Der Angriff auf Transport for London wurde am 2. September 2024 als Cybersicherheitsvorfall bekannt und führte zu Störungen im Betrieb, die mehrere Tage anhielten. Wie TfL später einräumte, verschafften sich die Angreifer Zugriff auf Daten aus dem Oyster-Erstattungssystem. Zudem wurde der Erstattungsservice für Kunden beeinträchtigt, wodurch sich Auszahlungen für einige Nutzer verzögerten.
Am 12. September bestätigte TfL, dass bei dem Angriff Kundendaten entwendet wurden. Am selben Tag gab die britische National Crime Agency bekannt, dass mit Owen Flowers ein damaliger Verdächtiger festgenommen worden war. Später, am 18. September 2025, wurden laut Ermittlern sowohl Flowers als auch Thalha Jubair festgenommen, nachdem belastende Beweise gegen beide sichergestellt worden waren, die nach Angaben der Behörden über den TfL-Angriff hinausgingen. Flowers verstieß außerdem im März und im Mai 2025 jeweils gegen seine Kautionsauflagen.
Nach Darstellung der NCA hatte der Angriff erhebliche operative Folgen für den Verkehrsbetreiber. Sämtliche 28.000 Beschäftigten von TfL mussten demnach ihre lokalen Büros aufsuchen, um ihre Passwörter zurückzusetzen. Den finanziellen Schaden beziffert die Behörde auf 29 Millionen Pfund, umgerechnet 38,3 Millionen US-Dollar.
Der stellvertretende NCA-Direktor Paul Foster erklärte, der Angriff habe „einem zentralen Teil der kritischen nationalen Infrastruktur des Vereinigten Königreichs Schäden in Millionenhöhe zugefügt und für Kunden erhebliche Unannehmlichkeiten verursacht“. Weiter sagte Foster, das Ergebnis des Verfahrens wäre nicht möglich gewesen, wenn TfL nicht frühzeitig mit den Strafverfolgungsbehörden zusammengearbeitet hätte.
Bei der Durchsuchung von Flowers’ Wohnsitz stellten Ermittler nach NCA-Angaben mehrere Geräte sicher. Darunter war ein Laptop mit einem Bildschirmfoto, das eine Verbindung zur TfL-Infrastruktur zeigen soll. Außerdem fanden die Behörden Belege für den Zugriff auf einen Marktplatz zum Verkauf gestohlener Zugangsdaten sowie Videos, die Jubair beim Eindringen in TfL-Systeme zeigen sollen.
Während des Angriffs kommunizierten die beiden Beschuldigten laut NCA über Telegram und eine gemeinsam genutzte Online-Kollaborationsplattform. Beide hatten ihre Beteiligung an dem Vorfall zunächst bestritten, änderten ihre Erklärung jedoch am ersten Tag des Verfahrens vor dem Woolwich Crown Court in ein Schuldeingeständnis. Der ursprünglich für den 22. Juni angesetzte Prozess entfiel damit; die Strafzumessung wurde auf den 16. Juli verschoben.
Neben dem TfL-Fall bringen die Behörden Flowers auch mit Eindringlingen bei SSM Health Care Corporation und Sutter Health in Verbindung, zwei US-Gesundheitsorganisationen.