2024年8月底，伦敦交通局的系统突然遭到不明身份的黑客攻击。4天时间里，伦敦地铁，伦敦公交，电车，出租车等服务部分中断或瘫痪。约1000万人的个人信息遭窃取，直接经济损失达3900万英镑，间接经济损失高达惊人的数十亿英镑，堪称英国史上最大的数据泄露事件之一。
（伦敦地铁）
离谱的是，造成这场大规模赛博灾难的，仅仅是是两个不到20岁的少年。
他们是Thalha Jubair，
（Thalha Jubair）
以及Owen Flowers…
（Owen Flowers）
这两个从小有自闭症的少年，竟成长为了破坏力巨大的黑客。
他们仅仅用了一通电话，便给伦敦交通局的系统造成了难以估量的损失……
【从自闭少年到天才黑客】
Jubair的童年过得颇为艰难。
他在学校曾遭受严重霸凌。还被诊断为自闭症，曾两次试图自杀，其中一次被送进医院、转介至青少年心理健康服务。
现实世界对他来说相当残酷，但在网络虚拟世界里，他却过得如鱼得水。
一切只因为，Jubair早早就显露出了IT方面的天赋。
他4岁开始玩智能手机，6岁时就会用笔记本电脑。9岁时就已经能编写计算机程序了。
13岁的时候，Jubair“崭露头角”，开始在沙盒游戏Roblox和“我的世界”（Minecraft）偷其他的玩家的用户名。（在很多游戏里，一些用户名本身就比较稀缺，比如一个字母的，一个单词的，有特殊含义的。）
虽说只是小打小闹，却已经引起了部分资深黑客的赏识，招募他从事黑客活动。
Jubair就这样踏上了网络犯罪的道路，他学到的第一门犯罪手艺是劫持SIM卡。把别人的手机号码劫持到黑客手中，这样就可以得到别人的验证码。
2021年，学成手艺的Jubair首次实践，用SIM卡劫持攻击了英国电信运营商 BT/EE，制造了多达700名受害者。
初出茅庐的他，凭借不俗的战绩，成为了知名黑客组织Lapsus$ 的骨干成员。
这个组织有多猛呢？前段时间游戏圈有个大新闻，《GTA6》尚未发布，源代码却先泄露了出去。这事儿就是Lapsus$麾下另一个少年黑客干的......
（相关报道）
言归正传，Jubair虽然成功作案，但并没能逃脱警方的追捕。很快便和其他几名青少年黑客一起被捕，就此留下了案底。
当时的Jubair心智依然是个少年。出事后，他担心的竟不是被警察抓，而是被父母发现，被捕时他甚至还穿着校服……
2023年，Jubair正式因敲诈、欺诈和跟踪骚扰在内的22项罪名，被判处18个月青少年康复令。
（Jubair）
然而，Jubair躲过了坐牢，却并没有就此改邪归正，反而彻底走上了更疯狂的犯罪。
【小试牛刀】
Jubair还没履行完康复令，便又加入了一个名为“分散蜘蛛”（Scattered Spider）的黑客组织。
所谓“分散蜘蛛”，重点在于“分散”。有安全专家把“分散蜘蛛”比作一支爵士乐队。没有固定成员，呈现一个“去中心化”的态势。有人来、有人走、有人独奏一段又消失了。没有固定阵容，没有层级，跨越国境，所以也极难追踪。
这样一个组织的犯罪活动，对Jubair这样的年轻黑客来说更自由，犯罪手段更多，还有其他成员打配合。属于是犯罪分子培养基地了。
这个组织的成员大多是美英两国的青少年和年轻人，而他们的标志性手段，从来不是什么高深的技术漏洞，而是简简单单的打电话。
冒充员工，骗过客服，拿到密码。
行话叫社会工程学，翻译成大白话，就是骗人。
所有的BUG都可能会被发现，所有的电脑漏洞最终都会被堵上。唯独在人这一环，漏洞永远存在。
比如假扮成公司员工给公司客服台打电话，说我登录不上系统、我密码忘了、我这边急着交东西，语气拿捏好，对面一旦放松警惕，就把密码给你重置了。
再贵的安全系统，也架不住对面坐着个懂话术搞诈骗的真人。何况这群人还有天然的优势，身为英语母语者，更容易骗取客服值班人员的信任。
（示意图）
比如，2023年9月，在拉斯维加斯，“分散蜘蛛”的一名成员在领英上找到米高梅度假村（维加斯最大赌场之一）的一名员工，然后冒充这名员工给IT客服台打了一通电话，请求重置密码。
当然，他用的具体话术咱就不得而知了......
