Scattered Spider、TfLハッキング犯のメンバー2人に懲役5年の判決

サイバー犯罪集団Scattered Spiderの主要メンバー2人が、2024年にロンドン交通局(TfL)をハッキングした罪で、それぞれ懲役5年6か月の判決を言い渡されました。

TfLは2024年8月にネットワークが侵害されたことを公表しており、この攻撃はTfLの内部システムやオンラインサービスに障害を引き起こしました。影響を受けたのは、TfLのDial-a-Rideサービス、割引乗車券、デジタル決済、非接触型乗車券の導入作業に加え、この公共交通機関による払い戻し処理業務にも及びました。

さらに、TfLのネットワーク全体で148のシステムが稼働不能となり、TfLの全従業員27,000人がパスワードを対面で再設定せざるを得ない状況に陥りました。

TfLはこの攻撃により2,900万ポンドの損失と復旧費用が発生したと報告していますが、関係当局は、もし攻撃者が交通ネットワークの停止に成功していた場合、英国経済は最大560億ポンドの損失を被っていた可能性があると試算しています。

TfLは2024年9月12日、攻撃者が顧客データ(氏名、住所、連絡先情報を含む)も窃取していたことを明らかにしました。その4日後の9月16日、ロンドン市警察と英国家犯罪対策庁(NCA)の捜査官が、20歳のThalha Jubair容疑者と18歳のOwen Flowers容疑者をそれぞれの自宅で逮捕しました。

捜査当局によると、Flowers容疑者は米国の医療関連企業であるSutter HealthおよびSSM Health Care Corporationへのハッキングも同時進行で行っており、逮捕時に押収された機器にはTfL侵害の証拠が含まれていたとのことです。

両容疑者は先月、コンピュータ不正使用法違反について有罪を認めており、本日、それぞれ懲役5年6か月の判決を言い渡されました。

NCAのポール・フォスター副長官は、Scattered Spiderを「近年英国が直面した中で最も重大なサイバー犯罪の脅威」と評した上で、TfLが早期に法執行機関と協力したことが今回の有罪判決につながったと強調しました。

「ロンドン交通局が早期に法執行機関と連携していなければ、今回の有罪判決は実現しなかった可能性が高いでしょう。同様の状況に置かれた他の組織にも、ぜひ同じように対応していただきたいと思います」とフォスター氏は述べています。「私たちは今後も英国内外のパートナーと協力しながら、犯人の特定と訴追に取り組んでいきます」

米司法省もまた、2025年9月にJubair容疑者を起訴しています。容疑は、2022年5月から2025年9月までの間に発生した少なくとも120件のネットワーク侵害に関連する、コンピュータ詐欺・マネーロンダリング・電信詐欺の共謀罪です。

裁判資料によると、これらの攻撃は重要インフラ事業者や米国の裁判所を含む米国の数十の組織に影響を及ぼしており、Jubair容疑者とその共犯者たちは2024年8月から2025年7月の間に、世界中の被害者から総額1億1,500万ドル以上を恐喝によって奪い取っていたとされています。

2025年7月には、NCAがScattered Spiderの他のメンバーとみられる容疑者4人を逮捕しています。これらの容疑者は、Harrods、Marks & Spencer、Co-opなど、英国の大手小売企業を狙った一連のサイバー攻撃への関与が疑われています。