‘Chaves para o reino’: hackers que obtiveram acesso ao coração da rede de transporte de Londres presos

Durante quatro dias em 2024, dois hackers adolescentes tiveram a rede de transporte de Londres à sua mercê. Thalha Jubair e Owen Flowers penetraram no coração dos sistemas de transporte de TI de Londres e detinham as “chaves do reino”.

Embora as principais redes de metrô e ônibus não tenham sido diretamente afetadas, o serviço dial-a-ride para passageiros com deficiência não conseguiu processar reservas por um período. O chefe do TfL, Andy Lord – um veterano da British Airways – disse que o ataque foi o pior incidente que ele enfrentou em sua carreira.

A TfL disse que o ataque, que ocorreu entre 31 de agosto e 3 de setembro de 2024, poderia ter causado “danos catastróficos” aos seus sistemas tecnológicos e poderia ter levado a “degradação e interrupção significativa e prolongada do serviço de transporte”.

No final, a dupla só foi interrompida quando o TfL efetivamente “desligou” seus sistemas.

Eles se declararam culpados em junho e, na quinta-feira, Jubair foi condenado a cinco anos e meio pelo ataque, e Flowers a cinco anos e meio pelo crime de TfL, bem como por hackear dois prestadores de cuidados de saúde dos EUA.

A certa altura, de acordo com os promotores do caso, Jubair e Flowers “poderiam ter fechado e encerrado completamente o TfL”, tendo hackeado o seu caminho para o “acesso mais privilegiado” no sistema e criado uma conta de “administrador de domínio” descrita no tribunal como “as chaves do reino”. Eles até pesquisaram celebridades no banco de dados de clientes do TfL.

Os dois hackers levaram vidas online aparentemente enrustidas que, no entanto, tiveram um impacto desproporcional no mundo exterior.

Jubair, 20 anos, morava com os pais em um apartamento municipal em Bow, leste de Londres, e Flowers, 19, morava com a avó e o tio em uma propriedade de três quartos em Walsall, em West Midlands. Eles se comunicaram durante o hack usando o serviço de mensagens Telegram, e Flowers gravou uma transmissão ao vivo do ataque que Jubair transmitiu enquanto cometia o crime de vários dias.

Ambos eram figuras-chave dentro de um coletivo de hackers de língua inglesa conhecido como Scattered Spider, que é suspeito de vários hacks nos últimos anos. As atividades da dupla os tornaram ricos, acumulando milhões de dólares em criptomoedas.

O nome Scattered Spider foi conferido a esses hackers por pesquisadores de segurança cibernética que criam apelidos para os grupos que monitoram. Jubair e Flowers aceitaram, trocando mensagens citando Scattered Spider durante o ataque. Flowers avisou seu homólogo que seu “passe de aranha espalhada nível 5 será revogado”, enquanto ele parecia reclamar do lento progresso de Jubair. Em um bate-papo em grupo posterior, Jubair escreveu: “SCATTERED SPIDER ESTÁ CRIANDO TEIAS NO UNDERGRND”.

Sabia-se que Flowers passava a maior parte do tempo em seu quarto jogando videogame – um caminho típico para hackers – e usando fóruns de bate-papo. Jubair também começou no mundo dos jogos e perturbava outros jogadores roubando seus nomes de usuário, antes de iniciar atividades criminosas.

Jubair, cujo pai é prestador de cuidados e cuja mãe abandonou o emprego para cuidar do filho em tempo integral, foi hacker desde muito jovem. Ele estudou na escola local, foi aprovado em vários GCSEs e tentou se matricular em faculdades. Mas ele sempre se interessou por computação e jogos.

Uma audiência de sentença de dois dias no tribunal de Woolwich esta semana ouviu que Jubair aprendeu a usar um smartphone aos quatro anos de idade, tinha um laptop e jogava desde os seis ou sete anos, escrevia seus próprios programas de computador aos 10 anos e aos 13 anos foi apresentado ao hacking por hackers mais velhos.

