สมาชิกกลุ่ม Scattered Spider สองคนได้รับโทษจำคุก 5 ปีตามมาตรา 3ZA ของ Computer Misuse Act

การตัดสินคดีผู้ต้องหาสมาชิก Scattered Spider สองคนที่โจมตีระบบของ Transport for London (TfL) ทำให้พวกเขาต้องรับโทษจำคุก 5 ปีครึ่ง ตามคำพิพากษาเมื่อวันพฤหัสบดีที่ผ่านมา คดีนี้เป็นการลงโทษครั้งแรกภายใต้มาตรา 3ZA ของ Computer Misuse Act 1990** ซึ่งถือเป็นกฎหมายที่ใช้กับความผิดไซเบอร์ขั้นรุนแรงที่สุดในสหราชอาณาจักร

Overview

ศาลวูลช์วิชคันทรีมอน (Woolwich Crown Court) พิจารณาคดีของ Owen Flowers อายุ 18 ปีและ Thalha Jubair อายุ 20 ปี ทั้งสองได้สารภาพผิดในเดือนมิถุนายนที่ผ่านมา ทำให้ได้รับการลดโทษลง 15 เปอร์เซ็นต์ การตัดสินนี้เป็นส่วนหนึ่งของความพยายามต่อเนื่องของหน่วยสืบสวนไซเบอร์แห่งชาติ (NCA) ที่ต้องการทำลายกลุ่มอาชญากรดิจิทัลที่มีชื่อเสียงระดับโลก

คดีนี้ถือเป็นการลงโทษครั้งที่สองเท่านั้นภายใต้มาตรา 3ZA หลังจากกรณีของอดีตผู้ฝึกงาน GCHQ ที่ได้รับโทษจำคุก 6 ปีในปีที่ผ่านมา ศาลได้พิจารณาถึง “อายุความต่าง” ระหว่างคู่ต้องหา ซึ่ง Jubair มีอายุมากกว่า Flowers หนึ่งปีสี่เดือน และบันทึกว่าทั้งสองมีภาวะ neurodiversity ทำให้ศาลเลือกใช้โทษที่ “ผ่อนปรนที่สุด” แต่ยังคงสะท้อนถึงความรุนแรงของการกระทำ

Key Details

อายุและประวัติ: Flowers อายุ 18 ปี, Jubair อายุ 20 ปี; ทั้งคู่เป็นสมาชิกของกลุ่ม Scattered Spider ที่ส่วนใหญ่เป็นชายหนุ่มอายุ 16‑25 ปี
โทษจำคุก: 5 ปี ครึ่ง (5 years and 6 months) ต่อคน ลดจากการรับสารภาพผิด 15 %
มาตรา 3ZA: ครอบคลุมการกระทำโดยเจตนาหรือความประมาทที่อาจก่อให้เกิดความเสียหายอย่างร้ายแรงต่อระบบคอมพิวเตอร์

ศาลได้ชี้ว่าแม้ว่าผู้ต้องหาอายุยังเยาว์และมีภาวะ neurodiversity แต่การกระทำของพวกเขานั้นแสดงถึง “ระดับความซับซ้อน” และ “ผลกระทบที่สำคัญต่อโครงสร้างพื้นฐานสำคัญของสหราชอาณาจักร”

Attack Methodology

กลุ่ม Scattered Spider มีชื่อเสียงในเทคนิคฟิชชิ่ง, vishing และการใช้วิศวกรรมสังคมเพื่อแทรกซึมเข้าสู่ระบบของเป้าหมาย TfL ไม่ได้เป็นข้อยกเว้น พวกเขาซื้อข้อมูลรับรองบางส่วนจาก “ฟอรั่มอาชญากรรมที่มีชื่อเสียง” แล้วนำไปรีเซ็ตการตรวจสอบสองขั้นตอน (2FA) ของบัญชีพนักงานหลายครั้ง

