Si vous avez suivi de près les péripéties entourant la fuite tant médiatisée de GTA 6, la BBC a annoncé aujourd’hui que le coupable avait été retrouvé.
Le rappel des faits :
- Un tribunal a découvert qu’un jeune de 18 ans d’Oxford faisait partie d’un gang international de cybercriminalité responsable d’une série de piratages contre d’importantes entreprises technologiques.
- Arion Kurtaj était un membre clé du groupe Lapsus$ qui a piraté des entreprises comme Uber, Nvidia et Rockstar Games.
- La cour a appris que Kurtaj avait divulgué des extraits du jeu Grand Theft Auto 6 non encore sorti alors qu’il était en liberté sous caution dans un hôtel Travelodge.
- Les attaques de Lapsus$ en 2021 et 2022 ont choqué le monde de la cybersécurité.
- Kurtaj est autiste et les psychiatres ont estimé qu’il n’était pas apte à être jugé, il n’est donc pas apparu devant le tribunal pour témoigner.
- Le jury a été chargé de déterminer s’il avait commis les actes allégués ou non – et non s’il l’avait fait avec une intention criminelle.
- Un autre adolescent de 17 ans, également autiste, a été reconnu coupable pour son implication dans les activités du gang Lapsus$, mais ne peut être nommé en raison de son âge.
- Le groupe originaire du Royaume-Uni, et prétendument du Brésil, a été décrit devant le tribunal comme des « bandits numériques ».
- On pense que le gang, composé principalement d’adolescents, utilisait des astuces d’escroquerie ainsi que des piratages informatiques pour accéder à des multinationales telles que Microsoft et le groupe bancaire numérique Revolut.
- Au cours de leur série de piratages, les hackers célébraient régulièrement publiquement leurs crimes et narguaient leurs victimes sur l’application de réseau social Telegram, en anglais et en portugais.
- Le procès s’est tenu à la Southwark Crown Court à Londres pendant sept semaines.
Arion Kurtaj, le maître hacker en herbe
Originaire d’Oxford, ce jeune homme de 18 ans, Arion Kurtaj, s’est avéré être une pièce maîtresse du groupe de hackers Lapsus$. Il a été reconnu coupable d’avoir participé à une série d’attaques contre des entreprises comme Uber, Nvidia, et surtout, le chouchou des gamers, Rockstar Games.
Les dessous d’un hack retentissant
D’après un rapport de la BBC, ce membre adolescent du groupe de hackers Lapsus$ aurait orchestré les cyberattaques de grande envergure visant des entreprises telles que Rockstar Games, Uber et Nvidia. Le verdict du tribunal de la Couronne de Southwark à Londres a retenti : Arion Kurtaj, 18 ans, a été reconnu coupable de 12 chefs d’accusation, dont la fraude et le chantage. On ne plaisante pas avec le hacking au Royaume-Uni.
Un parcours de hacker… tumultueux
Arion Kurtaj n’était pas à son coup d’essai. Malgré plusieurs arrestations au cours des deux dernières années, ce petit génie de l’informatique n’a pas cessé de lancer des cyberattaques en utilisant des techniques de social engineering et de SIM-swapping. Sa dernière arrestation remonte à septembre 2022, après avoir enfreint une condition de libération sous caution qui lui interdisait d’utiliser Internet.
- Son plus gros coup ? Il a réussi à diffuser des vidéos de gameplay du très attendu (et toujours pas sorti) Grand Theft Auto VI après avoir menacé les développeurs de Rockstar Games.
- Mais il ne s’est pas arrêté là : Uber et la société financière Revolut ont également été victimes de ses intrusions.
Les conséquences mondiales de l’affaire Lapsus$
Les actes de Lapsus$ ont sonné l’alarme pour de nombreuses entreprises et organisations à travers le monde. Face à la menace, l’agence américaine de cybersécurité a publié un rapport détaillé préconisant des mesures plus strictes contre le SIM swapping. L’objectif ultime ? Passer à une ère sans mots de passe, afin de renforcer la sécurité des utilisateurs. Le groupe Lapsus$, quant à lui, a permis de mettre en lumière des problématiques systémiques au sein de l’écosystème numérique. Une chose est sûre, cette affaire aura des répercussions sur la manière dont nous percevons et abordons la cybersécurité.
La fuite de GTA 6 orchestrée depuis un hôtel
Arion Kurtaj était dans une chambre de Travelodge, sous contrôle judiciaire pour une autre affaire, quand il a fait leak le contenu GTA 6. Avec simplement son smartphone, un clavier-souris, et un Amazon fire stick (on dirait le pitch d’un épisode de Mac Gyver), ce hacker talentueux a réussi à cracker les servers de Rockstar.
Le processus judiciaire et la particularité du cas
Le hic ? Arion est autiste. Ce qui a amené les psychiatres à le juger inapte à comparaître. Ainsi, le jury s’est concentré sur la question de savoir s’il avait réellement commis ces actes, plutôt que sur son intention criminelle.
