Den 23. juni 2026 ble en seks uker lang rettssak innledet i Storbritannia der to medlemmer av cyberkriminalitetsgruppen Scattered Spider stod tiltalt for omfattende cyberangrep på Transport for London (TfL) i august 2024. Angrepet førte til betydelige forstyrrelser i Londons kollektivtransport, med forsinkelser og tjenesteavbrudd. De to tiltalte, hvis identiteter ennå ikke er offentliggjort, tilsto seg skyld allerede første rettsdag. Deres tilståelser markerer et avgjørende vendepunkt i etterforskningen og letter påtalemyndighetens presentasjon av bevis for gruppens involvering i flere andre høyprofilerte cyberkriminalitetsaker i 2023 og 2024.
Scattered Spider, også kjent som UNC3944, har vært gjenstand for omfattende etterforskninger fra britiske og amerikanske myndigheter siden 2022. Gruppen er knyttet til flere ransomware-angrep, phishing-kampanjer og datainnbrudd mot store organisasjoner, inkludert telekommunikasjonsselskaper og finansinstitusjoner. Ifølge etterforskningsmaterialer benyttet Scattered Spider seg av sosial manipulering og avanserte phishing-teknikker for å få tilgang til interne systemer og stjele sensitiv data.
De innrømmede angrepene på TfL involverte innledningsvis kompromitterte påloggingsopplysninger via phishing, etterfulgt av lateral bevegelse i nettverket for å etablere persistens. Etterforskerne identifiserte flere verktøy og teknikker som ble brukt, inkludert Mimikatz for uthenting av påloggingsinformasjon og Cobalt Strike for post-exploitation. Bevisinnsamlingen krevde omfattende digital forensikk, inkludert analyse av nettverkstrafikk, minneavbildninger og loggfiler fra endepunkter.
Saken belyser de juridiske og tekniske utfordringene som oppstår ved etterforskning av cyberkriminalitet. Rettssaken vil granske hvordan digital bevisning ble samlet inn, bevart og presentert for å sikre dens integritet og gyldighet i retten. Påtalemyndigheten har understreket viktigheten av korrekt beviskjede for å unngå at forsvaret kan utfordre troverdigheten til de digitale bevisene.
For digitale forensiske etterforskere er dette tilfellet en viktig påminnelse om betydningen av å følge standardiserte metoder for bevisinnsamling og analyse. Det er spesielt viktig å sikre at alle trinn i etterforskningen dokumenteres nøye, og at eventuelle mangler eller svakheter i prosessen identifiseres og rettes opp. Etterforskerne må også være klar over de juridiske kravene for at bevisene skal være tillatt i retten, inkludert krav til autentisitet, pålitelighet og relevans.
Rettsaken vil også belyse etiske og juridiske spørsmål knyttet til bruken av digital bevisning. Spørsmål om personvern, databeskyttelse og rettigheter til personopplysninger vil bli diskutert, spesielt når bevisene er hentet fra skytjenester og andre eksterne lagringsløsninger. Domstolen må vurdere om de innsamlede bevisene ble innhentet på en måte som respekterer gjeldende lovgivning.
For påtalemyndigheter og jurister setter denne saken en presedens for fremtidige cyberkriminalitetsetterforskninger. Den vil etablere en standard for hvordan digital bevisning skal håndteres og presenteres i retten. Utfallet av rettssaken kan også påvirke hvordan lignende saker håndteres i fremtiden, både i Storbritannia og internasjonalt.
Konklusjoner & forslag til tiltak
- Forensisk fokus: Kontroller systemlogger, artefakter og beviskjeden for berørte systemer.
- Kildegrunnlag: Verifisert teknisk analyse basert på rapporter fra Krebs on Security.
- Tiltak: Omedelbar kontroll och säkring av telemetri krävs för att förhindra bevisförlust.