倆黑客還沒(méi)成年，就搞得英國(guó)交通雞飛狗跳，損失上百億！最后卻栽在了一份外賣上…

防走丟，大家也可以在“事兒君看世界”找到我

關(guān)注起來(lái)，以后不“失聯(lián)”~

2024年8月底，倫敦交通局的系統(tǒng)突然遭到不明身份的黑客攻擊。

4天時(shí)間里，倫敦地鐵，倫敦公交，電車，出租車等服務(wù)部分中斷或癱瘓。

約1000萬(wàn)人的個(gè)人信息遭竊取，直接經(jīng)濟(jì)損失達(dá)3900萬(wàn)英鎊，間接經(jīng)濟(jì)損失高達(dá)驚人的數(shù)十億英鎊，堪稱英國(guó)史上最大的數(shù)據(jù)泄露事件之一。

（倫敦地鐵）

離譜的是，造成這場(chǎng)大規(guī)模賽博災(zāi)難的，僅僅是是兩個(gè)不到20歲的少年。

他們是Thalha Jubair，

（Thalha Jubair）

以及Owen Flowers…

（Owen Flowers）

這兩個(gè)從小有自閉癥的少年，竟成長(zhǎng)為了破壞力巨大的黑客。

他們僅僅用了一通電話，便給倫敦交通局的系統(tǒng)造成了難以估量的損失……

【從自閉少年到天才黑客】

Jubair的童年過(guò)得頗為艱難。

他在學(xué)校曾遭受嚴(yán)重霸凌。還被診斷為自閉癥，曾兩次試圖自殺，其中一次被送進(jìn)醫(yī)院、轉(zhuǎn)介至青少年心理健康服務(wù)。

現(xiàn)實(shí)世界對(duì)他來(lái)說(shuō)相當(dāng)殘酷，但在網(wǎng)絡(luò)虛擬世界里，他卻過(guò)得如魚(yú)得水。

一切只因?yàn)椋琂ubair早早就顯露出了IT方面的天賦。

他4歲開(kāi)始玩智能手機(jī)，6歲時(shí)就會(huì)用筆記本電腦。9歲時(shí)就已經(jīng)能編寫(xiě)計(jì)算機(jī)程序了。

13歲的時(shí)候，Jubair“嶄露頭角”，開(kāi)始在沙盒游戲Roblox和“我的世界”（Minecraft）偷其他的玩家的用戶名。（在很多游戲里，一些用戶名本身就比較稀缺，比如一個(gè)字母的，一個(gè)單詞的，有特殊含義的。）

雖說(shuō)只是小打小鬧，卻已經(jīng)引起了部分資深黑客的賞識(shí)，招募他從事黑客活動(dòng)。

Jubair就這樣踏上了網(wǎng)絡(luò)犯罪的道路，他學(xué)到的第一門(mén)犯罪手藝是劫持SIM卡。把別人的手機(jī)號(hào)碼劫持到黑客手中，這樣就可以得到別人的驗(yàn)證碼。

2021年，學(xué)成手藝的Jubair首次實(shí)踐，用SIM卡劫持攻擊了英國(guó)電信運(yùn)營(yíng)商 BT/EE，制造了多達(dá)700名受害者。

初出茅廬的他，憑借不俗的戰(zhàn)績(jī)，成為了知名黑客組織Lapsus$ 的骨干成員。

這個(gè)組織有多猛呢？前段時(shí)間游戲圈有個(gè)大新聞，《GTA6》尚未發(fā)布，源代碼卻先泄露了出去。這事兒就是Lapsus$麾下另一個(gè)少年黑客干的......

