Arresto que sacude al cibercrimen británico
El pasado jueves, la policía del Reino Unido anunció la condena de dos jóvenes que habían vulnerado los sistemas de Transport for London (TfL) en 2024. Owen Flowers, de 18 años, y Thalha Jubair, de 20, aceptaron su culpabilidad y fueron sentenciados a cinco años y medio de prisión cada uno. Según la National Crime Agency (NCA), esta medida ha “interrumpido gravemente” las operaciones del infame colectivo de ciberdelincuentes conocido como Scattered Spider.
¿Quiénes son los acusados?
Flowers y Jubair no son profesionales de grandes corporaciones ni agentes de agencias estatales con presupuestos multimillonarios. Son, en cambio, jóvenes talentosos que combinaron conocimientos técnicos con la ambición de obtener dinero y reconocimiento entre sus pares. El FBI había señalado previamente a Jubair como participante en más de 120 ataques que empleaban técnicas de ingeniería social para engañar a empleados y usuarios.
El ataque contra TfL
En el verano de 2024, los dos hackers lograron infiltrarse en la infraestructura de TfL, dejando fuera de línea el sistema de venta de billetes y la información en tiempo real de los trenes. La interrupción se prolongó durante semanas, provocando pérdidas estimadas en £29 millones (cerca de $47 millones) y generando enormes molestias a miles de viajeros.
Los investigadores describieron que los delincuentes “tenían las llaves del reino” de los sistemas de la compañía, lo que les habría permitido cerrar por completo la red de transporte si hubieran querido.
Impacto en Scattered Spider
Scattered Spider es un grupo amorfo que ha sido vinculado a ataques de alto perfil contra la cadena de casinos MGM, la aerolínea WestJet y la firma de seguridad Okta, entre otros. La captura de Flowers y Jubair representa, según Paul Foster, jefe de la Unidad Nacional de Cibercrimen, un golpe significativo que debilita la capacidad operativa del colectivo.
Los grupos como Scattered Spider y ShinyHunters prefieren dirigirse a empleados y usuarios individuales, explotando la vulnerabilidad humana más que los sistemas técnicos. Esta estrategia, aunque eficaz, dificulta la detección y la respuesta de las organizaciones.
Lecciones para la seguridad
El caso subraya la necesidad de reforzar la concienciación en materia de ingeniería social, implementar autenticación multifactor y monitorizar continuamente los accesos privilegiados. Además, muestra que la persecución de jóvenes hackers puede desarticular redes criminales más amplias, aunque la amenaza persista.
En conclusión, la sentencia de Flowers y Jubair no solo castiga a dos individuos, sino que envía un mensaje claro a la comunidad del cibercrimen: la colaboración internacional y la vigilancia proactiva pueden desmantelar incluso a los grupos más escurridizos.