Ein Gericht in Großbritannien hat zwei Mitglieder der berüchtigten Hackergruppe Scattered Spider zu jeweils fünfeinhalb Jahren Haft verurteilt. Die 20-jährigen Thalha Jubair und Owen Flowers hatten 2024 das Verkehrsnetz der britischen Hauptstadt lahmgelegt – mit gravierenden Folgen für Millionen Fahrgäste.
Der Angriff auf Transport for London (TfL) gilt als einer der folgenreichsten Cyberangriffe auf kritische Infrastruktur in Großbritannien. Zwischen dem 31. August und dem 3. September 2024 fielen 148 interne IT-Systeme aus. Der Dial-a-Ride-Service, ein Fahrdienst für Menschen mit Behinderungen, war ebenso betroffen wie das Erstattungssystem für Oyster-Cards.
Milliardenschaden und Millionen betroffener Fahrgäste
Die finanziellen Folgen sind enorm: Die direkten Kosten für Sicherheitsmaßnahmen und Systemreparaturen beliefen sich auf 29 Millionen Pfund, hinzu kamen zehn Millionen Pfund entgangene Einnahmen. Experten schätzen, dass der wirtschaftliche Schaden bei einem vollständigen Zusammenbruch der Infrastruktur bis zu 56 Milliarden Pfund hätte betragen können – rund 2,5 Prozent der britischen Wirtschaftsleistung.
Besonders brisant: Die Daten von etwa sieben Millionen Fahrgästen wurden kompromittiert. Zwar versuchten die Angreifer offenbar, an Informationen über Prominente und Bankdaten zu gelangen, doch ihr eigentliches Motiv war wohl Anerkennung in der Hackerszene – nicht finanzieller Gewinn.
Per Telefon ins System: Die Methode der Angreifer
Die beiden Täter gelangten durch sogenanntes Social Engineering in das Netzwerk: Sie kontaktierten den Helpdesk von TfL und ließen Passwörter zurücksetzen, um administrative Rechte zu erlangen. Anschließend installierten sie Hintertüren und nutzten Cloud-Dienste, um dauerhaft Zugriff zu behalten. Über 16 Stunden streamten sie ihre Aktionen live für andere Mitglieder der Gruppe. Mehr als 27.000 Mitarbeiter-Passwörter wurden zurückgesetzt.
Der Fall zeigt eindringlich, wie leicht herkömmliche Passwörter durch Manipulation zum Sicherheitsrisiko für ganze Netzwerke werden können. Erfahren Sie in diesem kostenlosen Report, wie Sie mit der modernen Passkey-Technologie Ihre Konten bei Amazon, WhatsApp und Co. endlich unhackbar machen. Passkeys einrichten und Passwort-Stress beenden
Während des Prozesses wurde bekannt, dass beide Angeklagten mit Autismus und weiteren psychischen Erkrankungen diagnostiziert wurden. Der Richter wies jedoch die Argumentation zurück, die beiden seien lediglich Opfer ihrer Umstände – angesichts der Schwere der digitalen Straftaten.
Ermittler schlagen international zu
Die Verurteilung ist Teil einer internationalen Offensive gegen Scattered Spider. Die Gruppe wird auch für Angriffe auf Unternehmen wie Marks & Spencer, Co-op und Jaguar Land Rover verantwortlich gemacht. Die britische National Crime Agency (NCA) betont, die Verurteilungen hätten die Operationen der Gruppe im Vereinigten Königreich erheblich geschwächt.
Da allein in Deutschland vierteljährlich Millionen von Online-Konten gehackt werden, ist der Abschied vom klassischen Passwort für viele Experten längst überfällig. Dieser kostenlose Ratgeber erklärt Ihnen die sichere Alternative, die Hackern keine Chance mehr lässt und das Einloggen per Fingerabdruck ermöglicht. Kostenlosen Passkey-Guide jetzt herunterladen
Bemerkenswert: Selbst während des laufenden Verfahrens soll Flowers weiter aktiv gewesen sein – er versuchte, in Systeme des Justizministeriums einzudringen und griff US-Gesundheitsdienstleister an. Die Ermittlungen reichen über Großbritannien hinaus: Der 19-jährige Peter Stokes wurde kürzlich in Finnland festgenommen. Die US-Behörden fordern seine Auslieferung – die Gruppe soll international Unternehmen um über 100 Millionen Dollar erpresst haben.
Die Fälle werfen auch Fragen zur Prävention auf: Beide Verurteilten waren den Behörden bereits Jahre vor dem Angriff bekannt. Experten fordern bessere Programme für junge Menschen mit hoher technischer Begabung, um sie von der dunklen Seite der Cybersicherheit fernzuhalten.
