Hacker Scattered Spider Dihukum 5,5 Tahun atas Peretasan TfL Rp580 Miliar

Dua hacker dari kelompok Scattered Spider, Owen Flowers (18 tahun) dan Thalha Jubair (20 tahun), dijatuhi hukuman 5,5 tahun penjara masing-masing oleh Woolwich Crown Court pada Kamis, 16 Juli 2026, atas serangan siber besar yang menimpa Transport for London (TfL) pada tahun 2024.

Serangan tersebut menyebabkan 148 sistem TfL lumpuh dan memaksa seluruh 27.000 karyawan TfL harus melakukan reset kata sandi secara langsung di kantor. Kerugian dan biaya pemulihan yang diderita TfL diperkirakan mencapai £29 juta menurut National Crime Agency (NCA) dan Crown Prosecution Service (CPS).

Peretasan Besar dan Dampaknya pada Layanan Transportasi

Peretasan berlangsung dari 31 Agustus hingga 3 September 2024. TfL mengelola rata-rata 9 juta perjalanan setiap hari di London. Serangan ini menyebabkan layanan seperti Dial-a-Ride, sistem pembayaran digital, dan penerbitan kartu perjalanan diskon terhenti. Bahkan, aplikasi untuk kartu Oyster photocard yang digunakan anak-anak dan remaja London juga ditutup sementara.

Layanan contactless ticketing yang sedang dikembangkan harus tertunda dan proses pengembalian dana berjalan sangat lambat. TfL mengonfirmasi bahwa nama, alamat email, dan alamat rumah pelanggan yang tersimpan di sistem ikut bocor. Data pengembalian dana Oyster, termasuk nomor rekening bank dan kode sortasi sekitar 5.000 pelanggan, juga mungkin telah diakses oleh pelaku.

Detail Kasus dan Penangkapan

Kedua pelaku mengaku bersalah pada 22 Juni 2026, tepat sebelum persidangan dimulai. Mereka didakwa berdasarkan Pasal 3ZA Computer Misuse Act 1990, yang merupakan pasal paling serius terkait kejahatan siber di Inggris, dengan tuduhan lalai yang menyebabkan atau berpotensi menyebabkan kerusakan serius pada kesejahteraan manusia.

"Flowers dan Jubair diyakini sebagai hacker pertama yang berhasil dihukum berdasarkan Pasal 3ZA," kata CPS.

Penangkapan Owen Flowers terjadi pada 6 September 2024, hanya tiga hari setelah serangan TfL berakhir. Saat itu, polisi menemukan dia sedang melakukan serangan siber terhadap dua organisasi layanan kesehatan di AS, SSM Health Care Corporation dan Sutter Health. Barang bukti seperti laptop, komputer tower, hard drive, dan USB ditemukan, termasuk screenshot koneksi jaringan ke infrastruktur TfL dan video rekaman aktivitas Jubair dalam sistem TfL selama serangan berlangsung.

Komunikasi keduanya terjadi via Telegram, sambil menggunakan ruang kerja online yang sama selama melakukan serangan. Penyidik membuktikan keterkaitan Flowers dengan server jarak jauh yang digunakan untuk meluncurkan serangan dan menghubungkan Jubair ke TfL melalui kerja sama internasional dengan otoritas luar negeri.

Selain kasus TfL, Flowers juga mengakui dua tuduhan tambahan terkait serangan terhadap layanan kesehatan AS, termasuk ancaman yang dapat membahayakan pasien di alat bantu hidup, yang menyebabkan penangkapannya.

Kelompok Scattered Spider dan Ancaman yang Lebih Luas

NCA menyebut kedua pelaku adalah anggota terkemuka kelompok Scattered Spider, yang juga dikenal dengan nama Octo Tempest, UNC3944, dan 0ktapus. Kelompok ini diyakini melakukan ratusan serangan antara 2022 hingga 2025, melibatkan metode pemerasan data, SIM swapping, dan rekayasa sosial.

FBI menegaskan bahwa kelompok ini aktif melakukan berbagai tindak kejahatan siber termasuk pencurian data dan serangan berbasis rekayasa sosial.

Sementara itu, kasus Jubair di Amerika Serikat masih berlanjut. Pada September 2025, berkas perkara mengungkapkan dia didakwa atas konspirasi penipuan komputer, penipuan kawat, dan pencucian uang yang melibatkan sekitar 120 serangan jaringan dan 47 korban di AS dengan total tebusan lebih dari $115 juta.

Analisis Redaksi

Menurut pandangan redaksi, vonis ini menandai titik penting dalam penegakan hukum siber di Inggris, terutama untuk kasus dengan dampak besar terhadap infrastruktur penting seperti transportasi publik. Penggunaan Pasal 3ZA Computer Misuse Act 1990 untuk pertama kalinya dalam kasus yang berhasil menunjukkan bahwa hukum siber Inggris mulai mampu menindak kejahatan siber yang berpotensi mengancam kesejahteraan publik secara serius.

Namun, meskipun dua pelaku ini berhasil ditangkap dan dihukum, ancaman dari kelompok serupa tidak akan hilang begitu saja. Scattered Spider mungkin terdegradasi kemampuannya, tetapi nama kelompok bisa tetap dipakai oleh pelaku lain. Hal ini menuntut peningkatan kerja sama internasional dan kesiapsiagaan sistem keamanan siber, termasuk verifikasi identitas yang lebih ketat saat reset kata sandi dan perubahan pengaturan MFA.

Ke depan, penting bagi organisasi besar untuk segera melaporkan insiden siber kepada aparat penegak hukum, sebagaimana ditegaskan oleh Kepala National Cyber Crime Unit, Paul Foster. Pelaporan dini akan meningkatkan peluang penindakan yang efektif dan mencegah kerugian lebih besar.

Selain itu, tuntutan City of London Police agar diberi wewenang untuk menerapkan Cyber Crime Risk Orders dapat menjadi langkah maju dalam membatasi kemampuan pelaku kejahatan siber, menyerupai "penjara digital" yang mencegah mereka mengakses teknologi yang digunakan untuk beraksi.

Kasus ini menjadi peringatan keras bagi sektor publik dan swasta bahwa keamanan siber harus terus diperkuat untuk melindungi data pelanggan dan layanan penting yang berdampak luas bagi masyarakat.

Untuk informasi lebih lanjut tentang kasus ini, Anda dapat membaca sumber aslinya di The Hacker News dan laporan terkait dari BBC Indonesia.