Scattered Spider: hackers condenados a 5 anos e meio por ataque de £29 milhões à TfL
Dois jovens ligados ao coletivo de cibercrime conhecido como Scattered Spider receberam penas de cinco anos e seis meses de prisão cada um pelo ataque que abalou a Transport for London (TfL) em 2024, gerando prejuízos diretos e custos de recuperação estimados em £29 milhões. A ofensiva digital comprometeu serviços internos da autoridade de transporte de Londres e expôs dados de passageiros, obrigando a adoção de medidas emergenciais para impedir um colapso maior da infraestrutura.
Os condenados são Thalha Jubair, de 20 anos, morador do leste de Londres, e Owen Flowers, de 18 anos, de Walsall. Ambos foram sentenciados em 16 de julho de 2026, no Tribunal da Coroa de Woolwich. No primeiro dia do julgamento, em junho, os dois optaram por se declarar culpados, admitindo o envolvimento em uma infração prevista na Seção 3ZA do Computer Misuse Act de 1990, principal legislação britânica de combate a crimes informáticos.
A acusação descreveu uma campanha de atividades computacionais não autorizadas realizada entre 31 de agosto e 3 de setembro de 2024, caracterizada por risco substancial de causar danos graves ao bem-estar da população. Segundo o Crown Prosecution Service (CPS), Jubair e Flowers estão entre os primeiros réus condenados com base especificamente nessa seção da lei, utilizada em casos de ataques com potencial de impacto sistêmico sobre serviços essenciais.
Embora a ofensiva não tenha chegado ao ponto de paralisar completamente o metrô, os ônibus e os trens de Londres, a TfL foi obrigada a desconectar partes significativas de sua própria infraestrutura tecnológica como medida de contenção. Essa desconexão deliberada visava impedir que os invasores ampliassem o alcance do comprometimento e obtivessem controle mais profundo sobre sistemas críticos. A restauração completa levou cerca de seis meses, período em que mais de 140 plataformas internas permaneceram indisponíveis ou com funcionamento degradado.
Os danos foram sentidos em diversas frentes internas da organização. Aproximadamente 28 mil funcionários precisaram se deslocar fisicamente até escritórios da TfL apenas para redefinir senhas de acesso. A medida, trabalhosa e custosa, foi adotada para revogar credenciais possivelmente roubadas, recuperar o controle das contas corporativas e interromper qualquer canal de acesso que os criminosos ainda pudessem manter.
Com sistemas fora do ar ou operando de forma limitada, a TfL teve de recorrer a rotinas manuais, o que impactou diretamente serviços destinados ao público. Uma das áreas atingidas foi o sistema de reembolso do Oyster, o cartão utilizado amplamente no transporte londrino. Dados armazenados nesse ambiente foram acessados pelos atacantes, o que levou a atrasos no processamento de restituições de valores para alguns usuários. Paralelamente, pedidos de emissão de Oyster photocards para crianças e jovens precisaram ser temporariamente suspensos, gerando transtornos a famílias que dependem de tarifas reduzidas ou gratuidade.
De acordo com o CPS, os hackers conseguiram extrair informações relacionadas a milhões de usuários do cartão Oyster. Conversas recuperadas durante a investigação indicam que o grupo chegou a cogitar ações ainda mais extremas, como impedir de forma definitiva o acesso legítimo aos sistemas da TfL. Caso essa intenção tivesse sido concretizada, os danos operacionais e econômicos poderiam ter escalado para um nível consideravelmente maior, afetando não apenas a logística diária da cidade, mas também a confiança da população na segurança do sistema de transporte.
A TfL opera uma das maiores redes de transporte urbano do planeta, supervisionando em média cerca de 9 milhões de deslocamentos diários. Promotores ressaltaram que uma interrupção total da infraestrutura, ainda que por um período relativamente curto, poderia ter causado perdas de bilhões de libras para a economia britânica. Londres depende intensamente do transporte público para o funcionamento de empresas, órgãos públicos, comércio e serviços, o que torna qualquer interrupção prolongada um fator de risco sistêmico.