Antes da condenação do TfL, Jubair havia sido condenado por 22 crimes quando adolescente, incluindo 13 acusações de fraude, duas de acesso não autorizado a um computador, uma de obtenção de acesso a um computador e uma de chantagem. Ele também foi condenado em um tribunal de menores por perseguir duas jovens e invadir um servidor da polícia da cidade de Londres. Jubair tinha 18 anos quando executou o hack do TfL.

Ambos os réus foram diagnosticados com autismo e Jubair tem depressão e um grave transtorno de humor. O tribunal da coroa de Woolwich ouviu que Jubair tentou suicidar-se e que desde muito jovem foi “isolado e intimidado na escola”. Em nome de Flowers, que tinha 17 anos quando executou o hack, Adam Davis KC descreveu seu cliente como uma “criança imatura tentando se exibir online”, que passou por uma “infância instável” que incluiu contato com serviços infantis um ano depois de seu nascimento. Davis disse que Flowers passou por um isolamento “significativo” durante sua infância e teve dificuldades com as relações sociais.

As flores também estavam ativas antes do ataque cibernético do TfL. Ele já era conhecido da polícia e entrou em contato com eles depois de completar 16 anos. Ele foi sujeito a um aviso de cessar e desistir emitido pela polícia de West Midlands em outubro de 2023. Flowers recebeu treinamento para orientá-lo a se afastar do crime cibernético, que ele recusou, e recebeu aconselhamento sobre crimes de uso indevido de computador.

O hack do TfL não foi um ataque de “ransomware”, por meio do qual os sistemas de TI são criptografados e os dados são roubados, permitindo que os hackers exijam um resgate em criptomoeda para descriptografia e devolução dos dados.

Mesmo assim, Jubair e Flowers entraram em contato com grandes somas de dinheiro. Uma audiência anterior foi informada de que US$ 10 milhões (£ 7,5 milhões) foram transferidos das carteiras criptográficas de Jubair depois que ele foi libertado da custódia em março do ano passado e US$ 200 milhões em criptografia também foram transferidos através de contas pertencentes a ele. Uma audiência anterior também foi informada de que Flowers detinha US$ 7,1 milhões, incluindo criptomoedas, em contas que controlava, apesar de não ter nenhuma fonte de renda.

Nenhum dos dois parecia ter um estilo de vida luxuoso. A conta criptografada de Flowers foi usada para pagar entregas de alimentos, enquanto as autoridades dos EUA conseguiram rastrear Jubair porque ele pagou pelas entregas de alimentos usando cartões-presente comprados com criptografia de uma conta que supostamente armazenava pagamentos de ransomware. Os especialistas apontam evidências de que os ataques do Scattered Spider são muitas vezes motivados mais pelo desejo de se gabar e de notoriedade do que por ganho financeiro.

O tribunal ouviu que o ataque do TfL impediu que informações de chegada de tubo ao vivo aparecessem no aplicativo TfL Go e no site do TfL, enquanto o TfL também não conseguiu processar quaisquer pagamentos no Oyster e nos aplicativos sem contato ou registrar cartões Oyster nas contas dos clientes. O ataque custou à TfL 39 milhões de libras, incluindo 29 milhões de libras em danos causados ??aos sistemas de TI e 10 milhões de libras em perda de receitas. Os dados de cerca de 7 milhões de pessoas também foram roubados.

O tribunal ouviu que Jubair e Flowers entraram nos sistemas do TfL por meio de um co-conspirador não identificado que ligou para o suporte técnico do TfL e fingiu ser um funcionário que lutava para acessar a rede remotamente. Um manipulador de chamadas foi induzido a redefinir o processo de autenticação para um dispositivo sob controle de Jubair e Flowers, que então começou a escalar seu acesso.

Paul Foster, chefe da unidade nacional de crimes cibernéticos da Agência Nacional do Crime, disse que as condenações afetaram gravemente o grupo Scattered Spider. “As suas atividades e o seu impacto foram agora gravemente degradados como resultado desta ação.”

A certa altura do ataque, Flowers previu involuntariamente as consequências de suas ações. Enviando uma mensagem para Jubair, ele disse: “você não vai rir quando estiver na prisão”.