Dos jóvenes han admitido su implicación en el ciberataque contra Transport for London (TfL), el organismo que gestiona el transporte público de Londres, por un incidente ocurrido hace casi dos años que provocó el robo de datos de millones de usuarios y pérdidas estimadas en 39 millones de libras.
Las pruebas que los vinculan con la banda incluyen registros de actividad en sistemas internos, comunicaciones entre los atacantes y material encontrado en dispositivos personales.
El incidente se produjo a finales de agosto de 2024 y obligó a TfL a activar sus protocolos de emergencia tras detectar accesos no autorizados a sus sistemas internos.
Aunque el servicio de metro, autobuses y trenes no llegó a interrumpirse, sí se vieron afectados múltiples sistemas digitales relacionados con la gestión de cuentas de usuarios, reembolsos y datos de tarjetas.
Como decíamos, el transporte de la capital británica no se vio paralizado, pero el ciberataque sí provocó una crisis interna de gran magnitud. La organización llegó a bloquear accesos corporativos de forma generalizada y obligó a miles de empleados a verificar su identidad de forma presencial antes de recuperar credenciales.
TfL confirmó inicialmente el compromiso de datos de unos 5.000 usuarios con información financiera. Sin embargo, investigaciones posteriores elevaron la cifra de afectados a varios millones de personas, con estimaciones que apuntan a entre 7 y 10 millones de registros expuestos.
La persona, el eslabón más débil de la cadena
El grupo Scattered Spider, al que se vincula el incidente, es una organización de ciberdelincuentes de habla inglesa (están en EE.UU. y Reino Unido) que lleva a cabo campañas de ingeniería social. También se le conoce como UNC3944, Muddled Libra, Starfraud y Octo Tempest y sus miembros son insultantemente jóvenes.
En lugar de explotar vulnerabilidades técnicas complejas, sus miembros suelen obtener acceso mediante suplantación de identidad, phishing, vishing o manipulación de servicios de soporte técnico para obtener contraseñas.
En cuanto a las posibles condenas, este tipo de delitos en el Reino Unido —acceso no autorizado a sistemas, conspiración y compromiso de infraestructuras o datos a gran escala— puede implicar penas de prisión de varios años e incluso superiores en los supuestos más graves.
El caso está ahora pendiente de sentencia formal. La cuantía final dependerá de la valoración del tribunal sobre el impacto del ataque, el nivel de implicación de los acusados y los daños causados.
Las autoridades británicas han señalado que el caso forma parte de una investigación más amplia sobre actividades del colectivo, que ha sido relacionado con hackeos a grandes empresas de telecomunicaciones, tecnología y retail.
Otras detenciones
No es la primera vez que se detiene a un supuesto miembro de este grupo. En septiembre se arrestó a otro componente en Las Vegas de tan solo 19 años, acusado de participar en los ataques a conocidos casinos de la ‘ciudad de los neones’. Hace un año cayó Tyler Buchanan, ciudadano escocés de 23 años, que fue detenido en Palma de Mallorca y posteriormente extraditado a EE.UU.
Además de Buchanan se había imputado a otros cuatro individuos que podrían pertenecer a la banda: Noah Urban (Florida), Joel Evans (Carolina del Norte), Ahmed Elbadawy y Evans Osiebo. En julio de 2024 se detuvo a otro joven en Reino Unido por la supuesta pertenencia a la banda.
