Duo van Scattered Spider pleit schuldig in VK voor hack Transport for London en ransomware-campagne van $115 miljoen

Thalha Jubair en Owen Flowers hebben op de eerste dag van hun proces in het Verenigd Koninkrijk in juni 2026 schuld bekend aan aanklachten die voortvloeien uit de cyberaanval op Transport for London in augustus 2024 en een ransomware-campagne waarmee wereldwijd meer dan $115 miljoen bij slachtoffers werd buitgemaakt. De schuldbekentenissen, afgelegd voor een Britse rechtbank, vormen het sluitstuk van een onderzoek door meerdere instanties aan beide zijden van de Atlantische Oceaan, gericht op een van de meest ontwrichtende hackersgroepen die de afgelopen jaren bedrijfsinfrastructuur hebben getroffen, aldus Krebs on Security.

De aanval op Transport for London

De inbraak bij TfL in augustus 2024 was heftig. Het ontwrichtte het openbaarvervoernetwerk van de hoofdstad en verstoorde systemen waarvan miljoenen reizigers dagelijks afhankelijk zijn. Het werd al snel een van de spraakmakendste cyberaanvallen op infrastructuur in de recente Britse geschiedenis — niet alleen vanwege de losgeldeis, maar vooral vanwege de operationele chaos die het veroorzaakte binnen een systeem dat ongeveer een kwart van het dagelijkse Londense verkeer verwerkt. Interne systemen lagen bloot. Het herstel bij TfL sleepte weken aan en kostte de vervoersautoriteit veel geld. Britse aanklagers brachten later aanklachten naar buiten die Jubair en Flowers rechtstreeks aan die inbraak koppelen, aldus een rapportage van Krebs on Security uit september 2025.

De ransomware-operatie van $115 miljoen

De hack bij TfL was slechts één onderdeel van een veel grotere operatie. Het Amerikaanse ministerie van Justitie (DOJ) meldde dat slachtoffers gezamenlijk meer dan $115 miljoen betaalden aan Jubair en zijn medeplichtigen om data terug te krijgen en openbaarmaking ervan te voorkomen, aldus een aankondiging van het DOJ op 18 september 2025. Volgens één rapport wordt Jubair gelinkt aan ongeveer 120 afzonderlijke inbraken voorafgaand aan zijn arrestatie in het VK, aldus The Hacker News. Zet die cijfers naast elkaar — 120 inbraken, een losgeldbedrag met negen cijfers — en deze campagne behoort tot de meest financieel schadelijke cybercriminele operaties die ooit zijn vervolgd.

Wie zijn Jubair en Flowers

Beide verdachten waren 18 jaar oud op het moment dat de aanklachten werden ingediend. Die jonge leeftijd stond in schril contrast met de geraffineerdheid van de aanvallen die hen worden toegeschreven. Britse aanklagers presenteerden de zaak tijdens zittingen die begonnen in september 2025, en het tweetal pleitte uiteindelijk schuldig op de eerste dag van het proces in juni 2026 in plaats van het bewijs aan te vechten. De snelheid van de schuldbekentenis spreekt voor zich — de zaak van het openbaar ministerie was kennelijk niet de moeite van het bevechten waard. De precieze rol van elk van de verdachten binnen Scattered Spider is in openbare rechtbankdocumenten niet volledig uit de doeken gedaan.

Parallelle aanklachten in de VS

Jubair staat ook terecht in een parallel juridisch traject in de Verenigde Staten. Het DOJ klaagde hem in september 2025 aan wegens fraude en cybercriminaliteit in verband met meerdere aanvallen, waaronder inbraken gericht op kritieke infrastructuur, aldus het DOJ. Die Amerikaanse aanklacht kan een straf van maximaal 95 jaar opleveren, meldde The Hacker News. Het onderzoek was een gezamenlijke inspanning van de Britse National Crime Agency en de FBI, met bijdragen van aanvullende instanties — een directe weerspiegeling van hoe grensoverschrijdend deze operaties zijn geworden en hoe moeilijk ze binnen het vervolgingsbereik van één enkel rechtsgebied passen.

Scattered Spider: hoe de groep opereert

Scattered Spider is geen traditionele ransomwarebende. De groep opereert als een losjes georganiseerd collectief, en het kenmerkende wapen is social engineering — het manipuleren van werknemers en IT-personeel om inloggegevens af te geven, in plaats van het misbruiken van softwarefouten. De groep wordt in verband gebracht met sim-swapping, phishingcampagnes en de inzet van ransomware tegen grote bedrijven in uiteenlopende sectoren. Juist die flexibiliteit maakt Scattered Spider zo lastig uit te schakelen: het arresteren van individuele leden ontwricht specifieke cellen, maar legt zelden het bredere netwerk lam. Doordat de groep leunt op menselijke manipulatie in plaats van geautomatiseerde exploits, is het draaiboek bovendien makkelijk overdraagbaar — dezelfde technieken die werkten tegen een Londense vervoersautoriteit, werken net zo goed tegen een ziekenhuisnetwerk in Phoenix.

Wat volgt nu

Nu de schuldbekentenissen zijn afgelegd, gaat de zaak richting de strafoplegging. Een specifieke datum is nog niet publiekelijk bevestigd. De lastigere vraag is wat er gebeurt met de Amerikaanse aanklachten tegen Jubair — de aanklacht van het DOJ blijft van kracht, en of de Britse autoriteiten hem na afloop van een eventuele binnenlandse straf zullen uitleveren, of dat de twee regeringen een parallelle oplossing uitonderhandelen, is in openbare documenten niet aan de orde gekomen. De zaak voedt ook een actueel beleidsdebat over de vraag of bedrijven volledig verboden zou moeten worden losgeld te betalen bij ransomware-eisen, een discussie die serieus momentum kreeg na de aanval op Colonial Pipeline en alleen maar luider is geworden naarmate de cumulatieve losgeldbedragen boven de negen cijfers zijn uitgestegen. De eerstvolgende concrete mijlpaal is de strafzitting in het VK, waar de rechtbank de daadwerkelijke gevangenisstraffen voor Jubair en Flowers zal vaststellen.