Dua Hacker Scattered Spider Divonis 5,5 Tahun Penjara Usai Retas Transport for London

Serangan siber yang sempat melumpuhkan ratusan sistem milik operator transportasi terbesar London akhirnya berujung ke balik jeruji besi bagi dua pelakunya.

Woolwich Crown Court di London menjatuhkan vonis lima tahun enam bulan penjara kepada Owen Flowers, 18 tahun, dan Thalha Jubair, 20 tahun, pada Kamis, 16 Juli 2026. Keduanya merupakan anggota kolektif hacker yang dikenal dengan nama Scattered Spider, dan dinyatakan bertanggung jawab atas serangan siber 2024 yang menghantam Transport for London (TfL).

Flowers dan Jubair mengaku bersalah pada 22 Juni 2026, tepat di hari sidang mereka seharusnya dimulai. Pengakuan bersalah tersebut membuat keduanya mendapat pengurangan hukuman sebesar 15 persen dari vonis maksimal yang bisa dijatuhkan.

Dakwaan Terberat dalam UU Kejahatan Komputer Inggris

Kasus ini menjadi sorotan karena keduanya didakwa dengan Section 3ZA Computer Misuse Act 1990, bagian paling serius dalam undang-undang tersebut. Pasal ini berlaku untuk tindakan tanpa izin yang menyebabkan atau menciptakan risiko signifikan kerusakan serius, dan keduanya mengaku bersalah dengan dasar bahwa mereka bersikap sembrono terhadap risiko tersebut. Menurut Crown Prosecution Service (CPS), Flowers dan Jubair diyakini menjadi hacker pertama yang berhasil dituntut menggunakan pasal ini.

Serangan bermula dari teknik social engineering yang menyasar meja bantuan (helpdesk) TfL, terjadi antara 31 Agustus hingga 3 September 2024. Meski tidak sampai menghentikan operasional kereta bawah tanah maupun bus London, serangan ini mengganggu parah sejumlah layanan teknis, termasuk sistem akun pembayaran Oyster milik pelanggan dan antarmuka pemrograman aplikasi (API) pihak ketiga.

148 Sistem Lumpuh, Data 10 Juta Penumpang Dicuri

Dampak serangan ini terbilang luas. Sebanyak 148 sistem TfL menjadi tidak bisa digunakan, memaksa seluruh 27.000 karyawan TfL datang langsung ke kantor untuk mereset kata sandi mereka secara tatap muka. Data milik sekitar 10 juta penumpang turut dicuri dalam insiden ini, mencakup nama, alamat, dan informasi kontak.

Dari sisi finansial, TfL mencatat kerugian dan biaya pemulihan mencapai 29 juta poundsterling, setara sekitar 39 juta dolar AS. National Crime Agency (NCA) bahkan memperingatkan bahwa dampaknya bisa jauh lebih parah. Jika para penyerang berhasil melumpuhkan total jaringan transportasi London, kerugian ekonomi yang ditimbulkan diperkirakan bisa menembus 56 miliar poundsterling.

Dalam penyelidikan, polisi menyita sejumlah laptop, hard drive, dan perangkat USB dari kediaman keduanya, lengkap dengan bukti berupa tangkapan layar serangan dan rekaman video Jubair saat mengakses sistem TfL. Keduanya diketahui berkomunikasi melalui Telegram selama menjalankan aksinya.

Jejak Panjang Scattered Spider

Flowers dan Jubair ditangkap di rumah masing-masing pada 16 September 2024. Investigasi lanjutan mengungkap bahwa pada saat penangkapan, Flowers ternyata juga tengah melakukan peretasan terhadap dua perusahaan layanan kesehatan asal Amerika Serikat, Sutter Health dan SSM Health Care Corporation.

Menurut dokumen pengadilan, Jubair beserta rekan-rekannya diduga berhasil memeras lebih dari 115 juta dolar AS dari para korban di berbagai negara antara Agustus 2024 hingga Juli 2025. Pada Juli 2025, NCA turut menangkap empat tersangka lain yang diduga anggota Scattered Spider, terkait gelombang serangan siber terhadap sejumlah peritel besar Inggris seperti Harrods, Marks & Spencer, dan Co-op.

Paul Foster, Kepala Unit Kejahatan Siber Nasional NCA, menyatakan vonis ini kemungkinan besar tidak akan terwujud tanpa langkah cepat TfL melaporkan insiden kepada aparat penegak hukum. Momentum vonis ini juga dimanfaatkan City of London Police untuk mendorong kewenangan baru bernama Cyber Crime Risk Orders, semacam mekanisme yang memungkinkan pengadilan membatasi akses seseorang terhadap perangkat, layanan online, dan teknologi tertentu sesuai tingkat risiko yang mereka miliki.