英國(guó)兩名自閉癥少年黑客攻擊倫敦交通局致3900萬(wàn)英鎊損失，雙雙被判5年半監(jiān)禁

2024年8月底，英國(guó)倫敦遭遇了一場(chǎng)堪稱(chēng)史上最大規(guī)模之一的數(shù)據(jù)泄露事件。這場(chǎng)導(dǎo)致倫敦交通局（TfL）系統(tǒng)癱瘓、造成3900萬(wàn)英鎊直接經(jīng)濟(jì)損失及十億英鎊級(jí)潛在損失的賽博災(zāi)難，始于兩名不到20歲的自閉癥少年的一通電話。兩人最終雙雙認(rèn)罪，于2026年6月各被判處5年零6個(gè)月監(jiān)禁。

兩名作案者 Thalha Jubair 與 Owen Flowers 有著高度相似的生命軌跡。兩人均被診斷為自閉癥，童年在不幸中度過(guò)。

Jubair在學(xué)校遭遇嚴(yán)重霸凌，曾兩度試圖自殺；Flowers則頻繁出入福利院，身邊只有祖母能給予些許關(guān)心。但在虛擬世界中，兩人都展現(xiàn)出了遠(yuǎn)超常人的IT天賦：Jubair9歲便能編寫(xiě)程序，13歲開(kāi)始涉足網(wǎng)絡(luò)犯罪，2021年他曾攻擊英國(guó)電信運(yùn)營(yíng)商，造成700人受害，首次被捕時(shí)身上還穿著校服；Flowers同樣早早就接觸黑客行為，16歲時(shí)便因此遭到警方警告。

將兩人聯(lián)結(jié)到一起的，是名為“分散蜘蛛”（Scattered Spider）的黑客組織。該組織呈去中心化形態(tài)，成員多為來(lái)自英美的青少年，三年間曾對(duì)47個(gè)美國(guó)實(shí)體發(fā)動(dòng)過(guò)逾120起入侵行動(dòng)。

2024年7月，17歲的Flowers因參與該組織對(duì)拉斯維加斯賭場(chǎng)的攻擊被捕，保釋期間，他在電報(bào)群里結(jié)識(shí)了同為組織成員、正處于青少年康復(fù)令約束期的Jubair。兩人相談甚歡，很快便決定聯(lián)手“干一票更大的”，最終將目標(biāo)鎖定為倫敦交通局。

2024年8月31日，兩人正式發(fā)動(dòng)攻擊。與外界想象中高深的技術(shù)突破不同，他們采用的是標(biāo)志性的“社會(huì)工程學(xué)”手段：冒充公司員工致電倫敦交通局客服臺(tái)，謊稱(chēng)忘記密碼，在騙取了缺乏警惕性的客服信任后，順利重置密碼并獲取了系統(tǒng)員工權(quán)限。

在此后的四天里，兩人在存儲(chǔ)著28000名員工信息的系統(tǒng)中暢通無(wú)阻，竊取了約1000萬(wàn)人的個(gè)人數(shù)據(jù)。

這場(chǎng)攻擊直接導(dǎo)致倫敦多項(xiàng)交通服務(wù)陷入中斷：Oyster卡退款系統(tǒng)癱瘓，殘障人士預(yù)約用車(chē)服務(wù)無(wú)法正常預(yù)訂，地鐵實(shí)時(shí)數(shù)據(jù)下線，幾十萬(wàn)乘客被多扣費(fèi)用。

整個(gè)9月，交通局辦公室WiFi被迫全面切斷，全體人員只能居家辦公，后續(xù)28000名員工還必須親自返回辦公室當(dāng)面重置密碼。

最終，倫敦交通局別無(wú)他法，只能依靠“物理拔網(wǎng)線”的原始方式，才切斷了兩人的進(jìn)一步入侵。

這場(chǎng)堪稱(chēng)倫敦史上最大規(guī)模之一的數(shù)據(jù)泄露事件，共造成3900萬(wàn)英鎊的直接經(jīng)濟(jì)損失，潛在損失更是達(dá)到十億英鎊級(jí)別。

令人錯(cuò)愕的是，這場(chǎng)破壞力巨大的攻擊并沒(méi)有為兩人帶來(lái)任何實(shí)際收益。他們?cè)噲D從系統(tǒng)中盜取信用卡信息，但始終未能成功，期間Flowers甚至因不滿進(jìn)展緩慢與Jubair發(fā)生內(nèi)訌，在網(wǎng)上威脅要吊銷(xiāo)其在黑客組織內(nèi)的“五級(jí)通行證”。

在無(wú)利可圖與交通局?jǐn)嗑W(wǎng)的雙重因素下，兩人最終停止了行動(dòng)。

善惡終有報(bào)，天道好輪回。不信抬頭看，蒼天饒過(guò)誰(shuí)。

攻擊發(fā)生僅兩周后的2024年9月16日，F(xiàn)lowers便被警方鎖定并逮捕。警方在其臥室的電腦中不僅搜出了數(shù)百萬(wàn)英鎊的加密貨幣，還查獲了交通局網(wǎng)絡(luò)連通截圖，以及一段Jubair賬號(hào)正在登錄交通局系統(tǒng)的錄屏，證據(jù)確鑿。

由于兩人僅在網(wǎng)上聯(lián)絡(luò)，Jubair一度逍遙法外。直到2025年9月，Jubair用此前勒索所得的加密貨幣購(gòu)買(mǎi)了食品禮品券，并點(diǎn)了一份外賣(mài)，警方通過(guò)追蹤消費(fèi)記錄與訂單信息順藤摸瓜，最終在東倫敦的一座高層公寓中將其抓捕歸案。

即便在被羈押候?qū)徠陂g，風(fēng)波也未曾平息。Flowers設(shè)法弄到了一部走私手機(jī)，在監(jiān)獄內(nèi)黑進(jìn)了皇家檢察署、司法部以及關(guān)押他的監(jiān)獄員工系統(tǒng)，事發(fā)后設(shè)備被沒(méi)收，他也被關(guān)入A級(jí)隔離區(qū)長(zhǎng)達(dá)一個(gè)月。

2026年6月22日，本案在刑事法庭開(kāi)庭審理。

Jubair的辯護(hù)律師試圖以其童年不幸、被別有用心的犯罪者“招募利用”為由進(jìn)行辯護(hù)，但法官當(dāng)場(chǎng)駁斥了這一說(shuō)法，指出經(jīng)過(guò)十多年的犯罪歷練，Jubair早已從被利用的孩子，成長(zhǎng)為主動(dòng)選擇犯罪的新一代“招募者”。最終兩人認(rèn)罪，各自被判處5年零6個(gè)月有期徒刑。