A investigação, conduzida pela National Crime Agency (NCA) em cooperação com a City of London Police, reuniu um vasto conjunto de evidências digitais que ligavam diretamente Jubair e Flowers ao ataque. Na residência de Flowers, agentes apreenderam notebooks, computadores, discos rígidos externos e dispositivos USB que continham registros da atividade criminosa.
Em um dos notebooks, os investigadores localizaram uma captura de tela demonstrando conectividade ativa com parte da infraestrutura tecnológica da TfL durante o período da invasão. No mesmo equipamento, foram encontrados vídeos gravados por Flowers em que Jubair aparece acessando sistemas da autoridade de transporte em tempo real, reforçando o vínculo entre os acusados e a intrusão.
Segundo a acusação, Jubair chegou a transmitir trechos da operação ao vivo, enquanto Flowers monitorava e auxiliava o ataque à distância. As atividades eram conduzidas de forma remota, a partir das residências dos dois, com jornadas que chegavam a alcançar 16 horas de invasão e manipulação de sistemas por dia. Esse nível de dedicação evidencia um ataque planejado e prolongado, e não uma ação oportunista ou pontual.
A coordenação entre os envolvidos ocorria via Telegram e por meio de uma plataforma colaborativa online que permitia a diversos participantes operar simultaneamente sobre o mesmo ambiente digital. Mensagens recuperadas pelos investigadores detalham a divisão de tarefas, o compartilhamento de acessos e as decisões estratégicas tomadas enquanto o ataque estava em curso. Esses registros foram fundamentais para reconstruir a cronologia dos eventos e comprovar o envolvimento direto de cada um dos réus.
Flowers também admitiu participação em tentativas de invasão contra organizações de saúde dos Estados Unidos, entre elas a SSM Health Care Corporation e a Sutter Health. De acordo com os promotores, esses incidentes não evoluíram para ataques de maior escala porque Flowers foi preso enquanto ainda atuava nessas operações. Mesmo assim, a menção a alvos do setor de saúde reforça o padrão de atuação do grupo, que não hesitava em mirar serviços essenciais.
Os dois jovens foram associados ao coletivo informal conhecido como Scattered Spider, um rótulo utilizado por autoridades e especialistas para se referir a uma constelação descentralizada de hackers de língua inglesa. Esses operadores têm histórico de ataques a empresas de tecnologia, telecomunicações, varejo, aviação, seguros e diversos outros segmentos. Investigações britânicas, porém, apontam que o termo Scattered Spider descreve mais um modelo de atuação e um ecossistema solto de colaboradores do que uma organização hierarquizada, com estrutura rígida e comando centralizado.
Criminosos associados a esse coletivo são conhecidos por combinar técnicas variadas: engenharia social, roubo de credenciais, fraudes de SIM swapping e manipulação de centrais de atendimento para burlar mecanismos de autenticação e controles de segurança corporativos. Em muitos casos, não se trata apenas de invadir sistemas tecnicamente sofisticados, mas de persuadir funcionários, operadores de call center e prestadores de serviços a realizar ações que, sem perceber, abrem portas para o ataque.
O caso da TfL reforça como ataques desse tipo costumam explorar a interseção entre tecnologia e comportamento humano. Em vez de depender apenas de malware avançado, os invasores frequentemente começam com algo tão simples quanto um telefonema convincente ou uma mensagem que imita comunicações internas da empresa. Uma vez obtidas credenciais ou acesso inicial, o restante do ataque é construído em camadas, com movimentação lateral entre sistemas e aumento gradual de privilégios.
