TfLハッキング事件に関与した「スパイダー」のメンバー数名に懲役5年の判決

サイバー犯罪集団「Scattered Spider」の主要メンバー2名が、2024年にロンドン交通局（TfL）へのハッキングを行ったとして、それぞれ懲役5年6か月の判決を受けた。

2024年9月2日、840万人以上のロンドン市民に交通サービスを提供するTfLは、2024年8月にネットワークへの侵入被害を受けたことを公表した。この攻撃により、内部システムやオンラインサービスに支障が生じた。

影響を受けたサービスやプラットフォームには、TfLの「Dial-a-Ride」サービス、割引乗車カード、デジタル決済、非接触型チケットの導入に加え、同公共交通機関の払い戻し処理機能も含まれていた。 さらに、TfLのネットワーク全体で148のシステムが稼働不能となり、侵害発生後、TfLの従業員2万7,000人全員が直接窓口でパスワードを再設定しなければならなかった。

TfLは、この攻撃による損失および復旧費用として2,900万ポンドを報告したが、当局者は、攻撃者が交通ネットワークの停止に成功していた場合、英国経済は最大560億ポンドの損失を被っていた可能性があると推定した。

TfLは2024年9月12日、攻撃者が顧客データ（氏名、住所、連絡先など）も盗み出したことを明らかにした。 その4日後の9月16日、ロンドン市警察および英国国家犯罪対策庁（NCA）の捜査官が、20歳のタルハ・ジュベイルと18歳のオーウェン・フラワーズをそれぞれの自宅で逮捕した。

捜査当局によると、フラワーズ容疑者は米国の医療企業であるサッター・ヘルス（Sutter Health）およびSSMヘルスケア・コーポレーション（SSM Health Care Corporation）へのハッキングも進行中であり、逮捕時に押収された端末からはTfLへの侵入に関する証拠も見つかったという。

両名は先月、「コンピュータ不正使用法」違反で有罪を認め、本日、それぞれ懲役5年6か月の判決を受けた。

NCAのポール・フォスター副局長は、「Scattered Spider」を「近年、英国にとって最も重大なサイバー犯罪の脅威」と表現し、有罪判決が下されたのはTfLが早期に法執行機関と協力したおかげであると述べた。

「ロンドン交通局（TfL）が早期に法執行機関と連携していなければ、今回の有罪判決は実現しなかった可能性が高い。したがって、同様の状況に直面した他の組織に対しても、ぜひ同様の対応を取るよう強く促したい」とフォスター氏は述べた。「我々は今後も、英国および海外のパートナーと協力し、犯人を特定して法の下に裁くよう努めていく。」

また、米国司法省も2025年9月、2022年5月から2025年9月にかけて発生した少なくとも120件のネットワーク侵害に関連して、ジュベイルをコンピュータ詐欺、マネーロンダリング、電信詐欺の共謀罪で起訴した。

裁判所の文書によると、これらの攻撃は重要インフラ機関や米国の裁判所を含む数十の米国組織に影響を及ぼし、ジュバイールとその共犯者らは2024年8月から2025年7月にかけて、世界中の被害者から1億1500万ドル以上を恐喝した。

2025年7月、NCAは、ハロッズ、マークス＆スペンサー、コープなど、英国の大手小売業者を標的とした一連のサイバー攻撃に関与したとみられる、「Scattered Spider」のメンバーとみられる他の4人を逮捕した。