2024年癱瘓倫敦交通局（Transport for London，TfL）電腦系統的網絡攻擊案宣判：兩名黑客組織「Scattered Spider」成員周四（7月16日）在伍利奇刑事法院（Woolwich Crown Court）各被判監禁5年6個月。事件令TfL多達1,000萬名乘客的個人資料受影響，直接損失及復原成本約£2,900萬，連同收入損失合共約£3,900萬。
被告為東倫敦波爾區20歲的朱拜爾（Thalha Jubair）及西米德蘭茲沃爾索爾18歲的法拉沃斯（Owen Flowers），案發時分別為18歲及17歲。兩人原定受審六星期，惟於6月22日開審首日承認串謀對TfL電腦系統作未經授權行為等罪。
法庭聽取的案情指，兩人於2024年8月31日至9月3日發動攻擊，先以「社交工程」手法冒充員工，誘使服務台職員重設密碼，進而取得TfL的微軟Azure系統存取權。其後他們建立最高權限的「域管理員」帳戶——法庭形容猶如「王國的鑰匙」（keys to the kingdom），足以令TfL系統全面停擺。
兩人並開設多個後門、下載數以百萬行計的資料，其間法拉沃斯更將朱拜爾入侵過程錄影直播，有關片段於拘捕時被起獲。
攻擊一度令TfL的148個技術系統無法運作：Oyster卡退款系統及兒童青少年Oyster相片卡申請服務關閉，非接觸式支付系統升級延誤，服務殘疾及長者乘客的Dial-a-Ride預約車服務亦受干擾。全體逾2.7萬名員工其後須親身到場重設密碼。
資料外洩方面，多達1,000萬名乘客的姓名、電郵、住址及電話等資料受影響，TfL已通知約710萬名登記電郵的客戶；另約5,000人風險較高，其Oyster退款資料（包括銀行帳號及分行編號）或被存取。
判刑的特納法官（Mr Justice Turner）斥責兩人「主要出於自私的逞強心態，罔顧對他人的後果」。國家打擊犯罪調查局（National Crime Agency，NCA）表示：「網絡犯罪看似無面目、離身，但入侵TfL系統一事顯示，它有實實在在的後果。」
法拉沃斯另承認串謀及企圖入侵美國兩間醫療機構SSM Health及Sutter Health的系統——NCA指其被捕時正入侵美國醫療系統，攻擊因拘捕時機「湊巧」而中斷。還柙期間，他更以違禁手機搜尋司法部、旺茲沃思監獄及檢察署的登入入口。
朱拜爾方面，法庭得悉他有22項黑客相關前科，對象包括個人、電訊商以至倫敦市警察；美方另通緝他涉及合共1.15億美元贖金的黑客案件。當局已檢取約£100萬的加密貨幣。
「Scattered Spider」為鬆散的英語黑客網絡，先後被指與捷豹路虎（Jaguar Land Rover）、馬莎百貨（M&S）及Co-op超市遭網絡攻擊事件有關。NCA指今次定罪「實際上遏止了該組織的犯罪活動」。網絡攻擊對公共系統的威脅近年備受關注，政府本周稍早亦已把水務及警方系統遭網絡攻擊列入《國家風險登記冊》新增風險（本站早前報道）。
資料來源：
- National Crime Agency：Cyber criminals who hacked into Transport for London’s computer network are convicted
- BBC News：Teen hackers who live streamed cyber-attack on TfL jailed
- The Guardian：’Keys to the kingdom’: hackers who gained access to heart of London transport network jailed
- LBC：TfL cyber criminals behind Britain’s biggest transport hack jailed