A condenação de Jubair e Flowers também é vista como um recado das autoridades britânicas para jovens envolvidos ou tentados a ingressar em atividades de cibercrime. O uso da Seção 3ZA do Computer Misuse Act demonstra disposição em aplicar penas severas quando ataques colocam em risco serviços considerados vitais para o funcionamento do país. O fato de ambos serem muito jovens não impediu que o tribunal reconhecesse a gravidade do impacto causado.
Do ponto de vista jurídico, o processo sinaliza uma tendência de enquadrar ofensivas contra infraestrutura crítica sob dispositivos legais mais rígidos, especialmente quando há evidências de que os autores tinham consciência do potencial de dano ao público em larga escala. A combinação de prejuízos financeiros elevados, exposição de dados pessoais e risco para a continuidade de serviços essenciais cria um cenário em que a margem para tolerância é mínima.
Para organizações que administram serviços públicos ou operam em setores de missão crítica, o episódio levanta uma série de lições. A primeira delas é a necessidade de fortalecer não apenas as barreiras técnicas, mas também os processos internos de autenticação e verificação de identidade, reduzindo a superfície de ataque da engenharia social. Programas contínuos de conscientização de funcionários, revisão de fluxos em centrais de atendimento e uso de múltiplos fatores de autenticação tornam-se componentes indispensáveis de qualquer estratégia de defesa.
Outro ponto central é a importância de planos de resposta a incidentes que considerem cenários extremos, incluindo a necessidade de desconectar partes da infraestrutura para preservar o restante do ambiente. O caso TfL mostra que decisões difíceis, como tirar sistemas do ar temporariamente, podem ser fundamentais para evitar um dano muito maior. Para isso, é crucial que existam procedimentos claros, equipes treinadas e canais de decisão bem definidos.
Além disso, o ataque evidencia a relevância de uma arquitetura de TI segmentada, com controles de acesso rígidos e monitoramento constante. Quanto mais interligados e homogêneos forem os sistemas, maior o risco de que um único ponto de entrada gere um efeito dominó. A segmentação, acompanhada de logs detalhados e análises em tempo real, contribui para detectar movimentos suspeitos mais cedo e limitar a capacidade de expansão dos invasores.
No campo da proteção de dados, o incidente envolvendo o sistema de reembolso do Oyster enfatiza a necessidade de controles específicos sobre ambientes que armazenam informações pessoais sensíveis. Criptografia, anonimização quando possível e políticas rigorosas de retenção e acesso a dados reduzem o valor que essas bases representam para criminosos e minimizam o impacto em caso de vazamento.
Para os usuários, especialmente em grandes centros urbanos dependentes de transporte público, episódios como este reforçam a importância de boas práticas básicas de segurança digital, como monitorar extratos, acompanhar comunicações oficiais dos operadores de serviços e desconfiar de contatos inesperados pedindo dados pessoais ou de pagamento. Embora, neste caso, o foco dos criminosos tenha sido a infraestrutura, dados de usuários continuam sendo um alvo atraente pela possibilidade de uso em fraudes e golpes secundários.
O caso TfL também alimenta o debate sobre o recrutamento de jovens em comunidades de cibercrime. Muitos dos envolvidos em coletivos como o Scattered Spider começam como curiosos com habilidades técnicas, que encontram um ambiente de validação e ganho financeiro rápido em fóruns e canais privados. Sem políticas de educação digital, oportunidades legítimas na área de segurança da informação e programas de redirecionamento de talentos, esse fluxo tende a se manter.
Por fim, a condenação de cinco anos e meio para cada um dos hackers mostra que o combate ao cibercrime contra infraestrutura crítica passa, necessariamente, por responsabilização efetiva. Investigações longas, cooperação entre agências e uso de perícia digital avançada foram determinantes para reunir provas robustas, desde capturas de tela até vídeos e conversas registradas. Em um cenário em que ataques são, muitas vezes, transnacionais e altamente distribuídos, cada caso bem-sucedido de identificação e punição serve como referência e, potencialmente, como elemento de dissuasão para futuros ofensores.