Due presunti membri di Scattered Spider si dichiarano colpevoli nel caso Transport for London nel Regno Unito

Due giovani uomini nel Regno Unito si sono dichiarati colpevoli delle accuse legate al cyberattacco dell’agosto 2024 che ha interrotto i servizi di Transport for London, l’ente che supervisiona il trasporto pubblico nell’area londinese. Le loro ammissioni sono arrivate nel giorno di apertura di un processo che avrebbe dovuto durare diverse settimane.

Thalha Jubair, 20 anni, di East London, e Owen Flowers, 18 anni, di Walsall, hanno ammesso di aver cospirato per compiere attività non autorizzate contro i sistemi informatici di TfL e di aver causato un rischio di gravi danni al benessere delle persone. Le autorità hanno descritto entrambi come figure di rilievo del gruppo di criminalità informatica noto come Scattered Spider.

Indagini più ampie nel Regno Unito e negli Stati Uniti

Secondo quanto riferito, Flowers ha inoltre ammesso il coinvolgimento in una cospirazione separata ai danni degli operatori sanitari statunitensi SSM Health Care Corporation e Sutter Health nel settembre 2024. Jubair, nel frattempo, è ricercato dalle forze dell’ordine statunitensi in relazione a un caso più ampio avviato nel New Jersey.

L’atto d’accusa statunitense, reso pubblico nel 2025, accusa Jubair e altri presunti partecipanti a Scattered Spider di frode informatica, frode telematica e riciclaggio di denaro in relazione a 120 intrusioni che hanno colpito 47 organizzazioni dal 2022 al 2025. Secondo i procuratori, le vittime hanno pagato almeno 115 milioni di dollari in riscatti.

Gli investigatori hanno collegato il gruppo a una serie di attacchi di social engineering, tra cui lo scambio fraudolento di SIM e campagne di phishing via SMS su larga scala. Secondo i procuratori, Jubair contribuiva a gestire un canale Telegram noto come Star Chat, dove sarebbero stati scambiati accessi sottratti e servizi di SIM swapping. Questa tattica consentiva agli aggressori di dirottare numeri di telefono e intercettare chiamate e messaggi di testo, compresi i codici di autenticazione monouso.

• Flowers e Jubair sono stati arrestati nel Regno Unito nel 2025.
• Le autorità hanno inoltre collegato entrambi a incidenti ransomware che hanno colpito rivenditori britannici.
• I procuratori statunitensi affermano che le campagne di phishing del gruppo hanno portato a furti ai danni di oltre 130 organizzazioni.

Il caso è uno dei numerosi procedimenti recenti che coinvolgono presunti membri di Scattered Spider. Altri imputati si sono già dichiarati colpevoli o hanno ricevuto condanne detentive negli Stati Uniti. Flowers e Jubair dovrebbero essere condannati a Londra il 15 luglio 2026.