ตามคำให้การในศาล คู่ต้องหาได้แอบทำตัวเป็นพนักงานของ TfL เพื่อหลอกลวงเจ้าหน้าที่ศูนย์ช่วยเหลือให้รีเซ็ตรหัสผ่าน การเข้าถึงระบบเริ่มตั้งแต่ 31 สิงหาคม 2024 จนถึง 3 กันยายน 2024 ระหว่างระยะเวลานี้ พวกเขาพยายามยกระดับสิทธิ์เพื่อเข้าสู่ฐานข้อมูลภายใน ซึ่งรวมถึงข้อมูลของผู้ใช้ที่เชื่อว่าเดิมมีประมาณ 5,000 คน แต่ต่อมาเปิดเผยว่าข้อมูลของผู้ใช้ราว 7 ล้านคน ถูกเข้าถึง

Legal Context

การตัดสินคดีนี้เป็น “การสืบสวนที่ซับซ้อนที่สุด” ของ NCA นับตั้งแต่ Operation Chronos ที่ทำลายกลุ่ม LockBit ตามคำให้สัมภาษณ์ของผู้บริหารระดับสูงของหน่วยไซเบอร์แห่งชาติ การจัดการกับผู้ต้องหาที่อายุยังน้อยและมีความหลากหลายทางประสาทวิทยาเป็นปัจจัยที่ทำให้คดีนี้ต้องใช้กระบวนการพิจารณาพิเศษ

ศาลได้ย้ำว่าแม้จะมีการลดโทษตามสถานการณ์ส่วนบุคคล แต่การกระทำของคู่ต้องหานั้นยังถือ “อันตรายอย่างร้ายแรง” ต่อระบบสาธารณะ การลงโทษตามมาตรา 3ZA แสดงให้เห็นว่ากฎหมายไซเบอร์ของสหราชอาณาจักรกำลังเติบโตเพื่อรองรับภัยคุกคามที่ซับซ้อนมากขึ้น

Impact

ผลกระทบจากการโจมตีต่อ TfL แม้จะไม่ทำให้ระบบขนส่งหยุดชะงักโดยตรง แต่บริการหลายอย่างได้รับความเสียหายเช่น การล็อกอินบัญชีผู้ใช้, พอร์ทัลลูกค้า, แอปพลิเคชันของบุคคลที่สามที่พึ่งพาข้อมูล TfL รวมถึงการออกบัตรเดินทางรูปถ่ายล่าช้าถึง 4 ธันวาคม 2024 และเครื่องจำหน่ายตั๋วบางเครื่องทำงานผิดพลาด

พนักงานทั้งหมดประมาณ 28,000 คน ถูกเรียกให้มาที่สำนักงานเพื่อรีเซ็ตรหัสผ่าน เนื่องจากความไม่แน่นอนว่าผู้โจมตียังคงอยู่ในระบบ การฟื้นฟูและแก้ไขปัญหาต่าง ๆ ทำให้ค่าใช้จ่ายรวมสูงถึง £29 ล้าน (ประมาณ $39 ล้าน)

NCA ย้ำว่า “การตอบสนองอย่างรวดเร็วของ TfL กับหน่วยบังคับใช้กฎหมายเป็นสิ่งสำคัญต่อความสำเร็จของคดีนี้” และจะยังคงร่วมมือกับพันธมิตรในและนอกประเทศเพื่อค้นหาและดำเนินคดีกับผู้กระทำผิดเพิ่มเติม

Summary

ศาลได้พิพากษา Owen Flowers และ Thalha Jubair สมาชิกของกลุ่ม Scattered Spider ให้รับโทษจำคุก 5 ปีครึ่งตามมาตรา 3ZA ของกฎหมายไซเบอร์สหราชอาณาจักร การตัดสินครั้งนี้เน้นย้ำถึงความสำคัญของการปกป้องโครงสร้างพื้นฐานดิจิทัลและเป็นจุดเริ่มต้นของการบังคับใช้กฎหมายที่เข้มงวดต่อภัยคุกคามไซเบอร์ระดับสูง.