两名未成年黑客因入侵伦敦交通局（TfL）并窃取数百万人的个人数据，近日被判处五年半监禁。这两名被告在 2024 年承认了入侵行为，检方将其描述为“痴迷电脑、性格孤僻”的个体，并指出他们以网络犯罪团伙 Scattered Spider 成员的身份进行活动。
此次网络攻击导致伦敦交通局的在线服务连续数月中断，数百万乘客的数据被盗。受影响的 27000 名员工不得不前往现场重置密码。据伍尔维奇刑事法院了解，两人甚至在网上进行了长达 16 小时的攻击过程直播。英国国家打击犯罪局（NCA）指出，越来越多的英国年轻人参与黑客活动，已成为国家网络安全面临的一大威胁。
2024 年 8 月 31 日，当时分别为 17 岁和 18 岁的弗劳尔斯和朱拜尔侵入了伦敦交通局的系统。他们的 Telegram 聊天记录显示，曾炫耀已成功访问牡蛎卡用户数据库，并试图进一步获取伦敦名人的个人资料及银行账户信息。弗劳尔斯曾戏称“Scattered Spider 正在伦敦地铁上织网”。Scattered Spider 还被指控参与了包括玛莎百货和 Co-op 在内的数十起网络攻击。
过去两年，英国、美国、西班牙和芬兰均有年轻男性和未成年男孩因参与 Scattered Spider 的攻击而被捕。两人选择在周六晚上发起攻击，意图规避工作人员的监控，最终窃取了数百万名乘客的数据。被盗的数据库仍在犯罪团伙间流传，据估计包含多达 1000 万名伦敦交通局乘客的资料。
此次入侵并非通过高难度技术直接突破，而是通过欺骗一名电话技术支持人员完成的。他们冒充伦敦交通局员工，成功让技术支持人员为其重置密码。NCA 在发现入侵后通知了伦敦交通局，尽管该机构随即采取行动封堵，但数百万人的资料已被两人获取。伦敦交通局表示，其IT团队通过强制所有员工退出系统并最终断开与互联网的连接，阻止了攻击的进一步蔓延，否则可能导致伦敦公共交通服务大范围中断。此次攻击导致 148 套技术系统瘫痪，多项服务受到严重影响，包括为残疾和弱势群体提供的 Dial-a-Ride 预约用车服务。伦敦交通局估计，此次网络攻击造成的经济损失高达 2900 万英镑，另有约 1000 万英镑的收入损失。
法院获悉，两名被告在现实生活中朋友甚少，大部分时间独自上网且无人监管。特纳大法官在量刑时考虑到两人犯罪时年龄尚轻，且均被诊断为自闭症，将这些因素作为减轻处罚的考量。弗劳尔斯极少出门，主要在卧室使用电脑。2023 年 10 月，年满 16 岁后不久，他曾因轻微网络犯罪被勒令停止违法行为。2024 年 9 月，警方以涉嫌攻击伦敦交通局为由逮捕了弗劳尔斯，当时他仍在发笑。搜查时，警方还发现弗劳尔斯正在入侵两家美国医疗服务机构，并且曾就攻击可能危及生命的行为开玩笑。弗劳尔斯最终承认了涉及这两家美国机构以及伦敦交通局的攻击罪名。警方从弗劳尔斯处查获价值约 100 万英镑的加密货币，并指出两人可能更看重网络犯罪圈的声誉而非金钱，尽管他们据称通过盗窃或勒索获得了数百万英镑的加密货币。
朱拜尔也早被警方关注。他是家中独子，父母从孟加拉国移居伦敦从事护理工作。10 岁时，他获得了第一台笔记本电脑，并自学编程，13 岁时已开始在网上接触罪犯。2021 年 2 月，年仅 14 岁的朱拜尔首次被捕。2023 年，作为未成年人，他因参与 Lapsus$ 网络犯罪团伙的活动被判处青少年改造令，该团伙曾攻击英伟达和英国电信等公司。由于当时未满 18 岁，媒体依法不得公开其身份。朱拜尔此前已有 22 项涉及黑客活动、诈骗和骚扰的定罪记录。辩护方称，朱拜尔性格孤僻且有自杀倾向，实际上是受到年长网络罪犯的引诱和操控。美国也因朱拜尔涉嫌攻击 47 名境内受害者对其发出通缉，据称受害者向朱拜尔及其同伙支付了 1.15 亿美元赎金。朱拜尔后来成为英语网络犯罪圈 The Com 中一名颇具知名度的黑客，但与其他黑客发生争执后，其个人资料和照片被竞争对手公开。部分视频显示朱拜尔疑似被劫持和殴打，但也有人怀疑这些场景是其自导自演。
在狱中等待审判期间，两人均被发现私藏违禁手机。从手机中恢复的消息显示，即使在狱中，他们仍在讨论和策划未来的网络攻击。
宣判后，英国国家打击犯罪局副局长兼国家网络犯罪部门负责人保罗·福斯特表示，此案凸显了英国本土年轻黑客带来的严峻挑战，并强调了家长、教育工作者、科技企业、执法部门及整个社会在保护年轻人网络安全方面的共同责任。福斯特称，一系列逮捕行动已严重削弱了 Scattered Spider 的能力，但网络安全分析师艾莉森·尼克松认为，判刑和逮捕难以阻止更多年轻男孩参与网络犯罪。尼克松建议政策制定者将此问题视为青少年暴力帮派问题处理，因为帮派文化将破坏社会和造成最大程度的受害者伤害视为荣耀。