- Un autre ado de 17 ans, également autiste, a été reconnu coupable pour son implication dans les activités de Lapsus$. Il reste anonyme en raison de son âge.
- Le groupe, originaire du Royaume-Uni et probablement du Brésil, a été surnommé en justice les « bandits numériques ».
- La méthode ? Une combinaison d’astuces d’escrocs et de piratage informatique pour accéder aux multinationales.
Les séries de hacks : une oeuvre en trois actes
Première vague de piratage
L’ado anonyme et Arion ont commencé à hacker dès juillet 2021. Ils ont réussi à:
- Pirater les serveurs de BT et EE.
- Envoyer des messages menaçants à 26 000 clients EE.
- Soutirer près de £100 000 à partir de détails de SIM volés.
- Demander une rançon de 4 millions de dollars (3,1 millions de livres) le 1er août 2021.
Les deux prévenus ont été initialement arrêtés le 22 janvier 2022, puis libérés sous enquête.
Deuxième offensive
En février 2022, la paire a remis le couvert avec une attaque réussie contre Nvidia. Le butin? Des données sensibles et une demande de rançon en échange de leur silence. Le jury a vu des discussions de groupe sur Telegram où le gang donnait des instructions à quelqu’un qu’ils avaient engagé pour appeler le bureau d’aide du personnel de Nvidia en se faisant passer pour un employé afin d’obtenir les détails de connexion de l’entreprise. Lors d’autres piratages, le gang a bombardé les téléphones des employés de demandes d’accès tard dans la nuit jusqu’à ce que le personnel accepte. Kurtaj et le jeune ont tous deux été de nouveau arrêtés le 31 mars 2022.
Peu avant son arrestation, Kurtaj a été « doxxé » par des hackers rivaux qui ont publié ses coordonnées et celles de sa famille en ligne, ainsi que des photos et des vidéos du passionné de pêche provenant des réseaux sociaux. Kurtaj a été transféré dans un hôtel Travelodge à Bicester pour sa sécurité et s’est vu imposer des conditions de mise en liberté sous caution strictes, dont l’interdiction d’utiliser Internet.
Mais Kurtaj a continué à pirater, et c’est là que le piratage de Rockstar se produits.
Troisième offensive
Arion, malgré une interdiction stricte d’utiliser Internet, a continué de sévir depuis son hôtel. Il s’est attaqué à Revolut, Uber et Rockstar Games, culminant avec des menaces directes contre ce dernier et la fuite de GTA 6. Les procureurs affirment qu’il a été « pris en flagrant délit » lorsque la police de la City de Londres a fouillé sa chambre d’hôtel.
Faisant preuve d’un « mépris flagrant pour ses conditions de mise en liberté sous caution », les jurés ont appris que la police avait trouvé une clé Fire Stick d’Amazon dans la télévision de sa chambre d’hôtel, lui permettant de se connecter à des services de cloud computing avec un smartphone, un clavier et une souris nouvellement achetés. Il a déclaré avoir téléchargé toutes les données de Grand Theft Auto 6, la série de jeux vidéo extrêmement populaire de Rockstar, ajoutant que « si Rockstar ne me contacte pas sur Telegram dans les 24 heures, je commencerai à publier le code source ».
Pendant ce temps, 90 clips vidéo de gameplay non terminé pour le nouveau jeu très attendu ont également été publiés sur un forum de fans sous le nom d’utilisateur TeaPotUberHacker. Kurtaj a été de nouveau arrêté et détenu jusqu’à son procès.
Frime juvénile selon l’avocat
Kevin Barry, l’avocat principal de l’accusation, a déclaré que Kurtaj et ses co-conspirateurs montraient à plusieurs reprises un « désir juvénile de narguer ceux qu’ils attaquaient ». Une fois à l’intérieur du réseau informatique d’une entreprise, les hackers laissaient souvent des messages offensants sur Slack et Microsoft Teams en tentant de faire chanter le personnel. Les actions du gang étaient souvent erratiques, leurs motifs semblant osciller entre la notoriété, le gain financier ou l’amusement.
En octobre, la police brésilienne a arrêté un individu soupçonné d’avoir piraté diverses entreprises et entités publiques brésiliennes et portugaises avec Lapsus$.
Il n’est pas clair combien d’argent Lapsus$ a gagné grâce à ses cybercrimes. Aucune entreprise n’a publiquement admis avoir payé les hackers, et le jeune de 17 ans a refusé de donner à la police l’accès à son portefeuille de cryptomonnaies. Les deux adolescents seront condamnés à une date ultérieure par la juge Lees.
Kurtaj est en détention provisoire et l’adolescent mineur de 17 ans reste en liberté sous caution.
Et maintenant?
La fin de cette saga? Pas vraiment. Il semble que certains membres du gang soient toujours en liberté, ce qui signifie que l’histoire n’est peut-être pas encore terminée…
