Owen Flowers, de 18 años y originario de Walsall, y Thalha Jubair, de 20 años, residente en el este de Londres, se declararon este lunes culpables del ciberataque que en 2024 paralizó durante meses los servicios de Transport for London (TfL), expuso los datos personales de millones de usuarios y obligó a los 28.000 empleados del organismo a restablecer sus contraseñas de forma presencial. Una investigación de la BBC revela que ambos jóvenes, miembros del grupo Scattered Spider, tenían un largo historial de ciberdelitos y eran conocidos por las fuerzas de seguridad mucho antes del ataque.
Flowers fue interceptado en octubre de 2023 por la Unidad Regional de Cibercrimen de West Midlands cuando realizaba actividades ilícitas de bajo nivel y recibió una orden de cese y desistimiento, aunque los agentes lo consideraron no apto para el programa nacional Cyber Choices. Meses después, ya como integrante de Scattered Spider, participó en el asalto a TfL iniciado el 31 de agosto de 2024, tras el cual fue arrestado en septiembre con varios dispositivos y criptomonedas por valor de varios millones de libras. También confesó intrusiones en las sanitarias estadounidenses SSM Health y Sutter Health.
Jubair, por su parte, suma 22 antecedentes penales —el primero a los 14 años— y en 2023, siendo menor, cumplió una Youth Rehabilitation Order por delitos vinculados al grupo Lapsus$, que atacó a Nvidia y BT/EE. Estados Unidos lo reclama en otra causa por 87 millones de dólares (66,1 millones de libras) en supuestos robos y extorsiones. La NCA reclama nuevas herramientas legales, como los Cyber Crime Risk Orders, para intervenir antes de que estos jóvenes cometan ataques graves. La sentencia está prevista para el 16 de julio.