Scattered Spider Divonis 5,5 Tahun: Peretasan Transport for London yang Bikin 148 Sistem Mati

Dua anggota utama kelompok Scattered Spider, Owen Flowers (18) dan Thalha Jubair (20), resmi dijatuhi hukuman lima tahun enam bulan penjara oleh Woolwich Crown Court, London, pada Kamis 16 Juli 2026. Mereka terbukti melakukan peretasan terhadap sistem Transport for London (TfL) yang mengakibatkan kerugian langsung dan biaya pemulihan sebesar £29 juta, atau setara dengan sekitar Rp580 miliar. National Crime Agency (NCA) Inggris menyebut kasus ini sebagai prosekusi cybercrime terbesar yang pernah dibawa ke pengadilan Inggris.

Dampak Terhadap Transportasi London

Serangan yang berlangsung dari 31 Agustus hingga 3 September 2024 ini memaksa seluruh 27.000 karyawan TfL untuk melakukan reset password secara tatap muka di kantor. Sebanyak 148 sistem menjadi tidak berfungsi, termasuk beberapa sistem kritis yang membutuhkan solusi manual selama berminggu-minggu.

Layanan yang terganggu mencakup Dial-a-Ride, layanan pemesanan kendaraan untuk warga London yang rentan, penerbitan kartu perjalanan konsesi, sistem pembayaran digital, dan penundaan perluasan sistem contactless ticketing. Proses aplikasi Oyster photocard untuk anak-anak dan remaja London juga terpaksa ditutup sementara.

Data dari sistem refund Oyster TfL berhasil diakses para peretas. Dari sekitar 10 juta catatan kontak pelanggan TfL yang terekspos, sekitar 5.000 data pelanggan yang menggunakan layanan refund Oyster berada dalam risiko lebih tinggi karena nomor rekening bank dan sort code ikut terekspos, sebagaimana dikonfirmasi BBC pada Maret 2026. Sistem refund pelanggan juga terganggu, menyebabkan banyak pelanggan harus menunggu lebih lama dari biasanya untuk mendapatkan pengembalian dana.

NCA mencatat bahwa TfL melaporkan kerugian langsung dan biaya pemulihan sebesar £29 juta. Namun andai serangan berhasil mematikan seluruh jaringan transportasi London, kerugian ekonomi diperkirakan bisa mencapai £56 miliar.

Modus Operandi: Social Engineering dan SIM Swapping

Scattered Spider dikenal karena kemampuannya dalam social engineering. Kelompok ini, yang juga dilacak dengan nama Octo Tempest, UNC3944, dan 0ktapus oleh berbagai vendor keamanan, menggunakan teknik-teknik manipulasi manusia untuk mendapatkan akses ke sistem target.

FBI Cyber Division mendeskripsikan metode kelompok ini dalam pernyataan resmi yang dirilis NCA: kelompok ini bergantung pada data extortion, SIM-swap attacks, dan teknik social engineering untuk menyusup ke jaringan dan melemahkan layanan kritis. Para anggota menyamar sebagai staf IT helpdesk untuk menipu karyawan agar memberikan kredensial mereka, lalu melakukan SIM swapping untuk mencegat kode autentikasi dua faktor.

“Today’s announcement represents a significant step in holding accountable two members of Scattered Spider, a group that has repeatedly relied on data extortion, SIM-swap attacks, and other social engineering techniques to infiltrate networks and undermine critical services.”

– Brett Leatherman, Assistant Director, FBI Cyber Division (pernyataan resmi NCA, 16 Juli 2026)

Tertangkap Saat Meretas Rumah Sakit AS

Saat ditangkap pada 6 September 2024 di rumahnya di Walsall, West Midlands, Flowers ternyata sedang dalam proses meretas dua organisasi kesehatan di Amerika Serikat, yaitu SSM Health Care Corporation dan Sutter Health. Petugas NCA menemukan laptop, tower komputer, hard drive, dan USB stick yang mengonfirmasi keterlibatannya.

Satu laptop Acer berisi screenshot konektivitas jaringan ke infrastruktur TfL, plus video yang direkam Flowers saat Jubair bergerak melalui sistem TfL selama serangan berlangsung. Keduanya berkirim pesan melalui Telegram dan berbagi workspace online selama menjalankan aksinya. Crown Prosecution Service (CPS) mengungkapkan bahwa Flowers mengancam akan mengunci sistem rumah sakit tersebut sambil mengakui dalam chat bahwa aksinya bisa membunuh pasien lanjut usia yang menggunakan life support.

