Owen Flowers (18) ve Thalha Jubair (20), 16 Temmuz 2026 Perşembe günü Woolwich Kraliyet Mahkemesi'nde, 2024 yılında Transport for London'a (TfL) düzenledikleri siber saldırı nedeniyle beş buçuk yıl hapis cezasına çarptırıldı. İkili, kötü şöhretli Scattered Spider siber suç grubunun üyesi olarak tanımlanıyor; İngiliz polisi bu mahkumiyetlerin grubun faaliyetlerini ciddi şekilde sekteye uğrattığını açıkladı.
Saldırı sonucunda TfL'ye ait 148 sistem kullanılamaz hale geldi ve ulaşım otoritesinin 27 bin çalışanının tamamı, şifrelerini sıfırlatmak için bizzat ofise gitmek zorunda kaldı. Ulusal Suç Ajansı (NCA) ve Kraliyet Savcılık Servisi'ne (CPS) göre TfL'nin kayıpları ve kurtarma maliyetleri 29 milyon sterlin (yaklaşık 47 milyon dolar) olarak hesaplandı. Yetkililer, hackerların TfL sistemlerine o kadar derin erişim sağladığını ve “krallığın anahtarlarına” sahip olduklarını, bu sayede TfL'yi tamamen kapatıp devre dışı bırakabileceklerini belirtti.
İki sanık, duruşmalarının başlaması gereken gün olan 22 Haziran 2026'da suçlarını kabul etti. Haklarındaki suçlama, 1990 tarihli Bilgisayar Kötüye Kullanımı Yasası'nın en ağır maddesi olan Section 3ZA kapsamında açılmıştı. Sanıklar, insan refahına ciddi zarar verme veya bu yönde ciddi bir risk oluşturma konusunda ihmalkar davrandıklarını kabul ederek suçlarını itiraf etti.
CPS'ye göre Flowers ve Jubair, Section 3ZA kapsamında başarıyla mahkum edilen ilk hacker'lar oldu. NCA ise bu davayı türünün sadece ikinci kovuşturması olarak nitelendiriyor. NCA Ulusal Siber Suç Birimi başkanı Paul Foster, “Scattered Spider, son yıllarda Birleşik Krallık için en önemli siber suç tehdidiydi. Bu soruşturmayla bu tehdidi ciddi şekilde zayıflattık ve kilit failleri adalete teslim ettik” dedi.
Siber saldırı 31 Ağustos - 3 Eylül 2024 tarihleri arasında gerçekleşti. TfL, günde ortalama 9 milyon yolculuğa ev sahipliği yapıyor. Saldırı sırasında, Londra'da hareket kısıtlılığı yaşayan vatandaşların şehir içi ulaşımını sağlayan Dial-a-Ride rezervasyon sistemi çöktü. Dijital ödeme kanalları, indirimli seyahat kartlarının düzenlenmesi ve gerçek zamanlı tren varış bilgileri de durdu; kesintiler haftalarca sürdü.
Londralı çocuklar ve gençler için indirimli bilet kartı olan Oyster fotokart başvuruları askıya alındı. Temassız ödeme sisteminin genişletilmesi gecikti ve para iadeleri yavaşladı.
TfL, müşterilerine isim ve e-posta adreslerinin yanı sıra ellerinde bulunan ev adreslerinin de ele geçirildiğini bildirdi. Yaklaşık 5 bin kişiye ait Oyster para iadesi verilerinin de çalınmış olabileceği, bu verilerin banka hesap numaraları ve sort kodlarını içerdiği belirtildi.
Flowers ve Jubair saldırıdan yaklaşık bir yıl sonra tutuklandı. FBI, Jubair'i sosyal mühendislik taktikleri kullanarak 120'den fazla şirkete yönelik saldırılara karışmakla suçladı. Scattered Spider grubu daha önce casino devi MGM, havayolu WestJet ve siber güvenlik firması Okta gibi yüksek profilli hedeflere saldırmıştı.
