Miembros destacados de Scattered Spider condenados en el Reino Unido a 66 meses de cárcel
Un par de jóvenes fueron condenados a 66 meses de cárcel por cometer un ciberataque al Transport for London que paralizó las operaciones de la red en 2024, el Agencia Nacional contra el Crimen del Reino Unido dijo el jueves.
Thalha Jubair y Owen Flowers fueron arrestados en sus casas en septiembre de 2025, apenas un año después del ataque, y se declararon culpables el mes pasado justo cuando estaban a punto de comenzar sus juicios. Flowers fue arrestado anteriormente en relación con el ataque de septiembre, pero fue liberado después de ser interrogado por los agentes.
Según los investigadores, Jubair y Flowers eran miembros destacados y estaban muy involucrados en Scattered Spider, un nebuloso subconjunto de hackers de The Com. Jubair, de 20 años, era un prolífico ciberdelincuente y miembro central del colectivo Unbound.
El año pasado, las autoridades estadounidenses acusaron a Jubair de participación directa y destacada en al menos 120 ataques cibernéticos, incluida la extorsión a 47 organizaciones con sede en Estados Unidos y el ataque de enero de 2025 al sistema judicial federal.
Los funcionarios dijeron que rastrearon un total combinado de al menos 89,5 millones de dólares en criptomonedas, en el momento de los pagos, hasta direcciones y servidores de Bitcoin controlados por Jubair. Dos empresas de servicios financieros pagaron a Jubair 25 millones de dólares y 36,2 millones de dólares, respectivamente, en Bitcoin entre junio y noviembre de 2023, según un denuncia penal abierta contra Jubair.
En el momento del arresto de Jubair, «era una de las cuatro personas principales que asociamos con Scattered Spider», y uno de los dos actores más importantes, dijo a CyberScoop Adam Meyers, vicepresidente senior de operaciones contra adversarios de CrowdStrike.
Jubair y Owens contaban con importantes recursos y apoyo, y “los pagos a las víctimas se reinvertían en la empresa”, dijo Allison Nixon, directora de investigación de la Unidad 221B.
El impacto duradero de la captura y encarcelamiento de Jubair y Owens sigue siendo confuso.
Las autoridades del Reino Unido insisten en que los arrestos y castigos de Jubair y Owens «detuvieron efectivamente la actividad criminal del grupo», pero agregaron que otros cibercriminales continúan usando la marca Scattered Spider en ataques más recientes.
El anuncio del jueves «representa un paso significativo para responsabilizar a dos miembros de Scattered Spider, un grupo que ha recurrido repetidamente a la extorsión de datos, ataques de intercambio de SIM y otras técnicas de ingeniería social para infiltrarse en redes y socavar servicios críticos», dijo Brett Leatherman, subdirector de la División Cibernética del FBI, en un comunicado.
El FBI también señaló, en un publicación en LinkedInque los miembros de Scattered Spider “continúan victimizando a organizaciones en todo el mundo y causando importantes daños financieros y operativos”.
Cuando Owens, que ahora tiene 18 años, fue arrestado por primera vez por el ataque a Transport for London en 2024, los investigadores dijeron que estaba “en el proceso de piratear los sistemas de las empresas de atención médica estadounidenses SSM Health Care Corporation y Sutter Health, que habían sido infiltrados y dañados”.
Las autoridades también dijeron que Jubair y Owens no cooperaron después de sus arrestos.
«Este es el mayor proceso por delitos cibernéticos jamás presentado ante los tribunales del Reino Unido y la culminación de casi dos años de arduo trabajo», dijo en un comunicado Paul Foster, jefe de la Unidad Nacional de Delitos Cibernéticos del Centro Nacional contra el Crimen.
«Scattered Spider ha sido la amenaza de cibercrimen más importante para el Reino Unido en los últimos años. A través de esta investigación, hemos desbaratado gravemente esa amenaza y hemos llevado a los principales infractores ante la justicia», añadió Foster.
A pesar de la reacción optimista de los funcionarios del Reino Unido, Nixon dijo que el castigo para Jubair y Owens es “notablemente indulgente considerando que el período de reincidencia continua duró más que la sentencia”.
Nixon espera que Estados Unidos eventualmente los extradite para enfrentar cargos adicionales. «Si eso sucede, no podrán utilizar la enfermedad mental como una escapatoria para volver a dañar a la sociedad lo antes posible», añadió.
“A nadie que trabajó en su caso le sorprendió que volvieran a delinquir, y parece que la ley no permite proteger al público de lo que todos sabían que iba a suceder”, dijo Nixon. «Sé que la narrativa de la cultura cibercriminal los glorificará, pero no lo harían si supieran la historia completa».
