Scattered Spider-duo krijgt elk 5,5 jaar cel voor TfL-hack en losgeldfraude van $115 miljoen

Twee Britse leden van de cybercrimegroep Scattered Spider zijn op 16 juli 2026 bij Woolwich Crown Court elk veroordeeld tot vijf en een half jaar cel. Daarmee worden twee tieners uit Oost-Londen definitief gekoppeld aan een omvangrijke afpersingsoperatie die meer dan $115 miljoen aan losgeld binnenhaalde bij tientallen bedrijven in meerdere landen.

Bitcoin

BTC

Bekijk coin →

$80.965,00 ▼1,62%

Marktkapitalisatie · $1.63T

Thalha Jubair (20) en Owen Flowers (18) bekenden beiden schuld aan aanklachten rond de hack van Transport for London (TfL) en hun rol binnen Scattered Spider, een los georganiseerd hackerscollectief dat volgens Amerikaanse aanklagers tientallen bedrijven afperste via diefstal van inloggegevens, social engineering en het stelen van data voor losgeld. De veroordeling sluit een hoofdstuk af in een van de meest ontwrichtende cybercrimezaken die de afgelopen jaren de Atlantische Oceaan overstaken, al blijft de volledige omvang van de activiteiten van de groep onderwerp van onderzoek.

De inbraak bij TfL is het meest zichtbare Britse slachtoffer. De aanval legde 148 systemen plat en veroorzaakte naar schatting £29 miljoen aan schade, meldt London Centric. TfL — verantwoordelijk voor de bussen, metro en bovengrondse treinen van Londen — moest noodmaatregelen treffen en de toegang tot interne systemen beperken terwijl het de systemen vanaf de grond moest herbouwen. Bij het incident kwamen gevoelige personeelsgegevens naar buiten en vielen de operaties stil bij een van de grootste openbaarvervoernetwerken van Europa.

Jubair, in Amerikaanse rechtbankstukken omschreven als een kernlid van Scattered Spider, werd in september 2025 apart aangeklaagd door Amerikaanse aanklagers. Het ministerie van Justitie stelt dat hij betrokken was bij minstens 120 aanvallen op organisaties, waaronder aanbieders van kritieke infrastructuur. Amerikaanse aanklagers brachten Jubair en zijn medeplichtigen in verband met meer dan $115 miljoen — zo’n £86 miljoen — aan losgeldbetalingen, waarbij slachtoffers betaalden om gestolen data terug te krijgen en publicatie ervan te voorkomen. Een voorbeeld dat in Amerikaanse rechtbankstukken wordt genoemd, speelde zich af toen Jubair nog een tiener was, een detail dat scherpe aandacht trekt vanwege de opvallend jonge leeftijd van meerdere leden van Scattered Spider.

Jubair komt uit Tower Hamlets in Oost-Londen. Hij was 19 toen hij in de VS werd aangeklaagd. De gecombineerde Brits-Amerikaanse vervolging weerspiegelt het transatlantische karakter van het onderzoek, waarbij de Britse National Crime Agency en de FBI gezamenlijk optraden. De zaak hangt ook samen met een inbraak bij een Amerikaanse rechtbank, waardoor de Londense TfL-hack op manieren die nog niet volledig publiekelijk zijn toegelicht is verbonden aan Amerikaanse federale procedures.

De financiële schade is wat deze zaak onderscheidt. Volgens het persbericht van het DOJ staat het bedrag van $115 miljoen voor gezamenlijke betalingen bij meerdere slachtoffers — niet voor één enkel incident. De werkwijze van Scattered Spider leunde zwaar op social engineering: zich voordoen als IT-personeel, helpdesks manipuleren tot het resetten van inloggegevens, en vervolgens doordringen in cloudomgevingen en interne netwerken. Eenmaal binnen, buitte de groep data uit en dreigde met publicatie tenzij losgeld werd betaald, bijna altijd in crypto geëist.

De crypto-component is relevant. Losgeldbetalingen in dit soort zaken belanden doorgaans in BTC$80.965,00▼1,62% of privacycoins — moeilijk te traceren, maar niet onmogelijk. Dat het DOJ bereid was een concreet dollarbedrag aan de losgeldbetalingen te koppelen, wijst erop dat bureaus voor blockchain-analyse onderzoekers hielpen de betalingsstromen via wallets en exchanges te volgen. Aanklagers konden de buit becijferen op $115 miljoen, wat betekent dat een aanzienlijk deel van het witwasspoor is gereconstrueerd, ook al blijft een deel van de gelden onvindbaar.

Flowers (18) kreeg dezelfde straf van 5,5 jaar als Jubair. Identieke straffen suggereren dat de rechter hun rollen als even ernstig beschouwde. De precieze bijdrage van Flowers is niet volledig uiteengezet in de publiek beschikbare vonnisdetails. Beide verdachten bekenden schuld — wat onder Britse richtlijnen voor strafoplegging doorgaans tot strafvermindering leidt — wat betekent dat de rechtbank de onderliggende feiten nog altijd ernstig genoeg achtte om de opgelegde straf te rechtvaardigen.

Scattered Spider staat de afgelopen twee jaar centraal in een van de grootste handhavingscampagnes tegen cybercrime. De groep bouwde zijn reputatie op met geruchtmakende bedrijfsinbraken die niet technische kwetsbaarheden uitbuitten, maar menselijk vertrouwen — geen zero-days, slechts telefoontjes naar de juiste helpdesk op het juiste moment. Inmiddels zijn meerdere leden geïdentificeerd en aangeklaagd in Amerikaanse en Britse rechtbanken, al erkennen aanklagers dat het netwerk gedecentraliseerd is en dat vermoedelijk nog meer leden op vrije voeten zijn.

Voor wie de relatie tussen crypto en ransomware volgt, onderstreept deze veroordeling een harde waarheid. Groepen als Scattered Spider zijn volledig afhankelijk van hun vermogen om geld te verplaatsen via exchanges en mixingdiensten. De $115 miljoen die aan Jubair en zijn medeplichtigen wordt gekoppeld, is slechts een fractie van de totale jaarlijkse losgeldbetalingen wereldwijd, die volgens bureaus voor blockchain-analyse in de miljarden lopen. Elke veroordeling met een gereconstrueerd betalingsspoor is een datapunt voor onderzoekers — en een waarschuwing voor de volgende groep die denkt dat cryptostromen onzichtbaar zijn.

De NCA en de FBI hebben bevestigd dat het onderzoek naar de overige leden van Scattered Spider doorgaat. Amerikaanse aanklagers hebben nog niet aangegeven of ze om uitlevering van Jubair zullen vragen nadat hij zijn Britse straf heeft uitgezeten — een proces dat, als het wordt doorgezet, de rechtsgang tot ver in de jaren 2030 zou kunnen rekken.