A kaotikus Lapsus$ kiberbűnözői banda két tizenéves tagja részt vett az Uber és az Nvidia számítógépes rendszereinek feltörésében, valamint zsarolta a „Grand Theft Auto” készítőjét, a Rockstar Games-t is más magas rangú áldozatok mellett, az illetékes brit bíróság szerint.
Az angliai Southwark Crown Court londoni bíróságán szerdán a 18 éves Arion Kurtajt és egy 17 éves fiatalkorú férfit bűnösnek találtak különféle informatikai bűncselekmények elkövetésében. Kurtaj előzetes letartóztatásba került, míg a fiút óvadék ellenében szabadlábra helyezték; mindketten ítélethirdetésre várnak.
Ez az ügy annyiban volt szokatlan, hogy az esküdtszéknek azt mondták, hogy Kurtaj nem lehet bűnös, vagy mert autista, vagy mert pszichiáterek korábban megállapították, hogy alkalmatlan a tárgyalásra. Ehelyett arra kérték a testületet, hogy döntsék el, hogy elkövette-e azokat a dolgokat, amelyekkel vádolják.
A két hónapos bizonyítási folyamat után az esküdtek megállapították, hogy Kurtaj 12 bűncselekményt követett el, köztük számítógépes behatolást, zsarolást és csalást, a 17 éves fiút pedig csalás, zsarolás és a számítógép működését károsító, jogosulatlan cselekmény végrehajtása miatt ítélték el.
A két tinédzser a Lapsus$ többi tagjával együtt 2021-2022 folyamán során betört a telekommunikációs óriás BT, a Microsoft, a Samsung, a Vodafone, a Revolut nevű fintech cégbe és az Okta cégbe is, és megpróbálták megzsarolni azokat. A duó az interneten ismerkedett meg, egyik első cselekedetük a BT és a mobiltelefon-hálózatot üzemeltető EE szervereibe való besurranás volt. A zsarolók 3,1 millió font (4 millió dollár) váltságdíjat követeltek, amit nem fizettek ki. A tizenévesek azonban a lenyúlt adatok egy részét – konkrétan a SIM-kártyák adatait – arra használták fel, hogy öt ember kriptovaluta-tárcájából mintegy 100 000 fontot (130 000 dollárt) lopjanak el.
Később, 2022 februárjában a Lapsus$ gonosztevői betörtek az Nvidia rendszerébe. Ellopták többek között az alkalmazottak hitelesítő adatait, vázlatterveket, valamint meghajtó- és firmware-kódokat, és a fájlok egy részét kiszivárogtatták az interneten. Az adatok között volt egy olyan privát kulcs is, amelyet windowsos kártevők aláírására lehetett használni. A banda egy másik nagy horderejű rablásában a két tinédzser a „Grand Theft Auto 6” kiadatlan felvételeit és forráskódját lopta el, majd ezek egy részét kiszivárogtatta az interneten.
A londoni rendőrség 2022 márciusában hét, 16 és 21 év közötti személyt tartóztatott le, majd engedtek szabadon a hackelésben való állítólagos részvételük miatt, mielőtt 2022. március 31-én újra letartóztatták és vádat emeltek Kurtaj és a 17 éves fiú ellen. A tizenévesek hackelési ámokfutásának motivációja „ifjonti vágy arra, hogy »bemutassanak« azoknak, akiket megtámadtak”, mondta a vád vezető ügyvédje az esküdtszéknek.
Ez arra is késztette az amerikai belbiztonsági minisztérium kiberbiztonsági felülvizsgálati bizottságát, hogy vizsgálja meg a tizenéves hackerek által jelentett fenyegetést. A Lapsus$-hoz köthető támadásokat részletező, e hónap elején közzétett jelentésében a testület azt javasolta, hogy „a kongresszus vizsgálja meg a fiatalkorúak számítógépes bűnmegelőzési programjainak finanszírozását és a bűnügyi ösztönzők csökkentését azáltal, hogy feltárja a szövetségi és állami bűnüldöző hatóságok közötti folytonosság biztosításának módjait”.
