El caos que sufrió el sistema de transporte de Londres en el verano de 2024 ya tiene responsables. Dos jóvenes británicos, miembros del conocido grupo de ciberdelincuencia Scattered Spider, se declararon culpables esta semana por el ataque que paralizó servicios clave de Transport for London (TfL). La confesión llegó el primer día de lo que se esperaba fuera un juicio de seis semanas.

Los atacantes y el golpe al transporte londinense

Thalha Jubair, de 20 años y residente en el East End de Londres, y Owen Flowers, de 18 años y originario de Walsall (West Midlands), eran adolescentes cuando llevaron a cabo el ciberataque entre el 31 de agosto y el 3 de septiembre de 2024. Ambos se declararon culpables de conspirar para cometer actos no autorizados contra los sistemas informáticos de TfL y de causar riesgo de daño grave al bienestar humano.

El incidente le costó a TfL 29 millones de libras (38 millones de dólares) en pérdidas y gastos de recuperación, según la Agencia Nacional contra el Crimen (NCA). El ataque afectó al sistema de devoluciones de billetes durante semanas, inutilizó la solicitud online de las Oyster photocards para niños y jóvenes, y obligó a los 28.000 empleados de la compañía a acudir presencialmente a una oficina para restablecer sus contraseñas.

Conexiones internacionales y un historial oscuro

Ambos acusados no se limitaron al ataque a TfL. Flowers fue arrestado el 6 de septiembre de 2024 y los agentes encontraron pruebas de su implicación en intrusiones en sistemas de proveedores sanitarios estadounidenses como SSM Health Care Corporation y Sutter Health. En su ordenador portátil hallaron una captura de pantalla con conexión a la red de TfL y un vídeo grabado por el propio Flowers en el que se veía a Jubair accediendo a los sistemas del transporte londinense.

Jubair, por su parte, se enfrenta a cargos aún más graves en Estados Unidos. Una acusación formal revelada en septiembre de 2025 en Nueva Jersey lo señala por su participación en al menos 120 intrusiones informáticas que afectaron a 47 entidades estadounidenses entre mayo de 2022 y septiembre de 2025. Las víctimas habrían pagado un total de 115 millones de dólares o más en rescates a Jubair y sus cómplices.

Además, se le vincula con la gestión de un canal de Telegram llamado Star Chat, dedicado al SIM swapping y al phishing mediante SMS y voz para robar credenciales de empleados de operadores móviles. En el verano de 2022, una campaña masiva de phishing por SMS —en la que también participó otro miembro del grupo recientemente condenado— logró hacerse con credenciales de inicio de sesión único de empleados de cientos de empresas, incluyendo LastPass, DoorDash, Mailchimp, Plex y Signal. Esa campaña derivó en intrusiones y robos de datos en más de 130 organizaciones.

El historial de Scattered Spider incluye ataques de alto perfil contra MGM Resorts International, Snowflake, Marks & Spencer, Harrods y la cadena británica Co-op Group. Flowers, según fuentes cercanas a las investigaciones, fue el miembro que dio entrevistas anónimas a medios tras los ataques de ransomware a los casinos de Las Vegas en septiembre de 2023.

Una investigación minuciosa

La NCA calificó el caso como «larga, muy compleja y minuciosa». Paul Foster, subdirector de la Unidad Nacional de Ciberdelincuencia de la NCA, declaró:

«La perseverancia y meticulosidad de nuestros agentes, y el trabajo de nuestras organizaciones asociadas, hicieron que Jubair y Flowers no tuvieran más remedio que declararse culpables y asumir la responsabilidad de sus delitos. La ciberdelincuencia puede parecer sin rostro y lejana, pero la infiltración en los sistemas de TfL demuestra que tiene consecuencias reales y afecta enormemente al público.»

Foster advirtió además sobre la «creciente amenaza» que suponen los ciberdelincuentes nacionales como los de Scattered Spider.

¿Qué viene ahora?

Ambos acusados se declararon culpables ante el Tribunal de la Corona de Woolwich el 22 de junio. La sentencia está prevista para mediados de julio. Mientras tanto, otros tres presuntos miembros de Scattered Spider aún afrontan cargos en Estados Unidos, y el grupo sigue siendo objeto de investigaciones a ambos lados del Atlántico.