- Owen Flowers y Thalha Jubair, miembros de Scattered Spider, fueron sentenciados a cinco años y medio de cárcel.
- El ciberataque a Transport for London en 2024 causó pérdidas de 29 millones de libras y afectó a miles de usuarios.
- La investigación de la NCA y la policía de Londres logró desmantelar parcialmente al grupo, considerado la mayor amenaza cibernética del Reino Unido.
- Las autoridades británicas planean nuevas medidas legales, como las Órdenes de Riesgo de Ciberdelincuencia, para prevenir futuros ataques.
La justicia británica ha dictado sentencia contra dos jóvenes que formaban parte del conocido grupo de ciberdelincuencia Scattered Spider. Owen Flowers, de 18 años, y Thalha Jubair, de 20, fueron condenados a cinco años y medio de prisión por su implicación en el ataque informático contra Transport for London (TfL), la entidad que gestiona el transporte público de la capital inglesa. Los hechos ocurrieron entre agosto y septiembre de 2024, cuando lograron infiltrarse en los sistemas de la compañía y provocaron un caos que duró semanas.
Ambos acusados se declararon culpables en el tribunal de Woolwich Crown Court el pasado mes de junio, en lo que supone la segunda condena en el Reino Unido bajo la sección más grave de la Ley de Uso Indebido de Ordenadores. La Fiscalía demostró que los hackers no solo accedieron a datos sensibles, sino que también estuvieron a punto de dejar fuera de servicio toda la red de transporte, lo que habría costado a la economía británica hasta 56.000 millones de libras. Afortunadamente, la rápida actuación de TfL limitó el desperfecto, aunque el coste final ascendió a 29 millones de libras en pérdidas y recuperación.
El ataque a Transport for London y sus consecuencias
La intrusión se produjo entre el 31 de agosto y el 3 de septiembre de 2024. Los atacantes accedieron a los sistemas de TfL y dejaron inoperativos 148 sistemas críticos, incluidos los de pagos digitales, la información en tiempo real de llegadas de trenes y el servicio Dial-a-Ride, que da transporte a personas vulnerables. Además, los 27.000 empleados de la compañía tuvieron que acudir presencialmente a sus oficinas para restablecer sus contraseñas, un proceso que generó importantes retrasos. Los datos de las tarjetas Oyster y los reembolsos también se vieron afectados, dejando a muchos usuarios sin poder recuperar su dinero durante semanas.
Según las investigaciones, los dos jóvenes tenían un control tan profundo de la red que podrían haber paralizado por completo el sistema de transporte londinense. De hecho, las autoridades han señalado que poseían «las llaves del reino» de la infraestructura tecnológica de TfL. La alerta saltó cuando la empresa reportó el incidente a la policía, y tanto la Agencia Nacional contra el Crimen (NCA) como la Policía de la City de Londres iniciaron una investigación que culminó con la detención de Flowers y Jubair en sus domicilios el 16 de septiembre de 2024.
El grupo Scattered Spider y su impacto global
Scattered Spider ha sido considerado por la NCA como «la amenaza de ciberdelincuencia más significativa para el Reino Unido en los últimos años». Este grupo, formado por jóvenes hackers, se ha especializado en técnicas de ingeniería social para engañar a empleados y acceder a redes corporativas. Entre sus víctimas más conocidas se encuentran el casino MGM, la aerolínea WestJet, la empresa de ciberseguridad Okta y el gigante del juego Caesars Entertainment, que pagó un rescate de 15 millones de dólares en Bitcoin para recuperar los datos robados.
En Estados Unidos, el FBI ha vinculado a Scattered Spider con al menos 120 intrusiones informáticas y ha logrado incautar unos 36 millones de dólares en criptomonedas de carteras asociadas al grupo. La colaboración internacional ha sido clave para desmantelar sus operaciones. El FBI ha elogiado el trabajo de la NCA, destacando que estas detenciones han «degradado materialmente» la capacidad del grupo para seguir delinquiendo. Aunque algunos miembros podrían intentar reconstruir la marca, las autoridades británicas confían en que el núcleo duro ha sido neutralizado.
El caso ha puesto de relieve la necesidad de endurecer las leyes contra el cibercrimen. El gobierno británico está impulsando las Órdenes de Riesgo de Ciberdelincuencia (CCRO), una herramienta legal que permitiría a los tribunales imponer restricciones a los delincuentes, como limitar el uso de dispositivos o servicios online, creando una especie de «prisión digital» para los infractores. Estas medidas buscan prevenir que los hackers reincidan y, al mismo tiempo, ayudarles a reintegrarse de forma legal en la sociedad.
La sentencia de Flowers y Jubair supone un hito en la lucha contra la ciberdelincuencia en Europa. Nunca antes se había procesado en el Reino Unido un caso de esta magnitud bajo la Ley de Uso Indebido de Ordenadores. La NCA ha instado a otras empresas a seguir el ejemplo de TfL y reportar los incidentes de inmediato, ya que la cooperación temprana con las autoridades es fundamental para poder identificar y detener a los responsables. Mientras tanto, los sistemas de seguridad informática de las administraciones públicas y las empresas privadas deberán reforzarse para evitar que jóvenes con habilidades técnicas, pero sin escrúpulos, vuelvan a poner en jaque infraestructuras críticas.