do leste de Londres, e Owen Flowers, de 18 anos, de Walsall, foram sentenciados no Tribunal da Coroa de Woolwich em 16 de julho de 2026. Os dois haviam se declarado culpados no primeiro dia do julgamento, realizado em junho, por uma infração prevista na Seção 3ZA do Computer Misuse Act de 1990.

A acusação se refere a atividades computacionais não autorizadas realizadas entre 31 de agosto e 3 de setembro de 2024, com risco significativo de causar danos graves ao bem-estar da população. Segundo o Crown Prosecution Service (CPS), Jubair e Flowers estão entre os primeiros hackers processados com sucesso sob essa seção da principal legislação britânica contra crimes informáticos.

O ataque não chegou a interromper os serviços de metrô, ônibus e trens de Londres, mas obrigou a TfL a desconectar partes de sua própria infraestrutura para impedir que os invasores ampliassem o comprometimento. A recuperação dos sistemas levou aproximadamente seis meses, enquanto mais de 140 plataformas internas ficaram indisponíveis.

Os impactos se espalharam por diferentes áreas da organização. Cerca de 28 mil funcionários precisaram comparecer presencialmente a escritórios da TfL para redefinir suas senhas, uma medida adotada para invalidar credenciais potencialmente comprometidas e recuperar o controle das contas corporativas.

A indisponibilidade dos sistemas também exigiu a adoção de processos manuais e afetou serviços voltados aos passageiros. Dados armazenados no sistema de reembolso do Oyster, cartão utilizado no transporte londrino, foram acessados pelos invasores. Alguns clientes tiveram de esperar mais tempo para receber valores devidos, enquanto as solicitações de Oyster photocards para crianças e jovens foram temporariamente suspensas.

O CPS informou que os hackers conseguiram extrair informações relacionadas a milhões de usuários do Oyster. Conversas recuperadas durante a investigação indicaram que os envolvidos chegaram a discutir a possibilidade de eliminar o acesso aos sistemas, o que poderia ter ampliado significativamente os danos operacionais e econômicos.

A TfL administra uma das maiores redes de transporte urbano do mundo e supervisiona, em média, cerca de 9 milhões de viagens por dia. Promotores afirmaram que uma interrupção completa da infraestrutura poderia ter provocado impactos de bilhões de libras na economia britânica, especialmente pela dependência de Londres dos sistemas públicos de mobilidade.

A investigação conduzida pela National Crime Agency (NCA) e pela City of London Police encontrou evidências digitais que vinculavam os dois jovens ao ataque. Na residência de Flowers, agentes apreenderam notebooks, computadores, discos rígidos externos e dispositivos USB.

Em um dos notebooks, os investigadores localizaram uma captura de tela que mostrava conectividade com a infraestrutura da TfL. O mesmo equipamento armazenava vídeos gravados por Flowers nos quais Jubair aparecia acessando sistemas da organização durante a invasão.

De acordo com a acusação, Jubair chegou a transmitir a operação ao vivo enquanto Flowers acompanhava o ataque. Os dois trabalhavam remotamente a partir de suas residências e chegaram a permanecer até 16 horas por dia envolvidos na intrusão.

A coordenação ocorria por meio do Telegram e de uma plataforma colaborativa online que permitia que diferentes participantes trabalhassem simultaneamente no mesmo ambiente. Mensagens recuperadas pelas autoridades ajudaram a comprovar a participação dos acusados e a reconstruir as ações realizadas durante o comprometimento.

Flowers também admitiu envolvimento em tentativas de ataque contra as organizações de saúde norte-americanas SSM Health Care Corporation e Sutter Health. Segundo os promotores, essas operações foram interrompidas porque ele foi preso enquanto ainda conduzia as invasões.

Os responsáveis foram associados ao Scattered Spider, nome utilizado para acompanhar uma comunidade descentralizada de hackers de língua inglesa ligada a ataques contra empresas de tecnologia, telecomunicações, varejo, aviação, seguros e outros setores. Autoridades britânicas, no entanto, observaram que o termo pode representar mais um padrão de comportamento e uma rede informal do que uma organização com estrutura fixa.

Os operadores associados ao coletivo são conhecidos por combinar engenharia social, roubo de credenciais, SIM swapping e manipulação de centrais de atendimento para contornar mecanismos de autenticação. Depois do acesso inicial, diferentes integrantes podem avançar para roubo de dados, extorsão ou implantação de ransomware.

No caso da TfL, o episódio demonstra como o comprometimento de identidades e sistemas administrativos pode provocar uma crise operacional mesmo quando as plataformas responsáveis diretamente pelo transporte permanecem funcionando. Processos de redefinição de credenciais, investigação forense, reconstrução de servidores e validação de ambientes podem gerar custos elevados e manter serviços indisponíveis durante meses.

A NCA afirmou que a colaboração inicial da TfL com as autoridades foi fundamental para reunir evidências e identificar os envolvidos. Paul Foster, chefe da National Cyber Crime Unit, destacou que ataques digitais produzem consequências concretas para empresas, serviços públicos e cidadãos, apesar de muitas vezes serem executados remotamente.

A investigação contou com a participação da NCA, da City of London Police, da West Midlands Regional Organised Crime Unit e da British Transport Police, além da cooperação de autoridades internacionais.

Na sentença, o juiz Mark Turner afirmou que os dois foram motivados principalmente por uma atitude de exibição e busca de reconhecimento. Apesar da idade dos acusados durante o ataque — Flowers tinha 17 anos e Jubair, 18 —, a Justiça considerou que ambos já possuíam experiência técnica suficiente para compreender o potencial de danos de suas ações.

A condenação encerra uma das mais relevantes ações judiciais recentes do Reino Unido contra integrantes de comunidades de cibercrime formadas por jovens hackers. O caso também amplia o debate sobre medidas de prevenção, monitoramento de reincidentes e restrições ao uso de dispositivos e serviços digitais após o cumprimento da pena.