ANÁLISIS
Transport for London: qué enseña a quien asume el riesgo cyber un ataque que no paró los trenes
Entre el 31 de agosto y el 3 de septiembre de 2024 Scattered Spider entró en la red de Transport for London: 148 sistemas parados, 27.000 contraseñas restablecidas en persona, 29 millones de libras de costes. El análisis: identidad, servicios públicos, datos, cúmulo y preguntas para las renovaciones.
Archivo: reconstrucción escrita en noviembre de 2026
Tema del mes de septiembre de 2024 · por cybercoverinsurance
Entre el 31 de agosto y el 3 de septiembre de 2024 dos jóvenes del grupo Scattered Spider entraron en la red de Transport for London (TfL), el organismo que gestiona el transporte público de la capital británica. El metro y los autobuses siguieron funcionando. Pero 148 sistemas internos quedaron inutilizables, 27.000 empleados tuvieron que presentarse en persona para restablecer su contraseña y algunos servicios a los ciudadanos estuvieron parados durante meses. TfL cifró sus pérdidas y costes de recuperación en 29 millones de libras.
El caso es útil para quien asume el riesgo cyber por tres razones. Muestra cuánto cuesta reconstruir la identidad digital de toda una organización. Muestra cuánto puede alejarse la estimación inicial de datos sustraídos de la final. Y muestra la distancia entre el daño sufrido y el daño evitado por poco: según la acusación, un bloqueo de la red de transporte podría haber costado a la economía británica hasta 56.000 millones de libras.
Lo que se sabe
El ataque. Según la National Crime Agency (NCA), la red de TfL fue vulnerada entre el 31 de agosto y el 3 de septiembre de 2024. Los autores son Thalha Jubair, de Londres, y Owen Flowers, de Walsall, señalados como miembros destacados de Scattered Spider (NCA). Flowers fue detenido por primera vez el 6 de septiembre de 2024. Según la fiscalía británica, en ese mismo periodo estaba atacando a dos grupos sanitarios estadounidenses, SSM Health y Sutter Health (CPS).
Los daños operativos. La NCA informa de 148 sistemas inutilizados, varios sustituidos durante semanas por procedimientos manuales. Se vieron afectados el servicio Dial-a-Ride para personas con discapacidad, las tarjetas de viaje bonificadas, el canal de pagos digitales y la ampliación prevista del pago contactless. El sistema de reembolsos Oyster fue vulnerado y el de solicitudes de tarjetas con foto para jóvenes se cerró. Para contener el ataque, TfL tuvo que apagar parte de su propia red (CPS).
Los datos. Al principio TfL habló de datos bancarios de unos 5.000 clientes vinculados a reembolsos Oyster (The Register). En marzo de 2026 una investigación de la BBC estimó en unos 10 millones las personas con nombres, direcciones y datos de contacto sustraídos. TfL envió comunicaciones a unos 7,1 millones de clientes. Según la misma fuente, la Information Commissioner's Office cerró el caso en febrero de 2025 sin medidas formales (Tech Digest).
El proceso. Jubair y Flowers fueron detenidos de nuevo el 16 de septiembre de 2025, se declararon culpables el 22 de junio de 2026 y el 16 de julio de 2026 fueron condenados a cinco años y seis meses cada uno. La NCA lo califica como el mayor procedimiento por delitos informáticos llevado ante un tribunal británico. La pérdida de 29 millones de libras es la cifra indicada por TfL. Algunos artículos citan 39 millones, sin fuente primaria. La NCA no ha publicado el desglose de los costes.
Lo que no se sabe. Ni la NCA ni la fiscalía han indicado cómo entraron los atacantes. El grupo es conocido por la ingeniería social contra los servicios de asistencia técnica, pero para TfL ese vínculo no consta en las actuaciones públicas.
La identidad como coste de recuperación
Restablecer 27.000 contraseñas en persona es una partida de daño, no un detalle. Cuando un atacante ha tenido acceso a los sistemas de autenticación, la recuperación exige verificar de nuevo la identidad de cada usuario. TfL lo hizo convocando a todos los empleados en una oficina. Es tiempo de trabajo perdido, costes logísticos y servicios ralentizados, durante semanas.
