Deux membres présumés de Scattered Spider plaident coupables dans l’affaire liée à Transport for London au Royaume-Uni

Deux jeunes hommes au Royaume-Uni ont plaidé coupables à des chefs d’accusation liés à la cyberattaque d’août 2024 qui a perturbé les activités de Transport for London, l’organisme chargé des transports publics dans la région londonienne. Ils ont fait ces aveux le premier jour d’un procès qui devait durer plusieurs semaines.

Thalha Jubair, 20 ans, originaire de l’est de Londres, et Owen Flowers, 18 ans, originaire de Walsall, ont reconnu avoir conspiré pour mener des activités non autorisées contre les systèmes informatiques de TfL et pour avoir créé un risque de préjudice grave pour le bien-être humain. Les autorités ont décrit les deux hommes comme des acteurs importants du groupe de cybercriminels connu sous le nom de Scattered Spider.

Des enquêtes plus larges au Royaume-Uni et aux États-Unis

Flowers aurait également reconnu son implication dans une autre conspiration visant les prestataires de soins de santé américains SSM Health Care Corporation et Sutter Health en septembre 2024. De son côté, Jubair est recherché par les autorités américaines dans le cadre d’une affaire plus vaste instruite dans le New Jersey.

Cette mise en accusation américaine, rendue publique en 2025, accuse Jubair et d’autres membres présumés de Scattered Spider de fraude informatique, de fraude électronique et de blanchiment d’argent en lien avec 120 intrusions ayant touché 47 organisations entre 2022 et 2025. Les procureurs affirment que les victimes ont versé au moins 115 millions de dollars de rançon.

Les enquêteurs ont établi un lien entre le groupe et diverses attaques d’ingénierie sociale, notamment des échanges frauduleux de cartes SIM et des campagnes massives d’hameçonnage par SMS. Selon les procureurs, Jubair a contribué à gérer un canal Telegram connu sous le nom de Star Chat, où des accès volés et des services d’échange frauduleux de cartes SIM auraient été commercialisés. Cette tactique permettait aux attaquants de détourner des numéros de téléphone et d’intercepter des appels ainsi que des SMS, notamment les codes d’authentification à usage unique.

• Flowers et Jubair ont été arrêtés au Royaume-Uni en 2025.
• Les autorités ont également établi un lien entre les deux hommes et des attaques par rançongiciel ayant touché des détaillants britanniques.
• Les procureurs américains affirment que les campagnes d’hameçonnage du groupe ont entraîné des vols aux dépens de plus de 130 organisations.

Cette affaire fait partie de plusieurs poursuites récentes visant des membres présumés de Scattered Spider. D’autres accusés ont déjà plaidé coupables ou ont été condamnés à des peines de prison aux États-Unis. Flowers et Jubair doivent être condamnés à Londres le 15 juillet 2026.