Due membri del gruppo di cybercrime Scattered Spider hanno ammesso le proprie responsabilità in un caso che ha messo in evidenza quanto gli attacchi informatici possano colpire infrastrutture essenziali. Nel Regno Unito, due giovani di 18 e 20 anni hanno dichiarato colpevolezza per accuse legate al cyberattacco dell’agosto 2024 contro Transport for London, l’ente che gestisce la rete di trasporto pubblico nell’area di Londra.
L’azione ha causato gravi disservizi e ha portato le autorità a contestare anche il rischio di danni seri al benessere delle persone, un aspetto centrale quando si parla di sicurezza informatica in ambito pubblico.
Il caso è collegato alla notorietà di Scattered Spider, gruppo associato a intrusioni, furti di dati e campagne ransomware. Le indagini citano anche attacchi contro organizzazioni e aziende in diversi settori, inclusa la sanità, dove la compromissione di sistemi e credenziali può avere conseguenze immediate su servizi critici. In parallelo emergono accuse negli Stati Uniti che descrivono un quadro più ampio: decine di vittime, numerose intrusioni e pagamenti di riscatto per un totale molto elevato, con ipotesi di frode informatica, frode telematica e riciclaggio.
Un elemento ricorrente nelle operazioni attribuite al gruppo riguarda tecniche di social engineering e il SIM swapping. In pratica gli aggressori puntano a prendere controllo del numero di telefono della vittima, spesso dopo aver ottenuto accesso a strumenti interni di operatori mobili o dopo aver ingannato dipendenti tramite phishing via SMS e chiamate. Questo consente di intercettare codici monouso e messaggi necessari per superare la multi-factor authentication, trasformando SMS e chiamate in un punto debole nella protezione degli account.
Le stesse inchieste collegano campagne di SMS phishing al furto di credenziali single sign-on e a successive compromissioni su larga scala, con impatti su molte organizzazioni. In questo contesto diventa chiaro perché le aziende stiano rafforzando i controlli su identità digitali, procedure di recupero account e canali di assistenza clienti, spesso sfruttati dagli attaccanti per ottenere accessi non autorizzati.
Le sentenze per i due imputati nel Regno Unito sono previste a metà luglio 2026, mentre negli Stati Uniti restano aperti procedimenti contro altri presunti membri legati alle stesse attività.