两名黑客未满 18 岁就入侵伦敦交通局并窃取数百万人数据，被判五年半监禁

两人已于 6 月承认在 2024 年入侵伦敦交通局。检方形容两人痴迷电脑、性格孤僻，并称他们以网络犯罪团伙 Scattered Spider 成员身份实施攻击。

网络攻击导致伦敦交通局的在线服务连续数月无法正常运行，数百万人的个人数据遭窃，全部 27000 名员工还必须到现场重置密码。伍尔维奇刑事法院获悉，两人甚至在网上直播了长达 16 小时的攻击过程。

英国国家打击犯罪局表示，越来越多英国年轻人参与黑客活动，已经成为国家网络安全面临的最大威胁之一。

2024 年 8 月 31 日 17 时，两人侵入伦敦交通局系统。当时弗劳尔斯 17 岁，朱拜尔 18 岁。两人在 Telegram 上的聊天记录显示，他们曾炫耀已经进入牡蛎卡用户数据库。两人随后在名单中查找伦敦名人的个人资料，并试图进一步获取银行账户信息。

弗劳尔斯后来开玩笑说：“Scattered Spider 正在伦敦地铁上织网。”据了解，Scattered Spider 还被指参与数十起网络攻击，玛莎百货和 Co-op 等零售企业都曾成为目标。

过去两年，英国、美国、西班牙和芬兰均有年轻男子和未成年男孩因参与 Scattered Spider 的攻击而被捕。两人特意选择在周六晚上发动攻击，希望避开工作人员的监控，最终窃取数百万名乘客的数据。

遭窃数据库仍在犯罪团体之间传播，最多包含 1000 万名伦敦交通局乘客的资料。

两人并非通过复杂技术直接突破系统，而是欺骗了一名电话技术支持人员。他们冒充伦敦交通局员工，并说服技术支持人员为被冒充员工重置密码。英国国家打击犯罪局发现入侵后通知伦敦交通局，伦敦交通局随即开始封堵黑客，但数百万人的资料已经落入两人手中。

伦敦交通局表示，信息技术团队通过强制所有员工退出系统，并最终切断系统与互联网的连接，才阻止攻击进一步扩大，否则伦敦公共交通服务可能出现大范围中断。攻击导致 148 套技术系统无法使用，多项服务严重受阻，其中包括供残疾人和弱势居民使用的 Dial-a-Ride 预约用车服务。

伦敦交通局估计，网络攻击带来的经济影响达到 2900 万英镑（IT之家注：现汇率约合 2.65 亿元人民币），收入损失另有约 1000 万英镑（现汇率约合 9122 万元人民币）。

法院获悉，两人在现实生活中几乎没有朋友，大部分时间都在无人监管的情况下独自上网。特纳大法官量刑时表示，两人犯罪时年龄较小，并且都被诊断为自闭症，因此决定把上述情况作为减轻刑罚的因素。

弗劳尔斯极少出门，平时大多待在卧室里使用电脑。2023 年 10 月刚满 16 岁后不久，他便因轻微网络犯罪被勒令停止违法行为。

警方最终于 2024 年 9 月以涉嫌攻击伦敦交通局为由将弗劳尔斯逮捕。逮捕画面显示，弗劳尔斯被带走时仍在发笑。调查人员实施搜捕时，还当场发现弗劳尔斯正在入侵两家美国医疗服务机构。聊天记录显示，弗劳尔斯甚至拿“攻击可能害死一名依靠生命支持设备维生的 90 岁老人”开玩笑。弗劳尔斯最终承认了涉及两家美国医疗服务机构以及伦敦交通局攻击的罪名。

警方还从弗劳尔斯手中查获价值约 100 万英镑的加密货币。警方表示，尽管弗劳尔斯和朱拜尔据称通过盗窃或勒索获得了价值数百万英镑的加密货币，但两人可能更在意网络犯罪圈中的名声，而不是金钱。

朱拜尔也早已受到警方关注。法院获悉，朱拜尔是家中独子，父母从孟加拉国移居伦敦并从事护理工作，在他 10 岁时送给他第一台笔记本电脑。朱拜尔随后自学编程，13 岁时已经开始在网上与罪犯接触。

朱拜尔于 2021 年 2 月首次被捕，当时只有 14 岁。2023 年，仍属未成年人的朱拜尔因参与 Lapsus$ 网络犯罪团伙的黑客活动，被判处青少年改造令。Lapsus$ 曾攻击英伟达和英国电信等大型企业。由于朱拜尔当时未满 18 岁，媒体依法不得公开他的身份。

朱拜尔此前已经有 22 项涉及黑客活动、诈骗和骚扰的定罪记录。辩护团队称，朱拜尔性格孤独并有自杀倾向，实际上是受到了年长网络罪犯的引诱和操控。美国也因朱拜尔涉嫌攻击 47 名境内受害者而对他发出通缉。有关案件据称令受害者向朱拜尔及其同伙支付了 1.15 亿美元（现汇率约合 7.8 亿元人民币）赎金。

朱拜尔后来成为英语网络犯罪圈 The Com 中颇具知名度的黑客。不过，朱拜尔与其他黑客发生内讧后，个人资料和照片遭竞争对手公开。部分视频还显示朱拜尔疑似被人劫持和殴打，但也有人怀疑，绑架和殴打场面由朱拜尔自导自演。

法院还获悉，两人在狱中等待审判期间都曾私藏违禁手机。从手机中恢复的消息显示，两人即使身处监狱，仍在讨论并策划未来的网络攻击。

宣判后，英国国家打击犯罪局副局长兼国家网络犯罪部门负责人保罗 · 福斯特表示，案件凸显英国本土年轻黑客带来的严峻挑战。“网络世界可能让年轻人接触到家门之外的有害影响和犯罪群体。家长、照护者、教育工作者、科技企业、执法部门乃至整个社会，都有责任保护年轻人的网络安全。”

福斯特称，一系列逮捕行动已经令 Scattered Spider“受到严重削弱和破坏”，但网络安全分析师艾莉森 · 尼克松认为，判刑和逮捕很难阻止更多年轻男孩参与网络犯罪。

尼克松表示：“政策制定者必须把问题当成暴力青少年帮派问题处理。帮派文化把破坏社会奉为荣耀，并追求对受害者造成最大程度的伤害。”