（相關(guān)報(bào)道）

言歸正傳，Jubair雖然成功作案，但并沒(méi)能逃脫警方的追捕。很快便和其他幾名青少年黑客一起被捕，就此留下了案底。

當(dāng)時(shí)的Jubair心智依然是個(gè)少年。出事后，他擔(dān)心的竟不是被警察抓，而是被父母發(fā)現(xiàn)，被捕時(shí)他甚至還穿著校服……

2023年，Jubair正式因敲詐、欺詐和跟蹤騷擾在內(nèi)的22項(xiàng)罪名，被判處18個(gè)月青少年康復(fù)令。

（Jubair）

然而，Jubair躲過(guò)了坐牢，卻并沒(méi)有就此改邪歸正，反而徹底走上了更瘋狂的犯罪。

【小試牛刀】

Jubair還沒(méi)履行完康復(fù)令，便又加入了一個(gè)名為“分散蜘蛛”（Scattered Spider）的黑客組織。

所謂“分散蜘蛛”，重點(diǎn)在于“分散”。有安全專家把“分散蜘蛛”比作一支爵士樂(lè)隊(duì)。沒(méi)有固定成員，呈現(xiàn)一個(gè)“去中心化”的態(tài)勢(shì)。有人來(lái)、有人走、有人獨(dú)奏一段又消失了。沒(méi)有固定陣容，沒(méi)有層級(jí)，跨越國(guó)境，所以也極難追蹤。

這樣一個(gè)組織的犯罪活動(dòng)，對(duì)Jubair這樣的年輕黑客來(lái)說(shuō)更自由，犯罪手段更多，還有其他成員打配合。屬于是犯罪分子培養(yǎng)基地了。

這個(gè)組織的成員大多是美英兩國(guó)的青少年和年輕人，而他們的標(biāo)志性手段，從來(lái)不是什么高深的技術(shù)漏洞，而是簡(jiǎn)簡(jiǎn)單單的打電話。

冒充員工，騙過(guò)客服，拿到密碼。

行話叫社會(huì)工程學(xué)，翻譯成大白話，就是騙人。

所有的BUG都可能會(huì)被發(fā)現(xiàn)，所有的電腦漏洞最終都會(huì)被堵上。唯獨(dú)在人這一環(huán)，漏洞永遠(yuǎn)存在。

比如假扮成公司員工給公司客服臺(tái)打電話，說(shuō)我登錄不上系統(tǒng)、我密碼忘了、我這邊急著交東西，語(yǔ)氣拿捏好，對(duì)面一旦放松警惕，就把密碼給你重置了。

再貴的安全系統(tǒng)，也架不住對(duì)面坐著個(gè)懂話術(shù)搞詐騙的真人。何況這群人還有天然的優(yōu)勢(shì)，身為英語(yǔ)母語(yǔ)者，更容易騙取客服值班人員的信任。

（示意圖）

比如，2023年9月，在拉斯維加斯，“分散蜘蛛”的一名成員在領(lǐng)英上找到米高梅度假村（維加斯最大賭場(chǎng)之一）的一名員工，然后冒充這名員工給IT客服臺(tái)打了一通電話，請(qǐng)求重置密碼。

當(dāng)然，他用的具體話術(shù)咱就不得而知了......

這通電話只打了十分鐘。十分鐘后，這家市值339億美元的公司瞬間停擺，老虎機(jī)停轉(zhuǎn)、房卡失效、ATM關(guān)閉，損失高達(dá)一億美元。

而且，“分散蜘蛛”并不只攻擊了米高梅度假村——他們同時(shí)還攻擊了另一家賭場(chǎng)凱撒娛樂(lè)城。只不過(guò)后者在遭遇攻擊后不久便認(rèn)栽，交了1500萬(wàn)美元贖金了事。

（“分散蜘蛛”）

不難猜想，一個(gè)青少年加入這種犯罪組織后會(huì)變成啥樣——這簡(jiǎn)直就是“提籃橋高級(jí)MBA總裁班”嘛。

加入“分散蜘蛛”后，Jubair的黑客技術(shù)、騙術(shù)都愈發(fā)爐火純青。他和同伙在三年里對(duì)47個(gè)美國(guó)實(shí)體發(fā)動(dòng)了至少120起入侵，敲詐贖金超過(guò)1.15億美元。

也正是在“分散蜘蛛”里，Jubair結(jié)識(shí)了后來(lái)的搭檔，和他有相似經(jīng)歷的Flowers。

Flowers的童年經(jīng)歷同樣頗為不幸，從小就在福利院進(jìn)進(jìn)出出，身邊唯一關(guān)心他的人就只有祖母。他也同樣被診斷出了自閉癥，根本沒(méi)有朋友。