Flowers mengaku bersalah untuk dua tuduhan tambahan terkait serangan terhadap SSM Health dan upaya terhadap Sutter Health. Ia juga ditangkap lagi karena melanggar kondisi jaminan terkait penggunaan perangkat. Jubair juga didakwa karena menolak memberikan PIN atau password perangkat yang disita darinya.

Kasus Kedua: Jubair Masih Berurusan dengan Hukum AS

Thalha Jubair masih memiliki kasus terbuka di Amerika Serikat. Dark Reading melaporkan bahwa pengaduan yang dibuka di New Jersey pada September 2025 menuduh Jubair melakukan konspirasi computer fraud, wire fraud, dan money laundering. Pengaduan tersebut menyebutkan bahwa Jubair terlibat dalam sekitar 120 intrusi jaringan dan setidaknya 47 korban di AS antara Mei 2022 hingga September 2025, dengan total tebusan lebih dari $115 juta yang telah dibayarkan.

Jaksa penuntut AS juga menempatkan Jubair dalam intrusi di perusahaan infrastruktur kritis AS dan sistem pengadilan AS, serta menuduhnya memindahkan sekitar $8,4 juta dalam cryptocurrency dari server wallet saat agen sedang menyita aset tersebut. Tuduhan ini masih dalam proses pengadilan dan belum terbukti. Ancaman hukuman maksimal di seluruh pasal adalah 95 tahun penjara.

Bagaimana Nasib Scattered Spider Sekarang?

Deputy Director Paul Foster, kepala National Cyber Crime Unit NCA, menyatakan bahwa Scattered Spider adalah ancaman cybercrime paling signifikan bagi Inggris dalam beberapa tahun terakhir. NCA mengonfirmasi bahwa tindakan terhadap Jubair dan Flowers secara efektif menghentikan aktivitas kriminal kelompok tersebut. Microsoft, dalam penilaian independennya, mengonfirmasi bahwa penangkapan ini secara material menurunkan kemampuan kelompok untuk melanjutkan operasi cybercriminal mereka.

Meskipun demikian, NCA mengakui bahwa kriminal lain mungkin tetap menggunakan brand Scattered Spider yang sudah rusak. Pesan Foster kepada organisasi di seluruh dunia jelas: hubungi penegak hukum sejak dini. Menurutnya, vonis ini mungkin tidak akan terjadi jika TfL tidak melaporkan serangan sejak awal.

City of London Police memanfaatkan momen vonis ini untuk mendorong kebijakan baru yang disebut Cyber Crime Risk Orders (CCRO). Inisiatif ini akan memungkinkan pengadilan untuk membatasi perangkat, layanan online, dan teknologi seseorang secara proporsional dengan risiko yang mereka timbulkan. Komandan Ollie Shaw menyebutnya sebagai digital prison bagi para pelaku cybercrime.

Vonis terhadap dua hacker Scattered Spider ini menjadi preseden penting dalam penegakan hukum cybercrime global. Pasal 3ZA Computer Misuse Act yang digunakan untuk menjerat mereka membuka jalan bagi prosekusi serupa di masa depan. Untuk organisasi di Indonesia, kasus ini adalah pengingat bahwa social engineering tetap menjadi vektor serangan paling efektif yang digunakan kelompok cybercrime modern. Memperkuat prosedur verifikasi identitas untuk reset password, pendaftaran perangkat, dan perubahan MFA adalah langkah pertahanan yang tidak bisa ditawar lagi.

Sumber: National Crime Agency (NCA) Inggris (16 Juli 2026), Crown Prosecution Service (CPS), The Hacker News (16 Juli 2026), CyberPress (17 Juli 2026), Dark Reading (16 Juli 2026), CryptoBriefing (16 Juli 2026), Computer Weekly (16 Juli 2026), The Record from Recorded Future News (16 Juli 2026), Security Affairs (16 Juli 2026), FBI Cyber Division, Microsoft Threat Intelligence, BBC News (Maret 2026), BreachHistory.com.