Lapsus$: GTA 6-Hacker auf unbestimmte Zeit ins Krankenhaus eingewiesen

Ein 18-jähriger Hacker, der Ausschnitte eines kommenden Grand Theft Auto (GTA) Spiels veröffentlichte, wurde zu einer unbefristeten Unterbringung in einer psychiatrischen Klinik verurteilt. Arion Kurtaj aus Oxford – der autistisch ist – war ein Schlüsselmitglied der internationalen Gang Lapsus$.

Die Angriffe der Gang auf Technologieriesen wie Uber, Nvidia und Rockstar Games kosteten die Unternehmen fast 10 Millionen Dollar. Der Richter sagte, Kurtajs Fähigkeiten und sein Wunsch, Cyberkriminalität zu begehen, bedeuteten, dass er weiterhin ein hohes Risiko für die Öffentlichkeit darstelle.

Er wird auf unbestimmte Zeit in einer geschlossenen Klinik bleiben – es sei denn, die Ärzte halten ihn nicht mehr für gefährlich. Vor Gericht wurde berichtet, dass Kurtaj während seiner Haft gewalttätig war, mit Dutzenden von Berichten über Verletzungen oder Sachbeschädigungen.

Ärzte stuften Kurtaj aufgrund seines akuten Autismus als nicht verhandlungsfähig ein, daher wurde die Jury gebeten zu entscheiden, ob er die behaupteten Taten begangen hatte – nicht, ob er dies mit krimineller Absicht tat. Eine im Rahmen der Verurteilung verwendete psychische Gesundheitsbewertung sagte aus, dass er “weiterhin die Absicht äußerte, so schnell wie möglich zur Cyberkriminalität zurückzukehren. Er ist hochmotiviert.”

Der Jury wurde mitgeteilt, dass er, während er auf Kaution für das Hacken von Nvidia und BT/EE war und sich in Polizeischutz in einem Travelodge-Hotel befand, weiterhin hackte und seinen berüchtigtsten Hack durchführte. Obwohl sein Laptop beschlagnahmt wurde, gelang es Kurtaj, Rockstar, das Unternehmen hinter GTA, mit einem Amazon Firestick, seinem Hotel-TV und einem Mobiltelefon zu hacken.

Kurtaj stahl 90 Clips des unveröffentlichten und sehnsüchtig erwarteten GTA 6. Er drang in das interne Slack-Nachrichtensystem des Unternehmens ein und erklärte: „Wenn Rockstar mich nicht innerhalb von 24 Stunden auf Telegram kontaktiert, werde ich beginnen, den Quellcode zu veröffentlichen.“

Dann postete er die Clips und den Quellcode in einem Forum unter dem Benutzernamen TeaPotUberHacker. Er wurde erneut festgenommen und bis zu seinem Prozess inhaftiert. Anfang dieses Monats wurde der Trailer zu GTA 6 veröffentlicht, der innerhalb von nur vier Tagen 128 Millionen Aufrufe auf YouTube erreichte.

Während der Verhandlungen zur Strafzumessung argumentierte Kurtajs Verteidigungsteam, dass der Erfolg des Trailers des Spiels darauf hinweise, dass Kurtajs Hack dem Spieleentwickler keinen ernsthaften Schaden zugefügt habe, und bat darum, dies bei der Strafzumessung zu berücksichtigen.

Doch die ehrenwerte Richterin Lees betonte, dass es echte Opfer und echten Schaden durch seine zahlreichen Hacks auf Einzelpersonen und die Unternehmen gab, die er zusammen mit Lapsus$ angegriffen hatte. Rockstar Games allein erklärte dem Gericht, dass der Hack Kosten von 5 Millionen Dollar zur Wiederherstellung verursachte, zuzüglich Tausender Arbeitsstunden des Personals.

Ein weiteres Mitglied der Hackergruppe Lapsus$, ein 17-Jähriger, der aufgrund seines Alters nicht namentlich genannt werden kann, wurde im selben Prozess für schuldig befunden, der sechs Wochen am Southwark Crown Court dauerte.

Er arbeitete mit Kurtaj und anderen Mitgliedern von Lapsus$ zusammen, um den Technologieriesen Nvidia und das Telefonunternehmen BT/EE zu hacken und Daten zu stehlen, bevor sie ein Lösegeld von vier Millionen Dollar forderten, das jedoch nicht gezahlt wurde.

Sie stahlen auch direkt von Einzelpersonen durch deren Kryptowährungs-Wallets. Der 17-Jährige wurde zu einer 18-monatigen Jugendbewährungsstrafe verurteilt, einschließlich intensiver Betreuung und einem Verbot der Nutzung von VPNs im Internet.

Neben den Hacking-Delikten wurde der Junge auch wegen eines von der Richterin als “unangenehmes und beängstigendes Muster von Stalking und Belästigung” zweier junger Frauen beschriebenen Verhaltens verurteilt. Kurtaj und der 17-Jährige sind die ersten Mitglieder der Lapsus$-Gruppe, die verurteilt wurden, aber man vermutet, dass weitere Mitglieder noch auf freiem Fuß sind.

Die dreisten Angriffe der Gruppe in den Jahren 2021 und 2022 schockierten die Welt der Cybersicherheit. Die Gruppe, die aus dem Vereinigten Königreich und angeblich auch aus Brasilien stammt, wurde vor Gericht als “digitale Banditen” bezeichnet.

Die Gang, von der angenommen wird, dass sie hauptsächlich aus Teenagern besteht, nutzte Tricks, die an Betrügereien erinnern, sowie Computereinbrüche, um Zugang zu multinationalen Konzernen wie Microsoft, dem Technologiegiganten, und der digitalen Bankengruppe Revolut zu erlangen.

Während ihres Raubzuges feierten die Hacker ihre Verbrechen regelmäßig öffentlich und verhöhnten ihre Opfer in der Social-Network-App Telegram auf Englisch und Portugiesisch. Dies veranlasste die US-Cyber-Behörden, einen ausführlichen Bericht über Lapsus$ und andere Teenager-Hackergruppen zu veröffentlichen.

Der Bericht kam zu dem Schluss, dass Lapsus$ deutlich machte, wie einfach es für ihre Mitglieder (in einigen Fällen Jugendliche) war, in gut geschützte Organisationen einzudringen. Es ist unklar, wie viel Geld Lapsus$ mit seinen Cyber-Verbrechen verdient hat. Keine der betroffenen Unternehmen gab öffentlich zu, die Hacker bezahlt zu haben, und die Hacker lieferten die Passwörter für die beschlagnahmten Kryptowährungs-Wallets nicht heraus.

the 18-year-old hacker who leaked GTA 6 clips has been sentenced to life in a hospital prison. He hacked Rockstar at a hotel using an Amazon Fire TV Stick while in police protection. Details from @joetidy https://t.co/dq3AS041Nx pic.twitter.com/6KohBEWY1i

— Tom Warren (@tomwarren) December 21, 2023