當(dāng)然，他也同樣早早顯露出了黑客技能方面的天賦。

（Flowers）

16歲時(shí)，F(xiàn)lowers被當(dāng)?shù)鼐W(wǎng)絡(luò)犯罪部門(mén)上門(mén)警告，警方給了他一個(gè)改過(guò)自新的機(jī)會(huì)：接受培訓(xùn)，學(xué)習(xí)合法使用計(jì)算機(jī)技術(shù)的途徑。

然而他只是表面聽(tīng)從，背地里，他還是在做黑客。

2024年7月，17歲的Flowers也因參與“分散蜘蛛”對(duì)拉斯維加斯賭場(chǎng)的攻擊行動(dòng)被捕。

保釋期間，他和另一個(gè)還處在康復(fù)令約束下，比他大三歲的組織成員搭上了線，這位成員就是Jubair。

Jubair和Flowers兩人結(jié)識(shí)后，平日里通過(guò)電報(bào)群溝通，兩人越聊越投機(jī)，最終一拍即合，決定干一票更大的。

（Jubair和Flowers一起受審的畫(huà)面）

【癱瘓倫敦】

兩人一通商量后，決定對(duì)倫敦交通局的管理系統(tǒng)發(fā)動(dòng)攻擊。

這一次的攻擊同樣沒(méi)有使用什么高深的黑客工具，依舊是最簡(jiǎn)單的手法——打電話。

2024年8月31日，兩人發(fā)起攻擊。過(guò)程相當(dāng)樸實(shí)無(wú)華：

他們冒充員工，給倫敦交通局客服臺(tái)打了個(gè)電話，說(shuō)我密碼忘了，沒(méi)什么警惕性的客服很快把密碼重置了。

Jubair和Flowers就這樣輕而易舉地拿到了交通局系統(tǒng)的員工權(quán)限。

接下來(lái)的四天時(shí)間里，倫敦交通局（Transport for London），也就是管著地鐵、公交、Oyster卡和全城28000名員工的TfL系統(tǒng)，被Jubair和Flowers從里到外翻了個(gè)遍。

（倫敦交通局的TfL管理系統(tǒng)）

1000萬(wàn)人的個(gè)人數(shù)據(jù)被扒走。Oyster的退款系統(tǒng)趴了，兒童和青少年的免費(fèi)出行照片卡申請(qǐng)關(guān)了，殘障人士預(yù)約用車的Dial-a-Ride訂不了了，地鐵實(shí)時(shí)數(shù)據(jù)下線，幾十萬(wàn)人被多扣了錢(qián)......

整個(gè)9月，TfL員工都登不進(jìn)系統(tǒng)，辦公室WiFi被斷的，全體人員只得居家辦公。

后來(lái)28000名員工還得一個(gè)一個(gè)親自跑回辦公室，當(dāng)面重置密碼……

最終，倫敦交通局實(shí)在沒(méi)招了，只得通過(guò)物理拔網(wǎng)線，才阻止了Jubair和Flowers的進(jìn)一步犯罪。

（TfL管理系統(tǒng)停擺）

事情過(guò)后，檢方在法庭上算了一筆賬：

這一次系統(tǒng)癱瘓，造成了2900萬(wàn)英鎊的成本和恢復(fù)運(yùn)營(yíng)的開(kāi)銷。

再加上1000萬(wàn)英鎊的收入損失，總共損失是3900萬(wàn)英鎊。

如果核心系統(tǒng)毀了，那將是十億英鎊級(jí)的潛在損失。

而這一切，僅僅始于一通假冒員工的電話……

頗為搞笑的是，雖然干成功了這一票，但Jubair和Flowers似乎沒(méi)撈到一分錢(qián)。

據(jù)說(shuō)兩人曾試圖在倫敦交通局系統(tǒng)上盜取信用卡信息，卻始終沒(méi)找到能用的。

這期間兩人還一度在網(wǎng)上吵了起來(lái)。

Flowers抱怨Jubair進(jìn)展太慢，不夠努力，罵他：“你在‘分散蜘蛛’的五級(jí)通行證要被吊銷了！”

