El panorama general

Scattered Spider es un colectivo de ciberdelincuentes vinculado a otros ataques de alto perfil, como la interrupción de los casinos MGM Resorts y Caesars Entertainment en Las Vegas en 2023, y los robos de datos a minoristas como Marks & Spencer y Harrods. Jubair también es requerido por la justicia de Estados Unidos por más de 120 intrusiones informáticas contra 47 entidades estadounidenses, con pagos de rescate que suman al menos 115 millones de dólares.

Lo que hicieron

  • El ataque a TfL: entre el 29 de agosto y el 6 de septiembre de 2024, los dos accedieron a los sistemas de la entidad. Robaron datos del sistema de reembolsos de Oyster, retrasaron devoluciones a clientes y suspendieron solicitudes de tarjetas Oyster para niños y jóvenes.
  • Daños operativos: la aplicación TfL Go y el sitio web dejaron de mostrar información sobre llegadas de trenes. No se pudieron procesar pagos con Oyster ni registrar tarjetas en cuentas de clientes.
  • Ataques adicionales: Flowers también admitió haber intentado hackear a dos empresas de salud estadounidenses: SSM Health Care Corporation y Sutter Health, en septiembre de 2024.

Las voces discordantes

Aunque ambos se declararon culpables, lo hicieron sobre la base de que accedieron a los sistemas de forma imprudente, sin intención de causar daños. La Fiscalía, sin embargo, sostiene que el ataque fue deliberado y causó “riesgo de daño grave al bienestar humano”, un cargo que ambos admitieron al declararse culpables de conspiración.

Qué sigue

El juez Turner remandó a Jubair y Flowers en prisión preventiva hasta la audiencia de sentencia, programada para el 15 de julio. Flowers ya había violado dos veces sus condiciones de fianza en marzo y mayo de 2025, lo que influyó en la decisión. Además, Jubair enfrenta una acusación separada en Nueva Jersey por fraude informático y lavado de dinero. El caso continúa bajo investigación de la Agencia Nacional contra el Crimen del Reino Unido.