Las pólizas cubren la recuperación, pero con definiciones que hay que leer. Las garantías de recuperación de datos y sistemas responden por lo general a los costes de devolver los sistemas al estado anterior al ataque. El tiempo del personal interno y los procedimientos manuales a menudo solo se cubren como gastos extraordinarios, dentro de sublímites. Para una organización con decenas de miles de empleados, reconstruir la identidad puede costar tanto como el análisis forense.
Las mejoras no son recuperación. Un organismo que tras el ataque adopta una autenticación más robusta asume un coste que muchas pólizas excluyen como mejora. La frontera entre recuperación y mejora debe aclararse antes del siniestro.
Un organismo público no pierde facturación, pierde servicios
La business interruption clásica mide poco. TfL siguió moviendo trenes y autobuses. El daño estuvo en otra parte: reembolsos retrasados, tarjetas no emitidas, servicios sociales bloqueados, un proyecto de ampliación del contactless aplazado. Una garantía calculada sobre el margen perdido capta mal este tipo de daño.
Los gastos extraordinarios son la partida que cuenta. Para organismos públicos y entidades sin ánimo de lucro, la protección útil es la de los costes adicionales para mantener los servicios: personal extra, procesos manuales, comunicaciones a los ciudadanos. Las preguntas de suscripción deberían indagar qué servicios críticos pueden seguir a mano, durante cuánto tiempo y a qué coste.
El retraso de los proyectos casi nunca está cubierto. El retraso en la ampliación del contactless es un coste real para TfL, pero rara vez entra en una garantía de interrupción. Es un daño que queda a cargo del asegurado.
Datos: la estimación inicial no es la final
De 5.000 a 10 millones. En septiembre de 2024 la cifra pública era de unos 5.000 clientes con datos bancarios. Dieciocho meses después la estimación periodística era de unos 10 millones de personas con datos personales y de contacto. Las dos cifras miden cosas distintas, pero la señal para quien asume el riesgo es clara: la reserva de un siniestro con robo de datos no debe fijarse sobre el primer comunicado.
Notificar a millones de personas tiene un coste medible. TfL escribió a unos 7,1 millones de clientes. El coste de las notificaciones, de los servicios de asistencia y de la monitorización, cuando se ofrece, crece con el número de personas, no con la sensibilidad del dato. Una organización con muchos clientes registrados tiene una exposición elevada aunque los datos sean solo identificativos.
El regulador no siempre sanciona. El cierre del caso por la ICO sin medidas formales, según Tech Digest, reduce el riesgo de sanciones. No reduce el riesgo de acciones de los clientes, que en el Reino Unido siguen siendo posibles.
El daño evitado y el cúmulo
56.000 millones de libras son un escenario, no un siniestro. La NCA recoge la estimación según la cual un bloqueo de la red de transporte podría haber costado a la economía británica hasta 56.000 millones de libras. En los chats entre ambos, citados por la acusación, se hablaba de «aniquilar el acceso» a los sistemas de TfL (CPS). El ataque no llegó tan lejos. Pero el caso muestra lo cerca que puede pasar un evento sistémico a partir de una intrusión criminal corriente.
El cúmulo pasa por los asegurados que dependen del organismo. Una parada prolongada del transporte de una capital afectaría a miles de empresas sin que ninguna hubiera sido vulnerada. Las garantías de interrupción por dependencia cubren normalmente a proveedores de TI nominados, no servicios públicos. En este ámbito el daño económico real y el asegurado divergen mucho.
Un mismo grupo, muchos sectores. Mientras atacaba a TfL, Flowers trabajaba contra dos grupos sanitarios estadounidenses (CPS). Los mismos actores, con las mismas técnicas, golpean sectores distintos en pocos días. Para una cartera, el cúmulo no pasa solo por los proveedores comunes, sino también por los atacantes comunes.
Qué llevar a las renovaciones
Impacto para las aseguradorasAlto
Una organización con millones de clientes registrados y decenas de miles de empleados suma costes de recuperación, notificaciones y servicios manuales, incluso sin pérdida de facturación.
En el lado de la cartera, los grandes organismos públicos y las empresas de servicios son nodos de los que dependen muchos otros asegurados. Un mapa de estas dependencias, aunque sea solo por sector y zona geográfica, ayuda a estimar el escenario de daño que la NCA describió y que en 2024 no se produjo.