沒(méi)什么收益，加上倫敦交通局TfL后來(lái)拔了網(wǎng)線，Jubair和Flowers最終決定就此作罷。

2024年9月16日，在攻擊倫敦交通局僅僅兩周后，F(xiàn)lowers便被警方鎖定并逮捕。

（Flowers被逮捕）

警察在Flowers臥室，搜出了筆記本、臺(tái)式機(jī)、硬盤(pán)、U 盤(pán)，以及幾百萬(wàn)英鎊的加密貨幣。

其中一臺(tái)筆記本里存著TfL網(wǎng)絡(luò)連通的截圖。還有一段錄屏，是Jubair的賬號(hào)正在登錄TfL系統(tǒng)。證據(jù)實(shí)在過(guò)于確鑿……

抓到了Flowers，接下來(lái)的目標(biāo)就是Jubair了。

由于Flowers和他只有聊天往來(lái)記錄，現(xiàn)實(shí)里沒(méi)見(jiàn)過(guò)面，警方也沒(méi)什么像樣的線索。

正在警方為追蹤Jubair發(fā)愁的時(shí)候，2025年9月，Jubair一記騷操作暴露了目標(biāo)：

他用勒索來(lái)的加密貨幣（比特幣等）購(gòu)買(mǎi)了食品配送服務(wù)的禮品券，然后用這些券點(diǎn)了外賣。

這樣一來(lái)，警方得以通過(guò)追蹤這些外賣訂單和禮品券的消費(fèi)記錄，順藤摸瓜找到Jubair的住址。

幾天之后，警方在東倫敦一座高層公寓里抓獲了Jubair…

（Jubair被逮捕）

之后的程序就順理成章了，Jubair和Flowers被雙雙逮捕，羈押，等候?qū)徟小?/p>

最離譜的是，即便被羈押在監(jiān)獄，F(xiàn)lowers居然仍不消停，他找人弄來(lái)了走私的手機(jī)，竟然黑進(jìn)了皇家檢察署、司法部系統(tǒng)，甚至關(guān)押他的那所監(jiān)獄的員工系統(tǒng)！

Flowers的動(dòng)作最終被監(jiān)獄發(fā)覺(jué)，因?yàn)槭褂眠`禁設(shè)備，F(xiàn)lowers被沒(méi)收手機(jī)，并送進(jìn)了A級(jí)隔離區(qū)關(guān)了一個(gè)月…

（Jubair和Flowers）

2026年6月22日，兩人被帶進(jìn)刑事法庭接受審判。

審判期間，Jubair的辯護(hù)律師一度想把他包裝成現(xiàn)代版的“霧都孤兒”，稱他因?yàn)橥瓴恍遥粍e有用心的網(wǎng)絡(luò)犯罪者招募利用，訓(xùn)練成了專業(yè)黑客。

這通辯護(hù)理由遭到法官當(dāng)場(chǎng)駁斥——就算是被所謂的“招募者”利用又怎么樣呢？Jubair早就不是當(dāng)初那個(gè)在游戲里的孩子了，經(jīng)過(guò)十多年的主動(dòng)犯罪和技能提升，他已然成為了新一代的“招募者”。這是他的主動(dòng)選擇。

經(jīng)過(guò)兩年多的漫長(zhǎng)審理，Jubair和Flowers最終認(rèn)罪。

不久前，法庭宣布兩人各自判處有期徒刑5年零6個(gè)月監(jiān)禁。

截至目前，兩人年齡還都沒(méi)超過(guò)21歲，不知道這一次真正入獄坐牢后，兩人會(huì)不會(huì)改邪歸正呢......

Ref：

https://news.sky.com/story/tfl-hack-sentencing-latest-young-hackers-face-jail-over-39m-transport-for-london-cyber-attack-13563471

https://www.dailymail.com/news/article-15980491/Britains-biggest-hack-29m-TfL-cyber-attack-crypto-millionaire-teens-bedrooms-takeaway-order-hacking-jail.html