这通电话只打了十分钟。十分钟后，这家市值339亿美元的公司瞬间停摆，老虎机停转、房卡失效、ATM关闭，损失高达一亿美元。
而且，“分散蜘蛛”并不只攻击了米高梅度假村——他们同时还攻击了另一家赌场凯撒娱乐城。只不过后者在遭遇攻击后不久便认栽，交了1500万美元赎金了事。
（“分散蜘蛛”）
不难猜想，一个青少年加入这种犯罪组织后会变成啥样——这简直就是“提篮桥高级MBA总裁班”嘛。
加入“分散蜘蛛”后，Jubair的黑客技术、骗术都愈发炉火纯青。他和同伙在三年里对47个美国实体发动了至少120起入侵，敲诈赎金超过1.15亿美元。
也正是在“分散蜘蛛”里，Jubair结识了后来的搭档，和他有相似经历的Flowers。
Flowers的童年经历同样颇为不幸，从小就在福利院进进出出，身边唯一关心他的人就只有祖母。他也同样被诊断出了自闭症，根本没有朋友。
当然，他也同样早早显露出了黑客技能方面的天赋。
（Flowers）
16岁时，Flowers被当地网络犯罪部门上门警告，警方给了他一个改过自新的机会：接受培训，学习合法使用计算机技术的途径。
然而他只是表面听从，背地里，他还是在做黑客。
2024年7月，17岁的Flowers也因参与“分散蜘蛛”对拉斯维加斯赌场的攻击行动被捕。
保释期间，他和另一个还处在康复令约束下，比他大三岁的组织成员搭上了线，这位成员就是Jubair。
Jubair和Flowers两人结识后，平日里通过电报群沟通，两人越聊越投机，最终一拍即合，决定干一票更大的。
（Jubair和Flowers一起受审的画面）
【瘫痪伦敦】
两人一通商量后，决定对伦敦交通局的管理系统发动攻击。
这一次的攻击同样没有使用什么高深的黑客工具，依旧是最简单的手法——打电话。
2024年8月31日，两人发起攻击。过程相当朴实无华：
他们冒充员工，给伦敦交通局客服台打了个电话，说我密码忘了，没什么警惕性的客服很快把密码重置了。
Jubair和Flowers就这样轻而易举地拿到了交通局系统的员工权限。
接下来的四天时间里，伦敦交通局（Transport for London），也就是管着地铁、公交、Oyster卡和全城28000名员工的TfL系统，被Jubair和Flowers从里到外翻了个遍。
（伦敦交通局的TfL管理系统）
1000万人的个人数据被扒走。Oyster的退款系统趴了，儿童和青少年的免费出行照片卡申请关了，残障人士预约用车的Dial-a-Ride订不了了，地铁实时数据下线，几十万人被多扣了钱......
整个9月，TfL员工都登不进系统，办公室WiFi被断的，全体人员只得居家办公。
后来28000名员工还得一个一个亲自跑回办公室，当面重置密码……
最终，伦敦交通局实在没招了，只得通过物理拔网线，才阻止了Jubair和Flowers的进一步犯罪。
（TfL管理系统停摆）
事情过后，检方在法庭上算了一笔账：
这一次系统瘫痪，造成了2900万英镑的成本和恢复运营的开销。
再加上1000万英镑的收入损失，总共损失是3900万英镑。
如果核心系统毁了，那将是十亿英镑级的潜在损失。
而这一切，仅仅始于一通假冒员工的电话……
颇为搞笑的是，虽然干成功了这一票，但Jubair和Flowers似乎没捞到一分钱。
据说两人曾试图在伦敦交通局系统上盗取信用卡信息，却始终没找到能用的。
这期间两人还一度在网上吵了起来。
Flowers抱怨Jubair进展太慢，不够努力，骂他：“你在‘分散蜘蛛’的五级通行证要被吊销了！”
没什么收益，加上伦敦交通局TfL后来拔了网线，Jubair和Flowers最终决定就此作罢。
2024年9月16日，在攻击伦敦交通局仅仅两周后，Flowers便被警方锁定并逮捕。
（Flowers被逮捕）
警察在Flowers卧室，搜出了笔记本、台式机、硬盘、U 盘，以及几百万英镑的加密货币。
其中一台笔记本里存着TfL网络连通的截图。还有一段录屏，是Jubair的账号正在登录TfL系统。证据实在过于确凿……
抓到了Flowers，接下来的目标就是Jubair了。
由于Flowers和他只有聊天往来记录，现实里没见过面，警方也没什么像样的线索。
正在警方为追踪Jubair发愁的时候，2025年9月，Jubair一记骚操作暴露了目标：
他用勒索来的加密货币（比特币等）购买了食品配送服务的礼品券，然后用这些券点了外卖。
这样一来，警方得以通过追踪这些外卖订单和礼品券的消费记录，顺藤摸瓜找到Jubair的住址。
几天之后，警方在东伦敦一座高层公寓里抓获了Jubair…
（Jubair被逮捕）
之后的程序就顺理成章了，Jubair和Flowers被双双逮捕，羁押，等候审判。
最离谱的是，即便被羁押在监狱，Flowers居然仍不消停，他找人弄来了走私的手机，竟然黑进了皇家检察署、司法部系统，甚至关押他的那所监狱的员工系统！
Flowers的动作最终被监狱发觉，因为使用违禁设备，Flowers被没收手机，并送进了A级隔离区关了一个月…
（Jubair和Flowers）
2026年6月22日，两人被带进刑事法庭接受审判。
审判期间，Jubair的辩护律师一度想把他包装成现代版的“雾都孤儿”，称他因为童年不幸，被别有用心的网络犯罪者招募利用，训练成了专业黑客。
这通辩护理由遭到法官当场驳斥——就算是被所谓的“招募者”利用又怎么样呢？Jubair早就不是当初那个在游戏里的孩子了，经过十多年的主动犯罪和技能提升，他已然成为了新一代的“招募者”。这是他的主动选择。
经过两年多的漫长审理，Jubair和Flowers最终认罪。
不久前，法庭宣布两人各自判处有期徒刑5年零6个月监禁。
截至目前，两人年龄还都没超过21岁，不知道这一次真正入狱坐牢后，两人会不会改邪归正呢......
Ref：
https://news.sky.com/story/tfl-hack-sentencing-latest-young-hackers-face-jail-over-39m-transport-for-london-cyber-attack-13563471
