Dwóch nastoletnich hakierów-milionerów kryptowalut, którzy próbowali „zdetonować” TfL

Dwóch nastolatków, którzy stali się największymi cyber-hakerami w Wielkiej Brytanii, stoi przed więzieniem za atak o wartości 29 milionów funtów na sieć transportową Londynu po tym, jak zostali wykryci przez zamówienie jedzenia na wynos. Thalha Jubair i Owen Flowers zaatakowali Transport for London (TfL) w czterodniowym ataku cybernetycznym, który zagrażał spowodować „katastrofalne szkody” w wysokości 56 miliardów funtów. Jubair nawet wspominał o „zniszczeniu” dostępu do systemu, ale TfL zdołało „odciąć kran” sieci, aby zatrzymać duet. Teraz może zostać ujawnione, jak para stała się najgorszymi hakerami w Wielkiej Brytanii, szantażując przedsiębiorstwa na całym świecie za dziesiątki milionów funtów, kontynuując siać chaos nawet za kratkami. Prolifikacyjna para była członkami notorycznej sieci Scattered Spider, którą powiązano z atakami na Jaguar Land Rover w szacowanej kwocie 1,9 miliarda funtów, 300-milionowym hakiem na M&S oraz atakami na Harrods i Co-op, powodującymi straty w wysokości 206 milionów funtów. Nawet gdy 18-letni Flowers trafił za kratki, użył przemycanego telefonu, aby próbować hakersko włamać się do Crown Prosecution Service, Ministerstwa Sprawiedliwości, różnych domen rządowych i nawet więzienia, w którym był przetrzymywany. Tymczasem Jubair, obecnie 20-latek, szacuje się, że zarządzał kryptowalutami o wartości 200 milionów funtów poprzez szantażowanie przedsiębiorstw od czasu, gdy stał się hakerem w wieku 13 lat, wierzą amerykańscy prokuratorzy. Ostatecznie to wydawanie tych pieniędzy miało przyczynić się do jego upadku, gdy Jubair szastał nimi, nie na szybkie samochody ani biżuterię, a na jedzenie na wynos. Kupił vouchery na dostawę jedzenia, korzystając z portfela kryptowalutowego zawierającego 27 milionów funtów, które on i jego koledzy hakerzy rzekomo wzięli w płatnościach okupu od dużych amerykańskich firm. Błąd ten skierował FBI prosto pod jego drzwi, śledząc jedzenie na wynos, odkrywając, że jeden z najgroźniejszych cyber-hakerów w Wielkiej Brytanii był 17-letnim autystycznym samotnikiem żyjącym z rodzicami w bloku wieżowym obok centrum obsługi policji metropolitarnej w Tower Hamlets, East London. Wczoraj adwokat Jubaira, Paul Keleher, KC, powiedział w Woolwich Crown Court, że jego klient był „dzisiejszym Olivierem Twistem”, wychowywanym przez przestępców, aby hakować firmy od 13 roku życia. W opowieści o „internetowym wychowaniu”, Jubair otrzymał smartfona w wieku czterech lat, a pierwszego laptopa w wieku sześciu lat od swojego ojca, który był opiekunem, oraz od swojej matki, która pracowała z dziećmi mającymi specjalne potrzeby. W wieku dziewięciu lat Jubair pisał programy komputerowe. W wieku 13 lat awansował do hakowania po tym, jak został zwerbowany na platformach do gier, takich jak Roblox. W wieku 15 lat udało mu się włamać do systemów City of London Police. Pan Keleher powiedział, że jego klient później awansował do roli „Artful Dodger”, rekrutując innych młodych hakerów i nauczając ich sztuczek. Cieszył się rosnącą reputacją online po tym, jak był prześladowany i izolowany w szkole. Jego sypialnia w 22-piętrowym wieżowcu stała się nieoczekiwaną siedzibą milionera przestępcy internetowego, podczas gdy Jubair nadal uczęszczał do szkoły. Rozpoczął od zmiany karty SIM – gdy numer telefonu jednostki jest przekierowywany do hakerów, umożliwiając przesyłanie kodów uwierzytelniających bezpośrednio do przestępców. W 2021 roku Jubair zgromadził 700 ofiar korzystając z tej metody w ataku na BT/EE. W wieku 15 lat był częścią grupy młodych hakerów opisanej przez prokuratorów jako „internetowi bandyci”, którzy twierdzili, że giganci technologiczni, takich jak Microsoft, Nvidia, Samsung, T-Mobile i Uber, byli wśród ich ofiar, kradnąc dane oraz kod źródłowy, w tym niepublikowane Grand Theft Auto 6 od Rockstar. Mimo poddawania się dochodzeniom policyjnym, Jubair bardziej obawiał się, że jego rodzice się dowiedzą, jak wynika z przesłanych innym hakerom wiadomości. Jednak w końcu został aresztowany w mundurze szkolnym. W 2023 roku został skazany za 22 przestępstwa, w tym szantaż, oszustwo i śledzenie, otrzymując 18-miesięczne nakazanie rehabilitacji młodzieży. Jednak Jubair nadal celował w duże korporacje. Amerykańscy prokuratorzy powiązali go i jego współpracowników z co najmniej 115 milionami dolarów (86 milionów funtów) w płatnościach okupu, w tym z dużego ataku na kasyna w Las Vegas. Dokumenty sądowe sugerują, że Jubair włamał się nawet do systemu sądowego federalnego USA, kontaktując się z centrum pomocy, podając się za sędziego, aby poprosić o zresetowanie hasła, a następnie dostając dostęp do skrzynki pocztowej sędziego. W wrześniu 2024 roku Jubair zapowiedział, że „zaszydzi” kolejami i „zniszczy dostęp” po skompromitowaniu konta pojedynczego pracownika, aby włamać się do systemów Transport for London. Choć autobusy i metro nadal działają, naruszenie zakłóciło usługi TfL przez kilka miesięcy, wpłynęło na dane osobowe milionów ludzi i sprawiło, że wszystkich 28 000 pracowników TfL musiało zresetować swoje hasła osobiście. System rezerwacji autobusów Dial-a-Ride używanych przez osoby niepełnosprawne został wyłączony, a dane na żywo o godzinach kursowania metra dla aplikacji takich jak TfL Go i Citymapper zostały wyłączone. Jubair i Flowers polowali na celebrytów użytkujących TfL, ale nie udało im się dostać do szczegółów kart kredytowych. Gdy policja zaatakowała kilka godzin później, zatrzymali Flowersa, gdy włamał się do dwóch amerykańskich firm medycznych z własnej sypialni w Walsall, West Midlands, gdzie mieszkał ze swoją babcią. Nawet będąc w celi więziennej, kontynuował zyski z przestępstw, otrzymując 450 000 funtów w Bitcoinach, które planował „wyprać” na czystą kryptowalutę, aby spłacić długi za narkotyki po paleniu marihuany za kratkami. Flowers chwalił się innym hakerom, że niedługo opuści więzienie: „Bro, dostanę 2 lata za TfL. Przejdę rok przez proces. Wracam od razu do domu. Teraz to wykroczenie na mocy § 3za, które może skutkować karą maksymalną 14 lat więzienia, ale ponieważ byłem nieletni, nie zostanę skazany na tyle długo”. Dodał: „Bro, studiuję prawo od czasu aresztowania. Studiuję sędziów, których mógłbym dostać”. Być może gdy para zostanie dzisiaj skazana w Woolwich Crown Court, mogą znaleźć sędziego mniej współczującego. Jak zauważył sędzia Turner: „W tej sprawie nie ma Fagina, to przestępstwo bez Fagina”.