Due giovani hacker legati al gruppo Scattered Spider sono stati condannati nel Regno Unito a cinque anni e mezzo di carcere ciascuno per l’attacco informatico contro Transport for London, avvenuto tra fine agosto e inizio settembre 2024. Il caso è considerato tra i più rilevanti per portata e impatto economico, con perdite e costi di ripristino stimati in 29 milioni di sterline.
L’intrusione ha reso inutilizzabili 148 sistemi e ha costretto circa 27.000 dipendenti a reimpostare le password di persona, evidenziando quanto un incidente di cybersecurity possa paralizzare anche infrastrutture essenziali.
L’attacco ha colpito servizi cruciali per milioni di spostamenti quotidiani nella capitale. Sono andati in down canali di pagamento digitale e processi legati alle tessere agevolate, con rallentamenti su rimborsi e progetti di estensione del ticketing contactless. Anche la gestione delle Oyster photocards dedicate a bambini e giovani ha subito interruzioni.
Sul fronte dei dati, è stato comunicato l’accesso a informazioni come nomi ed email, e in alcuni casi indirizzi di casa. Potrebbero inoltre essere stati sottratti dati collegati ai rimborsi Oyster, inclusi numeri di conto e sort code per circa 5.000 persone, un elemento che aumenta i rischi di frodi e furti di identità.
Dal punto di vista legale, la condanna è avvenuta in base alla sezione 3ZA del Computer Misuse Act 1990, una delle più severe, per condotte ritenute capaci di creare un rischio significativo di danni gravi al benessere umano. Le autorità hanno sottolineato che un blocco completo della rete avrebbe potuto generare impatti economici enormi, stimati fino a 56 miliardi di sterline, scenario evitato grazie alla decisione di spegnere la rete per contenere l’incidente.
Le indagini hanno ricostruito l’uso di server remoti e la collaborazione tramite chat e strumenti online, con prove digitali recuperate da dispositivi sequestrati. Il profilo operativo associato a Scattered Spider richiama tecniche di social engineering, vishing e aggiramento dei processi di reset password e enrollment MFA, con particolare attenzione ai punti deboli dei flussi di verifica identità.
Indicazioni operative per le organizzazioni
- Controlli più rigorosi durante reset delle credenziali, modifiche MFA e registrazione di nuovi dispositivi.
- Rafforzamento dei flussi di verifica identità per ridurre i rischi di aggiramento tramite social engineering e vishing.
- Coinvolgimento tempestivo delle forze dell’ordine in caso di cyber attacco.