23 августа суд в Великобритании признал 18-летнего Ариона Куртажа и 17-летнего молодого человека, имя которого не разглашается в связи с его несовершеннолетием, ответственными за проведение серии хакерских атак на крупнейшие IT-компании в 2021 и 2022 годах.

Арион Куртаж был одним из ключевых участников хакерской группировки Lapsus$, известной по взлому Rockstar Games, NVIDIA и Uber. Суд установил, что именно подросток сливал в сеть ролики ещё не вышедшей Grand Theft Auto VI. При этом, он делал это уже после того, как его освободили под залог по делу о другом взломе.

Куртаж и его 17-летний подельник начали совместную хакерскую деятельность в июле 2021 года после того, как познакомились в интернете. За это время они:

• взломали серверы телекоммуникационной компании BT Group и оператора мобильной связи EE;
• потребовали выкуп в размере четырёх миллионов долларов с BT Group и EE, но не получили его;
• использовали украденные данные SIM-карт пяти жертв, чтобы похитить около 100 тысяч фунтов стерлингов с их криптовалютных счетов;
• взломали серверы компании NVIDIA, похитив конфиденциальные данные и потребовав за них выкуп;
• атаковали серверы компаний Revolut, Uber и Rockstar Games, потребовав выкуп за ценную информацию;
• «слили» в сеть ряд конфиденциальных данных, в том числе скриншоты и часть кода Grand Theft Auto VI.

Обоих хакеров дважды арестовывали – в январе и марте 2022 года, но даже после этого Куртаж не прекратил проводить взломы. Полицейские рассказали, что после того, как злоумышленника во второй раз освободили под залог, ему запретили выходить в интернет. Однако Куртаж смог подключиться к сети через ТВ-приставку Amazon Fire Stick, после чего помогал другим хакерам проводить атаки на IT-компании.

Взлом Rockstar в суде назвали «самым дерзким». Куртаж проник во внутреннее рабочее пространство компании в Slack, где отправил всем сотрудникам сообщение о том, что он не их коллега, а хакер. После того злоумышленник скачал с серверов Rockstar данные, связанные с Grand Theft Auto VI, и заявил, что начнёт «сливать» исходный код в сеть, если в компании не свяжутся с ним в течение 24 часов в Telegram.

Адвокат со стороны обвинения Кевин Барри заявил, что Куртаж и его соучастники не просто взламывали крупнейшие IT-компании, но при этом вели себя вызывающе. Так, когда злоумышленники проникали на защищённые серверы, они часто оставляли оскорбительные сообщения в Slack и Microsoft Teams, там самым пытаясь шантажировать сотрудников.

В суде пришли к выводу, что у хакеров не было чётко определённого плана, а их действия носили хаотичный характер. Злоумышленники не всегда ставили перед собой цель заработать на своих взломах. В некоторых случаях они просто стремились прославиться или повеселиться.

Оба хакера страдают аутизмом, постановили в суде. Врачи признали Куртажа невменяемым, поэтому он не мог предстать перед судом, в отличие от его подельника. По состоянию на август 2023 года Куртажа заключили под стражу, а 17-летнего хакера освободили под залог. Приговор обоим подросткам вынесут позже. В суде предполагают, что другие члены группировки Lapsus$ по-прежнему находятся на свободе.